Студопедия  
Главная страница | Контакты | Случайная страница

АвтомобилиАстрономияБиологияГеографияДом и садДругие языкиДругоеИнформатика
ИсторияКультураЛитератураЛогикаМатематикаМедицинаМеталлургияМеханика
ОбразованиеОхрана трудаПедагогикаПолитикаПравоПсихологияРелигияРиторика
СоциологияСпортСтроительствоТехнологияТуризмФизикаФилософияФинансы
ХимияЧерчениеЭкологияЭкономикаЭлектроника

Мероприятия по обеспечению информационной безопасности

Читайте также:
  1. E) сферу по обслуживанию сельского хозяйства и по обеспечению его необходимыми для производства средствам
  2. I. Немедикаментозные мероприятия.
  3. III. Требования промышленной безопасности к организациям
  4. VI. Мероприятия в отношении лиц, общавшихся с больным гриппом
  5. Аварии и неполадки в работе котельной установки и мероприятия по их устранению.
  6. Анализ современного состояния проблемы безопасности
  7. Анализ угроз информационной безопасности
  8. Антикризисное управление в свете теории информационной ассиметрии
  9. БЕЗОПАСНОСТИ И РАЗВИТИЯ РОССИИ
  10. Безопасности ОПО, на которых используются ПС

1. Контролируйте доступ как к информации в компьютере, так и к прикладным программам. Не оставляйте на рабочем столе важные документы. Архивируйте с использованием пароля или криптографируйте конфиденциальные документы либо папки, базы данных, содержащие секретную информацию. Вы должны иметь гарантии того, что только авторизованные пользователи имеют доступ к информации и приложениям.

Идентификация пользователей

Обеспечьте, чтобы пользователи выполняли процедуры входа в компьютер, и используйте это как средство для идентификации в начале работы.

Аутентификация пользователей

Используйте уникальные пароли для каждого пользователя, которые не являются комбинациями личных данных пользователей, для аутентификации личности пользователя. Внедрите меры защиты при администрировании паролей, и ознакомьте пользователей с наиболее общими ошибками, позволяющими совершиться компьютерному преступлению.

Другие меры защиты:

Пароли - только один из типов идентификации - что-то, что знает только пользователь. Двумя другими типами идентификации, которые тоже эффективны, являются что-то, чем владеет пользователь (например, магнитная карта, отпечаток пальца), или уникальные характеристики пользователя (его голос).

Если в компьютере имеется встроенный стандартный пароль (пароль, который встроен в программы и позволяет обойти меры по управлению доступом), обязательно измените его.

Сделайте так, чтобы программы в компьютере после входа пользователя в систему сообщали ему время его последнего сеанса и число неудачных попыток установления сеанса после этого. Это позволит сделать пользователя составной частью системы проверки журналов.

Защищайте ваш пароль

· не делитесь своим паролем ни с кем

· выбирайте пароль трудно угадываемым

· попробуйте использовать строчные и прописные буквы, цифры, или выберите знаменитое изречение и возьмите оттуда каждую четвертую букву. А еще лучше позвольте компьютеру самому сгенерировать ваш пароль

· не используйте пароль, который является вашим адресом, псевдонимом, именем жены, мужа, телефонным номером или чем-либо очевидным

· используйте длинные пароли, так как они более безопасны

· обеспечьте неотображаемость пароля на экране компьютера при его вводе

· обеспечьте отсутствие паролей в распечатках документов

· не записывайте пароли на столе, стене или терминале. Держите его в памяти

Серьезно относитесь к администрированию паролей

· периодически меняйте пароли и делайте это не по графику

· шифруйте или скрывайте иным образом файлы паролей, хранящихся в компьютере, для защиты их от неавторизованного доступа

· назначайте на должность администратора паролей только самого надежного человека

· не используйте один и тот же пароль для всех сотрудников в группе

· меняйте пароли, когда человек увольняется

· заставляйте людей расписываться за получение паролей

· установите и внедрите правила работы с паролями и обеспечьте, чтобы все знали их

Процедуры авторизации

Разработайте процедуры авторизации, которые определяют, кто из пользователей должен иметь доступ к той или иной информации и приложениям - и используйте соответствующие меры по внедрению этих процедур в организации.

Установите порядок в организации, при котором для использования компьютерных ресурсов, получения разрешения доступа к информации и приложениям, и получения пароля требуется разрешение тех или иных ответственных работников.

Защита файлов

Помимо идентификации пользователей и процедур авторизации разработайте процедуры по ограничению доступа к файлам с данными:

· используйте внешние и внутренние метки файлов для указания типа информации, который они содержат, и требуемого уровня безопасности

· ограничьте доступ в помещения, в которых хранятся файлы данных, такие как архивы и библиотеки данных

· используйте организационные меры и программно-аппаратные средства для ограничения доступа к файлам только авторизованных пользователей

Предосторожности при работе

· отключайте неиспользуемые терминалы

· закрывайте комнаты, где находятся терминалы

· разворачивайте экраны компьютеров так, чтобы они не были видны со стороны двери, окон и тех мест в помещениях, которые не контролируются

· установите специальное оборудование, такое как устройства, ограничивающие число неудачных попыток доступа, или делающие обратный звонок для проверки личности пользователей, использующих телефоны для доступа к компьютеру

· программируйте терминал отключаться после определенного периода не использования

· если возможно, выключайте систему в нерабочие часы

2. Защищайте целостность информации. Вводимая информация должна быть авторизована, полна, точна и должна подвергаться проверкам на ошибки.

Целостность информации

Проверяйте точность информации с помощью процедур сравнения результатов обработки с предполагаемыми результатами обработки. Например, можно сравнивать суммы или проверять последовательные номера.

Проверяйте точность вводимых данных, требуя от служащих выполнять проверки на корректность, такие как:

· проверки на нахождение символов в допустимом диапазоне символов (числовом или буквенном)

· проверки на нахождение числовых данных в допустимом диапазоне чисел

· проверки на корректность связей с другими данными, сравнивающими входные данные с данными в других файлах

· проверки на разумность, сравнивающие входные данные с ожидаемыми стандартными значениями

· ограничения на транзакции, сравнивающие входные данные с административно установленными ограничениями на конкретные транзакции

Делайте перекрестные проверки содержимого файлов с помощью сопоставления числа записей или контроля суммы значений поля записи.

3. Защищайте системные программы. Если ПО используется совместно, защищайте его от скрытой модификации при помощи политики безопасности, мер защиты при его разработке и контроле за ним в его жизненном цикле, а также обучения пользователей в области безопасности.

Меры защиты при разработке программ и соответствующие политики должны включать процедуры внесения изменений в программу, ее приемки и тестирования до ввода в эксплуатацию. Политики должны требовать разрешения ответственного лица из руководства для внесения изменений в программы, ограничения списка лиц, кому разрешено вносить изменения и явно описывать обязанности сотрудников по ведению документации.

Должен быть разработан и поддерживаться каталог прикладных программ.

Должны быть внедрены меры защиты по предотвращению получения, изменения или добавления программ неавторизованными людьми через удаленные терминалы.

4. Сделайте меры защиты более адекватными с помощью привлечения организаций, занимающихся тестированием информационной безопасности, при разработке мер защиты в прикладных программах и консультируйтесь с ними при определении необходимости тестов и проверок при обработке критических данных. Контрольные журналы, встроенные в компьютерные программы, могут предотвратить или выявить компьютерное мошенничество и злоупотребление.

Должны иметься контрольные журналы для наблюдения за тем, кто из пользователей обновлял критические информационные файлы

 

Если критичность информации, хранимой в компьютерах, требует контрольных журналов, то важны как меры физической защиты, так и меры по управлению доступом.

Контрольные журналы не должны отключаться для повышения скорости работы.

Распечатки контрольных журналов должны просматриваться достаточно часто и регулярно.

5. Рассмотрите вопрос о коммуникационной безопасности. Данные, передаваемые по незащищенным линиям, могут быть перехвачены.

 

Физическая безопасность

 

Физическая безопасность связана с внедрением мер защиты, которые защищают от стихийных бедствий (пожаров, наводнений, и землетрясений), а также всяких случайных инцидентов. Меры физической безопасности определяют, каким будет окружение компьютера, вводимые данные, и результаты обработки информации. Помимо помещений, где размещено компьютерное оборудование, окружение включает в себя библиотеки программ, журналы, носители, помещения для архивов, и помещения для ремонта техники.

Меры физической защиты должны отвечать требованиям современной действительности и сочетать эффективность с невысокой ценой. Например, установка дорогой противопожарной системы может быть необходимой для защиты большого числа компьютеров, обрабатывающих критические данные, но оказаться неоправданно дорогой при защите одной персональной ЭВМ.

 

Преступления и злоупотребления

Компьютеры могут быть повреждены, украдены и специально выведены из строя с помощью короткого замыкания. Диски и другие носители могут быть разрушены разлитыми способами, а компьютеры залиты водой. Также компьютеры могут быть серьезно повреждены пожаром, скачками напряжения, стихийными бедствиями и другими инцидентами. Информация может быть перехвачена, украдена, продана и использоваться в корыстных целях отдельным человеком или целой компанией.

Следующие признаки могут указывать на наличие уязвимых мест в физической безопасности:

· разрешено курить, есть и пить рядом с компьютерами

· компьютерное оборудование оставляется в незапертых комнатах или является незащищенным по какой-либо другой причине

· не установлена пожарная сигнализация

· диски оставляются в ящиках столов, не делается архивных копий дисков

· посетителям не задается вопросов о причине их нахождения в помещениях, где установлены компьютеры

· реестр компьютерного оборудования и программ отсутствует, неполон, не обновляется или не проверяется после его заполнения.

· распечатки, диски, содержащие критические данные выбрасываются в обычное мусорное ведро

· замки на входах в помещения, где находится компьютерное оборудование, никогда не менялись

· не производилось аттестации автоматизированной системы организации, то есть анализа насколько она уязвима к доступу неавторизованных людей, пожару или наводнению.

 

Меры физической безопасности

1. Необходимо разработать мероприятия по предотвращению злонамеренных разрушений и неавторизованного использования или краж.

2. Стихийные бедствия могут нанести большой ущерб как большим, так и маленьким компаниям.

3. Защищайте все носители информации (исходные документы,

диски, распечатки)

· ведите, контролируйте и проверяйте реестры носителей информации

· обучайте пользователей правильным методам очищения и уничтожения носителей информации

· делайте метки на носителях информации, отражающие уровень критичности информации, которая в них содержится.

· уничтожайте носители информации в соответствии с планом организации

· удостоверьтесь, что доступ к носителям информации для их хранения, передачи, нанесения меток, и уничтожения предоставлен только авторизованным людям

· доведите все руководящие документы до сотрудников

 




Дата добавления: 2014-12-18; просмотров: 38 | Поможем написать вашу работу | Нарушение авторских прав




lektsii.net - Лекции.Нет - 2014-2024 год. (0.01 сек.) Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав