ГОСТ Р ИСО/МЭК 27033-3—2014
7.3 Методы проектирования безопасности и мер и средств контроля и управления
Методы проектирования безопасности и меры и средства контроля и управления, связанные с
сотрудниками, рассматриваются в таблице 3.
Для установленной угрозы безопасности, каждое свойство безопасности рассматривается для
применения с целью снижения риска, во втором столбце приведен соответствующий пример техни
ческой реализации. Например, целостность, контроль доступа и аутентификация применяются для
защиты от вредоносного программного кода.
Т а б л и ц а 3 — Меры и средства контроля и управления безопасности для сценария доступа сотрудников
к Интернету
П рим еняемы е свойства
безопасности для иденР еализуемы е проекты и методы
тиф ицированны х угроз
Вирусные атаки и введение вредоносных программ
- Целостность
- Управление досту
пом
- Аутентификация
- Предоставление сотрудникам Интернет-услуг, только соответствующих бизнесу.
Использование черных списков авторизованных услуг, чтобы сделать возможной
поправку в каналах чата, услугах веб-почты или одноранговых сетевых протоколах.
- Использование антивирусных программ на пути доступа к Интернету для скани
рования всего трафика от сотрудника до Интернета. Процесс сканирования должен
включать в себя все сетевые протоколы, разрешенные к применению. Обеспечение
уверенности в том. что антивирусные обновления устанавливаются автоматически,
или пользователь предупреждается о факте проведения обновлений.
- Использование антивирусного программного средства на всех клиентских систе
мах. особенно на тех, которые используются сотрудниками для доступа к Интернету.
- Сканирование файлов и всех хранимых данных на наличие вирусов и троянов, а
также других видов вредоносных программ.
- Верификация целостности данных/файлов с использованием алгоритмов, таких
как хэшированив/контрольные суммы, сертификаты.
- Блокирование появляющихся окон и вэб-решамы.
- Маршрутизация трафика, используемого для услуг доступа к Интернету, посред
ством небольшого количества контролируемых шлюзов безопасности.
- Активное установление подлинности содержания.
Утечка информации
- Безопасность связи
- Целостность
- Управление досту
пом
- Реализация фильтров для мобильного кода на шлюзах доступа к Интернету.
- Прием мобильного кода только с некритичных сайтов, занесённых в белый спи
сок.
- Прием мобильного кода, подписанного цифровой подписью только от доверен
ных органов сертификации или от доверенных поставщиков, включая соответствую
щие параметры настройки на стороне клиента, например, путем осуществления ак
тивного управления и реализации белого списка разрешенных органов сертифика
ции. подписывающих код.
8