Приложение 3. Регламент доступа к автоматизированным рабочим местам, предназначенным для обработки служебной информации ограниченного распространения

Приложение 3
к Методическим рекомендациям
по защите информации
на автоматизированных рабочих местах,
предназначенных для обработки
служебной информации ограниченного распространения
в органах исполнительной государственной власти области,
государственных учреждениях области

ТИПОВАЯ ФОРМА

Регламент
доступа к автоматизированным рабочим местам, предназначенным для обработки служебной информации ограниченного распространения

1. Общие положения

1.1. В настоящем Регламенте определяется порядок организации работ по разграничению доступа пользователей к средствам защиты и информационным ресурсам, содержащим служебную информацию ограниченного распространения, обрабатываемую на автоматизированных рабочих местах (далее - АРМ ДСП) в органах исполнительной государственной власти и государственных учреждениях Вологодской области.

1.2. Автоматизированная обработка служебной информации ограниченного распространения допускается только на базе автономных АРМ ДСП или в локальных вычислительных сетях (далее - ЛВС), расположенных в пределах контролируемой зоны, если ЛВС не имеет подключения к другим автоматизированным информационным системам.

1.3. Регламент определяет:

порядок выполнения процедур по предоставлению и прекращению доступа к информационным ресурсам на АРМ ДСП;

порядок обеспечения процессов идентификации и аутентификации пользователей защищаемых информационных ресурсов на АРМ ДСП;

порядок работы с парольной документацией, в том числе генерации, смены и прекращения действия паролей, меры обеспечения безопасности при использовании паролей на АРМ ДСП;

требования к средствам защиты и обслуживанию технических средств и систем АРМ ДСП.

1.4. Настоящий Регламент устанавливает порядок работы с защищаемой информацией в целях:

предотвращения несанкционированного доступа к служебной информации ограниченного распространения;

предотвращения несанкционированного уничтожения, искажения, копирования, блокирования служебной информации ограниченного распространения.

1.5. Основными видами угроз безопасности служебной информации ограниченного распространения (модификации, блокированию, уничтожению или несанкционированному копированию) при ее обработке на АРМ ДСП, являются:

противоправные действия третьих лиц;

противоправные действия пользователей;

ошибочные действия пользователей, в том числе нарушения правил эксплуатации ЭВМ и сетевого оборудования;

отказы и сбои технических средств.

1.6. Системными администраторами, ответственными за сопровождение, администрирование и техническую поддержку АРМ ДСП, являются работники бюджетного учреждения в сфере информационных технологий Вологодской области "Центр информационных технологий" (далее - БУ ВО "ЦИТ").

1.7. Пользователи АРМ ДСП и ответственный за эксплуатацию АРМ ДСП несут персональную ответственность за сохранность, неразглашение служебной информации ограниченного распространения и за соблюдение требований Инструкции о порядке обращения со служебной информацией ограниченного распространения, утвержденной в органе исполнительной государственной власти, государственном учреждении Вологодской области, Инструкции пользователя АРМ ДСП и настоящего Регламента.

1.8. За разглашение служебной информации ограниченного распространения, нарушение порядка обращения с документами или материальными носителями, содержащими такую информацию, пользователь АРМ ДСП может быть привлечен к дисциплинарной или иной предусмотренной законодательством Российской Федерации ответственности.

2. Предоставление пользователям доступа к АРМ ДСП

2.1. Технические мероприятия по вводу в эксплуатацию АРМ ДСП, его оснащению и настройке режима работы осуществляет системный администратор АРМ ДСП.

2.2. Доступ пользователей к работе на АРМ ДСП организует ответственный за эксплуатацию АРМ ДСП, который в том числе отвечает за соблюдение требований по защите информации ограниченного распространения при ее обработке на АРМ ДСП в органе исполнительной государственной власти, государственном учреждении Вологодской области.

2.3. Заявка на создание учетной записи пользователя АРМ ДСП и предоставление ему доступа к защищаемым ресурсам АРМ ДСП направляется в БУ ВО "ЦИТ" пользователем АРМ ДСП через ИС Помощник https://help.gov35.ru.

2.4. При первичном доступе к автоматизированной обработке служебной информации ограниченного распространения на АРМ ДСП пользователь:

проходит у ответственного за эксплуатацию АРМ ДСП инструктаж по использованию АРМ ДСП;

знакомится с требованиями организационно-распорядительных документов, регламентирующих обработку служебной информации ограниченного распространения.

2.5. Все действия пользователей АРМ ДСП в отношении АРМ ДСП подлежат фиксации в Журнале регистрации работы на автоматизированном рабочем месте, предназначенном для обработки служебной информации ограниченного распространения.

3. Общие требования к паролям пользователей АРМ ДСП

3.1. В АРМ ДСП используется однофакторная аутентификация пользователей. Допуск пользователей к обработке служебной информации ограниченного распространения на АРМ ДСП осуществляется на основании идентификатора и аутентификатора. В качестве аутентификатора пользователя используется личный пароль. Аутентификация пользователя в АРМ ДСП выполняется при входе в систему.

3.2. При первичном доступе пользователя системный администратор АРМ ДСП формирует идентификатор пользователя (имя пользователя для регистрации на АРМ ДСП) и личный пароль пользователя в соответствии с пунктом 3.6, и передает его пользователю АРМ ДСП. Пользователь обязан сменить личный пароль, предоставленный системным администратором АРМ ДСП при первом входе в систему.

3.3. В случае смены личного пароля пользователь самостоятельно меняет его, руководствуясь правилами, указанными в п. 3.6.

3.4. Доведение до пользователей идентификаторов пользователей и личных паролей, осуществляет системный администратор АРМ ДСП.

3.5. Смена личного пароля должна производиться в обязательном порядке в следующих случаях:

компрометации (подозрении на компрометацию) пароля;

по инициативе системного администратора АРМ ДСП или ответственного за АРМ ДСП.

3.6. При формировании пароля необходимо руководствоваться следующими требованиями:

длина пароля должна быть не менее 8-и буквенно-цифровых символов;

пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, дни рождения и другие памятные даты, номера телефонов, автомобилей, адреса места жительства, наименования АРМ, общепринятые сокращения) и другие данные, которые могут быть подобраны злоумышленником путем анализа информации;

в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, а также цифры;

запрещается использовать ранее использованные пароли.

3.7. При использовании пароля пользователю запрещается:

записывать свои пароли в очевидных местах (внутренности ящика стола, на мониторе ПЭВМ, на обратной стороне клавиатуры и т.д.);

хранить пароли в записанном виде на отдельных листах бумаги;

сообщать свои пароли посторонним лицам, а также сведения о применяемых средствах защиты от несанкционированного доступа на АРМ ДСП;

вводить личный пароль и другие учетные данные, если клавиатура находится в поле зрения других лиц.

4. Порядок разграничения прав пользователей и ограничения доступа пользователей к АРМ ДСП

4.1. Для каждого пользователя выделяется доступный только ему ресурс АРМ ДСП (папка).

4.2. Технические средства АРМ ДСП должны находиться в условиях, исключающих несанкционированный доступ. Случайный просмотр экрана монитора АРМ ДСП посторонними людьми должен быть исключен.

5. Требования к средствам защиты и обслуживанию технических средств и систем АРМ ДСП

5.1. При обработке служебной информации ограниченного распространения на АРМ ДСП должны быть реализованы требования к защите информации АРМ ДСП, исходя из класса защищенности АРМ ДСП.

5.2. Запрещается подключать к АРМ ДСП сторонние устройства, отсутствующие в Журнале учета машинных носителей информации, предназначенных для хранения и обработки служебной информации ограниченного распространения и не указанные в Техническом паспорте АРМ ДСП.

5.3. В целях организации упорядоченного и избирательного доступа к АРМ ДСП программное обеспечение, установленное на АРМ ДСП, должно обеспечивать выполнение следующих требований:

осуществляться автоматическая блокировка АРМ ДСП при отсутствии активности пользователя более 5 минут, а также по запросу пользователя;

осуществляться автоматическая блокировка АРМ ДСП в случае пяти неуспешных попыток входа в информационную систему;

гостевая учетная запись АРМ ДСП должна быть заблокирована;

реализован доступ пользователя АРМ ДСП к системе только под учетной записью с ограниченными правами. Запрещается работа с системой в привилегированном режиме (авторизация в системе с учетной записью, имеющей права администратора).

5.4. Ремонт АРМ ДСП, содержащих на носителях информации документы со служебной информацией ограниченного распространения, производится в присутствии ответственного за эксплуатацию АРМ ДСП, исключающего несанкционированный доступ к таким документам.

5.5. Запрещается выносить (вывозить) носители, содержащие служебную информацию ограниченного распространения, за пределы контролируемой зоны органа исполнительной государственной власти, государственного учреждения Вологодской области без разрешения руководителя органа исполнительной государственной власти, государственного учреждения Вологодской области.

При необходимости перемещения АРМ ДСП, содержащего на носителях документы со служебной информацией ограниченного распространения, за пределы контролируемой зоны ответственным за эксплуатацию АРМ ДСП принимаются меры, исключающие возможность их хищения в процессе перемещения, а также несанкционированного доступа к таким документам без нарушения целостности упаковки АРМ ДСП.

5.6. Неисправные носители информации АРМ ДСП подлежат уничтожению с использованием методов гарантированного стирания информации (в том числе физического уничтожения).

5.7. В случае списания технических средств и (или) систем, хранивших информацию ограниченного доступа, носители информации таких средств и (или) систем подлежат уничтожению с использованием методов гарантированного стирания информации.

5.8. Все действия системного администратора АРМ ДСП в отношении АРМ ДСП подлежат фиксации в Журнале регистрации работы на автоматизированном рабочем месте, предназначенном для обработки служебной информации ограниченного распространения.

6. Требования к антивирусному программному обеспечению

6.1. На АРМ ДСП в обязательном порядке должно быть установлено сертифицированное антивирусное программное обеспечение.

6.2. На АРМ ДСП в обязательном порядке должен периодически (не реже, чем один раз в месяц) запускаться сканер антивирусного программного обеспечения. Контроль за этим осуществляет ответственный за эксплуатацию АРМ ДСП.

6.3. В случае если обнаружены признаки заражения АРМ ДСП программами-вирусами:

6.3.1. Пользователь АРМ ДСП обязан:

немедленно прекратить работу АРМ ДСП;

немедленно сообщить ответственному за АРМ ДСП и системному администратору АРМ ДСП о факте заражения.

6.3.2. Системный администратор АРМ ДСП обязан произвести внеочередное полное антивирусное сканирование АРМ ДСП.