17
железнодорожной электросвязи (включая двери, окна, места ввода в сооружения связи элементов систем вентиляции, канализации, водоснабжения, газоснабжения, электроснабжения и телекоммуникаций) согласно ГОСТ Р ИСО/МЭК 17799 (раздел 7).
Должен осуществляться мониторинг физического доступа в помещения, в которых размещаются технические средства, согласно ГОСТ Р ИСО/МЭК 17799 (раздел 7).
Должна осуществляться регистрация действий персонала по обслуживанию технических средств согласно ГОСТ Р ИСО/МЭК 17799 (раздел 6).
Порядок передачи оборудования другим организациям и его утилизации должен быть определен в отдельной инструкции, устанавливающей действия по недопущению наличия в устройствах хранения информации, передаваемых или подлежащих утилизации программно-аппаратныхсредств, остаточной информации согласно ГОСТ Р ИСО/МЭК17799 (раздел 7) и [7].
В процессе мониторинга физического доступа в помещения, в которых размещаются технические средства, должны использоваться устройства видеонаблюдения и сигнализации реального времени. Должны использоваться автоматизированные средства регистрации действий персонала по обслуживанию технических средств [7, 8].
- Планирование действий при чрезвычайных ситуациях должно выполняться согласно ГОСТ Р ИСО/МЭК 17799 (разделы 6, 7) и [7].
В организации, эксплуатирующей средства, системы, сети железнодорожной электросвязи, должен разрабатываться и осуществляться план мероприятий в чрезвычайных ситуациях, в том числе и при террористических актах, учитывая функции и обязанности персонала и действия, связанные с восстановлением систем после выхода из строя их элементов.
Персонал должен быть обучен действиям в чрезвычайных ситуациях, и должна осуществляться его переподготовка.
Проверка плана действий в чрезвычайных ситуациях и его корректировка должны проводиться не реже одного раза в год с целью определения эффективности и готовности организации к выполнению данного плана.
Должно проводиться резервное копирование и хранение в защищенном виде критической информации пользователей и системы управления.
- Реагирование на инциденты безопасности должно выполняться согласно ГОСТ Р ИСО/МЭК 17799 (раздел 6) и [7].
В организации, эксплуатирующей средства, системы, сети железнодорожной электросвязи, должен разрабатываться и осуществляться план мероприятий по обработке инцидентов безопасности и проводиться его корректировка не реже одного раза в год с целью определения эффективности и готовности организации к выполнению данного плана.
Должна осуществляться подготовка к возможному проявлению инцидента, его предупреждению, обнаружению, реагированию, сдерживанию, устранению и восстановлению исходного состояния.
Должна быть определена группа специалистов служб безопасности и информационных технологий, способных реагировать на инциденты в области информационной безопасности, которые должны иметь возможность устного (по телефону) или письменного (по электронной почте) обмена информацией с пользователями услугами связи, взаимодействующими операторами связи и органами безопасности государства и обеспечения правопорядка о нарушениях безопасности, которые могут перерасти в инцидент безопасности.
Должно быть предусмотрено привлечение внешних служб реагирования на инциденты.
- Функциональные требования и меры по обеспечению безопасности
- Идентификация и аутентификация
Для персонала, осуществляющего управление, настройку и конфигурирование аппаратных средств информационных и телекоммуникационных технологий, должны обеспечиваться идентификация и аутентификация при их доступе к данным средствам согласно ГОСТ Р ИСО/МЭК 15408-2 (раздел 11).
При удаленном доступе к аппаратным средствам взаимодействующих систем и сетей со стороны обслуживающего персонала должна обеспечиваться идентификация оконечного оборудования.
Для каждого сеанса удаленного доступа должно обеспечиваться установление уникальных параметров аутентификации.
Защита от несанкционированного доступа к программно-аппаратным средствам, с помощью которых предоставляются услуги сети передачи данных, оказываемых пользователям сетей передачи данных, должна включать процедуру аутентификации пользователей согласно ГОСТ Р ИСО/МЭК 17799 (раздел 9).
- Контроль доступа
При управлении, настройке, конфигурировании программно-аппаратных средств (включая доступ к оконечному кабельному и распределительному оборудованию) и обслуживании абонентских линий, для персонала, эксплуатирующего указанные средства, должны быть установлены контроль, регистрация и ограничение его действий в соответствии с установленными полномочиями на доступ к средствам, их