Please enable JavaScript.

Coggle requires JavaScript to display documents.

Організаційний рівень архітектури сфери захисту інформації та…

- - - - Технологія обробки інформації та оцінка потреб. Для вирішення таких завдань повинні бути побудовані моделі обробки даних ІС в термінах інформаційних ресурсів.
        
        У результаті опису меж дії КСЗІ може бути складений документ, в якому:
        
        показана система оцінки цінності критеріїв.
        
        перераховані ресурси, які підлягають захисту ІС;
        
        зафіксовані межі і структура ІС;
      - Розміщення коштів на підтримку ІС та інфраструктури. Модель ієрархії програмних та апаратних засобів ІС.
      - Структура органу публічного управління (ОПУ). Опис чинної структури і змін, які передбачається внести у зв’язку з розробкою або модернізацією ІС.
      - Ресурси ІС, що підлягають захисту. Рекомендується розглянути основні ресурси ІС: програмно-апаратні складові техніки. Такі інформаційні ресурси являють цінність з точки зору роботи організації. Для їх оцінки повинна бути обрана система критеріїв і методологія оцінок за цими критеріями.
  - - - Процедура входу в комп’ютерну систему (login) повинна зводити ризик несанкціонованого доступу до мінімуму. Процедура входу в систему повинна виконувати такі функції:
        
        не надавати довідкову інформацію під час виконання процедури входу в систему;
        
        при виникненні ситуації збою система не повинна вказувати, яка частина введених даних правильна чи неправильна;
        
        не виводити на екран ідентифікатори системи або додатки доти, поки не завершиться процес входу в систему;
        
        виводити на екран загальне попередження про те, що тільки зареєстровані користувачі мають право доступу до комп’ютера;
        
        перевіряти точність реєстраційної інформації тільки після завершення введення всіх даних;
        
        повинно бути обмеження кількості невдалих спроб входу в систему (рекомендується три спроби), перш ніж розірвати канал зв’язку з користувачем.
      - Доступ до ІС слід надавати тільки зареєстрованим користувачам. Комп’ютерні системи, що обслуговують багатьох користувачів, мають задовольняти такі вимоги:
        
        фіксувати випадки успішного і безуспішного доступу до ІС;
        
        надати систему управління паролями, що забезпечує вибір надійних паролів; обмежити час підключення користувачів до ІС.
        
        ідентифікувати і перевіряти відповідність особистості користувачів, а також за потребою – термінал або місцеперебування зареєстрованого користувача;
    - - Одним з найбільш поширених засобів ідентифікації та аутентифікації користувачів у системах електронного урядування є електронний цифровий підпис (ЕЦП). ЕЦП – це вид електронного підпису, що отриманий за результатом криптографічного перетворення набору електронних даних, який додається до цього набору або логічно з ним поєднується і дає змогу підтвердити його цілісність та ідентифікувати підписувача. ЕЦП призначений для використання фізичними або юридичними особами та використовується для: - ідентифікації особи (підписувача); - підтвердження цілісності даних в електронному документі (формі).
    - - Рекомендації:
        
        усі випадки доступу необхідно відслідковувати і фіксувати в контрольному журналі для перевірок.
        
        необхідно явно ідентифікувати ІР для проведення перевірок і зробити їх доступними;
        
        перевірки повинні бути обмежені доступом до даних і програм тільки на читання;
        
        інші типи доступу (відмінні від доступу тільки на читання) повинні бути дозволені для окремих копій системних даних, які необхідно стерти по завершенні процесу аудиту;
        
        масштаб перевірок необхідно погодити і контролювати;
        
        необхідно визначити вимоги щодо спеціальної чи додаткової обробки даних і погодити їх з постачальниками послуг;
        
        вимоги до аудиту ІС повинні бути погоджені з відповідним керівництвом;
    - - Необхідно також встановити процедури спостереження за використанням систем. Такі процедури вимагаються для забезпечення виконання користувачами тільки явно дозволених процесів.
      - Для забезпечення відповідності ПБ (управління доступом і стандартами) необхідно стежити за роботою ІС та використанням ІР. Це необхідно для того, щоб визначити ефективність вжитих заходів і забезпечити відповідність моделі ПБ.
  - - - Етап 3. Оцінка вразливих сфер.
      - Етап 2. Оцінка загроз.
      - Етап 1. Ідентифікація ІР та оцінка його кількісних показників (визначення негативного впливу).
      - Етап 4. Оцінка чинних і прогнозованих засобів ЗІ.
      - Етап 5. Оцінка ризиків.