Сергей Петренко - Политики безопасности компании при работе в Интернет

• операционные системы всех компьютеров внутри лаборатории демилитаризованной зоны, на которых выполняются интернет-сервисы (HTTP, FTP, SMTP и т. д.), должны быть сконфигурированы в соответствии со стандартом компьютеров демилитаризованной зоны (добавьте здесь ссылку на внутренний сайт, где находятся стандарты конфигураций);

• должны быть установлены все текущие сервисные пакеты и обновления, рекомендованные производителем для всех приложений и операционных систем. Администраторы должны иметь возможность устанавливать появляющиеся обновления быстро и эффективно;

• сервисы и приложения, не используемые для работы, должны быть отключены/деинсталлированы;

• в соответствии с политикой классификации информации запрещается размещать и хранить конфиденциальную информацию на оборудовании лаборатории демилитаризованной зоны, к которому имеют физический доступ сотрудники сторонних организаций;

Ответственность Любой сотрудник, нарушивший эту политику, может быть подвергнут дисциплинарным мерам, вплоть до увольнения.

Термины и определения

Списки доступа (АСЕ) – списки, хранимые на маршрутизаторах, коммутаторах, межсетевых экранах и регулирующие доступ к сервисам и приложениям.

Демилитаризованная зона – сеть, размещающаяся за пределами внутренней корпоративной сети, но находящаяся под управлением компании.

Отдел поддержки сети – любая утвержденная отделом информационной безопасности группа, управляющая внутренними сетями компании.

Принцип наименьшего доступа – доступ к сервисам, компьютерам, сетям запрещен, если только это не является необходимым для выполнения обязанностей.

Интернет-сервисы – сервисы, выполняющиеся на устройствах, доступных из-за пределов сети. К ним относятся FTP, DNS, HTTP и т. д.

Граница ответственности отдела поддержки сети – точка, в которой ответственность за поддержку сети переходит от отдела поддержки сети к сотрудникам лаборатории демилитаризованной зоны. Обычно это маршрутизатор или межсетевой экран.

Менеджер лаборатории – сотрудник, ответственный за всю лабораторию и ее персонал.

Лаборатория – сотрудники, оборудование и программное обеспечение, объединенные для разработки, тестирования, демонстрирования продуктов и услуг и обучения пользованию ими.

Межсетевой экран – устройство, контролирующее доступ между сетями, такое, как Cisco PIX, маршрутизатор со списками доступа, или подобное устройство, определенное отделом информационной безопасности.

Внутренняя лаборатория – лаборатория внутри корпоративного межсетевого экрана, подключенная к производственной сети компании.

Цель

Область действия Эта политика применима ко всем внутренним лабораториям, сотрудникам компании и сторонних организаций, имеющим доступ в лаборатории компании. Все существующее и будущее оборудование, которое подпадает под действие данной политики, должно быть сконфигурировано в соответствии с перечисленными ниже документами. Лаборатории демилитаризованной зоны и отдельные сети, не подключенные к сети компании, не подпадают под действие этой политики.

Суть политики

Владение и ответственность:

• компании, организующие лаборатории, должны определить ответственных менеджеров, основных и резервных контактных лиц для каждой лаборатории. Владельцы лабораторий должны поддерживать список этой информации в актуальном состоянии. Список хранится в отделе информационной безопасности (и в системе управления компанией, если такая существует). Менеджеры лабораторий или резервные контактные лица должны быть доступны круглосуточно;

• менеджеры лабораторий несут ответственность за безопасность их лабораторий и воздействие деятельности лабораторий на производственную сеть компании. Если какая-либо политика или процедура недоступна, то менеджеры должны следовать принципам наибольшей защищенности сети компании;