"ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. ПРАКТИЧЕСКИЕ ПРАВИЛА УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТЬЮ. ГОСТ Р ИСО/МЭК 17799-2005"(утв. Приказом Ростехрегулирования от 29.12.2005 N 447-ст)

4.2. Обеспечение безопасности при наличии доступа к информационным системам сторонних организаций

Цель: поддерживать безопасность средств обработки информации организации и информационных активов при доступе третьих сторон.

Доступ к средствам обработки информации организации третьих сторон должен контролироваться.

Там, где есть потребность бизнеса в таком доступе третьей стороны, следует производить оценку риска, определять последствия для безопасности и устанавливать требования к мероприятиям по управлению информационной безопасностью. Такие мероприятия следует согласовывать и определять в контракте с третьей стороной.

Контракты, разрешающие доступ третьей стороне, должны включать процедуру определения прав и условий доступа других участников.

Настоящий стандарт может использоваться как основа для составления таких контрактов, а также при рассмотрении и привлечении сторонних организаций для обработки информации (outsourcing).

4.2.1. Определение рисков, связанных с наличием доступа сторонних лиц и организаций к информационным системам

4.2.1.1. Типы доступа

Определение типа доступа, предоставленного третьей стороне, имеет особое значение. Например, риски доступа через сетевое соединение отличаются от рисков, связанных с физическим доступом.

Типами доступа, которые следует рассматривать, являются:

- физический - к офисным помещениям, компьютерным комнатам, серверным;

- логический - к базам данных, информационным системам организации.

4.2.1.2. Обоснования для доступа

Третьей стороне может быть предоставлен доступ по ряду причин. Например, сторонним компаниям, оказывающим услуги организациям, но не расположенным территориально в том же месте, может быть предоставлен физический и логический доступ, как, например:

- сотрудникам третьей стороны, отвечающим за обслуживание аппаратных средств и программного обеспечения, которым необходим доступ на уровне систем или более низком уровне прикладной функциональности;

- торговым и деловым партнерам, которым может потребоваться обмен информацией, доступ к информационным системам или общим базам данных.

Информация организации может быть подвержена риску нарушения безопасности при доступе третьих сторон с неадекватным управлением безопасностью. Там, где есть производственная необходимость контактов с третьей стороной, следует проводить оценку риска, чтобы идентифицировать требования и определить мероприятия по управлению информационной безопасностью. При этом следует принимать во внимание тип требуемого доступа, ценность информации, мероприятия по управлению информационной безопасностью, используемые третьей стороной, и последствия этого доступа для информационной безопасности организации.

4.2.1.3. Подрядчики, выполняющие работы в помещениях в организации

Третьи стороны, размещенные в помещениях организации более срока, определенного в их контракте, могут ослабить безопасность. Категории сотрудников третьей стороны, размещаемых в помещениях организации:

- сотрудники, осуществляющие поддержку и сопровождение аппаратных средств и программного обеспечения;

- сотрудники, осуществляющие уборку, обеспечивающие питание, охрану и другие услуги;

- студенты и лица, работающие по трудовым соглашениям;

- консультанты.

Важно предусмотреть мероприятия по управлению информационной безопасностью, необходимые для управления доступом к средствам обработки информации третьей стороны. Все требования безопасности, связанные с доступом третьей стороны или мероприятиями по управлению информационной безопасностью, следует отражать в контракте с третьей стороной (4.2.2). Например, если существует специальная потребность в обеспечении конфиденциальности информации, следует заключить соглашение о ее неразглашении (6.1.3).

Недопустимо предоставлять третьей стороне доступ к информации и средствам ее обработки до тех пор, пока не установлены соответствующие мероприятия по управлению информационной безопасностью и не подписан контракт, определяющий условия предоставления связи или доступа.

4.2.2. Включение требований безопасности в договоры со сторонними лицами и организациями

Все действия, связанные с привлечением третьей стороны к средствам обработки информации организации, должны быть основаны на официальном контракте, содержащем или ссылающемся на них, и должны обеспечиваться в соответствии с политикой и стандартами безопасности организации. Контракт должен обеспечивать уверенность в том, что нет никакого недопонимания между сторонами. Организации также должны предусмотреть возмещение своих возможных убытков со стороны контрагента. В контракт включаются следующие положения:

а) общая политика информационной безопасности;

б) защита активов, включая:

1) процедуры по защите активов организации, в том числе информации и программного обеспечения;

2) процедуры для определения компрометации активов, например, вследствие потери или модификации данных;

3) мероприятия по обеспечению возвращения или уничтожения информации и активов по окончании контракта или в установленное время в течение действия контракта;

4) целостность и доступность активов;

5) ограничения на копирование и раскрытие информации;

в) описание каждой предоставляемой услуги;

г) определение необходимого и неприемлемого уровня обслуживания;

д) условия доставки сотрудников к месту работы, при необходимости;

е) соответствующие обязательства сторон в рамках контракта;

ж) обязательства относительно юридических вопросов, например, законодательства о защите данных с учетом различных национальных законодательств, особенно если контракт относится к сотрудничеству с организациями в других странах (12.1);

з) права интеллектуальной собственности (IPRs) и авторские права (12.1.2), а также правовая защита любой совместной работы (6.1.3);

и) соглашения по управлению доступом, охватывающие:

1) разрешенные методы доступа, а также управление и использование уникальных идентификаторов, типа пользовательских ID и паролей;

2) процесс авторизации в отношении доступа и привилегий пользователей;

3) требование актуализации списка лиц, имеющих право использовать предоставляемые услуги, а также соответствующего списка прав и привилегий;

к) определение измеряемых показателей эффективности, а также их мониторинг и предоставление отчетности;

л) право мониторинга действий пользователей и блокировки доступа;

м) право проводить проверки (аудит) договорных обязанностей или делегировать проведение такого аудита третьей стороне;

н) определение процесса информирования о возникающих проблемах в случае непредвиденных обстоятельств;

о) обязанности, касающиеся установки и сопровождения аппаратных средств и программного обеспечения;

п) четкая структура подотчетности и согласованные форматы представления отчетов;

р) ясный и определенный процесс управления изменениями;

с) любые необходимые способы ограничения физического доступа и процедуры для обеспечения уверенности в том, что эти меры эффективны;

т) обучение пользователя и администратора методам и процедурам безопасности;

у) мероприятия по управлению информационной безопасностью для обеспечения защиты от вредоносного программного обеспечения (см. 8.3);

ф) процедуры отчетности, уведомления и расследования инцидентов нарушения информационной безопасности и выявления слабых звеньев системы безопасности;

х) привлечение третьей стороны вместе с субподрядчиками.