ГОСТ Р ИСО/МЭК 17799—2005
г)напоминание сотрудникам о возможных рисках, присущих использованию факсимильных
аппаратов, а именно:
1) неавторизованный доступ к встроенной памяти для поиска сообщений;
2) преднамеренное или случайное перепрограммирование аппаратовс целью передачи сооб
щений по определенным номерам;
3) отсылка документов и сообщений по неправильному номеру вследствие неправильного
набора либо из-за использования неправильно сохраненного номера.
9 Контроль доступа
9.1 Требование бизнеса по обеспечению контроля в отношении логического доступа
Цель; контроль доступа к информации.
Доступк информацииибизнес-процессамдолженбыть контролируемым сучетомтребований биз
неса и безопасности.
Требованиякконтролюдоступадолжны бытъотражены вполитикахвотношении распространения
и авторизации информации.
9.1.1 Политика в отношении логического доступа
9.1.1.1 Политика и требования бизнеса
Необходимо определять и документально оформлять требования бизнеса по обеспечению кон
троля в отношении логического доступа. Правила контроля доступа и права каждого пользователя или
группы пользователейдолжны однозначноопределяться политикой безопасности поотношению клоги
ческомудоступу. Пользователиипоставщикиуслугдолжны бытьоповещеныо необходимостивыполне
ния требований в отношении логического доступа.
Необходимо, чтобы в политике было учтено следующее;
- требования безопасности конкретных бизнес-приложений;
- идентификация всей информации, связанной с функционированием бизнес-приложений;
- условия распространения информации иавторизациидоступа, например, применение принципа
nneed to know» (пользователь получает доступ только к данным, безусловно необходимым ему для
выполнения конкретной функции), а также в отношении категорированной информации и требуемых
уровней ее защиты;
- согласованность между политиками по контролю доступа и классификации информации приме
нительно к различным системам и сетям;
- применяемое законодательство и любые договорные обязательства относительно защиты дос
тупа к данным или сервисам (раздел 12);
- стандартные профили доступа пользователей для типовых обязанностей и функций;
- управлениеправамидоступав распределеннойсетисучетом всехтиповдоступныхсоединений.
9.1.1.2 Правила контроля доступа
При определении правил контроля доступа следует принимать во внимание следующее:
-дифференциацию между правилами, обязательными для исполнения, и правилами, которые
являются общими или применяемыми при определенных условиях:
- установлениеправил, основанныхнапредпосылке«все должнобытьвобщем случаезапрещено,
пока явно не разрешено*, а нена более слабом принципе «все вобщем случае разрешено, пока явно не
запрещено»,
- изменения в признаках маркировки информации (см. 5.2) как генерируемых автоматически сре
дствами обработки информации, так и инициируемых по усмотрению пользователей;
- изменения в правах пользователя какустанавливаемых автоматически информационной систе
мой. так и определенных администратором;
- правила, которые требуют одобрения администратора или другого лица перед применением, а
также те. которые не требуют специального одобрения.
9.2Контроль в отношении доступа пользователей
Цель: предотвращение неавторизованного доступа к информационным системам.
Для контроля за предоставление права доступа кинформационным системам исервисам необхо
димо наличие формализованных процедур.
Необходимо, чтобы процедуры охватывали все стадии жизненного цикла пользовательского дос
тупаот начальной регистрацииновыхпользователейдоконечногоснятия срегистрации пользователей,
которым больше не требуетсядоступ к информационным системам и сервисам. Особое внимание сле-
28