Просмотр

{{translate2}}
==1.Этика==
Пользователям информационной системы не разрешается: сообщать свои имена учетных записей и пароли друзьям или родственникам, пытаться подобрать пароли, обрабатывая файлы, хранящие пароли, программами-подборщиками, запускать сетевые сканеры, взламывать чужие учетные записи, прерывать работу систем, использовать системные ресурсы и электронную почту не по назначению, открывать файлы других пользователей за исключением случаев, когда владелец файла попросил об этом, скачивать файлы, копировать нелицензионное ПО или позволять другим пользователям копировать нелицензионное ПО.
<!--==1.Ethics==
Users are not allowed to: share accounts or passwords with friends or relatives, run password checkers on system password files, run network sniffers, break into other accounts, disrupt service, abuse system resources, misuse email, examine other users files unless asked to do so by the file owner, download PC binaries, copy unlicenced software or allow other users to copy unlicenced software.-->
==2. Парольная политика==
Комбинация имени учетной записи пользователя и пароля определяет пользователя в системе. Применение парольной политики является основным барьером для неавторизованного доступа в используемые системы.

<u>Содержимое</u>
*комбинация цифр, прописных и строчных букв, знаков препинания.
*легкое для запоминания (не нужно записывать).
*удобное для быстрого ввода (сложно для восприятия подглядывающего).

<u>Примеры</u>
*выберите несколько строк поэмы, песни и т.д. и используйте только первые буквы слов.
*соедините два небольших слова необычным символом.
*придумайте акроним (например, комсомол — коммунистический союз молодежи).

<u>Примеры плохих паролей</u>
*имя супруга, родителя, коллеги, друга, домашнего животного, названия городов, месяцев, дней.
*номер машины/мотоцикла, номер телефона.
*простые слова из любого языка.
*серия одинаковых цифр/букв.
*простые клавиатурные последовательности (qwerty, asdf)
*все вышеперечисленное, введенное в обратной последовательности или с цифрой до или после.

<u>Правила</u>
*Не записывайте пароли, не пересылайте их по электронной почте(класс 2<ref>Смотри: [[Политика информационной безопасности (IT Security Cookbook)]]</ref>).
*Пароли, устанавливаемые по умолчанию не должны использоваться (класс 2).
*Не передавайте свой пароль посторонним (класс 2).
*Если пароли скомпрометированы, немедленно меняйте их.
*Избегайте распространения административных паролей. Используйте группы или утилиты типа 'su'.
*Если возможна синхронизация паролей пользователей между платформами, используйте ее. Пользователь, скорее всего, будет использовать более стойкий пароль, если он будет единственным.
*Подробно информируйте пользователей об опасности взлома и примерах его осуществления. Хорошо информированный пользователь - залог выбора стойкого пароля.
*Все пароли по умолчанию должны быть сменены перед использованием системы.
*Пароли должны храниться в зашифрованном виде. Шифрование должно быть стойким к брут-форс атакам, проводимым в течение нескольких недель на мощном компьютере.
*Пароли не должны отображаться во время ввода, отображения условных символов на каждый знак пароля следует избегать.
*Пользователь не должен иметь возможности узнать зашифрованные пароли других пользователей (из файла, содержащего пароли).
*Встраивание паролей из простого текста должно быть исключены любыми средствами. Встраивание шифрованных паролей также необходимо исключить где это возможно.
*Следует определить минимальный и максимальный срок действия пароля, а также список изменений. Например:
::Минимальный срок действия - 2 дня, максимальный срок действия = 6 месяцев, минимальная длина - 6 символов (класс 1).
::Минимальный срок действия - 2 дня, максимальный срок действия = 30 дней, минимальная длина - 6 символов (класс 2).
::История паролей: использование пяти предыдущих паролей должно быть запрещено (класс 3).
*Следует определить допустимое содержимое паролей. Система должна проверять пароли на соответствие этим правилам прежде чем принять их. См. раздел "Примеры плохих паролей" (класс 2).
*Пользователь не должен иметь возможность менять пароли других пользователей, но администратор должен быть в состоянии изменять пароли пользователей.
*Когда требуется отдельный логин для системы (например, для СУБД Oracle под Линукс), пароль должен быть блокирован во избежание интерактивного входа в систему.
*Требуйте, если возможно, смены пароля при первом входе в систему (класс 2).
*Используйте строгую аутентификацию (например, смарт-токены, смарт-карты, биометрические системы и т. д.) (класс 4).
*Если возможно, осуществляйте автоматическую генерацию паролей (в помощь пользователям) (класс 3).
*Программа проверки паролей должна регулярно (раз в неделю) проверять пароли на устойчивость. (класс 3)
<!--==2.Password Policy==
The combination of username and password define the identity of users on a system. Adopting a good personal password policy is the most important barrier to unauthorised access in current systems. 

<u>Content</u>
* mixture of numbers, capital letters, small letters, punctuation.
* easy to remember (don't need to write it down).
* easy to type quickly (difficult for an observer). 

<u>Examples</u>
* choose a line or two of a poem, song etc. and use just the first letters.
* join two small words with a strange character.
* invent an acronym. 

<u>Bad examples</u>
* name of your spouse, parent, colleague, friend, pet, towns, months, days.
* number of car/motorbike registration, telephone.
* common dictionary words (French, German, English, Italian..).
* a series of identical numbers/letters.
* Obvious keyboard sequences.
* Any of the above in inverse or with a number before or after.

<u>Guidelines</u>
* Don't write it down, or disclose via email (class 2<ref>Смотри: [[Политика информационной безопасности (IT Security Cookbook)]]</ref>).
<!--* Don't write it down, or disclose via email (class 2<ref>See [[Information Security Policy (IT Security Cookbook)]]</ref>).
* Default passwords should not be used (class 2).
* Don't give your password to others (class 2).
* If passwords are disclosed on a system, change them immediately.
* Avoid sharing the administrator (or root) password. Use user groups or utilities such a su instead.
* If possible synchronisation of user passwords across platforms is to be striven for. The user will probably choose better passwords if he only has to remember one single password. See also the "Security Mechanisms" chapter for a discussion of single signon.
* Inform users in detail of cracking dangers/successes. A well educated user is the best way to ensure good choice of passwords.
* All vendor defined default passwords must be changed before the system is used.
* Passwords should be stored in encrypted form. The encryption should be strong, resisting brute force decryption for at weeks on a powerful workstation.
* Passwords should not be displayed when being entered, neither should a "*" be shown for each character.
* A user should not be able to read other users (encrypted) passwords (from the password file).
* Embedding of clear-text passwords into software should be avoided at all costs. Embedded encrypted passwords are also to be avoided where possible.
* A password minimum age, maximum age, minimum length & history list should be specified. E.g.
::Minimum age = 2 days, Maximum age = 6 months, Minimum length = 6 characters (class 1).
::Minimum age = 2 days, Maximum age = 30 days, Minimum length = 6 characters (class 2).
::Password history: the use of the last 5 passwords should be prohibited (class 3).
* The allowed password content should be specified. The system should check the password content according to these rules, before accepting the password. E.g. see section bad examples above (class 2).
* Users should not be able to change other user's passwords, but the account operator can change user passwords. 
* When special application accounts (e.g. oracle under UNIX), their passwords should be blocked to prevent interactive logon.
* Force change of password on first login, if possible (class 2).
* Consider the use of stronger authentication (e.g. smart tokens, Chip Cards, biometrics etc.)(class 4).
* If possible provide automatic password generation (to help the user) (class 3).
* A password checker should regularly ( once per week) check for weak passwords (class 3).-->
==3. Программное обеспечение==
Общедоступное ПО может использоваться в системах класса 1 и 2 при наличии TCB (Trusted computing base - система надежных вычислений, см. www.boran.com/security/it15-os-overview.html) (т. е. не DOS/Windows), если системный администратор, ответственный за установку ПО уверен в надежности автора/источника. Общедоступное ПО в системах класса 3 следует избегать. Хотя, если это необходимо, применение такого ПО возможно исключительно после анализа исходного кода или (если исходный код большого размера) после года его использования в подобных системах в других (известных и надежных) компаниях и ПО было тщательно протестировано в изолированной среде.
Нелицензионное ПО не должно использоваться.
Использование игр допустимо если системный администратор уверен, что они не используют более 5% (например) ресурсов (дисковое пространство/память/загрузка процессора) и система не перегружается.
UNIX: скрипты SUID и SGID недопустимы в системе. Используйте Tainted Perl или скомпилированные программы.
<!--==3.General Software Policy==
Public domain software may be used on class 1 & 2 systems with a TCB (i.e. not DOS/Windows), if the system administrator responsible for the installation is convinced of the integrity of the author / sources.
Public domain software on class 3 systems is to be avoided. However, when necessary, it is only allowed after either a review of the source code, or (if the source is too big) after the software is in general use for at least a year on comparable systems in many other (well known and trusted) companies and the software has been rigorously tested in a protected environment.
Unlicensed software should not be used.
Games are allowed on the system, if the system administrator can ensure that they will not use more that 5% (for example) of resources (disk/memory/CPU) and they are not abused. 
Unix: set-user-id (SUID) and set-group-id (SGID) scripts are not allowed on the system. Use tainted perl or compiled programs instead.-->
==4.Сети==
1. Конфиденциальная информация:
*Конфиденциальные данные, передаваемые через общедоступные сети, должны быть зашифрованы.
2. Подключение к сетям:
*Пользователь не может подключить свой компьютер к любой сети кроме локальной.
*Доступ к внешним (публичным и частным) сетям должен осуществляться через межсетевой экран. Все межсетевые экраны должны инсталлироваться и обслуживаться службой безопасности.
3. Модемы.
*Пользователям запрещается иметь модемы на своих компьютерах.
*Доступ по dial-up в корпоративную сеть разрешен определенному кругу лиц. Доступ по dial-up должен осуществляться через защищенные сервера с использованием одноразовых паролей.
4. Электронная почта.
*Пользователям должно быть известно, что обычные почтовые системы часто не гарантируют защиту информации или точное определение отправителя. В большинстве систем системный администратор может читать всю почту. Данные системы класса 2 могут рассылаться внутри системы без шифрования. Класс 3 должен шифроваться.
*Данные класса 4 нельзя передавать по электронной почте.
*Только данные класса 1 и специфическая информация необходимая внешним участникам проекта может быть отправлена за пределы компании.
*Пользователям должны быть известны риски открытия документов с макросами, файлы в формате постскрипт и установки программ, полученных по электронной почте.
<!--==4.Networks==
1. Confidential information:
*Confidential data transmitted over public networks shall be encrypted.
2. Connection to networks:
*A User may not connect a machine to any network except the corporate LAN.
*Access to external (public & private) networks shall occur over a Firewall. All Firewalls shall be installed and maintained by corporate security.
3. Modems:
*Users may not have modems on their machines.
*Dial-in access to the corporate LAN is allowed for certain users. All Dial-in access shall occur via secured Servers with one-time-password mechanisms.
4. Email
*Users should be aware that conventional email systems often guarantee neither privacy or proof of origin or receipt. In many systems the system administrator can read all email. Class 2 data may be sent internally within the company without encryption. Class 3 should be encrypted. 
*Class 4 data may not be transmitted via email.
*Only Class 1 data and information specifically allowed for projects with external entities may be emailed outside the company.
*Users should be aware of the risks of opening documents with macros, postscript files, and installing programs received via email.-->
==5.Интернет==
Подключение к интернету в современном деловом мире является неотъемлемой частью бизнеса, особенно в исследовательских отделах. Из-за недостатков в структуре и методах контроля интернет является источником следующих рисков:
*Компрометация конфиденциальной информации.
*Атака хакеров на корпоративные ресурсы.
*Изменение или удаление информации.
*Отказ систем из-за высокой нагрузки.

Если пользователям предоставлен доступ в интернет, они должны быть осведомлены о рисках и ознакомлены с политикой использования интернета. Следовательно необходима особая политика доступа к интернет, которая должна быть широко известна и используема:
*Весь исходящий трафик в интернет должен идти через утвержденные компанией шлюзы, которые сертифицированы на соответствие с корпоративной политикой безопасности.
*Кому предоставлен стандартный доступ в интернет (например, администраторы, исследовательские отделы).
*Кому доступна внешняя электронная почта (например, всем).
*Случаи запрета доступа (например, с серверов класса 3).
*Разрешенное клиентское ПО для работы в интернет (например, стандартное ПО организации).
*Недопустимое использование интернет (например, порнографические материалы, загрузка опасного или нелицензионного ПО, случаи пользования в сугубо личных целях и т. д.).
*Условия предоставление доступа к интернету (например, утвержденная политика использования межсетевого экрана, публикация информации, классифицированной как общедоступная).
<!--==5.Internet==
Connection to the Internet is almost inevitable in today's commercial environment, especially for research departments. Due to it's lack of structure & controls, the Internet offers many risks such as: 
*Disclosure of confidential information.
*The corporate network may be penetrated by hackers from the Internet.
*Information may be changed or deleted.
*Access to systems could be denied due to system overload. 

If users are to be allowed Internet access, they must be aware of the risks involved and the corporate policy as regards Internet usage => A specific Internet policy should exist, be well known and be enforced. 
*All outgoing access to the Internet must go over approved company gateways which have been certified as conforming to the corporate security policy.
*Who is allowed standard (WWW) Internet access? (e.g. administrators, research units)
*Who is allowed Internet email access? (e.g. everyone!)
*When is access not allowed? (e.g. not from class 3 servers).
*What Internet client software are allowed (e.g. corporate standards)?
*What may Internet clients not be used for? (e.g. Pornographic material, downloading dangerous or unlicensed software, excessive private use etc.)
*Who may provide Internet services? Under what conditions (e.g. approved Firewall policy, only publicly classified information may be published).-->
==6.Ноутбуки и портативные компьютеры==
Портативные компьютеры позволяют персоналу быть более продуктивным будучи "в отъезде". Они позволяют осуществлять доступ к информации. С точки зрения безопасности они могут создать риск компрометации информации, быть украдены и стать точкой неавторизованного доступа в корпоративную сеть. Количество мобильных компьютеров растет, поэтому необходима специальная политика по использованию портативных компьютеров:
*Донесите до пользователей риски при использовании ноутбуков.
*Парольная защита в таких офисных приложениях как MS Word не является защитой от грамотных злоумышленников.
*Съемный жесткий диск легко позволяет защититься если убрать его в карман. С другой стороны это упрощает кражу информации.
*Подготовка и инсталляция ПО должна производиться профессиональным ИТ персоналом. В штате необходимы сотрудники, которые могут дать рекомендацию по выбору модели ноутбука.
*По возможности установите программу шифрования файлов, обеспечивающую стойкое шифрование <ref>например, F-Secure Desktop или PGP Desktop, обладающие стойким алгоритмом шифрования и надежным удалением файлов.</ref> и простую в применении. Программа шифрования диска является альтернативой, но она может потребовать специальных знаний для администрирования и повлиять на производительность, а также вызвать проблемы совместимости.
*Используйте операционную систему, в которой обычный пользователь не имеет полного доступа к системе.
*Пользователи несут ответственность за ноутбуки за пределами офисного здания.
*Системы автоматической блокировки экрана и пароли при загрузке должны использоваться везде где это возможно. Загрузочные пароли защищают от любопытного, но не грамотного злоумышленника.
*Следует установить активный антивирус (установите его всем сотрудникам).
*В общественном транспорте держите ноутбук при себе.
*Данные класса 3 не следует переносить в ноутбуках если они не зашифрованы.
*Выключайте компьютер когда он не используется.
*Никогда не храните в ноутбуке пароль для доступа в корпоративную локальную сеть.
*Не передавайте данные класса 3 по небезопасным сетям (таким как интернет, GSM-сетям, инфракрасным портам и т. д.) без шифрования.
*Доступ в корпоративную локальную сеть через dial-up должен быть определен в политике доступа к сети.
*Выключайте модемы когда они не используются.
<!--==6.Laptops and portable computers==
Portable computers allow personnel to be more productive while "on the road". They offer flexibility as to where one can access information. From the security point of view they can create risks of information disclosure, theft and perhaps offer an unauthorised point of access to the corporate network. The mobile computing population is on the increase, so a special policy is necessary.

Some issues are: 
*Educate users as to the risks of Laptop usage.
*Password protection in office applications such as Winword is not a protection against the informed attacker.
*Removable hard disks allow the user to easily protect the most important component by putting it in his pocket. On the other hand, it makes it easier to steal information.

Possible policies are: 
*Have laptops prepared and installed by professional IT staff. Have knowledgeable staff who can offer sound advice on the choice of laptop model.
*If possible install a file encryption program which provides strong encryption<ref>E.g. F-Secure Desktop or PGP desktop which has military strength encryption and secure file deletion.</ref> and is easy to use. A disk encryption program is also an alternative, but may require more administrative overhead and affect performance and compatibility.
*Consider using an operating system (such as UNIX or NT) where a normal user does not have full access to the system.
*Users are responsible for their Laptops outside the corporate buildings.
*Automatic screen locking mechanisms and boot passwords should be used where possible. Boot passwords offer a protection against the curious, but not a informed attacker.
*An active virus scanner must be installed (provide it free of charge to all corporate users).
*Carry Laptops as hand baggage on public transport.
*Class 3 data should not be transported on laptops unless it is encrypted.
*Switch off the computer when not in use.
*Never store passwords on the Laptop which allow access to corporate network systems.
Communication: 
*Do not transmit class 3 data across insecure networks (such as Internet, Mobile-GSM, Infrared etc.) unless encrypted.
*Dial-in access to the corporate network should be specified in the Network access policy.
*Turn off modems when not in use.-->
==Ссылки==
<small><references /></small>
==См. также==
<!--==See also==-->
*[[Политика информационной безопасности (IT Security Cookbook)]]
*[[Политика обеспечения физической защиты (IT Security Cookbook)]]
*[[Политика обеспечения компьютерной и сетевой безопасности (IT Security Cookbook)]]
*[[Политика обеспечения непрерывности ведения бизнеса (IT Security Cookbook)]]
==Источник==
[http://www.boran.com/security/IT1x-6.html boran.com]

[[Категория:Безопасность персонала]]