Автоматизированной системы

●Данная инструкция регламентирует организационно-

техническое обеспечение процессов генерации, смены и

прекращения действия паролей (удаления учетных записей

пользователей) в автоматизированной системе

ОРГАНИЗАЦИИ (АС ОРГАНИЗАЦИИ), а также контроль за

действиями пользователей и обслуживающего персонала

системы при работе с паролями.

●1. Организационное и техническое обеспечение процессов

генерации, использования, смены и прекращения действия

паролей во всех подсистемах АС ОРГАНИЗАЦИИ и контроль

за действиями исполнителей и обслуживающего персонала

системы при работе с паролями возлагается на сотрудников

службы обеспечения безопасности информации (СОБИ)

● администраторов средств защиты, содержащих механизмы

идентификации и аутентификации (подтверждения

подлинности) пользователей по значениям паролей.

● 2. Личные пароли должны генерироваться и распределяться

централизованно либо выбираться пользователями

автоматизированной системы самостоятельно с учетом

следующих требований:

● длина пароля должна быть не менее 8 символов;

● в числе символов пароля обязательно должны присутствовать

буквы в верхнем и нижнем регистрах, цифры и специальные

символы (@, #, $, &, *, % и т.п.);

● пароль не должен включать в себя легко вычисляемые

сочетания символов (имена, фамилии, наименования АРМ и т.

д.), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т.

п.);

● при смене пароля новое значение должно отличаться от

предыдущего не менее чем в 6 позициях;

● личный пароль пользователь не имеет права сообщать

никому.

● Владельцы паролей должны быть ознакомлены под роспись с

перечисленными выше требованиями и предупреждены об

ответственности за использование паролей, не

соответствующих данным требованиям, а также за

разглашение парольной информации.

● 3. В случае, если формирование личных паролей

пользователей осуществляется централизованно,

ответственность за правильность их формирования и

распределения возлагается на уполномоченных сотрудников

СОБИ. Для генерации «стойких» значений паролей могут

применяться специальные программные средства.

● Система централизованной генерации и распределения

паролей должна исключать возможность ознакомления самих

уполномоченных сотрудников СОБИ, а также ответственных за

информационную безопасность в подразделениях с паролями

других сотрудников подразделений ОРГАНИЗАЦИИ

(исполнителей).

● 4. При наличии в случае возникновении нештатных ситуаций,

форс-мажорных обстоятельств и т.п. технологической

необходимости использования имен и паролей некоторых

сотрудников (исполнителей) в их отсутствие, такие сотрудники

обязаны сразу же после смены своих паролей их новые

значения (вместе с именами соответствующих учетных

записей) в запечатанном конверте или опечатанном пенале

передавать на хранение ответственному за информационную

безопасность подразделения (руководителю своего

подразделения)

● Опечатанные конверты (пеналы) с паролями исполнителей

должны храниться в сейфе. Для опечатывания конвертов

(пеналов) должны применяться личные печати владельцев

паролей (при их наличии у исполнителей), либо печать

уполномоченного представителя службы обеспечения

безопасности информации (СОБИ).

● 5. Полная плановая смена паролей пользователей должна

проводиться регулярно, не реже одного раза в месяц.

● 6. Внеплановая смена личного пароля или удаление учетной

записи пользователя автоматизированной системы в случае

прекращения его полномочий (увольнение, переход на другую

работу внутри территориального органа ОРГАНИЗАЦИИ и т.п.)

должна производиться уполномоченными сотрудниками СОБИ

– администраторами соответствующих средств защиты

немедленно после окончания последнего сеанса работы

данного пользователя с системой.

● 7. Внеплановая полная смена паролей всех пользователей

должна производиться в случае прекращения полномочий

(увольнение, переход на другую работу внутри

территориального органа ОРГАНИЗАЦИИ и другие

обстоятельства) администраторов средств защиты и других

сотрудников, которым по роду работы были предоставлены

полномочия по управлению парольной защитой подсистем АС.

● 8. В случае компрометации личного пароля пользователя

автоматизированной системы должны быть немедленно

предприняты меры в соответствии с п.6 или п.7 настоящей

Инструкции в зависимости от полномочий владельца

скомпрометированного пароля.

● 9. Хранение сотрудником (исполнителем) значений своих

паролей на бумажном носителе допускается только в личном,

опечатанном владельцем пароля сейфе, либо в сейфе у

ответственного за информационную безопасность или

руководителя подразделения в опечатанном личной печатью

пенале (возможно вместе с персональными ключевыми

дискетами и идентификатором Touch Memory).

● 10. Повседневный контроль за действиями исполнителей и

обслуживающего персонала системы при работе с паролями,

соблюдением порядка их смены, хранения и использования

возлагается на ответственных за информационную

безопасность в подразделениях (руководителей

подразделений), периодический контроль – возлагается на

сотрудников СОБИ – администраторов средств парольной

защиты.

Вариант 4

1)● Периодически проводимые мероприятия

●К периодически проводимым мероприятиям относят:

●распределение реквизитов разграничения доступа (паролей,

ключей шифрования и т.п.);

●анализ системных журналов, принятие мер по обнаруженным

нарушениям правил работы;

●мероприятия по пересмотру правил разграничения доступа

пользователей к информации в организации;

●периодически с привлечением сторонних специалистов

осуществление анализа состояния и оценки эффективности

мер и применяемых средств защиты. На основе полученной в

результате такого анализа информации принимать

необходимые меры по совершенствованию системы защиты;

●мероприятия по пересмотру состава и построения системы

Защиты