ГОСТ Р ИСО/МЭК 17799—2005
непосредственного руководителя сотрудника для принятия соответствующих мер дисциплинарного
воздействия.
Законность использования мониторинга зависит от действующего в стране законодательства и
может потребоваться, чтобы сотрудники были осведомлены и дали документированное согласие на
проведение мониторинга. Перед осуществлением мониторинга необходимо получить консультацию
юриста.
Многие страны имеют или находятся в процессе введения законодательства по защите от непра
вильного использования компьютеров. Возможны случаи использования компьютера для неавторизо-
ванных целей с преступным умыслом. Поэтому важно, чтобы все пользователи были осведомлены о
четких рамках разрешенного им доступа. Это может быть достигнуто, например, путем ознакомления
пользователей с предоставленной им авторизацией в письменной форме под роспись, а организации
следует безопасным способом хранить копию этогодокумента. Необходимо, чтобы сотрудники органи
зации и пользователи третьей стороны были осведомлены о том. что во всех случаях они имеют право
доступа только к тем данным, использование которых им разрешено.
Необходимо, чтобы при регистрации доступа к системе на экране компьютера было отражено
предупреждающеесообщение, указывающее, чтосистема, входв которую пользователи пытаютсяосу
ществить, является системой с ограниченным доступом, и что неавторизованный доступ к ней запре
щен. Пользователь должен подтвердить это прочтение и реагировать соответствующим образом на
него, чтобы продолжить процесс регистрации.
12.1.6 Регулирование использования средств криптографии
В некоторых странах приняты соглашения, законы, регулирующие требования или другие инстру
менты. определяющие мероприятия по обеспечению безопасности доступа к криптографическим сре
дствам и их использованию. Такие мероприятия обычно включают:
- ограничения импорта и/или экспорта аппаратных и программных средств для выполнения крип
тографических функций;
- ограничения импорта и/или экспорта аппаратных и программных средств, которые разработаны
таким образом, что имеют, как дополнение, криптографические функции;
-обязательные или дискреционные методы доступа со стороны государства к информации,
зашифрованной с помощью аппаратных или программных средств для обеспечения конфиденциаль
ности ее содержания.
Для обеспечения уверенности в соответствии политики использования криптографических
средств в организации национальному законодательству необходима консультация юриста. Прежде
чем зашифрованная информация или криптографическое средство будут переданы в другую страну,
необходимо также получить консультацию юриста.
12.1.7 Сбор доказательств
12.1.7.1 Правила использования и сбора доказательств
Необходимо иметь адекватные свидетельства, чтобы поддерживать иски или меры воздействия,
направленные против физического лица или организации, которые нарушили правила управления
информационной безопасностью.
Всякий раз, когда эти меры воздействия являются предметом внутреннего дисциплинарного про
цесса. свидетельства должны быть описаны в соответствии с внутренними процедурами.
Когда меры воздействия/иски затрагивают вопросы как гражданского, так и уголовного права,
необходимо, чтобы представленные свидетельства соответствовали требованиям к сбору свиде
тельств. изложенными в соответствующих правовых нормахили требованиям конкретного суда, в кото
ром будет рассматриваться данный вопрос. В общем случао. эти правила предусматривают:
- допустимость свидетельств: действительно ли свидетельства могут использоваться в суде или
нет;
- весомость свидетельств: качество и полнота свидетельств;
- адекватное свидетельство того, что эти меры контроля (процесс сбора свидетельств) осуще
ствлялись корректно и последовательно в течение всего периода, когда установленное свидетельство
инцидента нарушения информационной безопасности было сохранено и обработано системой.
12.1.7.2 Допустимость доказательств
Чтобы достичьпризнаниядопустимостисвидетельств, организациям необходимообеспечитьуве
ренность втом, что их информационные системы соответствуют всем юридическим требованиям ипра
вилам в отношении допустимых свидетельств.
52