Програма на Европейския съюз за България проект по програма фар
Изтегляне 1.44 Mb.
|
- Навигация на страницата:
- 7.4.2Рамков документ по сигурността
- 7.4.3Позиционни документи
- 7.4.4Собственик на политиката
- 7.4.5Списъци с данни по сигурността
- 7.4.6Технически ръководства
- 7.4.7Собственик на системата
- 7.4.8Съдържание на политиката
- 7.4.9Оценка на политиките
- 7.4.10Примерна политика за сканиране за вируси
- 7.4.11Примерна политика за пароли
7.4Мрежови политики7.4.1Политика за мрежова сигурностПолитиката за мрежова сигурност трябва да се занимава с уязвимостта и рисковете и най-вече, да държи зловредните потребители далеч, както и да упражнява контрол над потенциални рискови потребители в рамките на правителството. Политиката по мрежова сигурност трябва да очертае правилата за мрежов достъп и употреба и по-нататък да определи по какъв начин политиките ще влизат в сила за индивиди или групи от индивиди в цялото правителство. Тя трябва да определи правилата за:
Когато се структурира политиката по сигурността, ефективна класификационна система може да спомогне да се направят по-опростени политиките по сигурността, както и по-лесни за развитие. Обаче ако трябва да се внедряват в администрация, която употребява разнообразни технологии, развитието на политиките все пак ще изисква много работа. Особено важно е политиките да се структурират и пакетират по такъв начин, че да са колкото е възможно по-леки, без да се изпусне нито един важен момент. Те трябва да бъдат:
За да покрие тези изисквания политиката трябва да се раздели на няколко по-малки политики, които са организирани на йерархичен принцип. Малките политики са известни като “позиционни документи” и съдържат специфични политики относно специфични проблеми или специфични системи. Поради това, че всеки от тези позиционни документи е фокусиран, може да се поддържа малък и практичен, може да бъде написан от специалист и може лесно да се модифицира или обнови без да има никакъв ефект върху останалата част от политиката. 7.4.2Рамков документ по сигурносттаВъпреки че всеки позиционен документ може да е написан от различен автор, обикновено специалист в съответното направление, всички документи трябва да се основават на някакви основни принципи. Тези принципи трябва да се изложат в единичен документ, който е известен като Рамков документ по сигурността. Този документ, заедно с класификационната система, създава рамка от ценности и принципи, на които трябва да се основава всеки друг документ. Това може да се разглежда като обща представа или изглед на политиката като цяло. Рамката по сигурността оформя един вид основна политика по подразбиране, която може да се ползва за справка когато има някакво съмнение или в случаи, когато няма съответен документ по сигурността по отношение на определена система. Тази концепция е представена на Фигура 12:  
Фигура 12 – Рамка на сигурността Рамката на сигурността определя минимален комплект от организационни изисквания по сигурността, който е приложим за всички управленски, външни или консултанти на персонала. Документът определя комплект от концепции и принципи, чиято цел е да се осигури защитата на всички информационни активи, както и на технологиите, използвани за тяхното съхранение и предаване. Не бива да се вземат решения касаещи сигурността на информацията и информационните технологии (ИТ) без внимателно съобразяване и пълно съответствие с концепциите и принципите, определени в Рамковия документ по сигурността. Рамковият документ по сигурността трябва да покрива най-малко следните важни точки:
Офицерът по сигурността (ОС) поема най-голяма отговорност за сигурността в администрацията. Негова/нейна работа е да ръководят, съветват и преглеждат политиките и процедурите по сигурността в администрацията. Рамковият документ по сигурността обикновено отпада пред юрисдикцията на Офицера по сигурността, както и управлението и разпространението на различните позиционни документи. В една администрация, Офицерът по сигурността може да има назначен в екипа си Документен управител, някой, чиято специфична отговорност ще бъде осигуряването на всички документи по политиката да бъдат осъвременявани, промените са правилно контролирани и че потребителите имат свободен и лесен достъп до цялата необходима информация по сигурността. 7.4.3Позиционни документиПозиционните документи са написани по повод специфичен аспект от Политиката по сигурността, като например сигурността на определена технология или сигурността в определена ситуация. Например, може да съществува позиционен документ, който покрива конфигурацията по сигурността на сървърите от семейство “Windows 2003 servers”, които са свързани с интернет, както и друг позиционен документ, описващ процеса, който трябва да се следва в случай на пробив в мерките за сигурност (обикновено известно като “инцидент със сигурността”). Позиционните документи третират проблемите със сигурността по начин, който е последователен, практичен и лесен за разбиране. Те трябва също така да третират проблеми, директно свързани с администрацията. Поради това, че тези документи са тясно фокусирани, има възможност да бъдат кратки и тематични. Лесно се модифицират и могат да се пишат от хора, експерти в съответната област. 7.4.4Собственик на политикатаСобственикът на политиката е лицето, което е отговорно за поддръжката и целостта на определен документ за политиката. По този документ не могат да се правят никакви промени без изричното съгласие на Собственика на политиката. Името на собственика на политиката трябва да е ясно показано в документа, а документът трябва да има дата, поставена от собственика и да е подписан от собственика. Наличието на Собственик на политиката осигурява последователност на политиката, както и отчетност на валидността и ефикасността на определен аспект от политиката. 7.4.5Списъци с данни по сигурносттаВсяка ИТ система трябва да има списъци с данни по сигурността. Списъкът с данни съдържа специфични настройки и параметри, които осигуряват сигурността на системата. Докато Рамковият документ по сигурността и разнообразните позиционни документи се отнасят към политиката по принцип, списъците с данни представляват подробностите, които трябва да се приложат за всяка система. Всяка система или хост трябва да имат списък с данни, който се управлява от собственика на системата и е предмет на принципите на този документ и на Системния документ. Отговорност на собствениците на информацията и технологиите, както и на потребителите е, да получат съответните документи от Офицера по сигурността и да се уверят, че стандартите определени в тези документи са правилно приложени върху системата, която се контролира. 7.4.6Технически ръководстваТехническите ръководства са друг комплект полезни документи, въпреки че те не са точно политики. Те регулират въвеждането, работата, конфигурацията и администрирането на определени системи. Те могат да се закупят в готов вид или администрацията може да наеме експерти за написването им. Могат да се съхраняват заедно с политиките и да предоставят справки за позиционните документи. Например, вместо да се използва позиционен документ, за да се опише точно как AIX20-базирани Apache Web Servers или Oracle DB Server трябва да се конфигурират, администрацията може да напише или дори да закупи ръководство, което покрива точно тази задача. И отново, това спомага за модулната природа на политиките по сигурността и ги прави както по-лесни за употреба, така и по-лесни за управление. 7.4.7Собственик на систематаСобственик на системата е лицето, отговорно за техническата поддръжка на определена ИТ система. Негова отговорност е да осигури че спецификацията в Рамковия документ по сигурността и съответните позиционни документи, са приложени и поддържани. Освен това, отговорност на собственика на системата е решението относно класификацията на системата и дали тя ще се различава от тази по подразбиране. Името на Системния собственик се дава в списъците с данни за всяка система и трябва ясно да е показано, за да може лесно да бъде видяно във всички случаи, когато определен потребител има достъп до системата или когато е около или близо до системата. 7.4.8Съдържание на политикатаПолитиките трябва да са основани на реалните изисквания, установени посредством оценка на риска, която трябва да се извърши от администрацията. Позиционните документи трябва да включват:
Следващият въпрос възниква около въпросите, които трябва да се покриват от Позиционните документи относно Националната мрежова инфраструктура. Много от въпросите, дадени по-долу се застъпват с аспекти на Националната Мрежова инфраструктура, но въпреки това, ние горещо препоръчваме българското е-управление да предприеме обширен подход по отношение определяне на съдържанието на политиките.
7.4.9Оценка на политикитеКогато администрацията вече има комплект от политики по сигурността, ще бъде необходимо да се определи ефикасността на политиките в рамките на административния контекст. Правилният начин да се направи това е чрез друго упражнение по оценка на риска, като по този начин се завършва цикъла по сигурността. Възможно е обаче политиките да се оценят правилно без да има нужда да се преминава през целия процес за оценка на риска. Следва списък от прости въпроси, които могат да се използват от персонала по сигурността за оценка на ефективността на дадена политика по отношение на администрацията.
7.4.10Примерна политика за сканиране за вирусиВсички изпълними и други файлове трябва да се сканират от одобрено антивирусно решение преди да бъдат отворени на технологичен актив или преди да бъдат предадени към други мрежи посредством метод за трансфер на файлове или като прикрепени файлове в електронна поща, както е приложими. В допълнение, целият антивирусен софтуер трябва да се обновява и да се използва активно.
7.4.11Примерна политика за паролиВ много системи паролите са първата и единствена защитна линия. Отгатването на пароли е много разпространен и често успешен начин за атака, чрез който потребител може да получи достъп до определена система без разрешение. Отгатване на основата на съдържание се използва в допълнение към автоматичните методи (като така наречените “разбивачи на пароли”).
Каталог: upload -> docs docs -> Задание за техническа поддръжка на информационни дейности, свързани с държавните зрелостни изпити (дзи) – учебна година 2012/2013 docs -> Наредба №2 от 10. 01. 2003 г за измерване на кораби, плаващи по вътрешните водни пътища docs -> Наредба №15 от 28 септември 2004 Г. За предаване и приемане на отпадъци резултат от корабоплавателна дейност, и на остатъци от корабни товари docs -> Общи положения docs -> І. Административна услуга: Издаване на удостоверение за експлоатационна годност (уег) на пристанище или пристанищен терминал ІІ. Основание docs -> I. Общи разпоредби Ч docs -> Закон за изменение и допълнение на Закона за морските пространства, вътрешните водни пътища и пристанищата на Република България docs -> Закон за предотвратяване и установяване на конфликт на интереси docs -> Наредба за системите за движение, докладване и управление на трафика и информационно обслужване на корабоплаването в морските пространства на република българия Изтегляне 1.44 Mb. Сподели с приятели:
|