9.6.2 Изоляция систем, обрабатывающих важную информацию

Системы, обрабатывающие важную информацию, должны быть обеспечены выделенной (изолированной) вычислительной средой. Некоторые прикладные системы имеют очень большое значение с точки зрения безопасности данных и поэтому требуют специальных условий эксплуатации. Важность обрабатываемой информации может или требовать работы системы на выделенном компьютере, или осуществлять совместное использование ресурсов только с безопасными бизнес-приложениями, или работать без каких-либо ограничений. При этом необходимо учитывать следующее:

- владельцу бизнес-приложений необходимо определить и документально оформить степень их важности (4.1.3);

- когда важное бизнес-приложение должно работать в среде совместного использования, необходимо выявить другие приложения, с которыми будет осуществляться совместное использование ресурсов, и согласовать это с владельцем важного бизнес-приложения.

9.7Мониторинг доступа и использования системы

Цель: обнаружение неавторизованных действий.

Для обнаружения отклонения от требований политики контроля доступа и регистрации событий и обеспечения доказательства на случай выявления инцидентов нарушения информационной безопасности необходимо проводить мониторинг системы.

Мониторинг системы позволяет проверять эффективность применяемых мероприятий по обеспечению информационной безопасности и подтверждать соответствие модели политики доступа требованиям бизнеса (9.1).

9.7.1 Регистрация событий

Для записи инцидентов нарушения информационной безопасности и других связанных с безопасностью событий следует создавать журналы аудита и хранить их в течение согласованного периода времени с целью содействия в проведении будущих расследований и мониторинге управления доступом. Необходимо, чтобы записи аудита включали:

- ID пользователей;

- даты и время входа и выхода;

- идентификатор терминала или его местоположение, если возможно;

- записи успешных и отклоненных попыток доступа к системе;

- записи успешных и отклоненных попыток доступа к данным и другим ресурсам. Может потребоваться, чтобы определенные записи аудита были заархивированы для использования их при анализе и расследованиях инцидентов нарушения информационной безопасности, а также в интересах других целей (раздел 12).

9.7.2 Мониторинг использования систем

9.7.2.1 Процедуры и области риска

Для обеспечения уверенности в том, что пользователи выполняют только те действия, на которые они были явно авторизованы, необходимо определить процедуры мониторинга использования средств обработки информации. Уровень мониторинга конкретных средств обработки информации следует определять на основе оценки рисков. При мониторинге следует обращать внимание на:

а) авторизованный доступ, включая следующие детали:

1) пользовательский ID;

2) даты и время основных событий;

3) типы событий;

4) файлы, к которым был осуществлен доступ;

5) используемые программы/утилиты;

б) все привилегированные действия, такие как:

1) использование учетной записи супервизора;

2) запуск и останов системы;

3) подсоединение/отсоединение устройства ввода/вывода;

в) попытки неавторизованного доступа, такие как:

1) неудавшиеся попытки;

2) нарушения политики доступа и уведомления сетевых шлюзов и межсетевых экранов;

3) предупреждения от собственных систем обнаружения вторжения;

г) предупреждения или отказы системы, такие как:

1) консольные (терминальные) предупреждения или сообщения;

2) исключения, записанные в системные журналы регистрации;

3) предупредительные сигналы, связанные с управлением сетью.