ГОСТ Р ИСО/МЭК 17799—2005
вой почты, речевой связи вообще, мультимедийных устройств, использования факсов и любых других
важныхобъектов, например, бланков, чеков и счетов. Необходимо использоватьследующие мероприя
тия по управлению информационной безопасностью (5.2 и 8.7.2):
- обработку и маркирование всех носителей информации (8.7.2а);
- ограничения доступа с целью идентификации неавторизованного персонала;
- обеспечение формализованной регистрации авторизованных получателей данных;
- обеспечениеуверенности в том. чтоданные вводаявляются полными, процессобработки завер
шается должным образом и имеется подтверждение вывода данных;
- обеспечение защиты информации, находящейся в буфере данных иожидающей вывода в соот
ветствии с важностью этой информации;
- хранение носителей информации в соответствии с требованиями изготовителей;
- сведение рассылки данных к минимуму;
- четкую маркировку всех копий данных, предлагаемых вниманию авторизованного получателя;
- регулярный пересмотр списков рассылки и списков авторизованных получателей.
8.6.4 Безопасность системной документации
Системная документация может содержать определенную важную информацию, например, опи
сания процессов работы бизнес-приложений, процедур, структурданных, процессовавторизации (9.1). В
этих условиях с целью защиты системной документации от неавторизованного доступа необходимо
применять следующие мероприятия:
- системную документацию следует хранить безопасным образом:
- списоклиц. имеющихдоступ ксистемнойдокументации, следуетсводить кминимуму; доступдол
жен быть авторизован владельцем бизнес-приложения;
- системную документацию, полученную/поддерживаемую через общедоступную сеть, следует
защищать надлежащим образом.
8.7 Обмен информацией и программным обеспечением
Цель: предотвращение потери, модификации или неправильного использования информации
при обмене ею между организациями.
Обмен информацией и программным обеспечением между организациями должен быть под кон
тролем и соответствовать действующему законодательству (раздел 12).
Обмен информациейдолжен происходить на основе соглашений между организациями. Необхо
димо определить процедурыи мероприятияпо защите информации иносителей при передаче. Необхо
димо учитывать последствиядля деятельности ибезопасности организации, связанные сэлектронным
обменомданных, электронной торговлей и электронной почтой, атакже требования к мероприятиям по
управлению информационной безопасностью.
8.7.1 Соглашения по обмену информацией и программным обеспечением
Порядок обмена информацией и программным обеспечением (как электронным способом, так и
вручную) между организациями, включая передачу на хранение исходных текстов программ третьей
стороне, должен быть строго формализован и документирован. Требования безопасности в подобных
соглашенияхдолжны учитыватьстепеньважности информации, являющейся предметом обмена. Необ
ходимо. чтобы требования безопасности в подобных соглашениях учитывали:
- обязанности руководства по контролю иуведомлению о передаче, отправке иполучении инфор
мации;
- процедуры для уведомления отправителя о передаче, отправке и получении информации;
- минимальные технические требования по формированию и передаче пакетов данных:
- требования к курьерской службе;
- ответственность и обязательства в случае потери данных;
- использование согласованной системы маркировки для важной или критичной информации,
обеспечивающей уверенность в том, что значение этой маркировки будет сразу же понятнои информа
ция будет соответственно защищена;
- определение владельцев информации и программного обеспечения, а также обязанностей по
защите данных, учет авторских прав на программное обеспечение и аналогичных вопросов (12.1.2 и
12.1.4);
- технические требования вотношении записи исчитывания информации и программного обеспе
чения;
24