ГОСТ Р ИСО/МЭК 27002-2012
11.2.2 Управление привилегиями
Мера и средство контроля и управления
Предоставление и использованиепривилегийнеобходимо ограничивать и
контролировать.
Рекомендация по реализации
Необходимо, чтобы в многопользовательских системах, которые требуют защиты
отнеавторизованногодоступа,предоставлениепривилегийконтролировалось
посредством формального процесса авторизации. Необходимо рассмотреть следующие
меры:
a) определение привилегий доступа в отношении каждого системного продукта,
например эксплуатируемой системы, системы управления базами данных, каждой
прикладной программы и пользователей, которым эти привилегии должны быть
предоставлены:
b
) привилегии должны предоставляться пользователям на основании принципа
необходимости и принципа «событие за событием» в соответствии с политикой
управления доступом (см. 11.1.1), т. е. минимального требования для их функциональной
роли, только при необходимости;
c) обеспечениепроцессаавторизацииирегистрациив отношениивсех
предоставленных привилегий, привилегии не должны предоставляться до завершения
процесса авторизации;
d) проведение политики разработки и использования стандартных системных
утилит (скриптов), для того чтобы избежать необходимости предоставления привилегий
пользователям;
e) поощрение разработки и использования программ, позволяющих избежать
необходимости предоставления привилегий при их исполнении;
f) использование различных идентификаторов пользователей при работе в
нормальном режиме и с использованием привилегий.
Дополнительная информация
Неадекватноеиспользованиепривилегийв отношенииадминистрирования
системы (любой возможности или средства информационной системы, которые
позволяют пользователю обходить меры и средства контроля и управления системы или
100