Сьогодні все частіше та частіше компанії стикаються з інцидентами в області комп'ютерної безпеки. Однак керівництво багатьох компаній, незважаючи на це, все ще сподівається на те, що для них ці атаки не актуальні. Чому таке відбувається – сказати важко, але це факт. На мій погляд, це відбувається через те, що керівники не розуміють як можна вкрасти те, чого не можна помацати. Водночас існує ціла низка компаній, керівники яких чудово розуміють необхідність вжиття заходів для захисту своєї інформації. Саме для них і написано цю статтю.
1. Використовуйте надійні паролі та регулярно їх змінюйте;
2. Остерігайтеся поштових вкладень і модулів, що завантажуються з Інтернету;
3. Встановіть, підтримуйте та застосовуйте антивірусні програми;
4. Встановіть та використовуйте міжмережевий екран;
5. Видаляйте програми, що не використовуютьсята облікові записи користувачів, надійно видаляйте всі дані на обладнанні, що виводиться з експлуатації;
6. Використовуйте засоби фізичного контролю доступу до всіх обчислювальних пристроїв;
7. Створюйте архівні копії важливих файлів, папок та програм;
8. Встановлюйте оновлення для програмного забезпечення;
9. Введіть систему безпеки мережі з контролем доступу;
10. Обмежуйте доступ до цінних та конфіденційних даних;
11. Складіть та дотримуйтесь плану управління ризиками, пов'язаними з безпекою;
12. При необхідності звертайтесь за технічною підтримкоюдо сторонніх організацій.
Рекомендація 1. Використовуйте надійні паролі та регулярно їх змінюйте
Витрати:мінімальні (додаткові вкладення не потрібні)
Рівень технічних навичок:низький/середній
Учасники:усі користувачі комп'ютерної мережі
Для чого це потрібно?
Паролі – найпростіший спосіб аутентифікації (способу розмежування прав доступу до комп'ютерної мережі, електронної пошти тощо). Парольний захист – досить простий метод розмежування доступу. Разом з тим необхідно пам'ятати, що надійні паролі (паролі, які важко піддаються злому) дозволяють утруднити роботу більшості зломщиків. Для багатьох компаній плинність кадрів є великою проблемою, натомість це збільшує необхідність регулярної зміни паролів. Так як ви не впевнені в стійкості вашого пароля, змінюйте його кожен місяць, причому врахуйте, що паролі повинні задовольняти вимогам складності і не повинні повторюватися протягом 24 місяців. Це досить легко реалізується в організації, комп'ютерна мережа якої заснована на застосуванні доменів на основі ОС Windows.
Разом про те слід пам'ятати, що з кожної використовуваної завдання паролі би мало бути різними, тобто. пароль для входу в комп'ютерну мережу та для роботи з базою даних мають бути різними. Адже інакше зламування одного пароля дозволить отримати безперешкодний доступ до всіх ресурсів.
Ніколи не записуйте паролі і не повідомляйте їх іншим особам!
Якщо ви боїтеся забути пароль, зберігайте його в сейфі.
Разом з тим пам'ятайте, що користувачі вашої мережі будуть забувати паролі і при посиленні вимог до їх складності та довжині вони просто почнуть їх записувати на листиках і незабаром паролі можна буде зустріти будь-де! Тобто. на моніторах, листи під клавіатурою, в ящиках столу і т.д.
Як цього уникнути? Тільки запровадженням засобів багатофакторної апаратної аутентифікації. Це ж дозволить вирішити цілу низку проблем, про які піде попереду.
Разом з тим, необхідно пам'ятати, що кожен користувач у мережі повинен мати власний ідентифікатор, що дозволить його однозначно аутентифікувати і тим самим уникнути проблем із знеособленням персоналу.
Ненадійні паролі дають хибне відчуття безпеки
Пам'ятайте, що надійність парольного захисту дуже відносна. Паролі зламуються зловмисниками шляхом підбору за словником або прямого перебору. На злом за словником зловмиснику потрібні секунди. Якщо зловмисник знає особисту інформаціюпро користувача, пароль якого він намагається підібрати, наприклад, імена подружжя (чоловіка), дітей, хобі, діапазон пошуку істотно звужується, і в першу чергу перевіряються ці слова. Часто застосовувані користувачами хитрощі типу заміни букви «о» на цифру «0» або букви «a» символом «@» або букви «S» цифрою «5» не захищають пароль від злому. Іноді до парольної фрази спочатку або наприкінці дописуються цифри, але це також слабко впливає захист. Тому наведемо тут короткі рекомендаціїна вибір пароля.
В першу чергу
Для утруднення злому вашого пароля в першу чергу він повинен бути складним і містити великі та маленькі літери, цифри та спеціальні символи. Не можна використовувати словникові слова, імена та їх незначні зміни. Довжина пароля повинна становити не менше 8 символів, а для мереж з виходом в Інтернет не менше 12. При цьому довжина пароля адміністратора повинна становити не менше 15 символів. Складаючи пароль, використовуйте деякі заздалегідь вигадані шаблони. Це дозволить вам пригадати пароль у разі потреби, не записуючи його на папері.
Створіть політику використання парольного захисту, в якій опишіть ваші вимоги та ознайомте її вимоги під розпис. Це привчить до порядку ваших працівників.
В особливо відповідальних випадках для організації парольного захисту використовуйте багатофакторну автентифікацію на базі eToken або смарт-карток. Це суттєво ускладнить злом.
Для доступу до ресурсів вашої мережі з Інтернету, наприклад, для співробітників, які працюють з дому, використовуйте одноразові паролі.
Додаткові дії
Налаштуйте у вимогах політик обов'язкову мінімальну довжину та рівень складності політик. Разом з тим не забудьте обмежити термін дії паролів, щоб змусити користувачів дотримуватись частоти зміни паролів. Введіть вимогу до неповторності паролів (наприклад, протягом 24 місяців). Це дозволить досягти унікальності паролів одного і того ж користувача протягом 2-х років.
Рекомендація 2. Остерігайтеся поштових вкладень та модулів, що завантажуються з Інтернету
Витрати: мінімальні (додаткові вкладення не потрібні)
Рівень технічних навичок: низький/середній
Учасники: всі, хто користується Інтернет
Навіщо це потрібно?
Сьогодні одним із найчастіше використовуваних методів поширення комп'ютерних вірусів є використання електронної поштита Інтернет. У Останнім часомвіруси навчилися використовувати адреси, що отримуються з адресних книг. Тому навіть отримання листів з відомих вам адрес більше не є гарантією того, що ці листи дійсно надіслані цими людьми. Компаніям необхідно впровадити жорсткі політики безпеки використання електронної пошти та Інтернету, в яких чітко вказувати, що можна і що не можна завантажувати та відкривати в корпоративних системах.
Будь-який автор програмного забезпечення може розповсюджувати його за допомогою Інтернету або у вигляді вкладень в електронні листи. Однак варто пам'ятати, що запускаючи невідому програмуу себе на комп'ютері, ви стаєте заручником автора цієї програми. Будь-яка ваша дія доступна і цій програмі. Тобто. вона може читати, видаляти, модифікувати та копіювати будь-яку вашу інформацію. Таким чином, доступ до вашого комп'ютера може отримати і зловмисник.
Що може статися внаслідок вашої неуважності?
Варто пам'ятати, що тексти електронної пошти, вкладення та модулі, що завантажуються, є прекрасним засобом для передачі шкідливого коду. Відкриваючи поштове вкладенняабо погоджуючись на встановлення коду, що виконається, ви копіюєте якийсь програмний код у ваше середовище (іноді в папку тимчасових файлів). Це може призвести до атаки вашої системи через наявні вразливості.
Зверніть увагу, що якщо ваш комп'ютер буде заражений, ймовірно, що ваші партнери з листування отримають від вас поштове повідомлення з вкладенням, яке буде атакувати їх системи. Це може призвести до повної зупинки мережі.
Якщо не вжити запобіжних заходів, то на ваш комп'ютер можна буде завантажити якусь троянську програму ( троянський кінь), який зможе відстежити використовувані вами паролі, переслати по певною адресоювашу конфіденційну інформаціюі т.д. Що робити?
В першу чергу
Опишіть вимоги щодо безпеки використання електронної пошти та Інтернету у відповідних політиках.
Привчіть користувачів до того, що заборонено виконувати такі операції:
1. Використовувати функцію попереднього переглядупоштового повідомлення.
2. Відкривати вкладення, які антивірусний додатоквважає шкідливими.
3. Відкривати поштові повідомлення від незнайомих людей(слід їх просто видаляти), особливо якщо поле «Тема»:
a. Порожнє або містить безглуздий набір букв і цифр;
b. Містить повідомлення про перемогу на конкурсі, в якому ви не брали участь або про ваші гроші;
c. Містить опис продукту, який може вам сподобатися;
d. Містить повідомлення про проблему з інструкціями щодо встановлення програмного забезпечення на вашому комп'ютері;
e. Містить повідомлення про помилку в накладній або рахунку, але ви не користуєтесь цією послугою.
4. Якщо ви знаєте відправника або вирішили відкрити поштове повідомлення, переконайтеся, що вміст, а також назва вкладень та текст у рядку теми повідомлення звучать осмислено.
Додаткові дії
1. Налаштуйте веб-браузер таким чином, щоб він повідомляв вас про завантаження модулів з Інтернету (це зроблено за замовчуванням у Internet Explorer 7.0).
2. Видаляйте та ніколи не надсилайте електронні «листи щастя».
3. Ніколи не користуйтеся функцією скасування підписки на послуги, які ви не запитували (це дасть зловмиснику зрозуміти, що електронна адреса активна і дозволить активніше атакувати вас).
4. Відключіть Java-сценарії та елементи керування ActiveX у налаштуваннях веб-браузера та вмикайте їх тимчасово лише для певних довірених сторінок.
5. Приймаючи рішення про придбання програмного забезпечення, переконайтеся в наявності чіткого опису програми та виконуваних нею функцій, а також перевірте надійність джерела інформації.
Рекомендація 3. Встановіть, підтримуйте та застосовуйте антивірусні програми
Витрати: низькі/середні (залежно від кількості та типів необхідних ліцензій)
Рівень технічних навичок: низький/середній, залежно від вибраного підходу
Учасники: всі, хто користується електронними пристроями
Навіщо це потрібно?
В даний час складно когось здивувати необхідністю встановлення антивірусного ПЗ. Кількість вразливостей, що використовуються шкідливим програмним забезпеченням, за даними Microsoft, подвоюється щорічно.
Шляхи проникнення вірусів у вашу систему можуть бути різними: за допомогою дискет, флеш-дисків, компакт-дисків, як вкладення в поштове повідомлення, при завантаженні з веб-сайту або у вигляді зараженого файлу, що завантажується. Тому, вставляючи змінний носій, приймаючи електронну пошту або завантажуючи файл, необхідно перевірити наявність вірусів.
Як працюють антивірусні програми?
З усіх методів антивірусного захистуможна виділити дві основні групи:
1. Сигнатурні методи- Точні методи виявлення вірусів, засновані на порівнянні файлу з відомими зразками вірусів.
2. Евристичні методи— приблизні методи виявлення, які дозволяють певною мірою припустити, що файл заражений.
Сигнатурний аналіз
Слово сигнатура в даному випадкує калькою на англійське signature, що означає «підпис» або ж у переносному значенні «характерна риса, яка щось ідентифікує». Власне, це все сказано. Сигнатурний аналіз полягає у виявленні характерних ідентифікуючих рис кожного вірусу та пошуку вірусів шляхом порівняння файлів із виявленими рисами.
Сигнатурою вірусу вважатиметься сукупність характеристик, що дозволяють однозначно ідентифікувати наявність вірусу у файлі (включаючи випадки, коли файл цілком є вірусом). Усі разом сигнатури відомих вірусівстановлять антивірусну основу.
Важлива додаткова властивість сигнатур - точна і гарантоване визначеннятипу вірусу. Ця властивість дозволяє занести в основу не лише самі сигнатури, а й методи лікування вірусу. Якби сигнатурний аналіз давав тільки відповідь на запитання, є вірус чи ні, але не давав відповіді, що це за вірус, очевидно, лікування було б неможливим — занадто великим був би ризик зробити не ті дії і замість лікування отримати додаткові втрати інформації.
Інша важлива, але негативна властивість — для отримання сигнатури необхідно мати зразок вірусу. Отже, сигнатурний метод непридатний захисту від нових вірусів, т. до. доки вірус не потрапив на аналіз до експертів, створити його сигнатуру неможливо. Саме тому всі найбільші епідемії викликаються новими вірусами.
Евристичний аналіз
Слово «евристика» походить від грецького дієслова «знаходити». Суть евристичних методів полягає в тому, що вирішення проблеми ґрунтується на деяких правдоподібних припущеннях, а не на суворих висновках з фактів і передумов.
Якщо сигнатурний метод ґрунтується на виділенні характерних ознаквірусу і пошуку цих ознак у файлах, що перевіряються, то евристичний аналіз грунтується на (дуже правдоподібному) припущенні, що нові віруси часто виявляються схожі на які-небудь з вже відомих.
Позитивним ефектом від цього методу є можливість виявити нові віруси ще до того, як для них будуть виділені сигнатури.
Негативні сторони:
· Ймовірність помилково визначити наявність у файлі вірусу, коли файл чистий — такі події називаються помилковими спрацьовуваннями.
· Неможливість лікування - і через можливі помилкові спрацьовування, і через можливе неточне визначення типу вірусу, спроба лікування може призвести до більших втрат інформації, ніж сам вірус, а це неприпустимо.
· Низька ефективність - проти справді новаторських вірусів, що викликають найбільш масштабні епідемії, цей вид евристичного аналізу малопридатний.
Пошук вірусів, які виконують підозрілі дії
Інший метод, заснований на евристиці, виходить із припущення, що шкідливі програмитак чи інакше прагнуть завдати шкоди комп'ютеру. Метод ґрунтується на виділенні основних шкідливих дій, таких як, наприклад:
· Видалення файлу.
· Запис у файл.
· Запис у певні галузі системного реєстру.
· Відкриття порту на прослуховування.
· Перехоплення даних, які вводяться з клавіатури.
Перевагою описаного методу є можливість виявляти невідомі раніше шкідливі програми, навіть якщо вони дуже схожі вже відомі.
Негативні риси ті ж, що й раніше:
· Неможливість лікування
· Невисока ефективність
Додаткові кошти
Практично будь-який антивірус сьогодні використовує все відомі методиВиявлення вірусів. Але одних засобів виявлення мало для успішної роботиантивіруса. Для того, щоб чисто антивірусні засобибули ефективними, потрібні додаткові модулі, які виконують допоміжні функціїнаприклад, регулярне оновлення антивірусних базсигнатур.
Що робити?
В першу чергу
1. Встановіть антивірусні програми на всіх вузлах вашої мережі (шлюзи Інтернет, поштові сервери, сервери баз даних, файлові сервери, робочі станції).
3. Щорічно продовжуйте ліцензію на встановлені антивіруси(Для того щоб мати можливість оновлювати файли сигнатур).
4. Створіть політику захисту від шкідливого програмного забезпечення.
5. Створіть інструкції для користувачів та адміністраторів систем.
Додаткові дії
1. Налаштуйте антивірусний захист на всіх комп'ютерах.
2. Створіть систему керування корпоративним антивірусоміз єдиної точки управління.
3. Регулярно (досить раз на тиждень) запускайте антивірусний сканердля перевірки всіх файлів.
Витрати:помірні
Рівень технічних навичок:помірний/високий, залежно від обраного підходу
Учасники:
Навіщо це потрібно?
Міжмережевий екран практично виконує роль охоронної системипри вході до будівлі. Він перевіряє дані, що входять з Інтернету та вихідні до Інтернету, і визначає, чи будуть ці відомості доставлені одержувачу або ж будуть зупинені. Може суттєво скоротити обсяг небажаних та шкідливих повідомлень, що потрапляють до системи. Але, разом з тим, варто розуміти, що на його налаштування та обслуговування потрібні час та зусилля. Крім того, він припиняє різні форминебажаного доступу до мережі.
Найважче при налаштуванні міжмережевого екрану – визначити правила його налаштування, тобто. вказати, що може надходити в мережу (залишати мережу). Адже якщо повністю заборонити прийом та відправлення даних (стратегія заборонити все), то це означатиме припинення зв'язку з Інтернет. Така стратегія навряд чи допустима у більшості компаній, тому необхідно виконати ряд додаткових дійналаштування міжмережевого екрана.
Що відбувається, коли немає міжмережевого екрану?
Якщо у вас немає міжмережевого екрана, який перевіряє вхідні та вихідні дані, захист усієї вашої мережі залежить лише від бажання та вміння кожного з користувачів дотримуватись правил роботи з електронною поштою та завантаженням файлів. У разі використання високошвидкісного підключеннядо Інтернету ви залежатимете, крім того, ще й від інших користувачів мережі. За відсутності міжмережевого екрану нічого не завадить зловмиснику вивчити вразливість ОС на кожному комп'ютері і атакувати їх у будь-який час.
Що робити?
В першу чергу
Встановіть міжмережевий екран на точці доступу до Інтернету. Поясніть працівникам необхідність його застосування. Адже в процесі розробки його правил можливе надмірне блокування, яке ускладнить користування.
Додаткові дії
1. Застосуйте політику безпеки на основі правил міжмережевого екрану.
2. Передбачте можливість перегляду та коригування політики у необхідних випадках.
3. Створіть механізм моніторингу та коригування правил з урахуванням потреб компанії.
Рекомендація 5. Видаляйте не використовувані програми та облікові записи користувачів, знищуйте всі дані на обладнанні, що виводиться з експлуатації.
Витрати:низькі/середні
Рівень технічних навичок:низький/середній
Учасники:фахівці з технічної підтримки
Навіщо це потрібно?
Слід враховувати, що постачаються комп'ютерні системипідтримують велика кількістьфункцій, багато з яких ніколи не використовуватимуться. Більше того, оскільки процес установки оптимізований з точки зору простоти, а не безпеки, то часто активізовані функції, використання яких становить серйозну небезпеку для системи, наприклад, віддалене управлінняабо віддалений обмін файлами.
Слід передбачити відключення та видалення програмного забезпечення, яке не використовується, щоб зловмисник не міг організувати через нього атаку.
Тобто. співробітникам відділу технічної підтримки необхідно налаштувати інсталяційну копію операційної системи, яка встановлюється на робочі станції таким чином, щоб видалити функції, що не використовуютьсяОС ще етапі інсталяції. Процес створення необхідної копії ОС необхідно обговорити в документі, що приймається.
Разом з тим не можна забувати, що оскільки кожен користувач має власний унікальний обліковий запис, що обмежує доступ до даних та програм, необхідних для виконання поставлених завдань, то у разі звільнення співробітника або переходу його на іншу посаду його права слід скасувати (видалити відповідний обліковий запис) або змінити відповідно до нових службових обов'язків.
Для цього необхідно зобов'язати службу управління кадрами подавати списки співробітників, що звільняються (переміщуються), у службу ІТ та службу інформаційної безпеки(ІБ) протягом одного робочого дня після наказу. А у разі звільнення (переміщення) системного адміністратораабо адміністратора ІБ – не пізніше 1 години після наказу. Це дозволить суттєво знизити можливість заподіяння шкоди компанії.
Слід також пам'ятати, що на жорстких дисках робочих станцій, а тим більше серверів, зберігається величезний обсяг інформації. Будь-який бажаючий може отримати ці дані, отримавши доступ до жорсткому дискуза допомогою іншого комп'ютера, і тим самим завдати непоправної шкоди вашій компанії. У разі передачі, продажу, утилізації, ремонту обладнання в умовах сторонньої організації (наприклад, гарантійний ремонт) вам необхідно забезпечити незновне стирання всього дискового просторудля запобігання витоку конфіденційної інформації. При цьому можливі два шляхи – використання програмних засобів невідновного стирання чи апаратних засобів.
Чому не можна залишити програмне забезпечення, яке не використовується?
ПЗ та облікові записи, що не використовуються, можуть бути використані зловмисником для атаки на вашу систему або для використання вашої системи для проведення наступних атак. Варто пам'ятати, що доступом до комп'ютера потрібно керувати дуже ретельно. Адже втрата конфіденційних даних для компанії може призвести до великих фінансових втрат і банкрутства. Якщо дані, що не використовуються, належать колишнім співробітникам вашої компанії, то, отримавши доступ до системи, вони можуть бути в курсі всіх ваших справ, завдати шкоди вашій компанії, розголосивши або модифікувавши важливі дані. Більше того, у практиці автора були випадки, коли атаку під виглядом звільненого співробітника проводили співробітники компанії.
У разі ремонту (оновлення) обладнання варто пам'ятати, що дані, що зберігаються на ньому, без використання спеціальних засобівнепоновного стирання нікуди не зникають. Існує цілий клас програмного забезпечення, що дозволяє відновлювати видалені дані з жорстких дисків.
Що робити?
В першу чергу
1. Видаліть облікові записи звільнених працівників. Перед повідомленням про те, що він буде звільнений, заблокуйте його доступ до комп'ютера та стежте за ним, поки він знаходиться на території компанії.
2. Встановіть правило, яке забороняє встановлення непотрібного програмного забезпечення на робочих комп'ютерах.
3. Передбачте політику видалення даних із жорстких дисків комп'ютерів, які перепрофілюються, утилізуються, передаються, реалізуються, здаються у ремонт.
Додаткові дії
1. Видаліть програми та програми, які не використовуються.
2. Заведіть формуляри комп'ютерів (робочих станцій та серверів), в які записуйте встановлюване ПЗ, мету установки і хто зробив установку.
Рекомендація 6. Використовуйте засоби фізичного контролю доступу до всіх обчислювальних пристроїв
Витрати:мінімальні
Рівень технічних навичок:низький/середній
Учасники:всі, хто користується електронними пристроями
Навіщо це потрібно?
Незалежно від того, наскільки надійна ваша система безпеки, використовуєте ви прості пароліабо складні, якщо у когось є фізичний доступ до вашого комп'ютера, значить він зможе прочитати, видалити або модифікувати інформацію, що знаходиться на ньому. Не можна залишати комп'ютери без нагляду.
Прибиральники, обслуговуючий персонал, члени сім'ї співробітника можуть ненавмисно (або навмисне) завантажити шкідливий кодабо модифікувати дані або налаштування комп'ютера.
Якщо існують активні, але не використовувані мережеві роз'єми в офісі, конференц-залі або будь-якому іншому приміщенні, значить будь-яка людина зможе підключитися до мережі та виконати в ній несанкціоновані дії.
Якщо ви використовуєте бездротові технології, подбайте про стійке шифрування мережі, щоб стороння людинане зміг підключитися до вашої мережі, адже в такому разі він навіть не повинен заходити фізично до вашого офісу.
Якщо у вашій організації використовуються переносні комп'ютери (ноутбуки, КПК, смартфони) подбайте про шифрування мобільних носіїв, адже на сьогоднішній день більше 10% таких пристроїв просто крадеться, а близько 20% - елементарно губляться користувачами.
Втрата фізичного контролю як втрата безпеки
Слід врахувати, що будь-яка людина, яка має фізичний доступ до вашого комп'ютера, може обійти засоби безпеки, встановлені на ньому, і завдати непоправної шкоди вашій організації. Отже, велика уваганеобхідно приділяти фізичної безпекиваших пристроїв.
Що робити?
В першу чергу
Впровадьте політику допустимого використання комп'ютерів, яка передбачає таке:
1. Залишаючи комп'ютер без нагляду навіть на короткий час, вийдіть із системи або блокуйте екран.
2. Встановіть відповідальних користувачів за доступ до комп'ютерів та винос обладнання за межі компанії.
3. Обмежте використання робочих комп'ютерів лише службовими цілями.
4. Забороніть використання особистих комп'ютерів(ноутбуків, КПК, смартфонів) у корпоративній мережі.
5. Встановіть відповідальність користувачів у разі порушення правил використання комп'ютерів.
6. Все комп'ютерне обладнання, що використовується, повинно бути надійно захищене від сплесків зникнення електроживлення.
7. Зберігайте обладнання, що не використовується під замком, і встановіть процедуру його видачі тільки під розписку відповідального співробітника.
8. Поінформуйте співробітників про прийняту політику та час від часу перевіряйте її виконання.
Додаткові дії
1. Закривайте порожні офіси та конференц-зали, де є активні мережні роз'єми.
Рекомендація 7. Створюйте архівні копії важливих файлів, папок та програм
Витрати:помірні/високі (залежно від рівня автоматизації та складності вибраних коштів)
Рівень технічних навичок:середній/високий
Учасники:фахівці з технічної підтримки та користувачі (якщо користувачі зобов'язані самостійно архівувати свої дані)
Навіщо це потрібно?
Чи зможете ви продовжувати ефективно працювати, якщо зловмисник вдасться пошкодити налаштування ваших систем? Чи знищити інформацію, що зберігається? Якщо станеться непередбачуваний збій системи?
У такому разі найбільш ефективним способомбуде відновлення даних із архівної копії.
Для створення такої копії вам потрібно створити джерело для можливого відновленнясистеми у разі потреби. Виконувати створення такої копії краще, скориставшись спеціалізованим ПЗ.
Слід пам'ятати, що резервні копії необхідно створювати під час кожної зміни вихідних даних. Виберіть відповідний варіант з урахуванням витрат (час, обладнання, покупка необхідного ПЗ), наявності часу на проведення резервного копіюваннянеобхідного часу на проведення процесу відновлення оригінальних копійіз резервних.
Слід передбачити зберігання резервних копійу надійному місці, по можливості поза офісом, в іншій будівлі, щоб уникнути можливого знищення їх разом із оригіналом. Разом з тим не можна забувати про фізичну безпеку резервних копій як у процесі доставки їх до місця зберігання, так і фізичну безпеку самого місця зберігання.
Якщо архівних копійні
Оскільки абсолютного захисту не існує, то ймовірно, що атака на вашу організацію може бути успішною і зловмиснику (вірусу) вдасться завдати шкоди вашій комп'ютерній мережі або якась частина вашого обладнання може бути зруйнована внаслідок стихійного лиха. Без засобів відновлення (або при неправильне налаштуваннятаких) вам знадобиться багато часу та грошей для відновлення системи (втім, звичайно ж, це за умови, що вам вдасться її відновити, що зовсім не очевидно).
В першу чергу
1. Створіть графік резервного копіювання. Створюючи його, врахуйте, що всі зміни, що пройшли від моменту створення резервної копії до відновлення, вам доведеться відновлювати вручну.
2. Зберігайте резервні копії протягом тривалого часу, щоб усунути проблеми, виявлені із запізненням.
3. Час від часу тестуйте процес архівації та перевіряйте процес відновлення.
4. Створіть план роботи у разі надзвичайної ситуації.
5. Час від часу влаштовуйте перевірку роботи працівників у разі надзвичайної ситуації та знання ними своїх обов'язків.
Додаткові дії
1. Максимально автоматизуйте процес архівації.
2. Переконайтеся, що під час створення резервної копії реєструється час та дата.
3. Створюйте копії на різних носіях.
4. Перевіряйте процес створення резервних копій, відновлюючи та контролюючи коректність відновлених даних.
.
Посібник користувача 8. Встановлюйте оновлення для програмного забезпечення
Витрати:помірні - плата за обслуговування програмного забезпечення плюс час, що витрачається персоналом на встановлення та перевірку
Рівень технічних навичок:середній/високий
Учасники:фахівці з технічної підтримки
Навіщо це потрібно?
Для покращення програмного забезпечення або виправлення помилок постачальники регулярно випускають оновлення (виправлення). Багато оновлень призначені для усунення так званих уразливостей програмного забезпечення, які можуть бути використані зловмисниками. Регулярне встановлення таких оновлень дозволяє звести до мінімуму можливості використання вразливостей для заподіяння шкоди вашій організації.
В основному, безкоштовні оновленняпропонуються з веб-сайту відповідного постачальника програмного забезпечення. Для повідомлення про вихід оновлень рекомендується передплатити безкоштовне розсиланняу відповідного постачальника.
Крім того, слід знати, що цілком імовірна ситуація, коли оновлення, закриваючи одну вразливість, породжує іншу.
Встановлюючи поновлення, варто пам'ятати про необхідність їх тестування до встановлення.
Якщо не інсталювати оновлення
Слід пам'ятати, що будь-яке програмне забезпечення пишуть люди, а людям властиво помилятися! Отже, будь-яке програмне забезпечення містить помилки. Не встановлюючи оновлень, ви ризикуєте не усунути вразливості, які вже виявлені іншими людьми та успішно використовуються зловмисниками та написаним ними шкідливим ПЗ. Чим довше ви не встановлюєте оновлення, тим більшою є ймовірність, що рано чи пізно зловмисники використовують не усунуті вами вразливості для атаки на вашу систему.
Що робити?
В першу чергу
Купуючи програмне забезпечення, зверніть увагу, як надаються оновлення. Дізнайтеся, чи здійснюється технічна підтримка. Якщо оновлення не надаються, дізнайтеся, як відбувається перехід на нову версіюі коли на неї чекати.
Якнайшвидше оновлюйте операційні системи та комунікаційне ПЗ. Підпишіться на службу розсилки сповіщень.
Додаткові дії
Деякі розробники ПЗ пропонують програмне забезпечення, яке стежить за актуальністю оновлень. Таке ПЗ має функцію перевірки, завантаження та встановлення оновлень. Разом з тим не можна забувати, що спочатку потрібно протестувати представлене оновлення, а потім його встановлювати.
Рекомендація 9. Введіть систему безпеки мережі з контролем доступу
Витрати:
Рівень технічних навичок:помірний/високий
Учасники:фахівці служби підтримки та всі користувачі мережі
Навіщо це потрібно?
Хороша система захисту інформації включає захист доступу до всіх мережевим компонентам, включаючи міжмережні екрани, маршрутизатори, комутатори та підключені робочі станції.
Виходячи з того, що все це ще й розкидане територіально, забезпечити контроль за цим обладнанням та програмним забезпеченням – важке завдання.
додаткові відомості
Надзвичайно важливо мати надійний контроль доступу у разі використання бездротових мереж. Зовсім нескладно отримати доступ до незахищеної бездротової мережіі наразити на небезпеку всю організацію.
Використання віддаленого доступудо мережі організації має ретельно контролюватись, оскільки безконтрольне використання таких точок доступу призведе до злому мережі всієї організації.
Що відбувається, коли надійний захистмережі не забезпечено?
Якщо надійний захист не забезпечений, неважко зрозуміти, що така мережа буде зламана протягом кількох годин або хвилин, особливо якщо доступ до Інтернету надається за допомогою високошвидкісного з'єднання. У свою чергу зламаний пристрій буде небезпекою для всієї іншої мережі, так як воно буде використано для наступної атаки на всю мережу.
Варто пам'ятати, що найбільшу небезпеку становлять зовнішні, а внутрішні зломщики, тобто. зловмисники з-поміж персоналу. Якщо безпека поставлена дуже погано і нею ніхто всерйоз не займається, то співробітники можуть зламати комп'ютери своїх колег, адже коштів для цього в Інтернет достатньо.
Що робити?
В першу чергу
1. Обмежити доступ до компонентів, щоб захистити їх від несанкціонованого доступу та пошкодження;
2. Реалізувати процедуру аутентифікації на основі надійного парольного захисту;
3. Вимкнути на кожному комп'ютері функції спільного використанняфайлів та принтерів;
4. Провести інструктаж із співробітниками про відключення комп'ютерів у разі їх невикористання;
5. Надати доступ до пристроїв захисту мережі лише тим працівникам, які відповідають за їх обслуговування та підтримку;
6. Вимагати автентифікацію під час бездротового та віддаленого з'єднання.
Додаткові дії
1. Проаналізуйте можливість впровадження засобів суворої аутентифікації (смарт-карток, одноразових апаратних паролів, eToken тощо) для організації віддаленого доступу до ключовим компонентаммережі.
2. Навчіть співробітників використовувати дані пристрою.
3. Організуйте моніторинг вторгнень, щоб забезпечити належне використання мережі.
Рекомендація 10. Обмежуйте доступ до цінних та конфіденційних даних
Витрати:помірні/високі, залежно від вибраного варіанта
Рівень технічних навичок:помірний/високий
Учасники:фахівці з технічної підтримки
Навіщо це потрібно?
Оскільки ми не можемо сподіватися на дотримання співробітниками всіх встановлених правил, то повинні стежити їх поведінкою і давати зайвий привід порушити інструкції.
Що це означає у нашому випадку?
1. Електронна пошта проглядається лише тими особами, кому вона адресована;
2. Доступ до файлів і баз даних надається лише тим, хто має відповідні повноваження, причому не більше того, що їм потрібно для виконання роботи.
А якщо так, то, отже, ми повинні контролювати перегляд та використання інформації можна за допомогою відповідних списків доступу.
Якщо ви не можете жорстко контролювати доступ до даних, такі дані необхідно шифрувати. При цьому механізм шифрування повинен бути досить складним, щоб максимально утруднити злом шифру.
Що робити?
В першу чергу
1. Поясніть співробітникам необхідність обережності при пересиланні конфіденційних даних електронними каналами;
2. Під час тестування не використовуйте реальні дані;
3. Не використовуйте загальнодоступні ПК, щоб отримати доступ до конфіденційної інформації;
4. Не розкривайте особисті та фінансові дані на маловідомих сайтах.
Рекомендація 11. Складіть та дотримуйтесь плану управління ризиками, пов'язаними з безпекою
Витрати:помірні, методологія управління ризиками доступна безкоштовно
Рівень технічних навичок:низький/помірний
Учасники:представники всіх рівнів компанії та фахівці служби підтримки
Для чого це потрібно?
Щоб захист вашої інформації був дійсно ефективним, безпека повинна бути послідовно впроваджена у всій організації. Необхідно розуміти, що використання найсуворіших технічних заходівконтролю не є панацеєю. Необхідне комплексне впровадження організаційних та технічних заходів захисту. А найкращим рішеннямє запровадження плану управління ризиками безпеки.
При цьому процес планування має включати таке:
1. Навчання та інформування користувачів про проблеми безпеки;
2. Політики та правила безпеки;
3. Спільні заходи щодо безпеки (партнери, підрядники, сторонні компанії);
4. Політику безперервності бізнесу;
5. Фізичну безпеку;
6. Безпека мережі;
7. Безпека даних.
У повсякденній діяльності не складно випустити з уваги такі заходи, як навчання співробітників правилам дотримання безпеки, планування безперервності бізнесу. Однак необхідно розуміти, що ваша компанія залежить від інформаційних технологійнабагато більшою мірою, ніж ви собі уявляєте.
Що відбувається за відсутності плану управління ризиками, пов'язаними з безпекою?
Якщо у вас немає чіткого плану управління ризиками, на всі інциденти безпеки ви змушені реагувати постфактум. Всі ваші заходи будуть зводитися лише до латання дірок.
Що робити?
В першу чергу
Створіть та проаналізуйте план на випадок виникнення надзвичайної ситуації:
1. Визначте найголовніші загрози вашій організації.
2. Проаналізуйте вплив природних загроз(Повінь, ураган, тривала відсутність електроенергії).
Додаткові дії
1. Визначте ваші технологічні активи;
2. Визначте загрози для цих активів;
3. Розробте план безпеки.
Рекомендація 12. За необхідності звертайтеся за технічною підтримкою та сторонньою допомогою
Витрати:низькі/високі, залежно від потрібних послуг
Рівень технічних навичок:середній/високий
Учасники:керівництво компанії та фахівці з технічної підтримки
Звертайтесь за необхідною допомогою
Захист інформації не можна будувати шляхом спроб і помилок. Безпека – динамічний процес, який не вибачає помилок. Крім того, варто розуміти, що створення системи захисту інформації – безперервний процес, побудова якого не можна довіряти дилетантам.
Необхідно ретельно розглядати кандидатури на посади, пов'язані із захистом інформації. Особи, які займаються питаннями безпеки, не повинні викликати жодних сумнівів. Вимагайте, щоб вони змогли показати, як вжиті ними заходи можуть захистити вашу компанію від атак.
Що робити?
В першу чергу
Якщо ви збираєтеся звернутися за зовнішньою підтримкою, зверніть увагу на таке:
1. Досвід роботи.
4. Як довго компанія займається цим бізнесом?
5. Хто саме з фахівців буде з вами працювати.
6. Їхня кваліфікація, наявність сертифікатів.
7. Як надається підтримка.
8. Як контролюється зовнішній доступ.
Додаткові дії
Не рідше одного разу на рік проводьте аудит служби безпеки (зовнішній або внутрішній).
Висновок
Хотілося б вірити, що ці поради зможуть допомогти вам у нелегкій справі захисту інформації. Варто розуміти, що жодна людина не може дати вам вичерпні рекомендації. Захист інформації безперервний процес та довіряти його створення необхідно професіоналам.
Інструкція користувача з комп'ютерної безпеки Державної бюджетної загальноосвітньої установи Самарської області середньої загальноосвітньої школи с. Кам'яний Брід муніципального районуЧелно-Вершинський Самарської області
З метою забезпечення комп'ютерної безпеки користувач зобов'язаний:
1. Встановити останні оновлення операційної системи Windows (http://windowsupdate.microsoft.com)
2. Увімкнути автоматичне завантаження оновлень. (Пуск-> Налаштування -> панель керування -> Автоматично завантажувати та встановлювати на комп'ютер рекомендовані оновлення).
3. Завантажити із сайту www.microsoft.com програмне забезпечення Windows Defenderта встановити на всі комп'ютери. Увімкнути режим автоматичної перевірки. Включити режим перевірки за розкладом щодня.
4. Активувати вбудований брандмауер Windows (Пуск -> Налаштування -> Панель керування -> брандмауер Windows -> увімкнути).
5. Встановити антивірусне програмне забезпечення на кожен комп'ютер. Увімкнути режим автоматичного сканування файлової системи. Увімкніть режим щоденної автоматичної перевірки всієї файлової системи під час увімкнення комп'ютера. Активувати функцію щоденного автоматичного оновленняантивірусних основ.
6. Щоденно перевіряти стан антивірусного програмного забезпечення, а саме:
6.1. забезпечити постійне включеннярежим автоматичного захисту;
6.2. дата оновлення антивірусних баз не повинна відрізнятись більш ніж на кілька днів від поточної дати;
6.3. переглядати журнали щоденних антивірусних перевірок;
6.4. контролювати видалення вірусів за її появі.
7. Не рідше одного разу на місяць відвідувати сайт http://windowsupdate.microsoft.com та перевіряти, чи встановлені останні оновлення операційної системи.
8. Бути вкрай обережним під час роботи з електронною поштою. Категорично забороняється відкривати приєднані до листів, одержаних від незнайомих осіб, файли.
9. Контролювати відвідування Інтернет-сайтів користувачами. Не допускати відвідування т.зв. «хакерських», порно та інших сайтів з потенційно шкідливим змістом.
10. Обов'язково перевіряти антивірусним програмним забезпеченням будь-які зовнішні носії інформації перед початком роботи з ними.
11. При появі ознак нестандартної роботи комп'ютера («гальмує», на екрані з'являються та зникають вікна, повідомлення, зображення, самостійно запускаються програми тощо) негайно відключити комп'ютер від внутрішньої мережі, завантажити комп'ютер із зовнішнього завантажувального диска(CD, DVD) і здійснити повну антивірусну перевірку всіх дисків комп'ютера. При появі аналогічних ознак після виконаної процедури перевстановити операційну системуз форматуванням системного розділудиска.
Інструкція користувача щодо забезпечення інформаційної безпеки.
1. загальні положення
1.1. Ця Інструкція визначає основні обов'язки та відповідальність користувача, допущеного до обробки конфіденційної інформації.
1.2. Користувач при виконанні робіт у межах своїх функціональних обов'язків, забезпечує безпеку конфіденційної інформації та несе персональну відповідальність за дотримання вимог керівних документів щодо захисту інформації.
2. Основні обов'язки користувача:
2.1. Виконувати Загальні вимогищодо забезпечення режиму конфіденційності проведених робіт, встановлені законодавством РФ, внутрішніми документами організації та цією Інструкцією.
2.2. Під час роботи з конфіденційною інформацією розташовувати під час роботи екран відео монітора так, щоб виключалася можливість перегляду інформації, що відображається на ньому, сторонніми особами.
2.3. Дотримуватись правил роботи із засобами захисту інформації та встановленого режиму розмежування доступу до технічних засобів, програм, баз даних, файлів та інших носіїв конфіденційної інформації під час її обробки.
2.4. Після закінчення обробки конфіденційної інформації в рамках виконання одного завдання, а також після закінчення робочого дня, провести стирання залишкової інформації з жорсткого дискаперсональний комп'ютер.
2.5. У разі виявлення інцидентів інформаційної безпеки ( фактів чи спроб несанкціонованого доступу до інформації, що обробляється на персональному комп'ютері або без використання засобів автоматизації) негайно повідомити про це Департамент економічної безпеки, на вимогу керівника підрозділу написати службову записку на ім'я керівника підрозділу та взяти участь у службовій перевірці за цим інцидентом.
2.6. Самостійно не встановлювати на персональний комп'ютербудь-які апаратні чи програмні засоби.
2.7. Знати штатні режими роботи програмного забезпечення, основні шляхи проникнення та поширення комп'ютерних вірусів.
2.9. Пам'ятайте особисті пароліі персональні ідентифікатори, зберігати їх у таємниці, не залишати без нагляду носії, які їх містять, і зберігати в ящику столу або сейфі, що замикається. З встановленою періодичністю змінювати свій пароль ( паролі).
2.10. При застосуванні зовнішніх носіївінформації перед початком роботи провести їх перевірку щодо наявності комп'ютерних вірусів засобами персонального комп'ютера.
2.11. Знати та суворо виконувати правила роботи із встановленими на його персональному комп'ютері засобами захисту інформації ( антивірус, засоби розмежування доступу, засоби криптографічного захисту тощо.) відповідно до технічною документацієюза ці кошти.
2.12. Передавати для зберігання встановленим порядком свій індивідуальний пристрій ідентифікації ( Touch Memory, Smart Card, Proximity тощо.), інші реквізити розмежування доступу та носії ключової інформаціїлише керівнику підрозділу чи відповідальному за інформаційну безпеку.
2.13. Надійно зберігати та нікому не передавати особистий друк.
2.14. Негайно повідомляти Департамент економічної безпеки та керівника підрозділу при виявленні:
- порушень цілісності пломб ( наклейок, порушення чи невідповідності номерів печаток) на апаратних засобах чи інших фактів вчинення за його відсутності спроб несанкціонованого доступу до закріпленого за ним захищеного персонального комп'ютера;
- некоректного функціонування встановлених на персональний комп'ютер технічних засобівзахисту;
- відхилень у нормальній роботісистемних та прикладних програмних засобів, що ускладнюють експлуатацію персонального комп'ютера, виходу з ладу або нестійкого функціонування вузлів персонального комп'ютера або периферійних пристроїв (дисководів, принтера тощо.), а також перебоїв у системі електропостачання.
2.15. Після завершення робіт зі зміни апаратно-програмної конфігурації, закріпленої його персонального комп'ютера перевіряти його працездатність.
3. Забезпечення антивірусної безпеки
3.1.Основними шляхами проникнення вірусів в інформаційно-обчислювальну мережу організації є: знімні носії інформації, електронна пошта, файли, отримані з Інтернету, раніше заражені персональні комп'ютери.
3.2. У разі виникнення підозри на наявність комп'ютерного вірусу ( повідомлення антивірусної програми, нетипова робота програм, поява графічних та звукових ефектів, спотворень даних, пропадання файлів, часте поява повідомлень про системних помилокі т.п.) користувач повинен провести позачерговий антивірусний контроль персонального комп'ютера.
3.3. У разі виявлення під час проведення антивірусної перевіркизаражених комп'ютерними вірусамифайлів користувач ОБОВ'ЯЗАН:
- припинити ( призупинити) роботу;
- негайно повідомити факт виявлення заражених вірусом файлів свого безпосереднього керівника, відповідального за інформаційну безпеку, а також суміжні підрозділи, що використовують ці файли в роботі;
- оцінити необхідність подальшого використання файлів, заражених вірусом;
- провести лікування або знищення заражених файлів ( за необхідності для виконання вимог цього пункту слід залучити адміністратора системи).
3.4. Користувачеві ЗАБОРОНЯЄТЬСЯ:
- відключати засоби антивірусного захисту інформації;
- без дозволу копіювати будь-які файли, встановлювати та використовувати будь-яке програмне забезпечення, не призначене для виконання службових завдань.
4. Забезпечення безпеки персональних даних
4.1. Підставою для допуску працівника організації для обробки персональних даних у межах своїх функціональних обов'язків є Перелік посад, затверджений директором організації та посадова інструкція працівника. Підставою для припинення допуску до персональних даних є виключення з Переліку посад, затвердженого директором організації та ( або) зміна посадової інструкціїпрацівника.
4.2. Кожен працівник організації, який бере участь у процесах обробки персональних даних і має доступ до апаратних засобів, програмного забезпечення та баз даних системи організації, є користувачем та несе персональну відповідальність за свої дії.
4.3. Користувач ОБОВ'ЯЗАН:
- знати вимоги керівних документів щодо захисту персональних даних;
- проводити обробку інформації, що захищається, у суворій відповідності до затверджених технологічних інструкцій;
- суворо дотримуватись встановлених правил забезпечення безпеки персональних даних при роботі з програмними та технічними засобами.
4.5. Користувачеві ЗАБОРОНЯЄТЬСЯ:
- використовувати компоненти програмного та апаратного забезпеченняне за призначенням ( з неслужбовою метою);
- використовувати засоби розробки та налагодження програмного забезпечення стандартних програмних засобів загального призначення (MS Office та ін.);
- самовільно вносити будь-які зміни в конфігурацію апаратно-програмних засобів персонального комп'ютера або встановлювати додатково будь-які програмні та апаратні засоби;
- здійснювати обробку персональних даних у присутності сторонніх ( не допущених до цієї інформації) осіб;
- записувати та зберігати персональні дані на неврахованих знімних носіяхінформації ( гнучких магнітних дисках, флеш - накопичувачах і т.п.), здійснювати несанкціоновану роздрук персональних даних;
- залишати увімкненою без нагляду свій персональний комп'ютер, не активізувавши засоби захисту від несанкціонованого доступу ( тимчасове блокування екрану та клавіатури);
- залишати без особистого нагляду на робочому місці або будь-де своє персональний пристрійідентифікації, носії та роздруківки, що містять персональні дані;
- умисне використання недокументованих властивостей та помилок у програмному забезпеченні або в налаштуваннях засобів захисту, які можуть призвести до порушень безпеки персональних даних. Про виявлення таких помилок — повідомляти відповідального за безпеку інформації та керівника підрозділу.
4.6. Особливості обробки персональних даних без використання засобів автоматизації.
4.6.1. Обробка персональних даних вважається не автоматизованою, якщо вона здійснюється без використання засобів обчислювальної техніки.
4.6.2. Допуск до не автоматизованій обробціперсональних даних здійснюється відповідно до Переліку посад співробітників організації, які мають доступ до персональних даних, які відповідають за реалізацію вимог щодо забезпечення безпеки персональних даних.
4.6.3. Персональні дані при їх не автоматизованій обробці та зберіганні повинні відокремлюватися від іншої інформації шляхом фіксації їх на окремих матеріальних носіях спеціальних розділахабо на полях форм ( бланків).
4.6.4. При фіксації персональних даних на матеріальних носіях не допускається фіксація однією матеріальному носії персональних даних, мети обробки яких свідомо не сумісні.
4.6.6. Зберігання матеріальних носіїв персональних даних здійснюється у спеціальних шафах ( ящиках, сейфах тощо.), що забезпечують збереження матеріальних носіїв та виключають несанкціонований до них доступ.
5. Забезпечення інформаційної безпеки під час використання ресурсів мережі Інтернет
5.1. Ресурси мережі Інтернет можуть використовуватися для виконання вимог законодавства Російської Федерації, дистанційного обслуговування, отримання та поширення інформації, пов'язаної з діяльністю організації ( у тому числі, шляхом створення інформаційного веб-сайту), інформаційно-аналітичної роботи на користь організації, обміну поштовими повідомленнями, а також ведення власної господарської діяльності. p align="justify"> Інше використання ресурсів мережі Інтернет, рішення про яке не прийнято керівництвом організації в установленому порядку, розглядається як порушення інформаційної безпеки.
5.2. З метою обмеження використання мережі Інтернет у невстановлених цілях виділяється обмежена кількістьпакетів, що містять перелік сервісів та ресурсів Інтернету, доступних для користувачів. Наділення працівників організації правами користувача конкретного пакета виконується відповідно до його посадовими обов'язками.
5.3.Особливості використання мережі Інтернет:
- мережа Інтернет не має єдиного органу управління ( за винятком служби управління простором імен та адрес) і не є юридичною особою, з яким можна було б укласти договір ( угода). Провайдери ( посередники) мережі Інтернет можуть забезпечити лише ті послуги, які реалізуються безпосередньо ними;
- гарантії щодо забезпечення інформаційної безпеки під час використання мережі Інтернет жодним органом не надаються.
5.4. При здійсненні електронного документообігу, у зв'язку з підвищеними ризиками інформаційної безпеки при взаємодії з мережею Інтернет організація застосовує відповідні засоби захисту інформації ( міжмережеві екрани, антивірусні засоби, засоби криптографічного захисту інформації та ін.), що забезпечують прийом та передачу інформації тільки в встановленому форматіі лише для конкретної технології.
5.5. Поштовий обмінконфіденційною інформацією через мережу Інтернет здійснюється за допомогою захисних заходів.
5.6. Електронна пошта організації підлягає періодичній архівації. Доступ до архіву дозволено лише підрозділу ( особі) в організації, відповідальній за забезпечення інформаційної безпеки. Зміни у архіві не допускаються.
5.7. При взаємодії з мережею Інтернет Департамент інформаційних технологій забезпечує програмними та апаратними засобами протидію атакам хакерів та поширенню спаму .
5.8. При користуванні ресурсами мережі Інтернет ЗАБОРОНЯЄТЬСЯ:
- використовувати на робочому місці інші канали доступу персонального комп'ютера до Інтернету, крім встановленого;
- проводити самостійну зміну конфігурації технічного та програмного забезпечення персонального комп'ютера, підключеної до Інтернету;
- здійснювати надсилання електронних поштових повідомлень, що містять конфіденційну інформацію, відкритими каналами;
- використовувати інші, крім службових, поштові скриньки для електронного листування;
- відкривати файли, що прийшли разом з поштовим повідомленнямякщо не відоме джерело цього повідомлення;
- здійснювати перенесення отриманої по мережі Інтернет документованої інформаціїв електронному вигляді інші комп'ютери без перевірки її антивірусними програмами;
- скачувати з мережі Інтернет, у тому числі засобами електронної пошти, інформацію, що містить модулі, програми, драйвери тощо, що виконуються, без попереднього погодження з Департаментом інформаційних технологій;
- використовувати мережу Інтернет поза службовими завданнями, відвідувати інтернет-сайти, не пов'язані з виконанням посадових обов'язків.
6. Порядок роботи з носіями ключової інформації
6.1. У деяких підсистемах організації для забезпечення контролю за цілісністю електронних документів, що передаються по технологічних каналах ( далі – ЕД ), а також для підтвердження їх справжності та авторства можуть використовуватись кошти електронного підпису (далі – ЕП ).
6.2. Працівнику організації ( власнику ключа ЕП), якому відповідно до його посадових обов'язків надано право постановки на ЕД його ЕП, видається персональний ключовий носійінформації, на яку записана унікальна ключова інформація ( ключ ЕП), що відноситься до категорії відомостей обмеженого поширення.
6.3. Ключові носії маркуються відповідними етикетками, на яких відображається: реєстраційний номер носія та, за можливості розміщення, дата виготовлення та підпис уповноваженого співробітника, який виготовив носій, вид ключової інформації – еталон або робоча копія , прізвище, ім'я, по батькові та підпис власника ключа ЕП.
6.4. Персональні ключові носії ( еталон та робочу копію) власник ключа ЕП повинен зберігати у спеціальному місці, що гарантує їх збереження.
6.5. Ключі перевірки ЕП встановленим порядком реєструються у довіднику « відкритихключів, що використовується при перевірці справжності документів за встановленими на них ЕП.
6.6. Власник ключа ОБОВ'ЯЗАН:
- під підпис у « Журнал обліку ключових носіїв » Отримати ключові носії, переконатися, що вони правильно марковані і на них встановлений захист від запису;
- використовувати лише робочу копію свого ключового носія;
- здавати свій персональний ключовий носій на тимчасове зберігання керівнику підрозділу або відповідальному за інформаційну безпеку під час відсутності на робочому місці ( наприклад, на час відпустки чи відрядження);
- у разі псування робочої копії ключового носія ( наприклад, при помилці читання) власник ЕП зобов'язаний передати його уповноваженому співробітнику, який повинен у присутності виконавця зробити нову робочу копію ключового носія з наявного зразка та видати його замість зіпсованого. Зіпсована робоча копія ключового носія має бути знищена.
6.7. Власнику ключа ЕП ЗАБОРОНЯЄТЬСЯ:
- залишати ключовий носій без нагляду;
- передавати свій ключовий носій ( еталонну чи робочу копію) іншим особам ( крім як для зберігання керівнику підрозділу або відповідальному за інформаційну безпеку);
- робити невраховані копії ключового носія, роздруковувати чи переписувати з нього файли на інший носій інформації ( наприклад, жорсткий дискперсонального комп'ютера), знімати захист від запису, вносити зміни до файлів, що знаходяться на ключовому носії;
- використовувати ключовий носій на несправному дисководі та/або персональному комп'ютері;
- підписувати своїм персональним ключем ЕП будь-які електронні повідомленнята документи, крім тих видів документів, що регламентовані технологічним процесом;
- повідомляти треті особи інформацію про володіння ключем ЕП для даного технологічного процесу.
6.8. Дії компрометації ключів
6.8.1. Якщо у власника ключа ЕП з'явилася підозра, що його ключовий носій потрапив чи міг потрапити до чужих рук ( був скомпрометований), він повинен негайно припинити ( не відновлювати) роботу з ключовим носієм, повідомити про це Департамент інформаційних технологій та Департамент економічної безпеки, здати скомпрометований ключовий носій із позначкою в журналі обліку ключових носіїв про причину компрометації, написати службову записку про факт компрометації персонального ключового носія на ім'я керівника підрозділу.
6.8.2. У разі втрати ключового носія власник ключа ЕП зобов'язаний негайно повідомити про це Департамент інформаційних технологій та Департамент економічної безпеки, написати пояснювальну записку про втрату ключового носія на ім'я керівника підрозділу та взяти участь у службовій перевірці за фактом втрати ключового носія.
6.8.3. Відповідальний за інформаційну безпеку зобов'язаний негайно сповістити про факт втрати або компрометації ключового носія керівництво організації для дій щодо блокування ключів для ЕП зазначеного виконавця.
6.8.4. За рішенням керівництва організації встановленим порядком, власник ключа ЕП може отримати новий комплект персональних ключових носіїв замість скомпрометованих.
6.8.5. У разі переведення власника ключа ЕП на іншу роботу, звільнення або припинення трудових відносин іншим чином він зобов'язаний здати ( відразу після закінчення останнього сеансу роботи) свій ключовий носій відповідальному за інформаційну безпеку під підпис у журналі обліку.
7. Організація парольного захисту
7.1. Пароль для своєї облікового записуКористувач встановлює самостійно.
7.2. Забороняється використовувати пароль домену локальної обчислювальної мережі (вводиться під час завантаження персонального комп'ютера) для входу до інших автоматизованих систем.
7.2. Довжина пароля повинна бути не менше ніж 7 символів. У числі символів пароля рекомендується використовувати літери у верхньому та нижньому регістрах, цифри та спеціальні символи ( @, #, $, &, *, % і т.п.).
7.3. Пароль не повинен включати легко обчислювані поєднання символів ( логіни, імена, прізвища тощо.), а також загальноприйняті скорочення ( персональний комп'ютер, ЛОМ, USER тощо.).
7.4. При зміні пароля нове значення повинне відрізнятися від попереднього не менше ніж у 5 позиціях.
7.5. Користувач зобов'язаний зберігати в таємниці свій пароль.
7.6. Вимоги до пароля та періодичність його зміни встановлюються у групових доменних політиках.
8. Відповідальність користувачів
8.1. Працівники організації несуть відповідальність згідно з чинним законодавством, за розголошення відомостей, що становлять службову, комерційну та іншу таємницю, що охороняється законом ( у тому числі персональні дані) та відомостей обмеженого розповсюдження, що стали їм відомими за родом роботи.
8.2. Порушення встановлених правил та вимог щодо забезпечення інформаційної безпеки є підставою для застосування до працівника ( користувачеві) заходів покарання, передбачених трудовим законодавством.
Завантажити ZIP файл (26892)
Стали в нагоді документи - постав «лайк»:
