29. Правила безпеки Internet.

Організації, одержуючи послуги Internet із сторони, повинні мати правила з вимогами про те, щоб в договори на послуги були включені угоди про обслуговування або профілактичні роботи, які дозволять адміністраторам організації проводити такий тип обслуговування.

Сервери або сервери, що належать зовнішнім провайдерам, що спільно використовуються, також повинні обслуговуватися по інструкціях, злагоджених в контрактах на надання послуг.

Інструкції адміністрування повинні регламентувати контроль інформації, а також захист інформації шляхом застосування відповідних санкцій.

користувачі, що мають доступ до Internet, повинні заздалегідь пройти програму навчання, де буде роз'яснена політика компанії у сфері безпеки і відповідальність користувачів за представлення компанії в світовій мережі. Користувачі не повинні користуватися Internet до тих пір, поки повністю не пройдуть встановлену програму навчання.

користувачі не повинні передавати ніякої інформації, яка розкриває відомості про інтелектуальну власність або ділову активність організації. Користувачі не повинні навмисно пересилати документи або інші дані клієнтам або стороннім особам без відповідних запобіжних засобів. В запобіжні засоби, крім всього іншого, необхідно включити шифрування, пересилку по виділеному каналу і санкціонування особи, відповідальної за цю інформацію.

всі системи з власними і клієнтськими даними, які підтримують Web-сервер, не повинні встановлюватися на тому ж сегменті мережі, на якому встановлені Web-сервери. Ці допоміжні сервери повинні встановлюватися так, щоб доступ був можливий тільки до Web-серверів. Організації слід встановити належні засоби контролю для забезпечення гарантій того, що допоміжні сервери можуть бути доступний тільки у такий спосіб, який узгоджується з функціями, на які вони запрограмовані.

Користувачі, що мають доступ до Internet, не повинні відвідувати сайти, які створені з порушеннями закону або містять образливу інформацію про користувачів. Організація повинна зберегти за собою право блокування доступу до всіх сайтів, які вважаються неприйнятними, а також робити реєстраційні записи про відвідування сайтів всіма користувачами, на підставі яких у будь-який час можна провести аудиторську перевірку. Як етап процесу фільтрації вмісту, організації повинно бути дозволено встановити систему кешування.

Службовцям організації потрібно дозволити створювати неофіційні сайти в мережі організації. Ці Web-сайти повинні бути доступні тільки усередині організації. Користувачі, які хочуть, щоб вміст їх сайтів був доступний з Internet, повинні, перш ніж зробити свої сторінки доступними, надати їх для перегляду комісії.

Відповідальні за інформацію і процеси особи повинні оцінювати всі додатки з погляду того, чи забезпечується безпека пересилки даних і файлів відповідно до вимог, що висуваються бізнесом. Крім всього іншого, в захист даних, що пересилаються, необхідно включити забезпечення гарантій, що дані доходять за призначенням і не можуть ніким бути змінені в процесі їх пересилки.