1.2.3.4 Кто может иметь административные привилегии?

Одно из решений, которое должно быть тщательно взвешено, относится к выбору лиц, имеющих доступ к административным привилегиям и паролям для ваших сервисов. Очевидно, подобный доступ должны иметь системные администраторы, но неизбежны ситуации, когда за привилегиями будут обращаться другие пользователи, что следует с самого начала предусмотреть в политике безопасности. Ограничение прав - один из способов защититься от угроз со стороны своих пользователей. Необходим, однако, сбалансированный подход, когда ограничение прав не мешает людям делать свое дело. Разумнее всего давать пользователям ровно те права, которые нужны им для выполнения своих обязанностей.

Далее, сотрудники, имеющие специальные привилегии, должны быть подотчетны некоторому должностному лицу, и это также необходимо отразить в политике безопасности предприятия. Если «привилегированные» люди перестают быть подотчетными, вы рискуете потерять контроль над своей системой и лишиться возможности расследовать случаи нарушения режима безопасности.

1.2.3.5 Каковы права и обязанности пользователей?

Политика безопасности должна содержать положения о правах и обязанностях пользователей применительно к использованию компьютерных систем и сервисов предприятия. Должно быть явно оговорено, что пользователи обязаны понимать и выполнять правила безопасной эксплуатации систем. Ниже приведен перечень тем, которые целесообразно осветить в данном разделе политики безопасности:

Каковы общие рамки использования ресурсов? Существуют ли ограничения на ресурсы и каковы они?

Что является злоупотреблением с точки зрения производительности системы?

Разрешается ли пользователям совместное использование счетов?

Как «секретные» пользователи должны охранять свои пароли?

Как часто пользователи должны менять пароли? Каковы другие аналогичные ограничения и требования?

Как обеспечивается резервное копирование - централизованно или индивидуально?

Как реагировать на случаи просмотра конфиденциальной информации?

Как соблюдается конфиденциальность почты?

Какова политика в отношении неправильно адресованной почты или отправлений по спискам рассылки или в адрес дискуссионных групп (непристойности, приставания и т.п.)?

Какова политика по вопросам электронных коммуникаций (подделка почты и т.п.)?

Каждая организация должна разработать политику защиты права сотрудников на тайну. Рекомендуется, чтобы эта политика охватывала все возможные среды, а не только электронную почту.

Предлагается пять критериев оценки подобной политики:

Согласуется ли политика с существующим законодательством и с обязанностями по отношению к третьим сторонам?

Не ущемляются ли без нужды интересы работников, работодателей или третьих сторон?

Реалистична ли политика и вероятно ли ее проведение в жизнь?

Затрагивает ли политика все виды передачи и хранения информации, используемые в организации?

Объявлена ли политика заранее и получила ли она одобрение всех заинтересованных сторон?

1.2.3.6 Каковы права и обязанности администраторов безопасности по отношению к другимпользователям?

Должен соблюдаться баланс между правом пользователей на тайну и обязанностью администратора безопасности собирать достаточно информации для разрешения проблем и расследования случаев нарушения режима безопасности. Политика должна определять границы, в пределах которых администратор безопасности вправе исследовать пользовательские файлы с целью разрешения проблем и для иных нужд, и каковы права пользователей. Можно также сформулировать положение относительно обязанности администраторов соблюдать конфиденциальность информации, полученной при оговоренных выше обстоятельствах. Политика должна содержать ответы на несколько вопросов:

Может ли администратор отслеживать или читать пользовательские файлы при каких-либо обстоятельствах?

Какие обязательства администратор при этом берет на себя?

Имеют ли право администраторы исследовать сетевой трафик?