5. ТРЕБОВАНИЯ. 5.1. Администрирование объекта информатизации. 5.1.1. Права и обязанности администратора объекта информатизации. Администратор объекта информатизации имеет неограниченные права доступа к информационно-вычислительным ресурсам администрируемого объекта информации для выполнения следующих функций:
определение политики аутентификации, авторизации, распределения прав доступа и их реализация;
разработка политики логической и физической интеграции вычислительных и других информационных ресурсов и ее контроль;
создание и удаление информационных ресурсов;
осуществление контроля за установкой, удалением, изменением и настройкой системного и прикладного программного обеспечения на объекте информатизации сети и на СВТ пользователей;
мониторинг объекта информатизации с целью выявления элементов объекта информатизации, снижающих его производительность, и возможных нарушений правил эксплуатации объекта информатизации;
общее руководство резервным копированием данных;
информирование администратора информационной безопасности с уведомлением вышестоящего руководства обо всех выявленных нарушениях в ходе выполнения своих обязанностей, попытках несанкционированного доступа к информационным ресурсам и компьютерам пользователей, фактах нарушения безопасности объекта информатизации и СВТ, а также настоящего стандарта;
выдача предложений администратору информационной безопасности по изменению режимов безопасности составляющих элементов систем обработки информации сети.
По конкретным объектам информатизации права и обязанности указаны в должностных инструкциях администратора. Назначение функций администратора объекта информатизации должны быть закреплены распоряжением владельца информации.
5.1.2. Права и обязанности администратора информационной безопасности. Администратор информационной безопасности имеет неограниченные права доступа к информационно-вычислительным ресурсам сети и СВТ пользователей для выполнения следующих функций:
мониторинг сети, с целью выявления нарушений пользователями правил работы с ресурсами сети;
независимый сетевой аудит по системным и пользовательским журналам;
осуществление проверки ресурсов СВТ пользователя при выявлении признаков нарушения им положений безопасности сети, в соответствии с данным стандартом, на основании указания заместителя генерального директора - начальника СБ;
фиксация попыток несанкционированного доступа к вычислительным ресурсам в сети и на компьютерах и проведение служебных проверок в отношении нарушителей режима безопасности сети и компьютеров;
выдача рекомендаций системному администратору сети по установке прав доступа к ресурсам сети и компьютеров.
Системный администратор сети и администратор безопасности сети при реализации своих прав доступа к информационно-вычислительным ресурсам сети и СВТ пользователей, обязаны руководствоваться п.5.5.3.3.
5.2. Доступ к информационным ресурсам. 5.2.1. Предоставление доступа к информационным ресурсам. 5.2.1.1. Разграничение доступа осуществляется на основе функционально-зональной модели. Для защиты от несанкционированного доступа, доступ к информационным ресурсам предоставляется только пользователям, прошедшим аутентификацию и идентификацию. Для этого согласно (Приложению А) создается учетная запись пользователя. Примечание! Приложение А - создается любой формы и в нем указываются Ф.И.О. пользователя , подразделение и должность, место расположения и телефон и другая необходимая Вам информация , для создания учетной записи в Сетевой операционной системе 5.2.1.2. Для получения доступа к внешним информационным ресурсам, пользователь направляет в подразделение ИТ письмо в форме (Приложение Б), за подписью непосредственного руководителя, согласованную со службой СБ. Примечание! Приложение Б - создается любой формы и в нем указываются Ф.И.О. пользователя , наименование внешнего ресурса (например Интернет) и обоснование необходимости Данное письмо необходимо для тех организаций , где доступ в Интернет и почту требует отдельного разрешения. 5.2.1.3. Пользователи для предоставления им доступа к информационным ресурсам направляют в подразделени ИТ письмо в форме (Приложения Г), за подписью непосредственного руководителя и владельца ресурса. В заявке указывается информационный ресурс, к которому необходим доступ. В случае доступа к информационному ресурсу категории «К» обязательна подпись администратора информационной безопасности.
5.2.1.4. При наличии технической возможности специалисты соответствующих подразделений ИТ производят подключение пользователя к информационному ресурсу с внесением необходимых изменений в СВТ (присвоением компьютеру пользователя сетевого имени, выдача соответствующего идентификатора, имени пользователя, пароля и т.д.). 5.2.1.5. При работе на одном СВТ нескольких пользователей, каждый из них должен использовать свою учетную запись для доступа к информационному ресурсу. 5.2.1.6. Каждый пользователь обязан хранить свой пароль в тайне и изменять его по мере необходимости (для информации категории «К» не реже 1 раза в месяц). 5.2.1.7. Заявки пользователей на создание учетных записей и на предоставление доступа к информационному ресурсу хранятся в подразделении ИТ в течение времени действия учетной записи пользователя. 5.2.1.8. Пользователям запрещается несанкционированно использовать информационные ресурсы, доступа к которым он не имеет. Контроль доступа обеспечивается средствами операционных систем, средствами контроля доступа специализированных приложений, сертифицированными средствами защиты от несанкционированного доступа, а также средствами сетевого мониторинга и аудита. 5.2.2. Аннулирование доступа. 5.2.2.1. В случае увольнения или перевода в другое подразделение (отдел, бюро и т.д.) сотрудника, являющегося пользователем информационного ресурса, его непосредственный руководитель обязан известить соответствующего администратора объекта информатизации для аннулирования доступа к информационному ресурсу. 5.2.2.2. Не информирование влечет за собой дисциплинарную ответственность. 5.2.2.3. Сверка по увольнениям и перемещениям сотрудников должна осуществляться не реже 1 раза в месяц.
5.3. Обслуживание информационных систем. Пользователям запрещается использовать информационные ресурсы предприятия и СВТ в целях, не связанных с выполнением должностных обязанностей. 5.3.1. Установка и настройка программного обеспечения. 5.3.1.1. К установке на СВТ допускается только ПО, включенное в реестр протестированного и разрешенного службой ИТ к применению программного обеспечения. 5.3.1.2. Подразделение ИТ составляет и обновляет реестр системного и прикладного ПО, разрешенного к установке на СВТ пользователей и пользователей сети. Реестр обновляется в соответствии с потребностями пользователей и тенденциями в развитии программного обеспечения. 5.3.1.3. Любой пользователь может быть инициатором внесения в реестр новых программных продуктов. Для внесения программного продукта в реестр пользователи направляют заявку . 5.3.1.4. Программный продукт, указанный в заявке тестируется специалистами ИТ, после чего принимается решение о включении его в реестр. 5.3.1.5. Установку и переустановку любого общесистемного, сетевого и антивирусного программного обеспечения, а также всех информационных систем, разрабатываемых на предприятии, на СВТ пользователей и пользователей сети производят только службы ИТ в соответствии со спецификой ПО. Самостоятельно устанавливать и переустанавливать программные продукты пользователям запрещается. 5.3.1.6. Пользователям запрещается менять настройки используемого ПО без согласования с администратором объекта информатизации. Изменение настроек общесистемного, сетевого и антивирусного ПО запрещено без согласования с администратором сети. 5.3.1.7. Допускается самостоятельная установка и переустановка прикладного ПО пользователями по согласованию с системным администратором сети. 5.3.2. Устранение сбоев в работе СВТ и неполадок в программном и аппаратном обеспечении. 5.3.2.1. При возникновении сбоев в работе автоматизированных систем и СВТ пользователи должны сообщить о неполадках диспетчеру подразделения ИТ. Диспетчер сообщает о неполадках в соответствующие службы ИТ и координирует их работу по устранению неисправностей. Устранять неполадки самостоятельно пользователям запрещается. 5.3.2.2. Ремонтно-профилактические работы на СВТ производят только специалисты ИТ. Работы должны быть организованы таким образом, чтобы исключить возможность несанкционированного доступа к конфиденциальной информации, находящейся на дисках СВТ. 5.3.2.3. Ремонт компьютера проводится либо на месте, под присмотром ответственного лица, назначенного руководителем подразделения, либо отправляется в стационарный ремонт. В случае отправки в стационарный ремонт вся конфиденциальная информация, хранящаяся на жестком магнитном диске, должна быть удалена с наложением на удаленные сектора незначащих символов (используя специальное программное обеспечение). Допускается снятие жесткого магнитного диска с конфиденциальной информацией на хранение ответственным за безопасность информации сотрудником подразделения до получения компьютера из ремонта. 5.3.2.4. Бесконтрольный ремонт СВТ с магнитным накопителем, содержащим конфиденциальную информацию, не допускается.
