ГОСТ Р ИСО/МЭК 17799—2005
9.5.8 Ограничения подсоединения по времени
Ограничения подсоединения по времени должны обеспечивать дополнительную безопасность
для приложений высокогориска. Ограничение периода времени, втечениекоторого разрешены подсое
динения терминалов к компьютерным сервисам, уменьшает интервал времени, втечение которого воз
можен неавторизованный доступ. Эту меру обеспечения информационной безопасности необходимо
применятьдлянаиболееважныхкомпьютерныхприложений, особеннотех, которыесвязаны стермина
лами. установленнымив местахповышенногориска, например, вобщедоступныхместахили внесферы
контроля управления безопасностью организации. Примеры таких ограничений:
- использование заранее определенных отрезков времени для пакетной передачи файлов или
регулярных интерактивных сеансов небольшой продолжительности;
- ограничение времени подключений часами работы организации, если нет необходимости сверх
урочной или более продолжительной работы.
9.6 Контроль доступа к приложениям
Цель: предотвращение неавторизованного доступа к данным информационных систем.
Необходимо применять меры обеспечения информационной безопасности для ограничения дос
тупа к прикладным системам.
Логический доступ к программному обеспечению и информации должен быть ограничен только
авторизованными пользователями. Для этого необходимо обеспечивать:
- контрольдоступа пользователей кинформациии функциям бизнес-приложений в соответствиис
определенной бизнесом политикой контроля доступа,
- защиту от неавторизованного доступа любой утилиты и системного программного обеспечения,
которые позволяют обходить средства операционной системы или приложений;
- исключение компрометации безопасности других систем, с которыми совместно используются
информационные ресурсы;
- доступ к информации только владельца, который соответствующим образом назначен из числа
авторизованных лиц или определенных групп пользователей.
9.6.1 Ограничение доступа к информации
Пользователям бизнес-приложений, включая персонал поддержки и эксплуатации, следует обес
печиватьдоступ к информации ифункциям этихприложений всоответствии с определенной политикой
контролядоступа, основаннойнатребованияхкотдельным бизнес-приложениям (9.1). Необходимо рас
сматривать применениеследующих мероприятий поуправлению информационной безопасностью для
обеспечения требований по ограничению доступа:
- поддержка меню для управления доступом к прикладным функциям системы;
- ограничения в предоставлении пользователям информацииоданных ифункцияхбизнес-прило
жений, к которым они не авторизованы на доступ, путем соответствующего редактирования пользова
тельской документации;
- контроль прав доступа пользователей, например, чтение/запись/удаление/ выполнение:
- обеспечение уверенности в том, что выводимые данные из бизнес-приложений, обрабатываю
щих важную информацию, содержалитолько требуемую информацию ипересылалисьтолько в адреса
авторизованныхтерминалови по месту назначения. Следует проводитьпериодическийанализ процес
са вывода для проверки удаления избыточной информации.
9.6.2 Изоляция систем, обрабатывающих важную информацию
Системы, обрабатывающие важную информацию, должны быть обеспечены выделенной (изоли
рованной) вычислительной средой. Некоторые прикладные системы имеют очень большое значение с
точки зрения безопасности данных и поэтому требуют специальных условий эксплуатации. Важность
обрабатываемой информации может или требовать работы системы на выделенном компьютере, или
осуществлять совместное использование ресурсов только с безопасными бизнес-приложениями, или
работать без каких-либо ограничений. При этом необходимо учитывать следующее:
- владельцу бизнес-приложений необходимо определить и документально оформить степень их
важности (4.1.3);
- когда важное бизнес-приложениедолжно работать в среде совместного использования, необхо
димо выявитьдругие приложения, с которыми будетосуществляться совместное использование ресур
сов, и согласовать это с владельцем важного бизнес-приложения.
9.7 Мониторинг доступа и использования системы
Цель: обнаружение неавторизованных действий.
36