Мельников Д.А. Лекция №24: Основные направления и принципы организации СОИБ ИТС

Подождите немного. Документ загружается.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 для сетей общего пользования, особенно для тех,

которые выходят за пределы компании,

возможности пользователей по соединению с

сетью должны быть ограничены в соответствие со

стратегией управления доступом и требованиями

прикладных информационных систем;

 в сети должны быть внедрены средства

управления маршрутизацией с целью обеспечения

гарантий того, что виртуальные соединения и

информационные потоки не нарушают требований

стратегии управления доступом к прикладных

информационным системам.

 для сетей общего пользования, особенно для тех,

которые выходят за пределы компании,

возможности пользователей по соединению с

сетью должны быть ограничены в соответствие со

стратегией управления доступом и требованиями

прикладных информационных систем;

 в сети должны быть внедрены средства

управления маршрутизацией с целью обеспечения

гарантий того, что виртуальные соединения и

информационные потоки не нарушают требований

стратегии управления доступом к прикладных

информационным системам.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью предотвращения

несанкционированного доступа к ОС в

структуре СОИБ должна быть реализована

подсистема

управления доступом к ОС

. В этой

связи:

С целью предотвращения

несанкционированного доступа к ОС в

структуре СОИБ должна быть реализована

подсистема

управления доступом к ОС

. В этой

связи:

 доступ к ОС должен быть контролируемым с помощью

безопасной процедуры ввода имени и пароля

пользователя (log-on);

 все пользователи должны иметь уникальный

идентификатор (user ID) только для индивидуального

применения, а также должен быть выбран приемлемый

способ аутентификации с целью подтверждения

заявляемой подлинности пользователя;

 доступ к ОС должен быть контролируемым с помощью

безопасной процедуры ввода имени и пароля

пользователя (log-on);

 все пользователи должны иметь уникальный

идентификатор (user ID) только для индивидуального

применения, а также должен быть выбран приемлемый

способ аутентификации с целью подтверждения

заявляемой подлинности пользователя;

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 системы управления паролями должны быть

интерактивными и гарантировать качество паролей;

 использование обслуживающих программ, которые

могут быть способны подменить систему и средства

управления прикладными процессами, должно быть

ограничено и строго контролируемо;

 не активные сеансы связи должны прерываться

через определённое время после их перехода в

пассивный режим (режим ожидания);

 для повышения уровня безопасности прикладных

процессов, которыенаиболееуязвимы, должны

использоваться ограничения на продолжительность

виртуального соединения.

 системы управления паролями должны быть

интерактивными и гарантировать качество паролей;

 использование обслуживающих программ, которые

могут быть способны подменить систему и средства

управления прикладными процессами, должно быть

ограничено и строго контролируемо;

 не активные сеансы связи должны прерываться

через определённое время после их перехода в

пассивный режим (режим ожидания);

 для повышения уровня безопасности прикладных

процессов, которыенаиболееуязвимы, должны

использоваться ограничения на продолжительность

виртуального соединения.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью предотвращения

несанкционированного доступа к информации,

содержащейся в прикладных системах в

структуре СОИБ должна быть реализована

подсистема

управления доступом к

информации и прикладным системам

Доступ пользователей и обслуживающего

персонала к информации и услугам прикладных

систем должен быть ограничен в соответствие

с принятой стратегией управления доступом.

Критичные системы должны иметь выделенную

(локализованную) область применения.

С целью предотвращения

несанкционированного доступа к информации,

содержащейся в прикладных системах в

структуре СОИБ должна быть реализована

подсистема

управления доступом к

информации и прикладным системам

Доступ пользователей и обслуживающего

персонала к информации и услугам прикладных

систем должен быть ограничен в соответствие

с принятой стратегией управления доступом.

Критичные системы должны иметь выделенную

(локализованную) область применения.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью гарантированного обеспечения ИБ при

использовании мобильных и фиксированных средств

удалённого доступа в структуре СОИБ должна быть

реализована подсистема обеспечения

мобильного и

фиксированного удалённого доступа

В СОИБ компании должна быть реализована

официальная стратегия, атакжедолжныбыть

проведены мероприятия по обеспечению

соответствующего уровня безопасности с целью защиты

от рисков, которые связанны с мобильными (радио)

средствами удалённого доступа.

Работа фиксированных систем удалённого доступа

должна быть основана на разработанных и внедрённых

стратегиях, оперативных планах и процедурах.

С целью гарантированного обеспечения ИБ при

использовании мобильных и фиксированных средств

удалённого доступа в структуре СОИБ должна быть

реализована подсистема обеспечения

мобильного и

фиксированного удалённого доступа

В СОИБ компании должна быть реализована

официальная стратегия, атакжедолжныбыть

проведены мероприятия по обеспечению

соответствующего уровня безопасности с целью защиты

от рисков, которые связанны с мобильными (радио)

средствами удалённого доступа.

Работа фиксированных систем удалённого доступа

должна быть основана на разработанных и внедрённых

стратегиях, оперативных планах и процедурах.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Приобретение, развитие и эксплуатация

информационных систем. Сцелью

обеспечения гарантий того, что безопасность

является составной частью информационных

систем необходимо разработать

требования по

безопасности информационных систем

Изложение функциональных требований для

новых информационных систем или для

расширяемых (совершенствуемых) действующих

информационных систем должно включать

требования к способам и средствам обеспечения

безопасности.

Приобретение, развитие и эксплуатация

информационных систем. Сцелью

обеспечения гарантий того, что безопасность

является составной частью информационных

систем необходимо разработать

требования по

безопасности информационных систем

Изложение функциональных требований для

новых информационных систем или для

расширяемых (совершенствуемых) действующих

информационных систем должно включать

требования к способам и средствам обеспечения

безопасности.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью предотвращения ошибок, потери,

несанкционированной модификации или

злоупотреблений информацией в прикладных системах

необходимо обеспечить

корректную обработку

данных

прикладными процессами

, для чего:

С целью предотвращения ошибок, потери,

несанкционированной модификации или

злоупотреблений информацией в прикладных системах

необходимо обеспечить

корректную обработку

данных

прикладными процессами

, для чего:

 ввод данных в прикладную систему должен быть

подтверждён с целью обеспечения гарантий того, что эти

данные корректны и приемлемы;

 во все прикладные процессы должны быть встроены

процедуры проверки достоверности с целью

обнаружения любого искажения информации

посредством обработки ошибок или специальных

процедур;

 ввод данных в прикладную систему должен быть

подтверждён с целью обеспечения гарантий того, что эти

данные корректны и приемлемы;

 во все прикладные процессы должны быть встроены

процедуры проверки достоверности с целью

обнаружения любого искажения информации

посредством обработки ошибок или специальных

процедур;

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 в СОИБ компании должны быть выработаны

требования по обеспечению гарантированной

подлинности и целостности защищаемых

сообщений в прикладных системах, атакжедля

этого должны быть определены и внедрены

соответствующие средства обеспечения ИБ;

 любой вывод данных из прикладной системы

должен быть подтверждён с целью

обеспечения гарантий того, что обработка этих

данных была корректной и соответствовала

предъявляемым требованиям.

 в СОИБ компании должны быть выработаны

требования по обеспечению гарантированной

подлинности и целостности защищаемых

сообщений в прикладных системах, атакжедля

этого должны быть определены и внедрены

соответствующие средства обеспечения ИБ;

 любой вывод данных из прикладной системы

должен быть подтверждён с целью

обеспечения гарантий того, что обработка этих

данных была корректной и соответствовала

предъявляемым требованиям.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью защиты конфиденциальности,

подлинности и целостности информации с

помощью криптографических средств структура

СОИБ должна включать

средства управления

криптографическими процедурами

В СОИБ компании должна быть разработана и

внедрена стратегия использования средств

управления криптографическими процедурами с

целью защиты информации. Для использования

криптографических методов и средств в компании

необходимо иметь соответствующую систему

управления криптоключами.

С целью защиты конфиденциальности,

подлинности и целостности информации с

помощью криптографических средств структура

СОИБ должна включать

средства управления

криптографическими процедурами

В СОИБ компании должна быть разработана и

внедрена стратегия использования средств

управления криптографическими процедурами с

целью защиты информации. Для использования

криптографических методов и средств в компании

необходимо иметь соответствующую систему

управления криптоключами.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

С целью обеспечения гарантированной

безопасности системных файлов СОИБ

должна обеспечивать

безопасность

системных файлов

В СОИБ компании должны быть

предусмотрены процедуры для контроля за

инсталляцией ПО в ОС. Данные для

тестирования должны быть тщательно

отобраны, защищены и находиться под

контролем. Доступ к исходному коду

программы должен быть ограничен.

С целью обеспечения гарантированной

безопасности системных файлов СОИБ

должна обеспечивать

безопасность

системных файлов

В СОИБ компании должны быть

предусмотрены процедуры для контроля за

инсталляцией ПО в ОС. Данные для

тестирования должны быть тщательно

отобраны, защищены и находиться под

контролем. Доступ к исходному коду

программы должен быть ограничен.