Национальный стандарт РФ ГОСТ Р ИСО/МЭК ТО 13335-5-2006 "Информационная технология. Методы и средства обеспечения безопасности. Часть 5 "Руководство по менеджменту безопасности сети" (утв. приказом Федерального агентства по техническому регулированию и ме стр. 4

Тип риска	Ссылка на доверительное отношение
	Низкая/ общая	Средняя/ общая	Высокая/ общая	Низкая/ частная	Средняя/ частная	Высокая/ частная
Раскрытие конфиденциальности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.7	13.3.3	13.3.3	13.3.4	13.3.3	13.3.5
	13.8	13.3.4	13.3.4	13.4	13.3.4	13.4
	13.9	13.4	13.3.5	13.5	13.4	13.7
	13.12	13.5	13.4	13.7	13.7	13.9
		13.7	13.5	13.8	13.8
		13.8	13.7	13.9	13.9
		13.9	13.8	13.12	13.12
		13.12	13.9
			13.12
Нарушение целостности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.6	13.3.3	13.3.3	13.3.4	13.3.3	13.3.5
	13.7	13.3.4	13.3.4	13.4	13.3.4	13.4
	13.8	13.4	13.3.5	13.5	13.4	13.6
	13.10	13.5	13.4	13.6	13.6	13.7
	13.12	13.6	13.5	13.7	13.7	13.10
		13.7	13.6	13.8	13.8
		13.8	13.7	13.10	13.10
		13.10	13.8	13.12	13.12
		13.12	13.10
			13.12
Потеря готовности (доступности)	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.6	13.3.3	13.3.3	13.3.4	13.3.4	13.3.5
	13.7	13.3.4	13.3.4	13.4	13.4	13.4
	13.8	13.4	13.3.5	13.5	13.6	13.6
	13.13	13.5	13.4	13.6	13.7	13.7
		13.6	13.5	13.7	13.8	13.12
		13.7	13.6	13.8	13.12	13.13
		13.8	13.7	13.12	13.13
		13.13	13.8	13.13
			13.13
Потеря способности подтверждать передачу/прием в сети	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3	13.2.3
	13.2.6	13.2.4	13.2.5	13.2.4	13.2.4	13.2.5
	13.4	13.2.6	13.2.6	13.2.6	13.2.6	13.2.6
	13.5	13.3.2	13.3.2	13.3.2	13.3.2	13.3.2
	13.7	13.3.3	13.3.3	13.3.4	13.3.4	13.3.3
	13.11	13.3.4	13.3.4	13.4	13.4	13.3.4
	13.13	13.4	13.3.5	13.5	13.7	13.3.5
		13.5	13.4	13.7	13.11	13.4
		13.7	13.5	13.11	13.13	13.7
		13.11	13.7	13.13		13.13
		13.13	13.13
Потеря подотчетности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13.2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.3	13.2.4	13.2.4	13.2.4
	13.6	13.3.4	13.3.4	13.2.5	13.2.5	13.2.5
	13.7	13.4	13.4	13.2.6	13.2.6	13.2.6
	13.8	13.6	13.6	13.3.3	13.3.3	13.3.3
	13.12	13.7	13.7	13.3.4	13.4	13.3.4
		13.8	13.8	13.4	13.6	13.4
		13.12	13.12	13.6	13.7	13.7
				13.7	13.12
				13.8
				13.12
Потеря аутентичности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13.2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.2	13.2.4	13.2.4	13.2.5
	13.3.3	13.3.3	13.3.3	13.2.5	13.2.5	13.2.6
	13.5	13.3.4	13.3.4	13.2.6	13.2.6	13.3.2
	13.6	13.4	13.4	13.4	13.3.2	13.3.4
	13.8	13.5	13.5	13.5	13.4	13.4
	13.10	13.6	13.6	13.6	13.5	13.5
	13.12	13.8	13.7	13.8	13.6	13.6
		13.10	13.8	13.10	13.10	13.7
		13.12	13.10	13.12	13.12	13.10
			13.12
Ухудшение надежности	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2	13.2.2
	13.2.6	13.2.6	13:2.6	13.2.3	13.2.3	13.2.3
	13.2.4	13.2.4	13.3.2	13.2.4	13.2.4	13.2.5
	13.3.3	13.3.3	13.3.3	13.2.5	13.2.5	13.2.6
	13.5	13.4	13.3.4	13.2.6	13.2.6	13.3.2
	13.6	13.5	13.4	13.4	13.3.2	13.3.4
	13.8	13.6	13.5	13.5	13.5	13.5
	13.12	13.7	13.6	13.6	13.6	13.6
	13.13	13.8	13.7	13.8	13.7	13.7
		13.12	13.8	13.12	13.12	13.12
		13.13	13.12	13.13	13.13	13.13
			13.13

13 Определение реальных потенциальных контролируемых зон

13.1 Введение

Теперь следует на основе использования ссылок по таблице 5 идентифицировать потенциально контролируемые зоны из раздела 13. Потенциально контролируемые зоны, представленные в 13.2 - 13.13, следует выбирать, используя раздел 12. Следует заметить, что частное решение защиты может на самом деле включать в себя ряд потенциально контролируемых зон, представленных в 13.2 - 13.13.

Следует также заметить, что ряд защитных мер относится к соответствующим системам ИТ независимо от того, имеют ли ИТ какие-либо сетевые соединения. Эти защитные меры следует выбирать, используя ИСО/МЭК 13335-4. Необходимо также отметить, что в настоящем стандарте сделано предположение о том, что имеются базовые защитные меры, изложенные в ИСО/МЭК 13335-4 для систем той организации, от которой исходят сетевые соединения.

Перечень потенциально контролируемых зон необходимо тщательно проанализировать в контексте соответствующих структур сети и их применений. Затем перечень можно применять как основу для последующего выбора мер защиты безопасности, их проектирования, реализации и технического обслуживания (см. раздел 15).

13.2 Управление безопасностью услуг

13.2.1 Введение

Ключевое требование обеспечения безопасности для конкретной сети заключается в том, что осуществляются действия по управлению безопасностью услуг, устанавливающие и контролирующие операции по безопасности и реализацию безопасности. Такие действия следует проводить для обеспечения безопасности всех ИТ организации. Деятельность управления сетевыми соединениями включает в себя:

- распределение ответственности и полномочий, связанных с обеспечением безопасности сетевых соединений, и назначение представителя руководства, несущего общую ответственность за их безопасность;

- документальное оформление заявления о политике в области безопасности систем, а также всей необходимой документации по структуре* технического обеспечения безопасности;

- разработку документированных процедур по обеспечению безопасности;

- проверку соответствия безопасности с целью убедиться в том, что безопасность поддерживается на требуемом уровне;

- документированное получение подтвержденных условий обеспечения безопасности для планируемого соединения, прежде чем будет получено разрешение на подключение к организации или сообществу;

- документированное получение подтвержденных условий обеспечения безопасности пользователей услуг, предоставляемых сетью;

- разработку схем действий в особой ситуации;

- документированное получение подтвержденных и проверенных планов непрерывности бизнеса/восстановления после стихийного бедствия.

Следует заметить, что настоящий раздел строится на аспектах, изложенных в ИСО/МЭК 13335-4. Только важные темы, касающиеся сетевых соединений, характеризуются далее в настоящем стандарте. Темы, не затронутые далее в настоящем стандарте, - в соответствии с ИСО/МЭК 13335-4.

13.2.2 Организационные процедуры обеспечения безопасности

Для поддержки политики обеспечения безопасности систем следует разработать и соблюдать документацию по организационным процедурам обеспечения безопасности. В них следует подробно изложить повседневные действия, связанные с обеспечением безопасности, и назначить лиц, ответственных за их проведение.

13.2.3 Проверка соответствия требованиям безопасности

Проверку соответствия требованиям безопасности в отношении сетевых соединений следует проводить в соответствии с контрольным перечнем, составленным на основе защитных мер, определенных в:

- политике безопасности систем;

- процедурах, имеющих отношение к безопасности;

- структуре технического обеспечения безопасности;

- политике доступа (безопасности) к услугам через межсетевой экран;

- плане(ах) обеспечения непрерывности бизнеса;

- условиях обеспечения безопасности для соединений по требованию.

Проверку соответствия следует проводить до операционного включения любого сетевого соединения, перед основным новым выпуском (имеющим отношение к значимому бизнесу или изменению в сети) либо ежегодно.

13.2.4 Условия обеспечения безопасности для соединения

Если условия обеспечения безопасности для соединения не согласованы на месте или по контракту, то организация принимает на себя риски, связанные с внешним концом сетевого соединения.

Например, организация А может потребовать от организации В, чтобы до подключения к системам организации А через сетевое соединение организация В поддерживала и демонстрировала заданный уровень безопасности для систем, вовлеченных в это соединение. В этом случае организация А может быть уверена, что организация В справляется со своими рисками должным образом. В таких ситуациях организация А должна определить условия обеспечения безопасности в конце сетевого соединения со стороны организации В, которые должны быть установлены в документации по соединению с подробным указанием необходимых защитных мер. Организация В должна реализовать и поддерживать в рабочем состоянии установленные защитные меры, и направлять организации А отчет об эффективности защитных мер и поддержанию необходимого уровня безопасности. Таким образом, сохраняется право поручать или проводить проверку соответствия требованиям безопасности соединения в конце сетевого соединения со стороны организации В.

Возможны также случаи, когда организации согласуют документ по условиям обеспечения безопасности для соединения, в котором записывают обязательства и ответственность для всех сторон, включая взаимную проверку соответствия требованиям по безопасности.

13.2.5 Условия безопасности, подтвержденные документально, для пользователей услуг, предоставляемых сетью

Для пользователей услуг, желающих работать дистанционно, разрабатывают документ с условиями обеспечения безопасности предоставляемых сетью услуг. В документе определяют ответственность пользователя за безопасную эксплуатацию аппаратных и программных средств, а также за обеспечение защиты данных.

13.2.6 Обработка инцидентов

Нежелательные инциденты с большой вероятностью могут происходить и оказывать серьезное вредное воздействие на бизнес при наличии сетевых соединений (в противоположность ситуации, когда их нет). Более того, при сетевых соединениях с другими организациями могут быть, в частности, нарушены юридические требования, связанные с внештатными ситуациями.

Следовательно, организация с сетевыми соединениями должна предусмотреть документированные и осуществимые схемы действий при обработке инцидентов, обладать соответствующей инфраструктурой, способной быстро реагировать по мере идентификации инцидентов, уменьшать их воздействие, а также извлекать уроки из непредвиденных ситуаций в целях предотвращения их повтора.

13.3 Идентификация и аутентификация

13.3.1 Введение

Организация должна обеспечивать безопасность услуг, предоставляемых сетью, и защиту связанной с ними информации путем ограничения доступа через соединения с авторизованным персоналом (внутри или за пределами организации). Эти требования распространяются не только на использование сетевых соединений. Организация должна подробно определить использование сетевых соединений в соответствии с защитными мерами, установленными в ИСО/МЭК 13335-4.

Четыре контролируемые зоны, целесообразные для использования сетевых соединений, а также системы ИТ, имеющие непосредственное отношение к таким соединениям, представлены в 13.3.2 - 13.3.5.

13.3.2 Дистанционная регистрация при входе в систему

Дистанционная регистрация авторизованного персонала, работающего вдали от организации, специалистов дистанционного технического обслуживания или персонала других организаций осуществляется через кодовые вызовы организации, соединения Интернет, выделенные магистральные линии других организаций или коллективный доступ по Интернет. Существуют соединения, установленные внутренними системами по требованию или с помощью партнеров по контракту, с использованием сети общего пользования. Каждый тип дистанционной регистрации при входе в систему требует дополнительных защитных мер, соответствующих особенностям типа соединения. Примерами таких защитных мер являются:

- отказ разрешения на прямой доступ в систему и программное обеспечение сети на основе учетных записей, используемых для дистанционного доступа, за исключением случаев, когда предоставлена дополнительная аутентификация (см. 13.3.3);

- предохранение от несанкционированного доступа к информации, связанной с программным обеспечением электронной почты и справочной базой данных в памяти ПК и переносных компьютеров, используемых персоналом организации за пределами ее офисов.

13.3.3 Совершенствование аутентификации

Использование пар имя/пароль является простым путем установления подлинности пользователей, но пары имя/пароль могут бытъ дискредитированы или вскрыты. Существуют другие более безопасные пути аутентификации пользователей, особенно удаленных. Такое совершенствование аутентификации необходимо в случае, если существует высокая вероятность получения услуги лицом без соответствующих полномочий к защищаемым и важным системам. Это возможно, например, в случае, если доступ может быть инициирован по сетям общего пользования или система доступа не находится под непосредственным контролем организации (например с переносного компьютера).

В случае, если необходима усовершенствованная аутентификация по сетевым соединениям (например по контракту) или она оправдана рисками, то организации следует рассмотреть процесс определения подлинности пользователя с помощью соответствующих защитных мер, таких как:

- использование других средств идентификации для поддержания аутентификации пользователей, таких как дистанционно проверяемые маркеры доступа, карточки с микропроцессором или магнитной полосой (используемые через считывающее устройство-приставку к ПК), ручные устройства генерации ключа одноразового прохода, модемы с набором обратного номера или биометрические средства контроля;