ГОСТ Р ИСО/МЭК 17799—2005
- категорий сотрудников, подрядчиков или деловых партнеров, которым разрешено использовать
систему и рабочие места, с которых может осуществляться к ней доступ (4.2):
- ограничение определенных возможностей системы для определенных категорий пользовате
лей:
- идентификацию статуса пользователей, например служащих организации или подрядчиков, в
отдельных директориях, для удобства других пользователей;
- сохранение и резервирование информации, содержащейся в системе (12.1.3, 8.4.1):
- требования попереходу на аварийный режим работы иперечень соответствующих мероприятий
(
11
.
1
).
8.7.6 Системы публичного доступа
Следует уделять внимание защите целостности информации, опубликованной электронным спо
собом. чтобы предотвратить иеавторизоваиную модификацию, которая могла бы навредить репутации
организации, поместившей эту информацию. Информацию системы публичного доступа, например
информацию на Web-сайте, доступную через Интернет, возможно, потребуется привести в соотве
тствие с законодательством и регулирующими нормами страны, под юрисдикцией которых находится
система или осуществляется торговля. Необходим соответствующий формализованный процесс
авторизации прежде, чем информация будет сделана общедоступной.
Программное обеспечение, данные идругую информацию, требующую высокого уровня целост
ности. доступ к которой осуществляется через системы публичного доступа, необходимо защищать
адекватными способами, например, посредством цифровой подписи (10.3.3). Системы, предоставляю
щие возможность электронной публикации информации, обратной связи и непосредственного ввода
информации, должны находиться под надлежащим контролем с тем. чтобы:
- полученная информация соответствовала всем законам по защите данных (12.1.4);
- информация, введенная в систему электронной публикации, обрабатывалась своевременно,
полностью и точно:
- важная информация была защищена в процессе ее сбора и хранения;
- доступ к системе электронной публикации исключал бы возможность непреднамеренногодосту
па к сетям, с которыми она связана.
8.7.7 Другие формы обмена информацией
Необходимо предусмотреть наличие процедур и мероприятий по управлению информационной
безопасностью сцелью защиты процессаобменаинформацией посредством речевых, факсимильных и
видеосредств коммуникаций. Информация может быть скомпрометирована из-за недостаточной осве
домленностисотрудниковпо использованиюсредств передачи информации. В частности, информация
может быть подслушана при переговорах по мобильному телефону в общественном месте, а также с
автоответчиков: информация может также быть скомпрометированной вследствие неавторизованного
доступа к системе голосовой почты или случайной отсылки факсимильных сообщений неправильному
адресату.
Бизнес-операции могут быть нарушены и информация может быть скомпрометирована в случае
отказа, перегрузки или прерывания в работе средств взаимодействия (7.2 и раздел 11). Информация
можетбыть скомпрометирована, если к ней имели местодоступ неавторизованные пользователи (раз
дел 9).
Следует сформулировать четкие требования по соблюдению процедур, которым должны следо
вать сотрудники при использовании речевой, факсимильной и видеосвязи. В частности, необходимо
предусмотреть следующее:
а) напоминание сотрудникам о необходимости принятия соответствующих мер предосторож
ности, например, для исключения подслушивания или перехвата информации при использовании теле
фонной связи:
1) лицами, находящимися в непосредственной близости, особенно при пользовании мобиль
ными телефонами;
2) прослушивания телефонных переговоров путем физического доступа к трубке, телефонной
линии или сиспользованиемсканирующихприемниковпри применениианалоговыхмобильных
телефонов;
3) посторонними лицами со стороны адресата;
б) напоминание сотрудникам о том, что не следует вести конфиденциальные беседы в
общественных местах, открытых офисах и в переговорных комнатах с тонкими стенами:
в) не оставлять сообщений на автоответчиках, переадресация на которые произошла вслед
ствие ошибки соединения, или автоответчиках операторов связи, поскольку эти сообщения могут быть
воспроизведены неавторизованными лицами;
27