ГОСТ Р ИСО/МЭК 27033-3—2014
8.3 Методы проектирования безопасности и меры и средства контроля и управления
Методы проектирования информационной безопасности и меры и средства контроля и управле
ния. связанные с услугами бизнес-бизнес, приведены в таблице 4.
Т а б л и ц а 4 — Меры и средства контроля и управления безопасности для сценария услуг бизнес-бизнес
П рим еняемы е свойства без
опасности д п я идентиф ициР еализуемы е проекты и методы
рованны х угроз
Вирусные атаки и введение вредоносных программ
- Целостность
- Управление доступом
- Аутентификация
- Использование антивирусных программ на шлюзах к Интернету для скани
рования всего трафика, от сотрудника до Интернета. Процесс сканирования
должен охватывать все сетевые протоколы, разрешенные к применению. Обес
печение уверенности в том. что антивирусные обновления устанавливаются ав
томатически. или пользователь предупреждается о факте проведения обновле
ний.
- Сканирование файлов и всех хранимых данных на наличие вирусов и троя
нов. а также других видов вредоносных программ.
- Верификация целостности данных/файлов с использованием алгоритмов,
таких как хэширование/контрольные суммы, сертификаты.
- Маршрутизация трафика, используемого для услуг доступа к Интернету, по
средством небольшого количества контролируемых шлюзов безопасности.
-Активное установление подлинности содержания.
Атаки «отказ в обслуживании»
- Доступность
- Непрозрачность
- Блокирование неиспользуемых портов и услуг, чтобы предотвратить их реа
гирование на неавториэованное сканирование.’зондирование. которое приводит к
возможности лавинного распространения трафика DoS.
- Исключение описательной информации из предупреждающих баннеров
предотвращает получение злоумышленниками специальной информации
Инсайдерские атаки
- Управление доступом
- Неотказуемость
- Четко определенные политики безопасности по управлению доступом (для
управления взаимоотношениями в бизнесе).
- Четко определенные роли и обязанности.
- Внесение изменений в предупреждающие баннеры.
- Ограничение привилегий.
- Регистрация пользователями всех критичных/некритичных транзакций
Фальсификация информационного наполнения транзакции
- Неотказуемость - Подробные журналы регистрации транзакций.
- Использование цифровых подписей
9 Услуги бизнес-клиент
9.1 Исходные данные
Этот сценарий должен рассматриваться организациями, осуществляющими операции с клиен
тами.
Услуги бизнес-клиент, также известные как услуги электронного бизнеса, включают в себя такие
услуги, как электронная торговля, электронные банковские услуги, а также электронное правитель
ство. В услугах бизнес-клиент безопасность должна уравновешивать возможность сделок с сохране
нием торговой марки и ценности бизнеса.
11