Выработка официальных ПРД организации к АС

2. Выработка официальных ПРД организации к АС

2.1 Краткий обзор

2.1.1 Организационные вопросы

Цель разработки официальных ПРД к АС в организации определить, каким, с точки зрения организации, должно быть правильное использование СВТ и сетей, и определить СРД, предотвращающие инциденты с защитой и помогающие их уладить. Для того, чтобы сделать все это, нужно учесть все особенности конкретной организации.

Во-первых, нужно учесть цели и задачи организации. Например, у военной базы интересы в области секретности сильно отличаются от тех, что имеются у университета.

Во-вторых, разрабатываемые ПРД организации должны быть согласованы с существующими правилами и законами, действие которых распространяется на организацию. Поэтому необходимо выявить их и учитывать при выработке ПРД.

В-третьих, за исключением случая, когда сеть организации полностью изолирована и автономна, необходимо рассматривать проблему защиты в более глобальном контексте. ПРД должны учитывать ситуации, когда местные проблемы с секретностью возникают вследствие нарушений защиты в удаленной организации, а также ситуации, когда проблемы с секретностью в удаленной организации являются результатом нарушений на местной СВТ или местным пользователем.

2.1.2 Кто вырабатывает ПРД?

Создание ПРД должно осуществляться совместными усилиями технического персонала, понимающего все тонкости предлагаемых правил и их реализации, и ЛПР, имеющих власть для претворения правил в жизнь. ПРД, которые либо не могут быть реализованы, либо не подкреплены организационными мерами, являются бесполезными.

Так как ПРД к АС могут затрагивать любого члена организации, стоит принять некоторые меры предосторожности, чтобы быть уверенным, что вы имеете достаточно прав, чтобы принимать какие-либо решения в области ПРД. Хотя конкретная группа (такая, как группа информационных средств университета) может иметь право претворять в жизнь ПРД, требуется поддержка и одобрение ПРД группой более высокого ранга в организации.

2.1.3 Кого это затрагивает?

Вырабатываемые ПРД организации потенциально касаются каждого пользователя АС организации в ряде случаев. Пользователи АС могут отвечать за администрирование паролей пользователей. Системные администраторы обязаны фиксировать бреши в защите и осуществлять надзор за АС.

Очень важно определить группы людей, затрагиваемые данными ПРД, в самом начале процесса. Могут уже существовать группы, связанные с секретностью, которые считают ПРД своим полем деятельности. Группами, которых могут касаться эти ПРД, являются группы аудирования/управления, организации, имеющие дело с физической секретностью, университетские группы информационных систем и т.д. Привлечение этих групп к процессу выработки с самого начала может помочь обеспечить приемлемость ПРД.

2.1.4 Обязанности

Ключевым моментом в ПРД является гарантия того, что каждый знает свои обязанности по поддержанию защиты. ПРД не могут предвидеть все возможные варианты, тем не менее, они могут гарантировать, что для решения каждого типа проблем назначен кто-либо, отвечающий за их решение.

Могут существовать уровни ответственности, связанные с ПРД. На одном уровне каждый пользователь АС отвечает за защиту своего регистрационного имени и пароля. Пользователь, который позволил скомпрометировать свой пароль, увеличивает шансы того, что будут скомпрометированы другие пароли или ресурсы.

Системные администраторы образуют другой уровень ответственности: они должны помогать обеспечивать гарантию секретности АС. Сетевые администраторы могут находиться на еще одном уровне.

Назад | Содержание | Вперед