ГОСТ Р ИСО/МЭК ТО 13335-4—2007
8.2 Специальные защитные меры систем ИТ
Источники дополнительной информации поупомянутым категориям защитных мер приведены втаб
лицах 8.2.1—8.2.5.
8.2.1 Идентификация и аутентификация
Идентификация является средством, с помощью которого пользователь представляет заявленный
идентификатор всистему.Аутентификация является средством валидациидействительности этого заявле
ния. Ниже приведены примерыдостижения идентификации и аутентификации (ИА) (существуюттакже дру
гие классификации ИА):
1 Идентификация и аутентификация наоснове некоторой информации, известной пользователю
Наиболее типичным способом идентификации и аутентификации является назначение паролей. Па
роль — это отличительная характеристика, связанная с процессом распознавания, и представляющая
собой некоторую информацию, которая может бытьдоступна только пользователю. Организация должна
управлять распределением и периодической сменой паролей. Если пользователи сами выбирают пароли,
то онидолжны быть осведомлены об общих правилах назначения и обращения с паролями.Для поддерж ки
паролей можно применять программное обеспечение, например, организация может ограничить исполь
зование обычных паролей или рисунков и символов. При необходимости организация может создавать
копии паролей, которые должны надежно сохраняться. Доступ к копиям паролей пользователей, но имею
щих или забывших пароль, должен быть регламентирован. Идентификация и аутентификация на основе
некоторой информации, известной пользователю, может использовать способы криптографии и протоколы
распознавания. Этот тип распознавания и подтверждения может также применяться для дистанционной
идентификациии аутентификации.
2 Идентификация и аутентификация на основе того, чем владеет пользователь
Для целей идентификации и аутентификации могут использоваться некоторыеобъекты, которыми вла
деет пользователь, например это могут быть карточки (жетоны) с запоминающим устройством (ЗУ) или
микропроцессором. Общепринятое применение имеют кредитные карточки с магнитным запоминающим
устройством наобратной стороне. Аутентификация обеспечивается на основе комбинации двух факторов:
фактора обладания пользователем неким объектом, (например, карточкой, смарт-картой) и фактора знания
пользователем некоторой информации (персонажного идентификационного номера — PIN кода).Типичным
примером является карточка с микропроцессором.
3 Идентификация и аутентификация на основе использования биометрических характеристик пользо
вателя
Технологии биометрической аутентификации используют отличительные характеристики и атрибуты
индивидуального распознавания личности. Этомогут быть отпечатки пальцев, геометрия ладони, сетчатка
глаз, а также тембр голоса и личная подпись. Данные биометрического профиля пользователя должны
надежно храниться в защищенной памяти смарт-карты или в системе.
8.2.2 Логическое управление и аудит доступа
Защитные меры в этой категории применяются для.
-ограничениядоступа кинформации, компьютерам, сетям, приложениям, системным ресурсам, фай
лам и программам.
- регистрации подробного описания ошибок и действий пользователя в следе аудита и при анализе
записейдля обнаружения и исправления нарушений при обеспечении безопасности.
Общепринятым средством усиления управлениядоступом является использование особенностей
идентификации и аутентификации, включенных в списки управлениядоступом, которые определяют, какие
файлы, ресурсы и т.д. разрешеныдля доступа пользователя и какиеформы может принимать этот доступ.
Кэтой категории защитных мер относятся:
1 Политика управления доступом
Для каждого пользователя или группы пользователей организация должна установить однозначно
определенную политику управлениядоступом. Эта политика устанавливает правадоступа всоответствии с
требованиями бизнеса, например принципыдоступности, производительности и осведомленности. Органи
зация должна руководствоваться общим принципом: «даем столько прав, сколько необходимо, и лишь
столько, сколько возможно». Распределение прав доступа следует учитывать в подходе организации к
обеспечению безопасности (например, открытый или ограниченный доступ), культуре удовлетворения по
требностей бизнеса и признанию со стороны пользователей.
2 Управление доступом пользователя к ЭВМ
Управлениедоступом к ЭВМ применяется для предупреждения несанкционированногодоступа к ком
пьютеру. Организация должна обеспечивать возможность распознавания и идентификации личности каж-
6— 1774
19