Политика информационной безопасности Оганесян А.А. Политика информационной безопасности информационной системы персональных данных ооо Тульские городские электрические сети
 Скачать 270 Kb.
|
9.КЛАССИФИКАЦИЯ ПОЛЬЗОВАТЕЛЕЙ ИСПДНПользователем ИСПДн является лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Пользователем ИСПДн является любой работник Общества, имеющий доступ к ИСПДн и ее ресурсам в соответствии с установленным порядком, в соответствии с его функциональными обязанностями. Пользователи ИСПДн делятся на три основные категории: 1 Администратор ИСПДн – работники Общества, которые занимаются настройкой, внедрением и сопровождением системы. Администратор ИСПДн обладает следующим - обладает полной информацией о системном и прикладном программном - обладает полной информацией о технических средствах и конфигурации ИСПДн; - имеет доступ ко всем техническим средствам обработки информации и данным - обладает правами конфигурирования и административной настройки технических 2 Программист-разработчик ИСПДн – работники Общества или сторонних организаций, которые занимаются разработкой программного обеспечения. Разработчик ИСПДн обладает следующим уровнем доступа: - обладает информацией об алгоритмах и программах обработки информации на - обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения; - может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн. 3 Оператор ИСПДн – работники структурных подразделений Общества, участвующие в процессе эксплуатации ИСПДн. Оператор ИСПДн обладает следующим всеми необходимыми атрибутами (например, обеспечивающими доступ к некоторому подмножеству ПДн; - располагает конфиденциальными данными, к которым имеет доступ. 10.ОСНОВНЫЕ ПРИНЦИПЫ ПОСТРОЕНИЯ СИСТЕМЫКОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИПостроение системы обеспечения безопасности ПДн ИСПДн Общества и ее функционирование должны осуществляться в соответствии со следующими основными - законность; - системность; - комплексность; - непрерывность; - своевременность; - преемственность и непрерывность совершенствования; - персональная ответственность; - минимизация полномочий; - взаимодействие и сотрудничество; - гибкость системы защиты; - открытость алгоритмов и механизмов защиты; - простота применения средств защиты; - научная обоснованность и техническая реализуемость; - специализация и профессионализм; - обязательность контроля. 11. Организация парольной защиты при работе на объектах информатизации.Личные пароли доступа к объекту информатизации, системе защиты от НСД, выдаются пользователям Администратором информационной безопасности, и при этом необходимо руководствоваться следующими требованиями: - длина пароля должна быть не менее 6-ти буквенно-цифровых символов; - пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, дни рождения и другие памятные даты, номера телефонов, автомобилей, адреса места жительства, наименования ИСПДН, общепринятые сокращения (ЭВМ, ЛВС, USER, SYSOP, GUEST, ADMINISTRATOR и т.д.), и другие данные, которые могут быть подобраны злоумышленником путем анализа информации об ответственном исполнителе; - не использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов; - не использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре (например, 123456 и т.п.); - при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4 позициях; - в числе символов пароля, обязательно должны присутствовать буквы в верхнем и нижнем регистрах, а также цифры; - не использовать ранее использованные пароли. Лица, использующие паролирование, обязаны: - четко знать и строго выполнять требования настоящей инструкции и других руководящих документов по паролированию; - своевременно сообщать Администратору информационной безопасности о всех нештатных ситуациях, нарушениях работы подсистем защиты от НСД, возникающих при работе с паролями. При организации парольной защиты запрещается: - записывать свои пароли в очевидных местах, внутренности ящика стола, на мониторе ПЭВМ, на обратной стороне клавиатуры и т.д.; - хранить пароли в записанном виде на отдельных листах бумаги; - сообщать посторонним лицам свои пароли, а также сведения о применяемой системе защиты от НСД. Порядок применения парольной защиты. Полная плановая смена паролей на ИСПДН проводится один раз в 3 месяца. Удаление (в т.ч. внеплановая смена) личного пароля любого пользователя ИСПДН должна производиться в следующих случаях: - в случае подозрения на дискредитацию пароля; по окончании срока действия; в случае прекращения полномочий (увольнение, переход на другую работу внутри организации) пользователя после окончания последнего сеанса работы данного с системой; по указанию Администратора информационной безопасности. Смена пароля осуществляется Администратором информационной безопасности. Для предотвращения доступа к персональным данным, находящейся в ПЭВМ, минуя ввод пароля, пользователь во время перерыва в работе обязан осуществить блокирование системы нажатием комбинации Ctrl+Alt+Del и кнопки «Блокировать» в появившемся меню, или выключить ПЭВМ. Порядок применения (смены) паролей при работе на ПЭВМ, оборудованных системой защиты от НСД, приведен в эксплуатационной документации на СЗИ. При первичном допуске к работе на ИСПДН Пользователь знакомится с требованиями руководящих, нормативно-методических и организационно-распорядительных документов по вопросам автоматизированной обработки информации, изучает инструкцию пользователя СЗИ Secret Net 6 (вариант К), получает персональный идентификатор или личный текущий пароль у Администратора информационной безопасности. Перед началом обработки персональных данных Пользователь включает ИСПДН, визуально убеждается в исправности и нормальном функционировании ИСПДН. В процессе работы пользователь создает файлы и массивы информации на ИСПДН с применением операционных систем Windows 7. При необходимости вывод персональных данных из ИСПДН осуществляется следующим образом: копированием на учтенные носители; на печатающее устройство (принтер). |