Сотрудники и представители внешних организаций, имеющие право доступа к активам организации, должны быть осведомлены о существующих ограничениях по использованию разных видов информационных активов в соответствии со схемой их классификации и маркировки, принятой в организации. Они должны нести ответственность за использование ими активов организации.
4.3. Безопасность носителей информации
Цель: Предотвратить несанкционированные действия с информацией, хранящейся на носителях информации.
Безопасность носителей информации обеспечивают следующие мероприятия:
– управление носителями;
– уничтожение носителей;
– транспортировка носителей.
Управление носителями
Меры и средства
Должны быть внедрены процедуры управления носителями информации в соответствии со схемой классификации, принятой в организации.
Рекомендации по реализации
Необходимо рассмотреть следующие рекомендации:
– в случае ненужности содержание перезаписываемого носителя, который будет вынесен за пределы организации, необходимо уничтожить без возможности восстановления;
– при необходимости, носители, выносимые за пределы организации, должны требовать авторизацию, и запись таких выносов следует хранить для аудита;
– все носители информации должны храниться в сейфе, безопасной среде в соответствии с рекомендациями изготовителей;
– если конфиденциальность и целостность данных считается важным, для их защиты на носителе должны использоваться средства криптографии;
– для снижения риска потери данных на старом носителе, пока он еще читаемый, необходимо их перезаписать на новый носитель;
– множественные копии ценных данных должны храниться на разных носителях для снижения риска случайного повреждения или потери данных;
– должна вестись регистрация носителей для уменьшения возможности потери данных;
– сменные дисковые накопители разрешается использовать только в случае, обусловленном потребностями бизнеса;
– там, где необходимо использование носителей, запись информации на такой носитель должна мониториться.
Процедуры и уровни авторизации должны быть задокументированы.
Уничтожение носителей
Меры и средства
Если носитель больше не нужен, он должен быть надежно уничтожен в соответствии с формальной процедурой.
Рекомендации по реализации
Формальные процедуры надежного уничтожения носителей должны буть установлены для снижения риска утечки конфиденциальной информации посторонним лицам. Процедуры надежного уничтожения носителей, содержащих конфиденциальную информацию, должны соответствовать чувствительности этой информации.
Необходимо рассмотреть следующие рекомендации:
– носители, содержащие конфиденциальную информацию, должны храниться и уничтожаться надежно, например, путем сжигания и измельчения или стирания данных для другого применения внутри организации;
– должны существовать процедуры по выявлению носителей, которые необходимо уничтожить;
– проще принять меры по сбору и уничтожению всех носителей информации, чем выявлять носители с чувствительной информацией;
– многие организации предлагают сбор и сервисы уничтожения носителей, среди них надо выбрать ту, которая имеет адекватные меры защиты и квалификацию;
– уничтожение чувствительной информации должно регистрироваться, а запись храниться для аудита.
При сборе носителей для уничтожения необходимо учитывать эффект «перехода количества в качество», который может превратить большой объем нечувствительной информации в чувствительную.
Поврежденные устройства, содержащие чувствительные данные, могут потребовать оценку риска того, были ли они достаточно физически разрушены до того, как были выброшены или попали в ремонт.
Транспортировка носителей
Меры и средства
Носители должны быть защищены от несанкционированного доступа, неправильного использования или повреждения во время транспортировки.
Рекомендации по реализации
Для защиты носителей, содержащих информацию, при транспортировке необходимо учитывать следующие рекомендации:
– должен использоваться надежный транспорт или курьеры;
– список разрешенных курьеров необходимо согласовывать с руководством;
– необходимо разработать процедуры проверки благонадежности курьеров;
– упаковка должна быть прочной для защиты содержимого от физического повреждения, возможного при транспортировке и соответствовать рекомендациям изготовителей, например, защищать от экологических факторов, снижающих эффективность восстановления носителя, таких как высокая температура, влажность или электромагнитные поля;
– должны храниться записи, определяющие содержимое носителей, применяемую защиту, а также времени передачи курьерам и доставки адресату.
Информация может быть уязвимой для несанкционированного доступа, неправильного использования или повреждения в физическом транспорте, например, при отправлении почтой или курьером. В этом случае носители должны иметь сопроводительные документы.
Если конфиденциальная информация на носителе незашифрована, должна быть применена дополнительная физическая защита носителя.
5. Управление доступом
Управление доступом определяют следующие составляющие:
– правила разграничения доступа;
– управление доступом пользователей;
– ответственность пользователя;
– управление доступом к системе и приложениям.
5.1. Требования разграничения доступа
Цель: Ограничить доступ к информации и средствам обработки информации.
Требования по управлению доступом определяют следующие составляющие:
– правила разграничения доступа;
– доступ к сетям и сетевым сервисам.
Правила разграничения доступа
Меры и средства
Правила разграничения доступа должны быть разработаны, задокументированы и пересматриваться на основе требований ИБ и бизнеса.
Рекомендации по реализации
Владельцы активов должны определить надлежащие правила разграничения доступа, права доступа и ограничения для определенных пользовательских ролей по отношению к их активам с детализацией и строгостью разграничений, отражающих соответствующие риски ИБ.
Разграничения доступа являются как логическими, так и физическими, и должны рассматриваться вместе. Пользователи и провайдеры услуг должны четко обозначить требования бизнеса, которые должны удовлетворить разграничения доступа.
Правила должны учесть следующее:
– требования к безопасности прикладных программ бизнеса;
– политики распространения информации и авторизации, например, общепризнанные принципы и уровни ИБ и классификацию информации;
– согласованность между правами доступом и политиками классификации информации систем и сетей;
– требования законодательства и договорные обязательства по ограничению доступа к данным или услугам;
– управление правами доступа в распределенных и сетевых средах, которые распознают все типы возможных соединений;
– разделение ролей разграничения доступа, например, запрос доступа, авторизация доступа, администрирование доступа;
– требования к формальной авторизации прав доступа;
– требования к периодическому пересмотру управления доступом;
– аннулирование прав доступа;
– архивирование записей всех серьезных событий по использованию и управлению удостоверениями пользователей и секретной информацией автентификации;
– роли привилегированного доступа.
При разработке правил разграничения доступа необходимо учесть следующее:
– установление правил на основании предпосылки «Запрещено все, что не разрешено» вместо «Разрешено все, что не запрещено»;
– изменения информационных меток, инициированные автоматически средствами обработки информации и по усмотрению пользователя;
