Сергей Петренко - Политики безопасности компании при работе в Интернет

• менеджеры лабораторий несут ответственность за соответствие лаборатории всем политикам безопасности компании. Следующие политики особенно важны: политика использования паролей, политика беспроводного доступа в сеть компании, политика лаборатории антивирусной защиты и политика физической безопасности;

• менеджеры лабораторий несут ответственность за организацию доступа в лабораторию. Разрешение на доступ в лабораторию выдает только менеджер или лицо, которому делегирована эта обязанность. Доступ предоставляется только для выполнения служебных обязанностей. Сюда относится периодическая проверка списка доступа и немедленное удаление из него лиц, которым этот доступ стал не нужен;

• отдел поддержки сети отвечает за поддержку функционирования межсетевого экрана между производственной сетью и лабораторией;

• отдел поддержки сети и отдел информационной безопасности имеют право заблокировать любые соединения к/от оборудованию лаборатории, если это несет угрозу безопасности сети компании;

• отдел поддержки сети должен иметь список всех IP-адресов и ответственных за оборудование лиц внутренней лаборатории (такой же список хранится в системе управления компанией, если такая существует);

• любая лаборатория, которая захочет иметь доступ за свои границы, должна предоставить документацию в отдел информационной безопасности с аргументированным обоснованием такого доступа, списком оборудования, необходимого для этого, и информацию по IP-адресации. Отдел информационной безопасности исследует документы и разрешает/не разрешает такой доступ;

• все пользовательские пароли должны соответствовать политике использования паролей. Тестовые учетные записи должны быть удалены в течение трех дней после того, как доступ станет ненужным. Пароли на групповые учетные записи необходимо менять ежеквартально, кроме того, они должны быть изменены в течение трех дней после изменения состава членов группы;

• запрещается поддерживать производственные сервисы на оборудовании лаборатории;

Основные требования к конфигурации:

• весь трафик между производственной сетью и сетью лаборатории должен проходить через межсетевой экран, поддерживаемый отделом поддержки сети. Сетевые устройства лаборатории (включая беспроводные) не должны каким-либо другим способом соединяться с внутренней и производственной сетью компании;

• начальная конфигурация и любые последующие изменения межсетевых экранов должны быть исследованы и одобрены отделом информационной безопасности. Отдел информационной безопасности может затребовать дополнительные настройки безопасности на межсетевых экранах;

• в лаборатории запрещена деятельность, которая может негативно сказаться на производственной сети, типа сканирования портов, спуфинг IP-адресов, трафика и т. д. Такого рода деятельность должна быть ограничена рамками лаборатории;

• трафик между лабораторией и производственной сетью, так же как трафик между отдельными сетями лаборатории, используется только в деловых целях и не должен оказывать негативное влияние на другие сети. Лаборатории не должны иметь сетевые сервисы, которые могут скомпрометировать сервисы производственной сети или подвергнуть опасности конфиденциальную информацию, хранимую внутри лаборатории;

• отдел информационной безопасности имеет право проводить аудит всех данных внутри лаборатории, входящего и исходящего трафика, конфигурации всего оборудования;

• шлюзы лаборатории должны соответствовать стандартам безопасности компании и доступ к ним должен осуществляться через сервер аутентификации компании;

• пароли администрирования шлюзов не должны совпадать с какими-либо паролями на другое оборудование. Пароли должны соответствовать политике использования паролей. Пароли будут предоставляться только тем, кому разрешено администрировать сеть лаборатории;

• в лабораториях, где сотрудники сторонних организаций имеют физический доступ к оборудованию, прямое подключение к производственной сети компании запрещено. В соответствии с политикой классификации информации запрещается размещать и хранить конфиденциальную информацию на оборудовании внутренней лаборатории. Удаленное подключение разрешенного списка сотрудников лаборатории в производственную сеть компании должно быть аутентифицировано на корпоративном сервере аутентификации с использованием временных списков доступа (lock and key access control lists) и осуществляться по защищенным протоколам (SSH, IPSEC) или посредством виртуальной частной сети, как определено отделом информационной безопасности;