ГОСТ Р ИСО/МЭК 27033-3—2014
15.3 Методы проектирования безопасности и меры и средства контроля и управления
Методы проектирования информационной безопасности и меры и средства контроля и управле
ния. относящиеся к услугам аутсорсинга, приведены в таблице 11.
Т а б л и ц а 11 — Меры и средства контроля и управления безопасности для услуг аутсорсинга
П рим еняемы е свойства без
опасности для идентиф ици
рованны х угроз
Р еализуемы е проекты и м етоды (реализацию может взять на себя аутсорсинговая органи
зация или внеш нее предприятие в зависимости
от утоерж дснкого задания)
Несанкционированный доступ к внутренним системам
- Управление доступом
- Аутентификация
- Неотказуемость
- Строгое назначение персональных идентификаторов пользователя.
- Строгая аутентификация (например, двухфакторная аутентификация) для
регистрации входа суперпользователя/администраторз.
- Местный консольный порт или рабочий порт, защищенный идентификатором
и паролем пользователя (в случае, если поставщиком услуг запрещен удаленный
доступ).
- Всеобъемлющая регистрация действий, связанных с доступом, и анализ
журналов регистрации.
Несанкционированное раскрытие конфиденциальных данных
- Конфиденциальность - Лучшие практики, касающиеся защиты данных клиента шифрованием.
- Осведомленность и обучение безопасности.
- Средства и процедуры мониторинга и аудита.
- Договорная политика безопасности и директивы в отношении процедур.
Внедрение вредоносных программ
- Целостность - Безопасные приемы программирования.
- Процессы менеджмента изменений.
- Обеспечение уверенности в том. что антивирусные обновления устанавли
ваются автоматически, или пользователи предупреждены о том. что обновления
доступны.
Ответственность за несоблюдение законодательства
- Конфиденциальность
- Непрозрачность
- Осведомленность о местном законодательстве.
- Использование совместимого программного средства для шифрования.
- Механизмы непрозрачности (IPSec VPN).
25