6.4. Обслуживание систем

Цель. Обеспечить целостность и доступность информационных сервисов.

Часть 1. Поддерживать целостность и доступность сервисов позволяет выполнение некоторых служебных процедур. Должны быть сформированы стандартные процедуры резервного копирования, регистрации событий и сбоев, а также контроля условий функционирования оборудования.

Часть 2. Аудиторам необходимо убедиться, что процедуры резервного копирования соответствуют требованиям организации, операторы ведут протоколы всех производимых операций, неисправности регистрируются и принимаются меры по их устранению.

6.5. Сетевое администрирование

Цель. Обеспечить защиту информации в сетях.

Часть 1. Управление безопасностью сетей, отдельные сегменты которых находятся за пределами организации, требует особого внимания. Для защиты конфиденциальных данных, передаваемых по открытым сетям, могут понадобиться специальные меры.

Часть 2. Аудиторы должны проверить защитные меры, применяемые в организации.

6.6. Защита носителей информации

Цель. Предотвратить повреждение информационных ресурсов и перебои в работе организации.

Часть 1. Необходимо контролировать носители информации и обеспечивать их физическую защиту. Следует определить процедуры для защиты носителей информации (магнитных лент, дисков, кассет), входных/выходных данных и системной документации от повреждения, хищения и несанкционированного доступа.

Часть 2. Аудиторы должны проверить установленные процедуры контроля, режим хранения носителей информации.

6.7. Обмен данными и программным обеспечением

Цель. Предотвратить потери, модификацию и несанкционированное использование данных.

Часть 1. Обмены данными и программами между организациями необходимо осуществлять на основе формальных соглашений. Должны быть установлены процедуры и стандарты для защиты носителей информации во время их транспортировки. Необходимо уделять внимание обеспечению безопасности при использовании электронного обмена данными и сообщениями электронной почты.

Часть 2. Аудиторам надлежит проверить существующие меры защиты электронного обмена данными и меры ИБ внутреннего электронного документооборота.

Раздел 7. Управление доступом

7.1. Управление доступом к служебной информации

Цель. Обеспечить контроль доступа к информации.

Часть 1. В организации должны быть установлены правила распространения информации и разграничения доступа. Доступ к сервисам и данным в системе необходимо контролировать в соответствии с требованиями организации.

Часть 2. Аудиторам следует проверить соответствие установленных правил доступа к информации существующей производственной необходимости.

7.2 Управление доступом пользователей

Цель. Предотвратить несанкционированный доступ к информационной системе.

Часть 1. Для управления процессом предоставления прав доступа к информационным системам требуются формальные процедуры. Эти процедуры должны включать все стадии жизненного цикла управления доступом пользователей - от начальной регистрации до удаления учетных записей пользователей, для которых доступ закрывается. Особое внимание следует уделить процессу предоставления прав суперпользователя, позволяющих обойти средства системного контроля.

Часть 2. Аудиторы должны проверить формальные процедуры регистрации и соответствие фактического положения вещей установленным процедурам. Необходимо проконтролировать предоставление особых привилегий.