Глава 8. Защита СКЗИ от несанкционированного доступа (п.п. 24-29)

Глава 8. Защита СКЗИ от несанкционированного доступа

24. Защита СКЗИ от НСД включают в себя выполнение следующих мероприятий:

а) на административном уровне (предпринимаемые руководством министерства здравоохранения Иркутской области по обеспечению процессов ИБ (в частности по вопросам применения СКЗИ) ресурсами, управлением и контролем со стороны руководства);

б) на организационном уровне (регламентация процессов охраны и режима допуска в отношении СКЗИ, ТС с СКЗИ, помещений, процессов обеспечения информационной безопасности (в частности при эксплуатации СКЗИ) и контроля эффективности, процессов обеспечения и поддержания компетентности персонала при работе с СКЗИ, распределение обязанностей и ответственности);

в) на техническом уровне (обеспечение соблюдения правил эксплуатации и работоспособности СКЗИ).

Защита СКЗИ от НСД должна удовлетворять следующим общим требованиям:

а) должна обеспечиваться на всех технологических этапах и во всех режимах функционирования СКЗИ, в том числе при проведении ремонтных и регламентных работ;

б) должна предусматривать контроль эффективности средств защиты от НСД. Этот контроль должен периодически выполняться Администратором СКЗИ на основе требований документации на средства защиты от НСД;

в) должна исключать возможность несанкционированного не обнаруживаемого доступа к СКЗИ, ТС с СКЗИ, инсталлирующих и ключевых носителей изменения аппаратной части ТС с СКЗИ (путем опечатывания (опломбирования) системного блока и разъемов ПЭВМ, опечатывания замочных скважин мест сейфов, шкафов, ящиков для хранения).

25. Перечень сотрудников, допущенных к работе в помещениях, на ТС с СКЗИ и непосредственно СКЗИ, закреплен распоряжением руководства организации. Все они должны иметь соответствующий уровень компетентности и допускаться к работе только после инструктажа по обеспечению информационной безопасности с использованием СКЗИ и обучения эксплуатации СКЗИ.

26. Для регламентации входа в ОС, BIOS, при осуществления шифрования на пароле и т.д. Администратор СКЗИ Министерства основывается на Инструкции по организации парольной защиты в АИС.

27. Администратор СКЗИ, а также Пользователи СКЗИ Министерства несут персональную ответственность за обеспечение режима конфиденциальности в отношении паролей доступа. Запрещается записывать пароли на материальные носители и хранить их в легкодоступных местах, в том числе на мониторе, рабочем столе или ящиках стола.

28. Периодичность смены пароля не должна превышать 1 год. Пароль должен быть изменен раньше плановой замены в случае его компрометации. Ответственность за своевременную смену пароля несет Администратор СКЗИ Министерства.

29. Указанная политика обязательна для всех учетных записей, зарегистрированных в ОС. Средствами BIOS должна быть исключена возможность работы на ПЭВМ СКЗИ, если во время ее начальной загрузки не проходят встроенные тесты.