Политика ведения учетных записей при обеспечении базового уровня информационной безопасности

ОАО «СИБИРЬТЕЛЕКОМ»

ПОЛИТИКА  ВЕДЕНИЯ УЧЕТНЫХ ЗАПИСЕЙ

ПРИ ОБЕСПЕЧЕНИИ БАЗОВОГО УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ OEBS на этапе внедрения Релиза 1 Мастер-системы

Листов

Версия 1.1

Новосибирск

2005

1.  Общие положения

1.1. Настоящий документ определяет правила управления доступом исполнителей (пользователей, обслуживающего персонала) к данным конфиденциального характера и ограничения на действия пользователей в автоматизированных системах (АС) ОАО «Сибирьтелеком».

1.2.  Мероприятия Политики ведения учетных записей для обеспечения физической и логической целостности, а также для предупреждения несанкционированного получения, распространения и модификации конфиденциальной информации. Выполнение требований настоящей Политики подразумевает неукоснительное соблюдение организационных мер, а также постоянный контроль со стороны подразделений по информационной безопасности.

1.3.  Политики ведения учетных записей базируется на следующих основных правилах:

-  только те пользователи, которые уполномочены на доступ к информации в системе, могут иметь доступ к системе;

-  система должна ограничивать доступ к ресурсам в соответствии со служебными обязанностями пользователей;

-  пользователи несут ответственность за свои действия в системе.

1.4. Термины, используемые в документе:

Ресурс — компонент АС (аппаратные средства, программное обеспечение, данные), в отношении которого необходимо обеспечивать безопасность, т. е. конфиденциальность, целостность и доступность.

Конфиденциальность ресурса — свойство ресурса быть доступным только авторизованному субъекту АС, и одновременно быть недоступным для неавторизованного субъекта или нарушителя.

Целостность ресурса — обеспечение его правильности и работоспособности в любой момент времени.

Доступность ресурса — обеспечение беспрепятственного доступа к нему авторизованного субъекта АС.

Субъекты АС — пользователи, технический персонал, обеспечивающий работу системы, руководители структурных подразделений, администраторы безопасности информации.

Авторизованный субъект — субъект АС, пользовательские функции которого, а также права и обязанности по отношению к данного уровня ресурсам и информации определены его должностной инструкцией, либо другими административными актами.

АРМ — автоматизированное рабочее место, персональное, созданное на основе персональной электронной вычислительной машины.

2.  Субъекты доступа корпоративной информационной системы ОАО «Сибирьтелеком»

2.1. В рамках процесса организации защиты информации отдельные должностные лица подразделений выполняют специфические роли информационных посредников. Основными функциональными должностями системы обеспечения информационной безопасности являются :

-  администратор сети;

-  администратор безопасности информации;

-  администратор базы данных;

-  администратор приложений;

2.2       Наиболее общим понятием является понятие «пользователь системы». Включение сотрудников в состав конечных пользователей осуществляется на основании поданной руководителем структурного подразделения служебной записки, которая утверждается руководителем подразделения информационных технологий и согласовывается с руководителем подразделения по информационной безопасности