Стандарты управляющей компании сети ресторанов или ресторанного холдинга. Сборник ЦТОП - страница 77

Стандарты управляющей компании сети ресторанов или ресторанного холдинга. Сборник ЦТОП



5.4 Ранжирование категорий пользователей, режимов использования и уровней доступа к информации 

5.4.1 В Компании имеется большое число пользователей и обслуживающего персонала, которые должны иметь различные полномочия по доступу к информационным, программным и другим ресурсам Компании. В связи с этим вводятся следующие уровни доступа пользователей:

  • «третья степень допуска» - является низшим уровнем и позволяет получать доступ только к открытой информации. Примерами могут быть, потенциальные клиенты, отдельные группы сотрудников и партнеры Компании, средства массовой информации;
  • «вторая степень допуска» - является средней и позволяет получать доступ к открытой информации и к сведениям под грифом «для служебного пользования»;
  • «первая степень допуска» - является высшей и позволяет получить доступ ко всей информации циркулирующей в Компании.
5.5 Определение порядка работы ПК и POS-систем АС 

5.5.1 Наиболее доступными и уязвимыми компонентами Компании являются сетевые персональные рабочие станции (ПК и POS-терминалы). Именно с них могут быть предприняты наиболее многочисленные попытки несанкционированного доступа к информации (НСД) в сети и попытки совершения несанкционированных действий (непреднамеренных и умышленных). С рабочих станций осуществляется управление процессами обработки информации (в том числе на серверах), запуск программ, ввод и корректировка...
процессами обработки информации (в том числе на серверах), запуск программ, ввод и корректировка данных, на дисках рабочих станций могут размещаться важные данные и программы обработки. На мониторы и печатающие устройства рабочих станций выводится информация при работе пользователей (операторов), выполняющих различные функции и имеющих разные полномочия по доступу к данным и другим ресурсам системы. Нарушения конфигурации аппаратно-программных средств рабочих станций и неправомерное вмешательство в процессы их функционирования могут приводить к блокированию информации, невозможности своевременного решения важных задач и выходу из строя отдельных персональных рабочих станций и подсистем. 

5.5.2 В особой защите нуждаются такие элементы сетей как выделенные файловые серверы, серверы баз данных и серверы приложений. Здесь злоумышленники, прежде всего, могут искать возможности получения доступа к защищаемой информации и оказания влияния на работу различных подсистем серверов, используя недостатки протоколов обмена и средств разграничения удаленного доступа к ресурсам серверов. При этом могут предприниматься попытки как удаленного (со станций сети), так и непосредственного (с консоли сервера) воздействия на работу серверов и их средств защиты. 

5.5.3 Телекоммуникационное оборудование, такое как, шлюзы, маршрутизаторы, коммутаторы, а также каналы и средства связи также нуждаются в защите. Они могут быть использованы нарушителями для дезорганизации работы сети, перехвата передаваемой информации и реализации других способов вмешательства в процессы обмена данными. 

5.2 Формирование политики в области обеспечения информационной безопасности 

5.2.1 Реализация обеспечения информационной безопасности должна исходить из предпосылки, что невозможно обеспечить требуемый уровень защищенности информации не только с помощью одного отдельного средства (мероприятия), но и с помощью их простой совокупности. Необходимо их системное согласование между собой (комплексное применение), а отдельные разрабатываемые элементы информационной системы должны рассматриваться как часть единой информационной системы в защищенном исполнении при оптимальном соотношении технических (аппаратных, программных) средств и организационных мероприятий. 

5.2.2 Основным направлением реализации обеспечения информационной безопасности АС является обеспечение защиты информационных ресурсов от хищения, утраты, утечки, уничтожения, искажения или подделки за счет несанкционированного доступа и специальных воздействий; 

5.2.3 В рамках указанного направления обеспечения информационной безопасности осуществляются:
  • реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к защищаемой информации;
  • реализация системы инженерно-технических и организационных мер охраны, предусматривающей многорубежность и равнопрочность построения охраны (территории, здания, помещения) с комплексным применением современных технических средств охраны, обнаружения, наблюдения, сбора и обработки информации, обеспечивающих достоверное отображение и объективное документирование событий;
  • ограничение доступа исполнителей и посторонних лиц в здания и помещения, где размещены средства информатизации и коммуникации, на которых обрабатывается (хранится, передается) защищаемая информация, непосредственно к самим средствам информатизации и коммуникациям;
  • разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защита информации в подсистемах различного уровня и назначения, входящих в АС;
  • учет документов, информационных массивов, регистрация действий пользователей и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
  • предотвращение внедрения в автоматизированные подсистемы программ-вирусов, программных закладок;
  • криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи;
  • надежное хранение традиционных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее хищение, подмену и уничтожение;
  • необходимое резервирование технических средств и дублирование массивов и носителей информации.
Страницы: Пред. | 1 | ... | 75 | 76 | 77 | 78 | 79 | ... | 128 | След.

Еще статьи