ГОСТ Р ИСО/МЭК 27002-2012
Политика использования мобильных вычислительных средств должна включать
требования к физической защите, управлению доступом, использованию средств
криптографии, резервирования и защиты от вирусов. Такая политика должна также
включать правила и рекомендации относительно подсоединения мобильных средств к
сетям, а также руководство по использованию этих средств в общедоступных местах.
Следует проявлять осторожность при использовании мобильных вычислительных
средств в общедоступных местах, конференц-залах и других незащищенных местах вне
организации. Необходимо обеспечить защиту от неавторизованного доступа или
раскрытия информации, хранимой и обрабатываемой этими средствами, например с
помощью средств криптографии (см. 12.3).
Важно при использовании мобильных вычислительных средств в общедоступных
местахпроявлятьосторожность,чтобыизбежатьрискаподсматривания
неавторизованными лицами. Необходимо внедрить и поддерживать в актуальном
состоянии процедуры защиты от вредоносной программы (см. 10.4).
Необходимо регулярно делать резервные копии критической информации бизнеса.
Следует также обеспечить доступность оборудования для быстрого и удобного
резервного копирования информации. В отношении резервных копий необходимо
обеспечить адекватную защиту, например от кражи или потери информации.
Соответствующую защиту необходимо обеспечить в отношении использования
мобильных средств, подсоединенных к сетям. Удаленный доступ к информации бизнеса
через общедоступную сеть с использованием мобильных средств вычислительной
техники следует осуществлять только после успешной идентификации и аутентификации,
а также при условии внедрения соответствующих механизмов управления доступом
(см. 11.4).
Мобильные вычислительные средства необходимо также физически защищать от
краж, особенно когда их оставляют без присмотра/забывают, например в автомобилях
или других видах транспорта, гостиничных номерах, конференц-центрах и местах встреч.
Для случаев потери или кражи мобильных вычислительных средств должна быть
установлена специальная процедура, учитывающая законодательные, страховые и
другие требования безопасности организации. Оборудование, в котором переносится
важная, чувствительная и (или) критическая информация бизнеса, не следует оставлять
без присмотра и по возможности должно быть физически заблокировано или должны
123