Please enable JavaScript.

Coggle requires JavaScript to display documents.

ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ. МЕТОДИКИ БЕЗПЕКИ. ПРАКТИЧНІ ПРАВИЛА УПРАВЛІННЯ…

- - - - Необхідно забезпечувати впевненість в тому, що заходи і засоби контролю і управління безпеки, визначення послуг та рівні надання послуг, які підтверджують договір про надання послуг третьою стороною, реалізуються, функціонують і підтримуються третьою стороною.
      - Надання послуг третьою стороною має включати узгоджені заходи щодо
        забезпечення безпеки, визначенню послуг та аспекти менеджменту послуг.
    - - Необхідно регулярно проводити моніторинг і аналіз послуг, звітів і
        записів, які забезпечуються третьою стороною, і регулярно проводити аудити
      - Відповідальність за управління відносинами з третьою стороною слід покладати на спеціально призначеного співробітника або на групу управління послугами.
    - - Зміни в наданні послуг, включаючи підтримку і поліпшення існуючих політик, процедур, заходів та засобів контролю і управління інформаційної безпеки, повинні здійснюватися з урахуванням критичності яких торкається систем і процесів бізнесу, а також переоцінки ризиків.
  - - - Повинні бути визначені критерії приймання для нових інформаційних систем, оновлень і нових версій, окрім того, необхідно тестувати системи протягом їх розробки і перед їх прийманням.
  - - - Захист цілісності програмного забезпечення та інформації. Слід бути обережними для запобігання та виявлення шкідливої програми і неавторизованої мобільної програми
      - Необхідно впровадити заходи і засоби контролю і управління, пов'язані
      - з виявленням, попередженням та відновленням, з метою захисту від шкідливої
      - програми, а також процедури, що забезпечують відповідну обізнаність
      - користувачів.
- - - - Політика управління доступом повинна створюватися, документально оформлятися і переглядатися з урахуванням вимог бізнесу і безпеки для доступу.
      - Правила управління доступом і права кожного користувача або групи користувачів повинні бути чітко сформульовані в політиці управління доступом.
  - - - Необхідна формальна процедура реєстрації та зняття з обліку користувачів щодо надання та скасування доступу до всіх інформаційних систем і послуг
      - Необхідно розглянути можливість створення ролей доступу користувачів, заснованих на вимогах бізнесу, які об'єднують кілька прав доступу в типові профілі доступу користувачів.
    - - Надання і використання привілеїв необхідно обмежувати і контролювати.
      - Необхідно, щоб в багатокористувацьких системах, які вимагають захисту від несанкціонованого доступу, надання привілеїв контролювалося за допомогою формального процесу авторизації.
    - - Розподіл паролів необхідно контролювати за допомогою формального процесу управління.
      - Процес повинен включати наступні вимоги:
        
        a) користувачів необхідно зобов'язати підписати заяву про збереження особистих паролів в таємниці і збереженні групових паролів виключно в межах членів даної групи; ця заява може бути включено в умови і положення зайнятості (див. 8.1.3);
        
        b) якщо користувачі самостійно управляють власними паролями, їм слід спочатку надати безпечний тимчасовий пароль (див. 11.3.1), який підлягає негайну примусову заміну після входу в систему;
        
        c) створення процедур перевірки особистості користувача, перш ніж йому буде надано новий, замінює або тимчасовий пароль;
        
        d) тимчасові паролі слід видавати користувачам безпечним способом, при цьому необхідно уникати використання третіх сторін або незахищеного (відкритого) тексту повідомлень електронної пошти;
        
        e) тимчасові паролі повинні бути унікальні для кожного користувача і не повинні бути легко вгадувати; f) користувачі повинні підтверджувати отримання паролів;
        
        g) паролі ніколи не слід зберігати в комп'ютерних системах в незахищеною формі;
        
        h) паролі постачальника, встановлені за замовчуванням, необхідно змінити після інсталяції систем або програмного забезпечення.
    - - Керівництво повинно здійснювати формальний процес періодичного перегляду прав доступу користувачів.
  - - - Користувачі повинні дотримуватися загальноприйнятої практики в області безпеки при виборі і використанні паролів
      - Всім користувачам слід рекомендувати:
        
        a) зберігати конфіденційність паролів;
        
        b) уникати записи паролів (наприклад на папері, у файлі програмного забезпечення або кишенькових пристроях), якщо не може бути забезпечено безпечне зберігання і спосіб зберігання не затверджений;
        
        c) змінювати паролі всякий раз, коли з'являється будь-яка ознака можливої компрометації системи або пароля;
        
        d) вибирати якісні паролі з досить мінімальною довжиною, які:
        
        1) легко запам'ятати;
        
        2) не схильні до вгадування або обчислення з використанням персональної інформації, пов'язаної з власником пароля, наприклад імен, номерів телефонів, дат народження і т. д .;
        
        3) не можуть бути відновлені за словниками (тобто не містять слів, що містяться в словниках);
        
        4) не містять послідовних ідентичних символів, і не перебувають з повністю числових або повністю буквених груп;
        
        e) змінювати паролі через різні інтервали часу або після певного числа звернень до системи (паролі для привілейованих облікових записів слід міняти частіше, ніж звичайні паролі) і уникати повторного або циклічного використання старих паролів;
        
        f) змінювати тимчасові паролі при першому початку сеансу;
        
        g) не включати паролі в жодній автоматизований процес початку сеансу, наприклад з використанням збережених макрокоманд або функціональних клавіш;
        
        h) не використовувати колективно індивідуальні паролі;
        
        i) не використовувати один і той же пароль для бізнесу та некомерційних цілей