ГОСТ Р ИСО/МЭК ТО 13335-5—2006
13.2.4 Условия обеспечения безопасности для соединения
Если условия обеспечениябезопасностидля соединения несогласованы на местеили по контрак
ту. то организация принимает насебя риски, связанные с внешним концом сетевого соединения.
Например, организацияА можетпотребоватьот организации В.чтобыдо подключения ксистемам
организации А через сетевое соединение организация В поддерживала идемонстрировала заданный
уровень безопасности для систем, вовлеченных в это соединение. В этом случае организация А может
быть уверена, что организация В справляется со своими рискамидолжным образом. В таких ситуациях
организация Адолжна определить условия обеспечения безопасности в конце сетевого соединения со
стороны организации В. которые должны быть установлены в документации по соединению с подроб
ным указанием необходимых защитных мер. Организация В должна реализовать и поддерживать в
рабочем состоянииустановленныезащитныемеры, и направлятьорганизацииАотчетобэффективнос
ти защитных мер иподдержанию необходимогоуровня безопасности. Таким образом, сохраняется пра
во поручать или проводить проверку соответствия требованиям безопасности соединения в конце
сетевого соединения со стороны организации В.
Возможны также случаи, когда организации согласуют документ по условиям обеспечения безо
пасности для соединения, в котором записывают обязательства и ответственность для всех сторон,
включая взаимную проверкусоответствиятребованиям по безопасности.
13.2.5 Условия безопасности, подтвержденные документально, для пользователей услуг,
предоставляемых сетью
Для пользователейуслуг, желающихработатьдистанционно, разрабатываютдокументсусловия
миобеспечениябезопасностипредоставляемыхсетьюуслуг. Вдокументе определяютответственность
пользователязабезопаснуюэксплуатацию аппаратных ипрограммныхсредств, а также за обеспечение
защиты данных.
13.2.6 Обработка инцидентов
Нежелательные инциденты с большой вероятностью могут происходить и оказывать серьезное
вредное воздействиена бизнеспри наличиисетевыхсоединений (впротивоположностьситуации, когда
ихнет). Болеетого, при сетевыхсоединенияхсдругимиорганизациями могут быть, вчастности, наруше
ны юридическиетребования, связанныес внештатными ситуациями.
Следовательно, организация с сетевыми соединениями должна предусмотретьдокументирован
ные и осуществимые схемы действий при обработке инцидентов, обладать соответствующей инфра
структурой, способной быстро реагировать по мере идентификации инцидентов, уменьшать их
воз действие. а также извлекать уроки из непредвиденныхситуаций в целях предотвращения их
повтора.
13.3 Идентификация и аутентификация
13.3.1 Введение
Организациядолжнаобеспечиватьбезопасностьуслуг, предоставляемыхсетью, изащитусвязан
ной с ними информации путем ограничения доступа через соединения с авторизованным персоналом
(внутри или за пределамиорганизации). Этитребованияраспространяютсянетолько наиспользование
сетевыхсоединений. Организациядолжна подробно определить использование сетевых соединений в
соответствии с защитными мерами, установленными в ИСО/МЭК 13335-4.
Четыре контролируемые зоны, целесообразныедля использования сетевых соединений, а также
системы ИТ. имеющие непосредственное отношение к таким соединениям, представлены в
13.3.2 — 13.3.5.
13.3.2 Дистанционная регистрация при входе в систему
Дистанционная регистрация авторизованного персонала, работающего вдали от организации,
специалистов дистанционного технического обслуживания или персонала других организаций осу
ществляется через кодовые вызовы организации, соединения Интернет, выделенные магистральные
линиидругихорганизаций или коллективныйдоступ поИнтернет. Существуютсоединения, установлен
ные внутренними системами потребованию или с помощью партнеров по контракту, с использованием
сети общего пользования. Каждый типдистанционной регистрации при входе в системутребуетдопол
нительных защитных мер. соответствующих особенностям типа соединения. Примерами таких защит
ных мерявляются:
- отказ разрешения на прямой доступ в систему и программное обеспечение сети на основе учет
ных записей, используемыхдля дистанционного доступа, за исключением случаев, когда предоставле
надополнительная аутентификация (см. 13.3.3);
- предохранение от несанкционированного доступа к информации, связанной с программным
обеспечением электронной почты исправочной базой данных в памяти ПК и переносных компьютеров,
используемых персоналом организации за пределами ее офисов.
13