73
Карманные персональные компьютеры, а также мобильные телефоны,
имеющие функцию электронной почты и прочие переносные устройства не
относятся к числу устройств, имеющих надежные механизмы защиты данных. В
подобном устройстве не рекомендуется хранить конфиденциальную
информацию.
Все программное обеспечение, установленное на предоставленном
Компанией компьютерном оборудовании, является собственностью ООО «АСК-
38» и должно использоваться исключительно в производственных целях.
Сотрудникам запрещается устанавливать на предоставленном в
пользование компьютерном оборудовании нестандартное, нелицензионное
программное обеспечение или программное обеспечение, не имеющее
отношения к их производственной деятельности. Если в ходе выполнения
технического обслуживания будет обнаружено не разрешенное к установке
программное обеспечение, оно будет удалено, а сообщение о нарушении будет
направлено непосредственному руководителю сотрудника и в отдел
информационных технологий.
На всех портативных компьютерах должны быть установлены программы,
необходимые для обеспечения защиты информации:
персональный межсетевой экран;
антивирусное программное обеспечение;
программное обеспечение шифрования жестких дисков;
программное обеспечение шифрования почтовых сообщений.
Все компьютеры, подключенные к корпоративной сети, должны быть
оснащены системой антивирусной защиты, утвержденной руководителем
Отдела информационных технологий.
Сотрудники ООО «АСК-38» не должны:
блокировать антивирусное программное обеспечение;
устанавливать другое антивирусное программное
обеспечение;
изменять настройки и конфигурацию антивирусного
программного обеспечения.
74
Компания предпочитает приобретать программное обеспечение, а не
разрабатывать собственные программы, поэтому пользователям, желающим
внедрить новые возможности бизнес-процессов, необходимо обсудить свое
предложение со своим менеджером по бизнес информации, который
проинформирует их о порядке приобретения и/или разработки программного
обеспечения.
Электронные сообщения (удаленные или не удаленные) могут быть
доступны или получены государственными органами или конкурентами по
бизнесу для их использования в качестве доказательств в процессе судебного
разбирательства или при ведении бизнеса. Поэтому содержание электронных
сообщений должно строго соответствовать корпоративным стандартам в области
деловой этики.
Использование электронной почты в личных целях допускается в случаях,
когда получение/отправка сообщения не мешает работе других пользователей и
не препятствует бизнес деятельности.
Сотрудникам запрещается направлять партнерам конфиденциальную
информацию ООО «АСК-38» по электронной почте без использования систем
шифрования. Строго конфиденциальная информация ООО «АСК-38», ни при
каких обстоятельствах, не подлежит пересылке третьим лицам по электронной
почте.
Сотрудникам ООО «АСК-38» запрещается использовать публичные
почтовые ящики электронной почты для осуществления какого-либо из видов
корпоративной деятельности.
Использование сотрудниками ООО «АСК-38» публичных почтовых
ящиков электронной почты осуществляется только при согласовании с
Департаментом защиты информации при условии применения механизмов
шифрования.
Сотрудники ООО «АСК-38» для обмена документами с бизнес
партнерами должны использовать только свой официальный адрес электронной
почты.
Сообщения, пересылаемые по электронной почте, представляют собой
постоянно используемый инструмент для электронных коммуникаций, имеющих
75
тот же статус, что и письма и факсимильные сообщения. Электронные
сообщения подлежат такому же утверждению и хранению, что и прочие
средства письменных коммуникаций.
В целях предотвращения ошибок при отправке сообщений пользователи
перед отправкой должны внимательно проверить правильность написания имен
и адресов получателей. В случае получения сообщения лицом, вниманию
которого это сообщение не предназначается, такое сообщение необходимо
переправить непосредственному получателю. Если полученная таким образом
информация носит конфиденциальный характер, об этом следует
незамедлительно проинформировать специалистов Отдела защиты информации.
Отправитель электронного сообщения, документа или лицо, которое его
переадресовывает, должен указать свое имя и фамилию, служебный адрес и тему
сообщения.
Ниже перечислены недопустимые действия и случаи использования
электронной почты:
рассылка сообщений личного характера, использующих
значительные ресурсы электронной почты;
групповая рассылка всем пользователям ООО «АСК-38»
сообщений/писем;
рассылка рекламных материалов, не связанных с
деятельностью ООО «АСК-38»;
подписка на рассылку, участие в дискуссиях и подобные
услуги, использующие значительные ресурсы электронной почты в
личных целях;
поиск и чтение сообщений, направленных другим лицам
(независимо от способа их хранения);
пересылка любых материалов, как сообщений, так и
приложений, содержание которых является противозаконным,
непристойным, злонамеренным, оскорбительным, угрожающим,
клеветническим, злобным или способствует поведению, которое может
рассматриваться как уголовное преступление или административный
проступок либо приводит к возникновению гражданско-правовой
76
ответственности, беспорядков или противоречит корпоративным
стандартам в области этики.
Ко всем исходящим сообщениям, направляемым внешним пользователям,
пользователь может добавлять уведомление о конфиденциальности.
Вложения, отправляемые вместе с сообщениями, следует использовать с
должной осторожностью. Во вложениях всегда должна указываться дата их
подготовки, и они должны оформляться в соответствии с установленными в
ООО «АСК-38» процедурами документооборота.
Пересылка значительных объемов данных в одном сообщении может
отрицательно повлиять на общий уровень доступности сетевой инфраструктуры
ООО «АСК-38» для других пользователей. Объем вложений не должен
превышать 2 Мбайт.
Все пользователи должны быть осведомлены о своей обязанности
сообщать об известных или подозреваемых ими нарушениях информационной
безопасности, а также должны быть проинформированы о том, что ни при каких
обстоятельствах они не должны пытаться использовать ставшие им известными
слабые стороны системы безопасности.
В случае кражи переносного компьютера следует незамедлительно
сообщить об инциденте директору Отдела защиты информации.
Пользователи должны знать способы информирования об известных или
предполагаемых случаях нарушения информационной безопасности с
использованием телефонной связи, электронной почты и других методов.
Необходимо обеспечить контроль и учет сообщений об инцидентах и принятие
соответствующих мер.
Если имеется подозрение или выявлено наличие вирусов или иных
разрушительных компьютерных кодов, то сразу после их обнаружения
сотрудник обязан:
проинформировать специалистов Отдела информационных
технологий;
не пользоваться и не выключать зараженный компьютер;
не подсоединять этот компьютер к компьютерной сети ООО
«АСК-38» до тех пор, пока на нем не будет произведено удаление
77
обнаруженного вируса и полное антивирусное сканирование
специалистами Отдела информационных технологий.
Конфиденциальные встречи (заседания) должны проходить только в
защищенных техническими средствами информационной безопасности
помещениях.
Перечень помещений с техническими средствами информационной
безопасности утверждается Руководством ООО «АСК-38».
Участникам заседаний запрещается входить в помещения с записывающей
аудио/видео аппаратурой, фотоаппаратами, радиотелефонами и мобильными
телефонами без предварительного согласования с Департаментом защиты
информации.
Аудио/видео запись, фотографирование во время конфиденциальных
заседаний может вести только сотрудник ООО «АСК-38», который отвечает за
подготовку заседания, после получения письменного разрешения руководителя
группы организации встречи.
Доступ участников конфиденциального заседания в помещение для его
проведения осуществляется на основании утвержденного перечня, контроль за
которым ведет лицо, отвечающее за организацию встречи.
Уполномоченные сотрудники Отдела информационных технологий и
Отдела защиты информации контролируют содержание всех потоков данных
проходящих через сеть ООО «АСК-38».
Сотрудникам ООО «АСК-38» запрещается:
нарушать информационную безопасность и работу сети ООО
«АСК-38»;
сканировать порты или систему безопасности;
контролировать работу сети с перехватом данных;
получать доступ к компьютеру, сети или учетной записи в обход
системы идентификации пользователя или безопасности;
использовать любые программы, скрипты, команды или передавать
сообщения с целью вмешаться в работу или отключить пользователя оконечного
устройства;
78
передавать информацию о сотрудниках или списки сотрудников
ООО «АСК-38» посторонним лицам;
создавать, обновлять или распространять компьютерные вирусы и
прочие разрушительное программное обеспечение.
Ответственность за сохранность данных на стационарных и портативных
персональных компьютерах лежит на пользователях. Специалисты Отдела
информационных технологий обязаны оказывать пользователям содействие в
проведении резервного копирования данных на соответствующие носители.
Необходимо регулярно делать резервные копии всех основных служебных
данных и программного обеспечения.
Только специалисты Отдела информационных технологий на основании
заявок руководителей подразделений могут создавать и удалять совместно
используемые сетевые ресурсы и папки общего пользования, а также управлять
полномочиями доступа к ним.
Сотрудники имеют право создавать, модифицировать и удалять файлы и
директории в совместно используемых сетевых ресурсах только на тех участках,
которые выделены лично для них, для их рабочих групп или к которым они
имеют санкционированный доступ.
Все заявки на проведение технического обслуживания компьютеров
должны направляться в отдел информационных технологий.
В качестве одного из документов по обеспечению информационной
безопасности разработаны «Общие требования по обеспечению
информационной безопасности», текст которых приведен в Приложении.
2.2 Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия
2.2.1 Структура программно-аппаратного комплекса
информационной безопасности и защиты информации предприятия
79
Esafe представляет собой решения, которые могут быть приобретены по
желанию компании в комплексе или по отдельности. Каждое из представленных
решений направлено на обеспечение безопасности определенного сегмента:
eSafe Mail & Web Security Gateway - Предотвращает проникновение
вредоносного кода извне в защищаемую сеть
eSafe Web Security Gateway - Обнаруживает угрозы нового
поколения, надежно защищает от атак из Интернет
eSafe Web Security Gateway SSL - Защищает сеть, сканируя
зашифрованный трафик
eSafe Mail Security Gateway - Защищает электронную почту от всех
видов угроз.
eSafe Web & Mail Security Gateway Plus – это проактивное средство
защиты, устанавливаемое на шлюзе в Интернет, и предотвращающее
проникновение в защищаемую сеть известных и неизвестных вредоносных
программ, спама, а также ограничивающее доступ к данным и приложениям, не
соответствующим корпоративной политике или морально-этическим нормам.
eSafe Web & Mail Security Gateway Plus совмещает в себе одновременно
удобство установки и управления с возможностью глубокого сканирования
Интернет-контента на нескольких уровнях. Характеризуется высокой
производительностью, масштабируемостью, средствами для обеспечения
отказоустойчивости и распределения нагрузки.
Все это позволяет интегрировать eSafe в компании любого масштаба – от
нескольких сотен до десятков тысяч пользователей.
eSafe Web & Mail Security Gateway Plus совмещает в себе одновременно
удобство установки и управления с возможностью глубокого сканирования
Интернет-контента на нескольких уровнях. Это полностью законченное
интегрированное решение для обеспечения контент-безопасности,
предоставляющее следующие возможности:
- Проактивный антивирус. Проактивное блокирование до 98%
вредоносного кода «zero-hour», включая троянов и червей.
80
- Сигнатурный антивирус имеет сертификаты ICSA и Checkmark,
подтверждающие 100% блокирование «диких» (то есть жизнеспособных и
представляющих реальную опасность) вирусов.
Защита от эксплойтов: eSafe Web & Mail Security Gateway Plus
проактивно блокирует любые попытки использования уязвимостей в почтовых
сообщениях и Web.
Обнаружение и предотвращение попыток некорректного
использования HTTP протокола и атак на уязвимости его реализации.
Проверка 100% HTML кода на Web-страницах, в почтовых
клиентах почтовых служб на наличие вредоносных и подозрительных скриптов
и эксплойтов.
Приведение электронных сообщений к стандарту RFC и
исключение известных и неизвестных эксплойтов, часто находящихся во
фрагментах, не соответствующих стандартам.
Проверка электронных сообщений на содержание определенного
текстового контента и типов присоединенных файлов.
Web/URL-фильтрация в соответствии с категорированной базой
URL-адресов, характером содержимого и типом файлов.
Адресное блокирование коммуникаций Интернет червей,
шпионского ПО (spyware), Интернет-пейджеров (IM), клиентов файлообменных
сетей (P2P), приложений удаленного управления и туннелирования, потокового
видео/аудио.
Блокирование подавляющего большинства (до 99.9%)
нежелательных сообщений (спама) с близким к нулевому уровнем ложных
срабатываний .
Блокирование шпионских приложений на 4-х уровнях:
Уровень 1: блокирование на уровне доступа (к категориям сайтов,
заведомо содержащих шпионские приложения).
Уровень 2: блокирование навязанной рекламы и предотвращение
каскадной переадресации ("drive-by").
Уровень 3: блокирование по сигнатурам.
Уровень 4: блокирование коммуникаций шпионских приложений.
81
Для обеспечения безопасности сети, подключенной к Интернет, и защиты
от современного вредоносного программного обеспечения, внедряемого в Web-
контент, традиционной URL-фильтрации уже недостаточно. Она защищает
только от заражения вредоносными программами, размещенными на известных
(категоризированных как зараженные) сайтах, путем блокирования доступа к
этим сайтам.
В eSafe Web Security Gateway реализованы не только возможности URL-
фильтрации, но и технологии защиты от различных видов вредоносного кода,
что позволяет полностью защитить сеть от любых вредоносных программ.
Функциональные возможности eSafe Web Security Gateway
Web/URL-фильтрация в соответствии с категорированной базой
URL-адресов, характером содержимого и типом файлов. (Подробнее)
Адресное блокирование коммуникаций:
Интернет червей;
Интернет-пейджеров (ICQ, GoogleTalk, MSN Messenger, Mail.ru);
Клиентов файлообменных сетей (Skype, eDonkey2000, BitTorrent);
Приложений удаленного управления (GoToMyPC, Citrix, RADMIN);
Несанкционированного туннелирования (Hamachi, HOPSTER,
HTTP-Tunnel);
Потокового видео/аудио
Блокирование шпионских приложений.
Проверка 100% HTML-кода Web-страницы на наличие вредоносных
скриптов, эксплойтов, других видов вредоносного кода в Web-страницах, Web-
почте.
Блокирование вирусов. Благодаря наличию сигнатурного и
проактивного антивируса, блокируется до 100% как известных, так и новых
(zero-hour) вирусов.
Защита от эксплойтов. Проактивное блокирование попыток
эксплуатации уязвимостей в Web-трафике.
82
eSafe Web Security Gateway SSL обладает наиболее полным функционалом
для анализа трафика внутри защищенных криптографическими методами
протоколов:
Прозрачное сканирование Web-трафика внутри защищенных
криптографическими методами протоколов (HTTPS, SSL, TLS).
Политика проверки сертификатов на уровне шлюза, позволяющая
свести на нет риск принятия недействительных сертификатов пользователями.
Автоматический отзыв сертификатов с поддержкой CRL и OCSP;
Возможность гибкой настройки политик фильтрации HTTPS-сайтов
по базе категоризированных URL-адресов.
Легкое (в один клик) управление цифровыми сертификатами.
Наличие базы корневых и подчиненных Удостоверяющих Центров
(УЦ) с возможностью их дополнения и категоризации по всей цепочке
установленных доверительных отношений.
Обработка исключений в режиме реального времени по URL-
адресам и «отпечаткам» сертификатов.
Специальная схема администрирования сертификатов на стороне
клиента.
Удобное администрирование «черных» и «белых» списков.
Обширный инструментарий для обработки нештатных ситуаций и
ведения отчетов.