10.4.19 Несанкционированный доступ в места хранения носителей информации

Несанкционированный доступ к местам хранения носителей информации может подвергать опасности доступность информации, так как в этом случае возможно несанкционированное уничтожение информации, записанной на этих носителях. Защитные меры в этой области включают в себя:

- эксплуатационные вопросы.

Организация может управлять носителями информации, например, для физической защиты и подотчетности носителей информации для того, чтобы не допустить несанкционированный доступ к информации, записанной на этих носителях (см.8.1.5). Особое внимание должно уделяться защите легко снимаемых носителей информации, например дискет, магнитных лент с записями резервных копий и бумажных носителей;

- физическую безопасность.

Соответствующая защита помещений (прочные стены и окна, а также физическое управление доступом) и офисное оборудование могут защитить от несанкционированного доступа (см. 8.1.7).

10.4.20 Ошибка пользователя

Ошибка пользователя может нарушить доступность информации. Защитные меры в этой области включают в себя:

- осведомленность в вопросах безопасности и обучение.

Организация должна провести соответствующее обучение всех пользователей для того, чтобы они не допускали ошибок при обработке информации (см. 8.1.4). В программу обучения должно быть включено обучение определенным методикам для специальных действий, например процедурам по эксплуатации или обеспечению безопасности;

- резервные копии.

Резервные копии, например, предыдущее поколение программного обеспечения, могут быть использованы для восстановления информации, поврежденной в результате ошибок пользователя (см. 8.1.6).

10.5 Защитные меры для подотчетности, аутентичности и достоверности

Область применения подотчетности, аутентичности и достоверности широко различается в разных доменах. Эти различия подразумевают возможное применение множества разных защитных мер. Поэтому для них могут быть приведены только общие рекомендации.

Защитные меры, перечисленные в 8.1, предоставляют общую защиту, т.е. они направлены на ряд угроз и обеспечивают защиту путем поддержки общего эффективного управления безопасностью ИТ. Настоящий подраздел их не содержит, но влияние этих мер не следует приуменьшать и они также подлежат реализации для обеспечения общей эффективной безопасности.

10.5.1 Подотчетность

При защите подотчетности должна учитываться любая угроза, которая может привести к выполнению действий, не свойственных рассматриваемому объекту или субъекту. Ниже приведены примеры некоторых подобных угроз:

- коллективное пользование учетными записями;

- отсутствие возможности оперативного контроля действий;

- имитация законного пользователя;

- сбой программного обеспечения;

- несанкционированный доступ к компьютеру, данным, услугам и приложениям;

- неудовлетворительная аутентификация.

Существуют два типа подотчетности, которые должны быть приняты во внимание. Первый тип связан с идентификацией пользователя, подотчетного за определенные действия с информацией и системами ИТ. Контрольные журналы регистрации предоставляют такую подотчетность. Второй - касается подотчетности между пользователями в системе. Это может быть достигнуто путем применения услуг по обнаружению неотказуемости, дробления знаний или двойного контроля.

Многие защитные меры могут внести вклад в улучшение подотчетности, начиная от политики обеспечения безопасности, логического управления и аудита доступа и до внедрения одноразовых паролей и средств управления носителями информации. Реализация политики в области владения информацией является предпосылкой для обеспечения подотчетности. Выбор специальных защитных мер будет зависеть от специфики использования подотчетности в пределах домена.