ГОСТ Р ИСО/МЭК 17799—2005
Другие методы контроля доступа, такие как «отклик-отзыв», являются допустимыми, если они
оправданы с точки зрения бизнес-рисков.
9.5.1 Автоматическая идентификация терминала
Следует рассматриватьвозможность использования автоматической идентификации терминала,
чтобы аутентифицировать его подсоединение к определенным точкам системы. Автоматическая иден
тификация терминала — метод, который должен использоваться, если важно, чтобы сеанс мог быть
инициирован только с определенного места или компьютерного терминала. Встроенный или подсоеди
ненный к терминалу идентификатор может использоваться для определения, разрешеноли этому кон
кретномутерминалу инициировать или получать определенные сообщения. Может быть необходимым
применение физической защиты терминала для обеспечения безопасности его идентификатора.
Существуютдругие методы, которыеможноиспользоватьдляаутентификациипользователей(9.4.3).
9.5.2 Процедуры регистрации с терминала
Доступ к информационным сервисам должен быть обеспечен путем использования безопасной
процедуры входа всистему(способ регистрации). Процедурурегистрациив компьютерной системесле
дует проектировать так, чтобы свести к минимуму возможность неавторизованногодоступа и не оказы
вать помощи неавторизованному пользователю. Правильно спланированная процедура регистрации
должна обладать следующими свойствами:
а) не отображать наименований системы или приложений, пока процесс регистрации не
будет успешно завершен;
б) отображать общее уведомление, предупреждающее, что доступ к компьютеру могут полу
чить только авторизованные пользователи:
в) не предоставлять сообщений-подсказок в течение процедуры регистрации, которые мог
ли бы помочь неавторизованному пользователю;
г) подтверждать информацию регистрации только по завершении ввода всех входных дан
ных. В случае ошибочного ввода система не показывает, какая частьданных является правильной или
неправильной;
д) ограничивать число разрешенных неудачных попыток регистрации (рекомендуется три) и
предусматривать:
1) запись неудачных попыток:
2) включение временной задержки прежде, чем будут разрешены дальнейшие попытки регис
трации. или отклонение любых дальнейших попыток регистрации без специальной авториза
ции;
3) разьединение сеанса связи при передаче данных;
е) ограничивать максимальное и минимальное время, разрешенное для процедуры регис
трации. Если оно превышено, система должна прекратить регистрацию;
ж) фиксировать информацию в отношении успешно завершенной регистрации:
1) дату и время предыдущей успешной регистрации;
2) детали любых неудачных попыток регистрации, начиная с последней успешной регистра
ции.
9.5.3 Идентификация и аутентификация пользователя
Необходимо, чтобы все пользователи (включая персонал технической поддержки, т. е. операто
ров. администраторов сети, системных программистов и администраторов базы данных) имели уни
кальный идентификатор (пользовательский ID) для их единоличного использования с тем. чтобы их
действия могли бытьпроанализированы ответственным лицом. Пользовательский ID недолжен содер
жать признаков уровня привилегии пользователя (9.2.2). например, менеджера, контролера.
Длявыполненияособоважныхработ допускается использоватьобщийидентификатордля группы
пользователей или для выполнения определенной работы. Втаких случаях необходимосоответствую
щим образом оформленное разрешение руководства. Кроме того, для обеспечения безопасности сис
темы от неавторизованного доступа в этих случаях может потребоваться применениедополнительных
мер обеспечения информационной безопасности.
Существуют различные процедуры аутентификации, которые могут использоваться для доказа
тельства заявленной идентичности пользователя. Пароли (9.3.1) — очень распространенный способ
обеспечения идентификации и аутентификации (I&A), основанный на использовании пароля, который
знаеттолько пользователь. Тоже самое можетбытьдостигнуто средствами криптографии ипротокола
ми аутентификации.
Специальные физические устройства доступа с памятью (token) или микропроцессорные карты
(смарт-карты), которыми пользуются сотрудники, могут также использоваться для идентификации и
аутентификации. Биометрические методы аутентификации, которые основаны на уникальности харак-
34