Декларация, указы, конституция / 09. Политика информационной безопасности

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

Приложение 2

К проекту документа

«Политика информационной безопасности»

Инструкция по резервному копированию программных и информационных ресурсов.

1.Общие положения

Сцелью поддержания целостности и доступности информации в системе, а также недопущения ее утраты должно осуществляться оперативное резервирование и страховое сохранение информации в виде строго выполняемого регламентированного процесса копирования информации, промежуточного хранения и при необходимости или наступлении страхового случая - восстановления.

Настоящая Инструкция определяет требования к организации мероприятий по резервному копированию программных и информационных ресурсов компоненты «электронного правительства», а также устанавливает ответственность при проведении этих мероприятий.

2.Резервное копирование данных

В соответствии с утвержденным документом «Руководство администратора ЕСЭДО» должны регулярно создаваться и тестироваться резервные копии данных и ПО.

Необходимо обеспечить соответствующее оборудование для резервного копирования, гарантирующее восстановление всей необходимой информации и ПО после отказа носителей информации или аварии. Необходимо иметь в распоряжении не менее двукратного физического запаса оттестированных носителей.

При копировании данных следует учитывать следующие факторы:

1)владельцами ресурсов быть определен, а руководством утвержден состав информации, подлежащей резервному и страховому копированию;

2)должны составляться точные и полные отчеты установленной формы по созданию резервных копий, должны документироваться процедуры восстановления информации;

3)объем резервного копирования (например, полное или выборочное резервное копирование) и периодичность его выполнения должны соответствовать производственным требованиям организации, требованиям безопасности вовлеченной в копирование информации и критичности этой информации для продолжения работы организации;

4)резервные копии должны храниться в удаленном месте, на расстоянии, достаточном для предотвращения какого-либо ущерба вследствие

41

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

стихийного бедствия или аварии на основной территории организации, причем категорически запрещается хранение носителя непосредственно в устройстве записи/чтения;

5)резервная копия данных, вынесенная на удаленное хранение, должна иметь уровень физической защиты и защиты от воздействия окружающей среды, соответствующий стандартам, применяемым на основной территории; средства управления, применяемые для носителей информации на основной территории, должны действовать и на территории, на которой хранятся резервные копии;

6)носители резервных копий информации должны регулярно проверяться, чтобы гарантировать их надежность на тот случай, если ими необходимо будет воспользоваться в чрезвычайных обстоятельствах, остаточный ресурс службы должен быть не менее 30 процентов от полного;

7)должны регулярно тестироваться и проверяться рабочие и аварийные режимы процедуры восстановления информации, чтобы гарантировать их эффективность и возможность завершения в сроки, отведенные для отработки процедур восстановления рабочих данных;

8)в ситуациях, в которых важно сохранение конфиденциальности, резервные копии должны быть защищены шифрованием.

При наличии технических возможностей процессы восстановления и резервного копирования информации могут быть автоматизированы. При этом такие автоматизированные решения должны быть в достаточной степени выверены, протестированы и отработаны до ввода их в промышленную эксплуатацию.

3.Перечень ресурсов ЕСЭДО, подлежащих резервному копированию

Резервному копированию подлежат:

1)данные о настройках системы как единого целого для всех участников ЕСЭДО, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

2)справочники нормативно-справочной информации (НСИ) для всех участников ЕСЭДО, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

3)данные о настройках системы для каждого конкретного участника ЕСЭДО, хранимые в среде Lotus на сервере ЕСЭДО-В;

4)данные, накопленные в результате производственной деятельности конкретного участника ЕСЭДО, хранимые в среде Lotus на сервере ЕСЭДО-В;

5)данные, накопленные в результате межведомственного обмена всех участников, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

6)данные незавершенного сеанса передачи посредством СГДС,

сохраненные в среде MQ Series.

В настоящее время сложилось следующее распределение зон

42

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

ответственности за резервное копирование ресурсов ЕСЭДО:

1)по п.1 – системный администратор ОС, системный администратор

ORACLE (ЕСЭДО-Ц);

2)по п.2 – администратор БД ORACLE (ЕСЭДО-Ц);

3)по п.3 – администратор БД Lotus, системный администратор ОС (ЕСЭДО-В);

4)по п.4 – администратор БД Lotus (ЕСЭДО-В);

5)по п.5 – администратор БД ORACLE (ЕСЭДО-Ц);

6)по п.6 – системный администратор ОС (ЕСЭДО-Ц);

Должны быть внедрены процедуры документирования процессов резервного копирования

Рекомендуется дополнительно производить копирование данных по итогам каждого месяца на отдельный носитель с обеспечением его сохранности вне территории организации в течение 1 года. Не рекомендуется хранить носители разных организаций в одном месте.

Резервное копирование должно выполняться (для автоматического режима – контролироваться) вышеуказанным персоналом согласно утвержденному расписанию.

Для целей надежного сохранения данных ЕСЭДО-Ц необходимо создать резервный Центр ЕСЭДО.

4.Обращение с носителями информации

Все операции и процессы, выполняемые с носителями информации, должны гарантировать недопущение фактов несанкционированного раскрытия, изменения, удаления или разрушения ресурсов или отказе в доступе.

Все операции и процессы, выполняемые с носителями информации, должны контролироваться. Носители как вещный ресурс должны быть физически защищены.

Должны быть разработаны и реализованы соответствующие процедуры работы для защиты от несанкционированного раскрытия, изменения, удаления и уничтожения компьютерных носителей информации, данных ввода – вывода, системной документации.

5.Управление сменными носителями информации

Должны быть разработаны и реализованы процедуры управления использованием сменных носителей информации. В целом эти процедуры должны быть согласованы с требованиями к носителям как к ресурсам (см. главу 7 данного документа)

Должны быть рассмотрены следующие рекомендации по управлению использованием сменных носителей информации:

43

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

1)если содержимое любых носителей информации многократного использования, которые должны быть удалены из организации, больше не требуется, это содержимое нужно сделать невосстанавливаемым;

2)в случае, когда это необходимо и практически реализуемо, удаление носителей информации из организации должно осуществляться только после получения соответствующего разрешения, при этом должен составляться и сохраняться специальный отчет, который затем должен использоваться при аудиторских проверках;

3)все носители информации должны храниться в безопасных, надежных условиях, в соответствии со спецификациями изготовителей;

4)следует предусмотреть меры по своевременной миграции данных с морально устаревших носителей информации на новые типы носителей, а также с носителей со сроком хранения, превысившим 80ти процентный рубеж от рекомендуемого;

5)для снижения вероятности потери данных должна быть предусмотрена регистрация съемных носителей информации;

6)съемные дисковые носители информации следует использовать только

втех случаях, когда это диктуется производственными требованиями. Все процедуры и уровни санкционирования должны быть четко

документированы.

6.Утилизация носителей информации

Вышедшие из употребления носители информации должны утилизироваться способами, не допускающими получения с них информации в каком-либо виде.

Процедуры безопасной утилизации носителей информации должны сводить к минимуму риск утечки конфиденциальной информации к лицам, которые не должны иметь к ней доступа.

Процедуры безопасной утилизации носителей информации, содержащих такую информацию, должны быть адекватны степени критичности этой информации.

Должны быть рассмотрены следующие рекомендации:

1)носители информации, содержащие критичную информацию, должны храниться и утилизироваться надежными и безопасными способами, например, сжиганием или измельчением, либо стиранием данных, если они будут затем использоваться в пределах организации для работы с другими приложениями;

2)должны быть разработаны и реализованы процедуры по идентификации объектов, которые могут потребовать безопасной утилизации;

3)допускается применять групповое уничтожение носителей путем физического уничтожения (измельчение, сжигание…);

44

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

4)услуги по сбору и утилизации бумаги, оборудования и носителей информации предлагаются многими организациями; необходимо соблюдать осторожность при выборе подходящего контрагента с адекватными средствами управления и опытом или воспользоваться рекомендациями компетентных органов;

5)при утилизации носителей, содержащих конфиденциальную (критичную) информацию должны составляться отчеты. Эти отчеты затем следует использовать при аудиторских проверках.

Утилизацию носителей рекомендуется производить периодически. Не следует накапливать большие объемы предназначенных для утилизации носителей. При этом возможно проявление эффекта агрегирования, заключающегося в том, что большое количество открытой, несекретной информации, собранное воедино, может быть успешно использовано для поиска конфиденциальной информации методом сопоставимости.

Утилизацию носителей не следует считать «третьесортным» процессом и выполнять ее надо со всей тщательностью.

7.Процедуры обращения с информацией

Для защиты информации от несанкционированного раскрытия или неправильного использования должны быть разработаны и реализованы процедуры по обращению с информацией и по ее хранению. Состав таких процедур ограничивается областью использования систем применительно к категориям доступа документов.

Система ЕСЭДО предназначена для работы с несекретными документами, и применительно к этому должны быть рассмотрены следующие рекомендации:

1)ограничения доступа к информации лиц, не имеющих соответствующего разрешения;

2)поддержка составления формальных отчетов о получателях данных, имеющих соответствующее разрешение;

3)обеспечение полноты введенных данных, должного завершения их обработки и проверки правильности выводимой информации;

4)хранение носителей информации в соответствии со спецификациями изготовителей;

5)четкая и понятная маркировка всех копий носителей информации для удобства работы с ними всех санкционированных получателей;

6)регулярная проверка списков рассылки и списков получателей, имеющих разрешение.

8.Защита системной документации от несанкционированного доступа

Системная документация должна быть защищена от

несанкционированного доступа к ней, а также должны быть приняты

45

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

достаточные меры по обеспечению ее надежного физического хранения. При этом под системной документацией понимаются, в том числе и носители с исходными кодами ПО.

При обеспечении безопасности системной документации должны быть рассмотрены следующие рекомендации:

1)системная документация (экземпляр организации) должна храниться в надежном месте с наличием обязательного экземпляра в Депозитарии программных кодов и технической и документации;

2)список доступа к системной документации, как минимум, должен быть санкционирован и обслуживаться владельцем приложения;

3)системная документация, хранимая в сети общего пользования или передаваемая через сеть общего пользования, должна быть соответствующим образом защищена;

4)рекомендуется иметь не менее 3 копий поддерживаемых электронных версий, раздельно хранящихся в 3 территориально обособленных местах.

46

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

Приложение 3

К проекту документа «Политика информационной безопасности»

Регламент доступа администраторов (персонала) к серверам ЕСЭДО

1.Общие положения

Настоящий «Регламент доступа администраторов (персонала) к серверам ЕСЭДО», далее – регламент, устанавливает единый порядок доступа персонала к серверам единой системы электронного документооборота, далее – ИС, в процессе производственной эксплуатации ИС, а так же при проведении работ по обслуживанию аппаратного и программного обеспечения серверов ИС, с непосредственным физическим доступом в серверное помещение.

Регламентация доступа к серверу проводится с целью поддержания уровня безопасности ИС по направлениям «общая безопасность ИС», «защита оборудования» и «контроль доступа», а также обеспечения принципа персональной ответственности каждого участника ИС за свои действия. Для доступа в серверное помещение администраторы ИС должны руководствоваться регламентом доступа в серверные помещения, утвержденным организацией, ответственной за серверное помещение, в котором расположен сервер ИС.

Для выполнения работ, указанных в п.1, назначаются администраторы ИС и технический персонал.

Администраторы ИС назначаются руководителем организации из числа сотрудников, имеющих необходимую квалификацию, подтвержденную соответствующими сертификатами. В группе администраторов должен быть назначен один администратор ИС, определенный как ответственный за ИС. При необходимости для выполнения работ, указанных в п.1, могут привлекаться сторонние организации.

Внастоящем регламенте используются основные понятия и термины, используемые в стандартах СТ РК 34.006-2002 «Информационная технология. Базы данных. Основные термины и определения», СТ РК 34.007-2002 «Информационная технология. Телекоммуникационные сети. Основные термины и определения», СТ РК 34.005-2002 «Информационная технология. Основные термины и определения».

47

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

2.Категории персонала, имеющего право доступа к серверам ИС и виды доступа

1.Устанавливаются следующие категории персонала, имеющего право доступа к серверам ИС:

1)администратор ИС, определенный как ответственный за ИС – сотрудник организации (далее – уполномоченный администратор ИС);

2)администратор ИС – сотрудник(и) организации;

3)привлеченный администратор ИС – сотрудник(и) сторонней организации;

4)сотрудники службы ИБ – сотрудники ответственные за ИБ организации;

5)технический персонал - сотрудник(и) организации;

6)привлеченный технический персонал - сотрудник(и) сторонней организации.

2.Под «доступом» в контексте настоящей инструкции понимается физический доступ субъектов непосредственно к серверу с целью выполнения каких-либо работ технического характера, или действий с программным обеспечением, размещенным на сервере. Доступ в серверное помещение хозяйственного обслуживающего персонала, персонала инженерных служб, сотрудников всех видов охраны к этому виду доступа непосредственно не относится и определяется общим положением организации по доступу в охраняемые помещения (помещения с ограниченным доступом).

3.Устанавливаются следующие виды доступа:

-единоличный доступ без сопровождения;

-групповой доступ в сопровождении уполномоченного администратора ИС.

3.Порядок доступа

1.Правом единоличного доступа без сопровождения обладает только уполномоченный администратор ИС.

2.Для всех остальных категорий персонала, указанных в п.6 настоящей инструкции, устанавливается право группового доступа в сопровождении уполномоченного администратора ИС.

3.В целях регламентации и персонального контроля доступа уполномоченный администратор ИС составляет список персонала организации, имеющего право доступа к серверу с указанием характера выполняемых работ. Список согласовывается со службой

48

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

ИБ, охраной и утверждается руководством. Для привлеченного персонала сторонних организаций составляется список такой же формы. Этот список должен быть согласован службами ИБ и утвержден руководством обеих организаций. В списке в обязательном порядке должен быть указан старший группы.

4.В списках в обязательном порядке сказывается общий срок их действия, а также (при необходимости) делается ссылка на возможность проведения работ во внеурочное время, выходные и праздничные дни.

5.Списки составляются в трех обязательных экземплярах: один хранится непосредственно в серверном помещении на видном месте, второй передается в службу ИБ, третий в подразделение, непосредственно отвечающее за ИС. В службу охраны может быть передан пофамильный список персонала в составе служебной записки в установленном режимном порядке.

6.Контроль актуальности данных списка осуществляет уполномоченный администратор ИС.

4.Контроль доступа при выполнении работ

1.До начала выполнения каких-либо работ на серверном оборудовании уполномоченный администратор ИС совместно с руководством подразделения, ответственного за ИС (эксплуатирующего ИС), определяет их характер с учетом возможных перерывов в работе ИС, состав, планируемые сроки начала и окончания.

2.После взаимного согласования составляется план–задание, утверждаемый в установленном порядке. В план-задание включается спецификация как работ, выполняемых непосредственно на сервере, так и подготовительных работ, выполняемых в подразделении, ответственном за ИС (эксплуатирующем ИС). На основании планазадания составляется список персонала, который будет выполнять работы. После взаимного согласования с причастными службами (при необходимости) план-задание утверждается руководством.

3.Уполномоченный администратор ИС несет ответственность за соблюдение соответствия состава фактически задействованного персонала составу персонала, заявленного в списке, а также за полноту и качество выполненных работ и последствия их проведения в соответствие с должностными обязанностями независимо от того, кто являлся их фактическим исполнителем (штатный или привлеченный персонал). При работе с сервером администраторы ИС, отвечающие за системное и прикладное администрирование, должны руководствоваться Положением о закреплении и разграничением функций и полномочий администраторов системы, политикой

49

Политика информационной безопасности ЕСЭДО ГО

_________________________________________________________________________________________________________________

информационной безопасности, а также при работе в серверном помещении необходимо руководствоваться настоящими Регламентом

и Положением о службе ИБ.

4.Уполномоченный администратор ИС обеспечивает ведение журнала административных действий на сервере (см. приложение ФЖ1), журнала технического обслуживания (см. приложение ФЖ2), а также журнала доступа к серверу (см. приложение ФЖ3) с информацией о лицах, не находящихся в списке доступа, но допущенных к серверу в сопровождении уполномоченного администратора ИС, с указанием фамилии, имени, даты, времени и цели доступа.

5.Права и обязанности персонала, имеющего доступ к серверам ИС

1.При проведении работ запрещается заносить в серверное помещение какие–либо носители информации, детали, узлы, инструменты и прочие предметы, не предназначенные для выполнения запланированных работ.

2.При нахождении в серверном помещении персонала (проведении работ) администратор ИС не имеет права оставлять сервер без присмотра в активированном состоянии.

6.Изменения регламента

1.Изменения и дополнения в регламент, а также в сопровождающие его документы, вносятся по представлению службы ИБ, подразделения программно-технической поддержки функционирования ИС и утверждаются руководством.

2.Служба ИБ должна проинформировать всех пользователей ИС о произведенных изменениях и дополнениях в регламенте, а также в сопровождающие его документы в 3-х дневный срок.

50