АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ

Данная инструкция регламентирует организационно-

техническое обеспечение процессов генерации, смены и

прекращения действия паролей (удаления учетных записей

пользователей) в автоматизированной системе

ОРГАНИЗАЦИИ (АС ОРГАНИЗАЦИИ), а также контроль за

действиями пользователей и обслуживающего персонала

системы при работе с паролями.

1. Организационное и техническое обеспечение процессов

генерации, использования, смены и прекращения действия

паролей во всех подсистемах АС ОРГАНИЗАЦИИ и контроль

за действиями исполнителей и обслуживающего персонала

системы при работе с паролями возлагается на сотрудников

службы обеспечения безопасности информации (СОБИ)

администраторов средств защиты, содержащих механизмы

идентификации и аутентификации (подтверждения

подлинности) пользователей по значениям паролей.

2. Личные пароли должны генерироваться и распределяться

централизованно либо выбираться пользователями

автоматизированной системы самостоятельно с учетом

следующих требований:

длина пароля должна быть не менее 8 символов;

в числе символов пароля обязательно должны присутствовать

буквы в верхнем и нижнем регистрах, цифры и специальные

символы (@, #, $, &, *, % и т.п.);

пароль не должен включать в себя легко вычисляемые

сочетания символов (имена, фамилии, наименования АРМ и т.

д.), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т.

п.);

при смене пароля новое значение должно отличаться от

предыдущего не менее чем в 6 позициях;

личный пароль пользователь не имеет права сообщать

никому.

Владельцы паролей должны быть ознакомлены под роспись с

перечисленными выше требованиями и предупреждены об

ответственности за использование паролей, не

соответствующих данным требованиям, а также за

разглашение парольной информации.

3. В случае, если формирование личных паролей

пользователей осуществляется централизованно,

ответственность за правильность их формирования и

распределения возлагается на уполномоченных сотрудников

СОБИ. Для генерации «стойких» значений паролей могут

применяться специальные программные средства.

Система централизованной генерации и распределения

паролей должна исключать возможность ознакомления самих

уполномоченных сотрудников СОБИ, а также ответственных за

информационную безопасность в подразделениях с паролями

других сотрудников подразделений ОРГАНИЗАЦИИ

(исполнителей).

4. При наличии в случае возникновении нештатных ситуаций,

форс-мажорных обстоятельств и т.п. технологической

необходимости использования имен и паролей некоторых

сотрудников (исполнителей) в их отсутствие, такие сотрудники

обязаны сразу же после смены своих паролей их новые

значения (вместе с именами соответствующих учетных

записей) в запечатанном конверте или опечатанном пенале

передавать на хранение ответственному за информационную

безопасность подразделения (руководителю своего

подразделения)

Опечатанные конверты (пеналы) с паролями исполнителей

должны храниться в сейфе. Для опечатывания конвертов

(пеналов) должны применяться личные печати владельцев

паролей (при их наличии у исполнителей), либо печать

уполномоченного представителя службы обеспечения

безопасности информации (СОБИ).

5. Полная плановая смена паролей пользователей должна

проводиться регулярно, не реже одного раза в месяц.

6. Внеплановая смена личного пароля или удаление учетной

записи пользователя автоматизированной системы в случае

прекращения его полномочий (увольнение, переход на другую

работу внутри территориального органа ОРГАНИЗАЦИИ и т.п.)

должна производиться уполномоченными сотрудниками СОБИ

– администраторами соответствующих средств защиты

немедленно после окончания последнего сеанса работы

данного пользователя с системой.

7. Внеплановая полная смена паролей всех пользователей

должна производиться в случае прекращения полномочий

(увольнение, переход на другую работу внутри

территориального органа ОРГАНИЗАЦИИ и другие

обстоятельства) администраторов средств защиты и других

сотрудников, которым по роду работы были предоставлены

полномочия по управлению парольной защитой подсистем АС.

8. В случае компрометации личного пароля пользователя

автоматизированной системы должны быть немедленно

предприняты меры в соответствии с п.6 или п.7 настоящей

Инструкции в зависимости от полномочий владельца

скомпрометированного пароля.

9. Хранение сотрудником (исполнителем) значений своих

паролей на бумажном носителе допускается только в личном,

опечатанном владельцем пароля сейфе, либо в сейфе у

ответственного за информационную безопасность или

руководителя подразделения в опечатанном личной печатью

пенале (возможно вместе с персональными ключевыми

дискетами и идентификатором Touch Memory).

10. Повседневный контроль за действиями исполнителей и

обслуживающего персонала системы при работе с паролями,

соблюдением порядка их смены, хранения и использования

возлагается на ответственных за информационную

безопасность в подразделениях (руководителей

подразделений), периодический контроль – возлагается на

сотрудников СОБИ – администраторов средств парольной

защиты.

 

Вариант 4

1) Периодически проводимые мероприятия

К периодически проводимым мероприятиям относят:

распределение реквизитов разграничения доступа (паролей,

ключей шифрования и т.п.);

анализ системных журналов, принятие мер по обнаруженным

нарушениям правил работы;

мероприятия по пересмотру правил разграничения доступа

пользователей к информации в организации;

периодически с привлечением сторонних специалистов

осуществление анализа состояния и оценки эффективности

мер и применяемых средств защиты. На основе полученной в

результате такого анализа информации принимать

необходимые меры по совершенствованию системы защиты;

мероприятия по пересмотру состава и построения системы

Защиты