ГОСТ Р ИСО/МЭК 17799—2005
тем. вследствие их важности или критичности, может потребоваться защита от пользователей,
получивших доступ к другим системам сети. В таких случаях необходимо рассматривать внедрение
дополнительныхмероприятий поуправлению информационной безопасностью в пределах сети, чтобы
разделять группы информационных сервисов, пользователей и информационные системы.
Одно из таких мероприятий состоит в том. чтобы разделять их на отдельные логические сетевые
домены, например, внутренний сетевой домен организации и внешние сетевые домены, каждый из
которых защищен определенным периметром безопасности. Такой периметр может быть реализован
посредством внедрения шлюза безопасности между двумя связанными сетями для контролядоступа и
информационного потока между ними. Этот шлюз следует конфигурировать для фильтрации трафика
междудоменами {9.4.7 и9.4.8) идляблокированиянеавторизованногодоступа в соответствиис полити
кой контроля доступа организации (9.1). Примером такого шлюза является межсетевой экран.
Критериидля разделения сетейнадомены следуетформироватьнаоснове анализа политики кон
троля доступа (9.1). а также учитывая влияние этого разделения на производительность в результате
включения подходящей технологии маршрутизации сетей или шлюзов (9.4.7 и 9.4.8).
9.4.7 Контроль сетевых соединений
Требования политики контроля доступа для совместно используемых сетей, особенно тех. кото
рые простираются за границы организации, могут потребовать внедрения дополнительных мероприя
тий по управлению информационной безопасностью, чтобы ограничивать возможности пользователей
поподсоединению. Такие мероприятия могут бытьреализованы посредством сетевыхшлюзов, которые
фильтруют трафик с помощью определенных таблиц или правил. Необходимо, чтобы применяемые
ограничения основывались на политике и требованиях доступа к бизнес-приложениям (9.1), а также
соответствующим образом поддерживались и обновлялись.
Примеры бизнес-приложений, к которым следует применять ограничения:
- электронная почта:
- передача файлов в одном направлении:
- передача файла в обоих направлениях:
- интерактивный доступ;
- доступ к сети, ограниченный определенным временем суток или датой.
9.4.8 Управление маршрутизацией сети
Сети совместного использования, особенно те. которые простираются за границы организации,
могуттребовать реализации мероприятий по обеспечению информационной безопасности, чтобы под
соединения компьютеров к информационным потокам не нарушали политику контроля доступа к биз
нес-приложениям (9.1). Это является особенно важным для сетей, совместно используемых с
пользователями третьей стороны (не сотрудниками организации).
Обеспечение информационной безопасности при осуществлении маршрутизации основывается
на надежном механизме контроля адресов источника и назначения сообщения. Преобразование сете
вых адресов также очень полезнодля изоляции сетей и предотвращения распространения маршрутов
от сети одной организации всетьдругой. Этот подход может быть реализован как программным
спосо бом. так и аппаратно. Необходимо, чтобы специалисты, занимающиеся внедрением, были
осведомле ны о характеристиках используемых механизмов.
9.4.9 Безопасность использования сотовых служб
Общедоступные и частные сетевые службы предлагают широкий спектр дополнительных инфор
мационных услуг, обладающих характеристиками безопасности и обеспечивающих разные уровни
защиты. Организации, пользующиеся этими услугами, должны бытьуверены в том.что приэтом обеспе
чивается необходимый уровень информационной безопасности и имеется четкое описание атрибутов
безопасности всех используемых сервисов.
9.5Контроль доступа к операционной системе
Цель: предотвращение неавторизованного доступа к компьютерам.
На уровне операционнойсистемыследуетиспользоватьсредства информационнойбезопасности
для ограничения доступа к компьютерным ресурсам. Эти средства должны обеспечивать:
а) идентификацию и верификацию компьютера пользователя и, если необходимо, термина
ла и местоположение каждого авторизованного пользователя;
б) регистрацию успешных и неудавшихся доступов к системе;
в) аутентификацию соответствующего уровня. Если используется система парольной защи
ты. то она должна обеспечивать качественные пароли (9.3.1 г);
г) ограничение времени подсоединения пользователей, в случав необходимости.
33