2. Требования по обеспечению безопасности использования

ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ С СКЗИ «КРИПТО-ПРО CSP»

В целях обеспечения безопасности использования программного обеспечения с

СКЗИ «Крипто-Про CSP» (далее СКЗИ), сертифицированным ФСБ РФ, должны

выполняться следующие требования по организационно-техническим мерам защиты:

Ключевой носитель не допускается оставлять вставленным в USB порт компьютера

после окончания работы в Системе ДБО;

Автоматизированные рабочие места с СКЗИ должны располагаться в помещениях,

обеспечивающих невозможность несанкционированного доступа к СКЗИ;

Правом доступа к рабочим местам с СКЗИ должны обладать только лица,

ознакомленные с правилами пользования СКЗИ и с другими нормативными

документами, созданными на их основе.

На компьютере должна быть установлена только одна операционная система;Правила электронного документооборота в системе дистанционного банковского обслуживания Открытого

акционерного общества «Росгосстрах Банк» (редакция 11)

50

На компьютере должна быть установлена парольная защита на вход в BIOS и в

операционную систему. При выборе пароля необходимо следовать следующим

рекомендациям;

o пароль должен содержать не менее 6 символов;

o не использовать в качестве пароля имя, фамилию, день рождения и другие

памятные даты, номер телефона, автомобиля, адрес местожительства и

другие данные, которые могут быть подобраны злоумышленником путем

анализа информации об администраторе или пользователе;

o не использовать в качестве пароля один и тот же повторяющийся символ

либо повторяющуюся комбинацию из нескольких символов;

o не использовать в качестве пароля комбинацию символов, набираемых в

закономерном порядке на клавиатуре (например, «1234567» или «1йфячыц2»

и т. п.);

o использовать в качестве пароля комбинацию знаков, смысл

последовательности которых трудно определить;

При использовании СКЗИ на компьютерах, подключенных к сетям, должны быть

предприняты меры, исключающие возможность несанкционированного доступа к

системным ресурсам используемых операционных систем, к программному

обеспечению, в окружении которого функционируют СКЗИ, и к компонентам СКЗИ

со стороны указанных сетей:

o Создание списка пользователей, добавление в список нового пользователя,

создание идентификаторов доступа в системной базе данных прав доступа,

выдача созданных идентификаторов пользователям в операционной системе

должны осуществляться только администратором системы;

o Доступ к управлению привилегиями, квотами и установке прав доступа

пользователей к файловой системе должен иметь только администратор

системы;

o Управление привилегиями и квотами операционной системы должно

осуществляться для каждого пользователя персонально на основе его

системной учетной информации;

o Права доступа каждого пользователя к файловой системе операционной

системы должны определяться администратором системы в соответствии с

правилами эксплуатации системы;

o Любые дополнительные права доступа должны даваться пользователям

только системным администратором по согласованию со службой

безопасности Клиента, если это необходимо для функционирования

автоматизированной системы, базы данных и/или вычислительного

комплекса в целом.