Фрагмент документа "ОБ ОБЕСПЕЧЕНИИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ РАБОТЕ С БАЗАМИ ДАННЫХ ОРГАНОВ И ОРГАНИЗАЦИЙ РОСПОТРЕБНАДЗОРА".
4. Порядок работы по защите информации при работе с БД
4.1. Порядок работы пользователя по защите информации при работе
с БД.
4.1.1. Порядок работы пользователя по защите информации при
работе с БД определяется комплексом организационно-технических
мероприятий по обеспечению безопасности информации, хранящейся в БД и
обрабатываемой с помощью средств вычислительной техники в ЛВС органа
или организации Роспотребнадзора.
4.1.2. Решение задач, связанных с организацией и управлением
доступа должностных лиц органа или организации Роспотребнадзора к БД,
осуществляется системным администратором. При возникновении ситуаций,
не описываемых в данном Положении, решение принимает системный
администратор, руководствуясь порядком работы системного
администратора по защите информации при работе с БД органов и
организаций Роспотребнадзора.
4.1.3. Ответственность за сохранность и правильное использование
информации, полученной из БД, несут пользователь, имеющий доступ к БД,
и начальник (заведующий) структурного подразделения, в составе
которого работает пользователь. Ответственность наступает с момента
поступления информации на рабочую станцию пользователя.
4.1.4. Для обеспечения доступа пользователей к БД на их рабочих
станциях должно быть установлено специальное программное обеспечение,
обеспечивающее доступ и выполнение операций с информацией в БД.
4.1.5. Пользователям запрещается самостоятельно устанавливать
другое программное обеспечение (или менять параметры конфигурации
ранее установленных программных средств) для доступа и манипулирования
данными в БД. Запрещается копирование специального ПО и файлов БД на
личные съемные носители.
4.1.6. Запрещается использовать для передачи БД не
предназначенные для этого средства и каналы связи.
4.1.7. Доступ к БД предоставляется исключительно пользователям,
прошедшим инструктаж согласно политике информационной безопасности.
4.1.8. Список лиц, имеющих доступ к БД, определяется приказом
руководителя (главного врача) органов и организаций Роспотребнадзора в
субъектах Российской Федерации.
4.1.9. Для каждого из пользователей, которым необходим доступ к
БД, создается учетная запись о пользователе БД, состоящая из имени
пользователя и пароля. Не допускается использование простых паролей.
Срок действия активной учетной записи пользователя БД ограничен сроком
действия служебного контракта. Первоначальное значение пароля
устанавливается системным администратором. Периодичность, порядок и
технология изменения пароля доводится системным администратором до
пользователей. Пользователю запрещается использовать пароль,
предоставленный системным администраторам для первоначального доступа
к БД, в качестве постоянного рабочего пароля.
4.1.10. Не допускается использование различными пользователями
одной и той же учетной записи. Это правило действует и в тех случаях,
когда пользователи имеют одинаковые полномочия по доступу к БД. Для
ИСБД данное требование может не применяться, если в технологической
схеме есть прямое указание на возможность коллективного использования
одной учетной записи.
4.1.11. Руководитель (главный врач) органов и организаций
Роспотребнадзора принимает решение о разрешении доступа пользователя к
БД или изменения полномочий пользователя БД по ходатайству начальника
(заведующего) отдела, в составе которого работает данный пользователь.
Начальник (заведующий) структурного подразделения составляет и
подписывает заявку на регистрацию пользователя БД, утверждает ее у
руководителя и передает ее системному администратору (Приложение N 3).
4.1.12. Системный администратор лично сообщает пользователю его
пароль для доступа к БД под роспись в карточке пользователя
(Приложение N 4). Заявка и карточка остаются у системного
администратора.
4.1.13. Пользователю запрещается передавать в любом виде или
сообщать пароли для доступа к БД другим лицам, в том числе и своим
руководителям. Запрещается хранение пароля на любых твердых носителях,
позволяющих другим лицам получить информацию о пароле.
4.1.14. Пользователю запрещается использовать информацию,
полученную в результате доступа к БД, в целях, не предусмотренных его
должностным регламентом.
4.1.15. Пользователь обязан не разглашать свои идентификационные
данные.
4.1.16. Пользователь, имеющий возможность ввода или изменения
данных в БД, обязан обеспечить правильность вводимых данных.
4.1.17. Пользователь обязан блокировать персональный компьютер и
закрывать соединение с БД на время своего отсутствия у рабочей
станции.
4.1.18. Начальник отдела (заведующий) обязан своевременно
сообщать системному администратору об изменениях статуса пользователя
(увольнение и т.п.).
4.1.19. В случае выявления инцидентов с доступом к БД (фактов
несанкционированного доступа к БД, блокировки доступа, утери или
компрометации пароля и т.д.) пользователь обязан незамедлительно
сообщить об этом системному администратору.
4.1.20. Возможность подключения к БД не дает права пользователям
подключаться к БД, если им не предоставлены права доступа к этим БД.
Такие подключения рассматриваются как попытки несанкционированного
доступа.
4.1.21. При нарушениях правил, связанных с информационной
безопасностью, пользователь несет ответственность, установленную
действующим законодательством Российской Федерации.
4.1.22. Пользователь несет ответственность за все действия,
совершенные от имени его учетной записи, если не доказан факт
несанкционированного использования учетной записи.
4.1.23. Начальники отделов (заведующие) несут персональную
ответственность за неправильное использование специалистами учетных
записей пользователей, имеющих доступ к БД, а также за ознакомление
(под роспись) с Порядком работы новых пользователей БД в своем
структурном подразделении.
4.1.24. При выявлении инцидентов доступ пользователей к БД должен
быть приостановлен до окончания расследования инцидента, о чем
пользователь либо его начальник (заведующий) уведомляются в кратчайшие
сроки. По результатам служебного расследования нарушитель может быть
лишен прав доступа к БД, материалы расследования могут быть направлены
в соответствующие Службы для привлечения нарушителя к административной
ответственности.
4.2. Порядок работы системного администратора по защите
информации при работе с БД.
4.2.1. Ответственность за выполнение требований Положения несут
системный администратор и начальник (заведующий) отдела, в котором он
работает.
4.2.2. Решение задач, связанных с организацией и управлением
доступом пользователей к БД, осуществляется системным администратором.
4.2.3. Ответственность за сохранность информации, находящейся в
БД, несет системный администратор.
4.2.4. Технологическая модификация и удаление информации в БД
должны быть регламентированы для каждой БД.
4.2.5. Системный администратор организует и контролирует процесс
установки и конфигурирования стандартного программного обеспечения для
работы пользователей с БД, осуществляет сопровождение и тестирование
специального программного обеспечения для доступа к БД, обеспечивает
разработку дополнительных требований по обеспечению доступа к БД и
доведение их до сведения пользователей и их руководителей.
4.2.6. Системный администратор обязан производить
административные действия со строго определенных доверенных станций,
оснащенных средствами защиты от несанкционированного доступа и
располагающихся в помещениях с ограниченным доступом. Все действия
системного администратора должны протоколироваться и быть доступны в
течение 1 года.
4.2.7. При контактах с пользователем решение об идентификации
обратившегося лица принимает системный администратор любым доступным
для него способом.
4.2.8. В исключительных случаях с согласия системного
администратора возможно отклонение от требований данного Положения при
условии, что данное отклонение не влечет значительного риска для
информационной безопасности. В таких случаях лицо, принимающее решение
о допустимом риске, берет на себя ответственность за возможные
последствия. Этим лицом не может быть системный администратор. Все
необходимые сведения заносятся в журнал допустимых рисков при работе с
БД (Приложение N 1).
4.2.9. Все журналы и документы по безопасности БД хранит
системный администратор в электронном виде не менее трех лет.
4.2.10. При нарушениях системным администратором правил,
связанных с информационной безопасностью, он несет ответственность,
установленную действующим законодательством Российской Федерации.
4.2.11. Системный администратор несет ответственность за все
действия, совершенные от имени его учетной записи или системных
учетных записей, если не доказан факт несанкционированного
использования учетных записей.
4.2.12. При выявлении факта НСД системный администратор обязан:
- прекратить доступ к БД со стороны выявленного участка НСД;
- доложить руководству служебной запиской о факте НСД, его
результате (успешный, неуспешный) и предпринятых действиях;
- известить начальника (заведующего) структурного подразделения,
в котором работает пользователь, от имени учетной записи которого была
осуществлена попытка НСД, о факте НСД;
- проанализировать характер НСД;
- внести запись в журнал регистрации попыток несанкционированного
доступа к базам данных (Приложение N 2).
4.2.13. При увольнении сотрудника идентификатор и пароль
сотрудника удаляются из системы, электронные ключи доступа сдаются
сотрудником специалисту службы безопасности. Возможность доступа по
старым ключам блокируется.
4.2.14. Системный администратор анализирует рабочее место на
наличие закладок, вирусов и т.д., после чего все данные на винчестере
сотрудника уничтожаются, и операционная система на рабочем месте
переустанавливается.
4.2.15. Системный администратор вместе с руководителем сотрудника
анализирует целостность данных, к которым имел доступ сотрудник.
4.2.16. В случае обнаружения неправомерных действий специалистов
(удаление информации, внесение в систему закладок и вирусов) системный
администратор докладывает об этом начальнику (заведующему) отдела, в
котором он работает, который в свою очередь докладывает руководителю
(главному врачу) органа или организации Роспотребнадзора в субъекте
Российской Федерации.
По результатам служебного расследования нарушитель может быть
привлечен к административной ответственности.
Приложение N 1
к Положению об обеспечении
информационной безопасности
при работе с базами данных органов
и организаций Роспотребнадзора
в субъектах Российской Федерации
|
Фрагмент документа "ОБ ОБЕСПЕЧЕНИИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ РАБОТЕ С БАЗАМИ ДАННЫХ ОРГАНОВ И ОРГАНИЗАЦИЙ РОСПОТРЕБНАДЗОРА".