ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «ГАЗПРОМ»

РЕКОМЕНДАЦИИ ОРГАНИЗАЦИИ

ТИПОВАЯ ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ИНФОРМАЦИОННО-УПРАВЛЯЮЩЕЙ

СИСТЕМЫ ПРОИЗВОДСТВЕННО-ХОЗЯЙСТВЕННОЙ ДЕЯТЕЛЬНОСТИ

Р Газпром 4.2-0-002-2009

Издание официальное

ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «ГАЗПРОМ»

Общество с ограниченной ответственностью «Газинформсервис» Общество с ограниченной ответственностью «Газпром экспо»

Москва 2010

Предисловие

1. РАЗРАБОТАНЫ

   
    

2. ВНЕСЕНЫ

   
    

3. УТВЕРЖДЕНЫ

   
    

4. ВВЕДЕНЫ ВПЕРВЫЕ

Обществом с ограниченной ответственностью «Газинформсервис»

Службой корпоративной защиты ОАО «Газпром»

заместителем генерального директора Службы корпоративной защиты ОАО «Газпром» 24 сентября 2009 года

© ОАО «Газпром», 2009

© Разработка ООО «Газинформсервис», 2009

© Оформление ООО «Газпром экспо», 2010

Распространение настоящих рекомендаций осуществляется в соответствии с действующим законодательством и с соблюдением правил, установленных ОАО «Газпром»

Содержание

1. Область применения 1

2. Нормативные ссылки 1

3. Термины, определения и сокращения 2

4. Общие положения 2

5. Типовое содержание Политики информационной безопасности информационно-управляющей системы производственно-хозяйственной

   деятельности 3

   1. Общие положения 4

   2. Принципы и направления обеспечения информационной безопасности информационно-управляющей системы производственно-хозяйственной деятельности 4

   3. Порядок обеспечения информационной безопасности на этапах жизненного цикла информационно-управляющей системы производственно-хозяйственной

      деятельности 6

   4. Физическая защита 8

   5. Обеспечение информационной безопасности при эксплуатации средств обработки, хранения и передачи информации и использовании

      информационных ресурсов 9

   6. Контроль доступа 15

   7. Порядок пересмотра Политики информационной безопасности информационно-управляющей системы производственно-хозяйственной

      деятельности 18

      Приложение А (справочное) Примерный перечень документов, входящих

      в систему документов дочернего общества (организации) в части обеспечения информационной безопасности информационноуправляющей системы производственно-хозяйственной деятельности . . . 19

      Библиография 21

      
       

      III

      Введение

      
       

      Рекомендации разработаны на основании Перечня программных мероприятий

      «Комплексной целевой программы на 2008–2010 годы по развитию системы обеспечения безопасности ОАО «Газпром» (пункт 8 подраздела 6.1.1) в целях обеспечения применения комплекса стандартов ОАО «Газпром» «Система обеспечения информационной безопасности ОАО «Газпром».

      Настоящие рекомендации предлагают единый подход дочерних обществ (организаций) ОАО «Газпром» к разработке политик информационной безопасности информационноуправляющих систем производственно-хозяйственной деятельности.

      Рекомендации разработаны авторским коллективом под научным руководством к.т.н. В.В. Роздобары, при участии к.т.н. И.А. Жуклинца, к.т.н. А.В. Павловского, Д.Б. Никифорова, Н.В. Наумова и к.т.н. О.А. Лаврова (ОАО «Газпром»).

      
       

      РЕКОМЕНДАЦИИ ОТКРЫТОГО АКЦИОНЕРНОГО ОБЩЕСТВА «ГАЗПРОМ»

      
       

      

      ТИПОВАЯ ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ИНФОРМАЦИОННО-УПРАВЛЯЮЩЕЙ СИСТЕМЫ ПРОИЗВОДСТВЕННО-ХОЗЯЙСТВЕННОЙ ДЕЯТЕЛЬНОСТИ

      

      
       

      Дата введения – 2010-07-05

      
       

      1. Область применения

         
          

         1. Настоящие рекомендации определяют:

            • типовое содержание Политики информационной безопасности информационноуправляющей системы производственно-хозяйственной деятельности дочернего общества (организации) ОАО «Газпром»;

            • подходы к обеспечению информационной безопасности информационно-управляющей системы производственно-хозяйственной деятельности, включающие совокупность организационно-технических мер, которые должны осуществляться в дочернем обществе (организации) ОАО «Газпром».

         2. Настоящие рекомендации предназначены для подразделений безопасности, на которые возложено решение задач обеспечения информационной безопасности дочернего общества (организации).

            
             

      2. Нормативные ссылки

         
          

         
          

         дарты:

         В настоящих рекомендациях использованы нормативные ссылки на следующие стан-

         
          

         СТО Газпром 4.2-0-001-2009 Система обеспечения информационной безопасности

         ОАО «Газпром». Документы системы

         СТО Газпром 4.2-0-004-2009 Система обеспечения информационной безопасности ОАО «Газпром». Базовая модель информационной безопасности корпоративных информационно-управляющих систем

         
          

         

         Издание официальное

         СТО Газпром 4.2-1-001-2009 Система обеспечения информационной безопасности ОАО «Газпром». Основные термины и определения

         СТО Газпром 4.2-2-001-2009 Система обеспечения информационной безопасности ОАО «Газпром». Требования к информационно-управляющим системам предприятия

         СТО Газпром 4.2-3-001-2009 Система обеспечения информационной безопасности ОАО «Газпром». Руководство по разработке требований к объектам защиты

         СТО Газпром 4.2-3-003-2009 Система обеспечения информационной безопасности ОАО «Газпром». Анализ и оценка рисков

         СТО Газпром 4.2-3-004-2009 Система обеспечения информационной безопасности ОАО «Газпром». Классификация объектов защиты

         Примечание – При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных стандартов по соответствующим указателям, составленным на 1 января текущего года, и информационным указателям, опубликованным в текущем году. Если ссылочный документ заменен (изменен), то при пользовании настоящими рекомендациями следует руководствоваться замененным (измененным) документом. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

         
          

      3. Термины, определения и сокращения

         
          

         В настоящих рекомендациях применены термины в соответствии с СТО Газпром 4.2-1-001 и следующие сокращения:

         АРМ – автоматизированное рабочее место;

         ДОО – дочернее общество (организация) ОАО «Газпром»; ИБ – информационная безопасность;

         ИУС ПХД – информационно-управляющая система производственно-хозяйственной деятельности;

         ЛВС – локальная вычислительная сеть; ОС – операционная система;

         ПО – программное обеспечение;

         СУБД – система управления базой данных; ТЗ – техническое задание.

         
          

      4. Общие положения

         
          

         1. Политика ИБ ИУС ПХД в соответствии с СТО Газпром 4.2-0-001 входит в систему документов в области ИБ ДОО и определяет основные принципы, организационно-технические меры, процедуры и правила обеспечения ИБ объектов защиты, входящих в состав системы.

            Положения Политики ИБ ИУС ПХД уточняют (дополняют) Политику ИБ ДОО с учетом особенностей объектов защиты ИУС ПХД.

         2. Под ИУС ПХД в настоящих рекомендациях понимается совокупность информации, процедур, персонала, аппаратного и программного обеспечения, объединенных регулируемыми взаимоотношениями для осуществления целенаправленной деятельности по управлению производственно-хозяйственной деятельностью ДОО.

         3. Разработка Политики ИБ ИУС ПХД осуществляется подразделением ИБ ДОО с привлечением, при необходимости, других подразделений ДОО.

            При разработке Политики ИБ ИУС ПХД рекомендуется использовать типовое содержание политики ИБ, которое представлено в разделе 5 настоящих рекомендаций. При этом содержание политики ИБ раскрывается и конкретизируется с учетом особенностей производственной деятельности ДОО и условий функционирования информационной инфраструктуры ИУС ПХД.

         4. Политика ИБ ИУС ПХД согласовывается со Службой корпоративной защиты ОАО «Газпром» и утверждается руководителем ДОО.

         5. Политика ИБ ИУС ПХД подлежит периодическому пересмотру с учетом результатов контроля состояния ИБ, соблюдения политики ИБ, а также различных изменений в ИУС ПХД и ДОО в целом, имеющих отношение к ИБ. Периодичность пересмотра Политики ИБ ИУС ПХД устанавливается подразделением ИБ, но не реже одного раза в 2 года.

         6. В ДОО с учетом особенностей организации защиты используемых сервисов (процедур, процессов) разрабатываются нормативные и организационно-распорядительные документы нижестоящего уровня (политики ИБ, инструкции, регламенты).

            В приложении А к настоящим рекомендациям приведен примерный перечень документов, регламентирующих обеспечение ИБ ИУС ПХД. Предлагаемый перечень документов упорядочен в соответствии с разделами Политики ИБ ИУС ПХД, к которым они относятся.

            
             

      5. Типовое содержание Политики информационной безопасности информационно-управляющей системы производственно-хозяйственной деятельности

         Политика ИБ ИУС ПХД, как правило, имеет следующую структуру:

         • общие положения;

         • принципы и направления обеспечения ИБ ИУС ПХД;

         • порядок обеспечения ИБ на этапах жизненного цикла ИУС ПХД;

         • физическая защита;

         • обеспечение ИБ при эксплуатации средств обработки, хранения и передачи информации и использовании информационных ресурсов;

         • контроль доступа;

         • порядок пересмотра Политики ИБ ИУС ПХД.

           Типовое содержание разделов политики ИБ приведено в последующих пунктах (подпунктах) раздела 5 настоящих рекомендаций.

           1. Общие положения

              Настоящая политика ИБ разработана с учетом требований федерального законодательства, нормативных и организационно-распорядительных документов ОАО «Газпром» по вопросам обеспечения ИБ, в том числе Политики ИБ ОАО «Газпром» [1], а также Политики ИБ ДОО.

              Настоящая политика ИБ выражает позицию руководства в отношении обеспечения ИБ ИУС ПХД и является методологической основой для разработки нормативных и организационно-распорядительных документов ДОО в области обеспечения ИБ ИУС ПХД.

              Исполнение положений настоящей политики ИБ является обязательным для всех пользователей ИУС ПХД.

           2. Принципы и направления обеспечения информационной безопасности информационноуправляющей системы производственно-хозяйственной деятельности

              Целью обеспечения ИБ ИУС ПХД является повышение уровня защищенности ее информационных ресурсов и устойчивости ее функционирования, стабильности исполнения основных бизнес-процессов ДОО путем предотвращения и (или) снижения возможного ущерба от несанкционированных воздействий на объекты защиты ИУС ПХД.

              Обеспечение ИБ ИУС ПХД основывается на следующих принципах:

         • обязательной идентификации и классификации объектов защиты в соответствии с СТО Газпром 4.2-3-004;

         • учета при выборе мер и средств защиты информационных ресурсов частной модели угроз, построенной в соответствии с СТО Газпром 4.2-0-004;

         • оценки рисков реализации угроз ИБ в соответствии с СТО Газпром 4.2-3-003;

         • регламентации порядка доступа к объектам защиты. Объектами защиты в ИУС ПХД являются:

         • информационные ресурсы, подлежащие защите в соответствии с действующим законодательством, а также модификация или утрата которых может привести к нарушению хода реализации бизнес-процессов ДОО;

         • серверное оборудование (серверы прикладных систем, СУБД, файл-серверы, коммуникационные и другие серверы);

         • АРМ пользователей ИУС ПХД;

         • ПО.

           Угрозы ИБ ИУС ПХД направлены на нарушение:

         • конфиденциальности (утечка, перехват, съем, копирование, хищение, разглашение) информации;

         • целостности (утрата, уничтожение, модификация) информации;

         • доступности (блокирование) информации и отдельных элементов ИУС ПХД. Обеспечение ИБ ИУС ПХД осуществляется по следующим направлениям, реализуе-

           мым организационно-техническими мерами защиты.

           Физическая защита, включая:

         • защиту технических средств обработки, хранения и передачи информации;

         • защиту серверных помещений.

           Обеспечение ИБ при эксплуатации средств обработки, хранения и передачи информации и использовании информационных ресурсов, включая:

         • организацию безопасной эксплуатации средств обработки, хранения и передачи инфор-

мации;

• защиту от вредоносного ПО;

• резервное копирование информационных ресурсов;

• резервирование серверов;

• защиту сетевых сервисов;

• обеспечение ИБ при обращении со съемными носителями информации;

• защищенный обмен информацией;

• защиту ПО;

• регистрацию и учет событий ИБ;

• контроль защищенности;

• криптографическую защиту. Контроль доступа, в том числе:

• управление доступом пользователей;

• определение ответственности пользователей;

• контроль доступа к ОС;

• контроль доступа к прикладным системам и информационным ресурсам;

• контроль доступа к сетевым сервисам;

  • обеспечение безопасности при удаленном доступе и использовании мобильных устройств.

    Вопросы, связанные с идентификацией и классификацией объектов защиты, организацией работы с персоналом по вопросам ИБ, обеспечением непрерывности бизнес-процессов, управления инцидентами ИБ, а также обеспечением соответствия требованиям по ИБ рассматриваются в Политике ИБ ДОО (типовое содержание Политики ИБ ДОО представлено в Р Газпром 4.2-0-001-2009 [2]) и других нормативных и организационно-распорядительных документах ОАО «Газпром» и ДОО в области ИБ.

    Реализация организационно-технических мер обеспечения ИБ ИУС ПХД достигается в первую очередь путем:

  • наделения пользователей ИУС ПХД минимально необходимыми правами доступа и привилегиями по работе в ИУС ПХД;

  • корректного использования и администрирования встроенных механизмов безопасности технических средств обработки, хранения и передачи информации и наложенных средств защиты, входящих в состав ИУС ПХД;

  • контроля функционирования и настроек механизмов безопасности, а также соблюдения требований по ИБ;

  • физической защиты технических средств обработки, хранения и передачи информации от неправомерного доступа к ним.

    Функции администрирования выполняются специалистами подразделений, отвечающих за эксплуатацию объектов защиты (системными администраторами и администраторами прикладных систем, а также администраторами ИБ), а функции контроля – работниками подразделения ИБ.

    Обязанности пользователей ИУС ПХД по обеспечению ИБ зависят от занимаемой должности и определены в их должностных инструкциях.

    1. Порядок обеспечения информационной безопасности на этапах жизненного цикла информационно-управляющей системы производственно-хозяйственной деятельности

       Информационная безопасность ИУС ПХД обеспечивается на всех этапах ее жизненного цикла с учетом роли всех вовлеченных в этот процесс сторон (разработчиков, заказчиков, поставщиков продуктов и услуг, эксплуатирующих организаций и надзорных органов).

       Подразделение ИБ непосредственно участвует во всех этапах жизненного цикла ИУС ПХД по части вопросов обеспечения ИБ.

       Жизненный цикл ИУС ПХД включает следующие этапы:

       • обоснование требований к системе;

       • разработка (модернизация) системы;

       • ввод системы в эксплуатацию;

       • эксплуатация системы;

       • вывод системы из эксплуатации.

         
          

         1. Этапы обоснования требований и разработки (модернизации)

            Порядок разработки требований по ИБ, предъявляемых к ИУС ПХД, регламентируется СТО Газпром 4.2-3-001.

            Ответственность за включение в ТЗ на создание (модернизацию) ИУС ПХД, а также в техническую, программную, конструкторскую, проектную и эксплуатационную документацию обоснованных требований по защите обрабатываемой информации и контроль их выполнения в процессе экспертизы документации, испытаний и приемки разрабатываемых проектов несет руководство ДОО.

            ТЗ в части требований по обеспечению ИБ ИУС ПХД согласовывается со Службой корпоративной защиты ОАО «Газпром».

            Требования по ИБ формируются с учетом экономической целесообразности, уровней критичности объектов защиты, контингента пользователей и их прав доступа, режима работы ИУС ПХД и не должны быть ниже требований, установленных в СТО Газпром 4.2-2-001.

            К разработке (модернизации) ИУС ПХД привлекаются на договорной основе организации, имеющие установленные законодательством Российской Федерации лицензии на данный вид деятельности. Преимущество имеют организации, сертифицированные в Системе добровольной сертификации ГАЗПРОМСЕРТ.

            Требования по ИБ включаются во все договора и контракты на проведение работ или оказание услуг по разработке, модернизации и обслуживанию ИУС ПХД.

            Этап разработки (модернизации) ИУС ПХД завершается оценкой ее соответствия требованиям ИБ (сертификацией) в Системе добровольной сертификации ГАЗПРОМСЕРТ.

         2. Этап ввода в эксплуатацию

            Обеспечение ИБ ИУС ПХД на этапе ввода в эксплуатацию осуществляется организацией, ответственной за ввод в эксплуатацию. Подразделение ИБ осуществляет контроль соблюдения мер ИБ при вводе в эксплуатацию.

            Перед вводом ИУС ПХД в эксплуатацию в целевой среде осуществляется запуск системы в тестовом режиме в выделенной тестовой среде.

            Процедуры установки и запуска ИУС ПХД должны обеспечивать безопасный запуск системы в тестовом режиме, а также перенос в целевую среду и переход из тестового режима в режим эксплуатации.

            Предпринимаются меры по контролю правильности поставляемой версии программного обеспечения, настройке всех необходимых параметров функций безопасности и проверке их работоспособности, смене настроек по умолчанию и запуску системы безопасным способом в соответствии с рекомендациями разработчика.

         3. Этап эксплуатации

            В процессе эксплуатации ИУС ПХД обеспечение ИБ достигается:

       • периодическим проведением переоценки рисков для принятия необходимых мер ИБ;

       • планированием и выполнением процедур минимизации ущерба и восстановления ИУС ПХД, расследованием причин нарушений ИБ и принятием мер по исключению подобных случаев.

         Принимаются меры по недопущению внесения в ИУС ПХД изменений, приводящих к нарушению ее функциональности или появлению недокументированных возможностей. Выполняется регистрация всех событий, которые могут иметь отношение к ИБ, мониторинг работы технических средств и выполнение организационных мер ИБ, обеспечивается обратная связь для корректирующих действий после внесения изменений в ИУС ПХД.

         Эксплуатация ИУС ПХД должна сопровождаться организацией-разработчиком весь срок ее службы.

         В процессе сопровождения подразделением ИБ рассматриваются и анализируются все предлагаемые или сделанные изменения в конфигурации ИУС ПХД, включая изменения политик, правил и процедур. При значительном изменении уровня остаточных рисков проводится повторная оценка соответствия ИУС ПХД требованиям ИБ.

         1. Этап вывода из эксплуатации

    На стадии вывода из эксплуатации отдельных элементов ИУС ПХД должно быть обеспечено архивирование, перемещение и гарантированное (по возможности) удаление информации из запоминающих устройств.

    1. Физическая защита

       
        

       1. Защита технических средств обработки, хранения и передачи информации

          В целях предотвращения несанкционированного доступа к информации и ее утечки, хищения технических средств обработки, хранения и передачи информации, а также простоев в функционировании ИУС ПХД обеспечивается физическая защита входящих в нее технических средств.

          Физическая защита технических средств осуществляется в соответствии с требованиями СТО Газпром 4.2-2-001.

          Серверы ИУС ПХД и централизованные хранилища данных размещаются в запираемых шкафах с сигнализацией, располагаемых в специализированных помещениях (серверных), ограничивающих доступ к ним посторонних лиц.

          Перед утилизацией или передачей в ремонт технических средств выполняется гарантированное удаление информации с них.

       2. Защита серверных помещений

    В целях обеспечения безопасности серверов ИУС ПХД и централизованных хранилищ данных осуществляется защита серверных помещений.

    Защита серверных помещений осуществляется в соответствии с требованиями СТО Газпром 4.2-2-001.

    Доступ в серверные помещения разрешается работникам ДОО только для выполнения должностных обязанностей по обслуживанию технических средств обработки, передачи и хранения информации. Доступ в серверные помещения ограничивается средствами контроля и управления доступом.

    Серверные помещения оборудуются средствами пожарной безопасности, вентиляции и кондиционирования.

    При выполнении работ в серверных помещениях лицами, чья деятельность не связана непосредственно с обслуживанием серверов и хранилищ данных, обеспечивается контроль их действий.

    1. Обеспечение информационной безопасности при эксплуатации средств обработки, хранения и передачи информации и использовании информационных ресурсов

       1. Организация безопасной эксплуатации средств обработки, хранения и передачи информации

          Правила безопасного использования прикладных систем и средств вычислительной техники, входящих в состав ИУС ПХД, определяются нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

          Функции по администрированию и контролю эксплуатации средств обработки, хранения и передачи информации разделяются и возлагаются на специально выделенных для этого работников.

          Изменения в конфигурации средств вычислительной техники и прикладных систем ИУС ПХД выполняются системными администраторами и администраторами прикладных систем. Изменения в конфигурации средств защиты выполняются администраторами ИБ. Все осуществляемые изменения регистрируются в соответствующих журналах.

          Самостоятельное изменение конфигурации средств обработки, хранения и передачи информации пользователями ИУС ПХД запрещено.

          При размещении средств разработки, тестирования и эксплуатации обеспечивается их физическое или логическое разделение в целях снижения риска несанкционированного доступа или внесения изменений в систему.

       2. Защита от вредоносного программного обеспечения

          В целях предотвращения проникновения, обнаружения внедрения и нейтрализации вредоносного ПО в ИУС ПХД создается система защиты от вредоносного ПО.

          Архитектура системы защиты ИУС ПХД от вредоносного ПО обеспечивает многоуровневую (эшелонированную) защиту и выполняет следующие задачи:

          • проверку входящих в ИУС ПХД и исходящих информационных потоков в режиме реального времени;

          • защиту серверов СУБД и прикладных систем, файловых и других серверов;

          • защиту АРМ пользователей ИУС ПХД.

            Управление и обновление средств защиты от вредоносного ПО осуществляется централизованно.

            Разрешается использование только сертифицированных на соответствие требованиям безопасности информации средств защиты от вредоносного ПО.

            Администрирование средств защиты от вредоносного ПО осуществляется системным администратором ИБ. Настройки системы защиты от вредоносного ПО согласовываются и контролируются администратором ИБ. Пользователи ИУС ПХД несут ответственность за соблюдение установленных в ДОО правил защиты от вредоносного ПО.

            Случаи проникновения и внедрения вредоносного ПО расследуются в рамках мероприятий по управлению инцидентами ИБ. Восстановление систем после воздействия вредоносного ПО осуществляется в рамках мероприятий по обеспечению непрерывности бизнеспроцессов.

       3. Резервирование информационных ресурсов и серверов информационно-управляющей системы производственно-хозяйственной деятельности

          1. Резервное копирование информационных ресурсов

             В целях обеспечения возможности восстановления информационных ресурсов в случае их утраты или нарушения целостности в ИУС ПХД осуществляется резервное копирование.

             Резервному копированию подлежат базы данных прикладных систем и другие централизованные хранилища данных. Обеспечивается хранение нескольких резервных копий.

             Способ и периодичность резервного копирования, место и сроки хранения резервных копий определяются в зависимости от назначения и особенностей системы, в которой информация обрабатывается, а также от ценности информации.

             Резервируемые информационные ресурсы учитываются в порядке, установленном нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

          2. Резервирование серверов

    В целях обеспечения бесперебойного функционирования ИУС ПХД осуществляется резервирование критически важных серверов.

    Перечень критически важных средств обработки, хранения и передачи информации формируется в результате проведения идентификации и классификации объектов защиты ИУС ПХД, выполняемых в соответствии с СТО Газпром 4.2-3-004.

    В целях резервирования осуществляется применение отказоустойчивых схемотехнических решений (использование кластерных конфигураций; двойное подключение сервера к ЛВС ИУС ПХД посредством двух сетевых интерфейсов, подключаемых к разным коммутаторам ЛВС или разным модулям одного и того же коммутатора, и др.).

    Для обеспечения возможности оперативного восстановления конфигурации серверов в случае физического или логического сбоя выполняется резервное копирование конфигураций и создание образов системных дисков.

    Серверы ИУС ПХД и централизованные хранилища данных обеспечиваются защитой от перебоев в подаче электроэнергии.

    1. Защита сетевых сервисов

       В целях обеспечения безопасности информации и информационной инфраструктуры ИУС ПХД осуществляется защита сетевых сервисов.

       Защита сетевых сервисов в ИУС ПХД обеспечивается следующими мерами:

       • установление перечня разрешенных к использованию в ИУС ПХД сетевых сервисов;

       • контроль доступа пользователей к сетевым сервисам;

       • контроль использования пользователями сетевых сервисов;

       • организация взаимодействия с сетью Интернет только через единый шлюз ОАО «Газ-

       пром»;

       
        

• защита сервиса электронной почты от несанкционированной рассылки сообщений

  электронной почты;

  • обязательная проверка на наличие вредоносных вложений электронной почты и входящих информационных потоков из сети Интернет;

  • использование усиленной аутентификации при удаленном доступе к сетевым сервисам;

  • возложение на пользователей сетевых сервисов ответственности за обеспечение ИБ при их использовании и др.

    Правила безопасной эксплуатации пользователями ИУС ПХД сетевых сервисов и перечень разрешенных к использованию сервисов регламентируются нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

    1. Обеспечение информационной безопасности при обращении со съемными носителями информации

       В целях предотвращения разглашения, утечки или утери информации в ИУС ПХД применяются меры защиты съемных носителей информации.

       В ИУС ПХД разрешается применение только зарегистрированных установленным порядком съемных носителей информации. Для хранения конфиденциальной и открытой информации должны использоваться отдельные носители.

       В ИУС ПХД осуществляется мониторинг использования съемных носителей. Перед использованием съемные носители информации в обязательном порядке подвергаются проверке средствами защиты от вредоносного ПО.

       На АРМ, где нет необходимости применения съемных носителей информации, возможность их подключения исключается программно и/или физически.

       Утилизация неиспользуемых носителей осуществляется только с обеспечением гарантированного уничтожения содержащейся на них информации.

    2. Защищенный обмен информацией

       В целях предотвращения разглашения, утечки или утраты информации в ИУС ПХД применяются меры по защите информации при ее передаче различными методами.

       При транспортировке носителей информации за пределами ДОО принимаются меры по их защите от несанкционированного доступа, неправильного использования и повреждения.

       Информация ограниченного доступа, передаваемая вне контролируемых зон ИУС ПХД, а также передаваемая с помощью средств электронного обмена сообщениями, защищается криптографическими средствами.

    3. Защита программного обеспечения

       В целях поддержания работоспособности ПО осуществляются меры по устранению уязвимостей ПО, а также другие меры защиты.

       Устранение уязвимостей ПО достигается регулярным централизованным получением и установкой обновлений, предоставляемых разработчиками ПО. Обновление ОС, другого

       общесистемного и прикладного ПО осуществляется системными администраторами и администраторами прикладных систем.

       Новое ПО и все обновления принимаются в эксплуатацию только после успешного прохождения тестирования. При тестировании оценивается совместимость с другим ПО. Тестирование по возможности осуществляется в изолированной среде.

       Для наиболее критичных систем осуществляется контроль целостности системных файлов ПО.

    4. Регистрация и учет событий информационной безопасности

       В целях своевременного выявления нарушений ИБ ИУС ПХД осуществляется контроль событий ИБ операционных и прикладных систем, СУБД и средств защиты информации. В ИУС ПХД осуществляется регистрация и учет в журналах событий операционных и прикладных систем, СУБД и средств защиты информации событий, которые могут быть свя-

       заны с нарушениями ИБ.

       В обязательном порядке подлежат регистрации:

       • действия пользователей по доступу к операционным и прикладным системам, информационным ресурсам и сетевым сервисам;

       • действия пользователей по работе со съемными носителями информации на их АРМ;

       • действия администраторов по изменению настроек средств обработки, хранения и передачи информации, средств защиты информации, прав доступа пользователей;

       • попытки получения доступа к журналам событий.

       Обеспечивается хранение журналов событий в течение заданного периода времени. Предусматриваются механизмы защиты журналов событий от переполнения, несанкционированного просмотра и изменения.

       Журналы событий регулярно анализируются работниками подразделения ИБ. Для повышения эффективности контроля применяются средства анализа и корреляции событий. В целях обеспечения возможности корреляции событий осуществляется синхронизация времени всех систем с единым доверенным источником.

       Перечень событий, подлежащих регистрации, период времени хранения журналов событий, периодичность контроля журналов работниками подразделения ИБ и другие меры безопасности определяются нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

       Результаты регистрации и учета событий используются при проведении мероприятий по управлению инцидентами ИБ.

    5. Контроль защищенности

       В целях своевременного и эффективного реагирования на опубликованные и выявленные уязвимости ПО ИУС ПХД принимаются меры контроля защищенности средств обработки, хранения и передачи информации.

       Контроль защищенности осуществляется специалистами подразделения ИБ. Перечень объектов контроля защищенности определяется по результатам идентификации и классификации объектов защиты, проводимой в соответствии с СТО Газпром 4.2-3-004.

       Контроль защищенности осуществляется следующими способами:

       • периодическим инструментальным анализом защищенности при помощи сканеров безопасности;

       • постоянным мониторингом защищенности при помощи систем мониторинга ИБ;

       • анализом конфигурационных файлов средств обработки, хранения и передачи инфор-

       мации;

       
        

• выполнением тестов на проникновение.

  Базы уязвимостей средств контроля защищенности регулярно обновляются с сайтов

  производителя применяемых средств. Выявленные уязвимости средств обработки, хранения и передачи информации устраняются при помощи предлагаемых их производителями обновлений программного обеспечения или изменения конфигурации.

  Все осуществляемые действия по контролю защищенности и устранению уязвимостей документируются.

  1. Криптографическая защита

  В целях обеспечения конфиденциальности, целостности и аутентичности обрабатываемой, хранимой и передаваемой информации в ИУС ПХД применяются сертифицированные в установленном порядке криптографические средства защиты.

  Процедуры управления криптографическими ключами (генерация, распределение, доступ, уничтожение) и выполнения криптографических операций, а также политика использования криптографических средств защиты определяются нормативными и организационнораспорядительными документами ОАО «Газпром» и ДОО в области ИБ.

  Электронные документы, для которых необходимо обеспечить целостность и аутентичность, защищаются с помощью электронной цифровой подписи.

  При передаче информации ограниченного доступа вне контролируемых зон применяются средства криптографической защиты информации.

  При использовании мобильных устройств информация ограниченного доступа, хранимая на них, защищается с использованием криптографических средств.

  1. Контроль доступа

     
      

     1. Управление доступом пользователей

        В целях обеспечения безопасности информационных ресурсов и устойчивого функционирования ИУС ПХД осуществляется управление доступом пользователей к ее информационным ресурсам, сетевым сервисам, операционным и прикладным системам.

        Пользователи наделяются минимальными правами доступа и привилегиями, необходимыми им для выполнения служебных задач. Наделение пользователей правами доступа и привилегиями основывается на установленной в ДОО формализованной процедуре предоставления прав доступа. Права доступа и привилегии пользователей подлежат регулярному пересмотру.

        Каждый пользователь обеспечивается уникальным персональным идентификатором. Подтверждение подлинности идентификатора (аутентификация) пользователя осуществляется при помощи паролей и/или средств усиленной аутентификации.

        Длина, сложность и срок действия паролей устанавливаются в зависимости от степени критичности защищаемых систем. Для наиболее критичных систем могут использоваться средства генерации паролей или усиленные средства аутентификации.

     2. Ответственность пользователей

        В целях предотвращения несанкционированного доступа, а также компрометации или кражи информации и средств обработки информации определяется ответственность пользователей за соблюдение правил доступа при использовании АРМ.

        Пользователи несут ответственность за соблюдение установленных правил при выборе и использовании паролей. Парольная политика и правила использования паролей определяются нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

        Пользователям запрещено работать под чужими учетными записями, а также сообщать свои пароли и передавать средства аутентификации другим пользователям. При оставлении АРМ пользователями предпринимаются меры по защите их от несанкционированного доступа, например, блокирование сеанса пользователя в ОС.

        В процессе работы пользователями должны соблюдаться правила «чистого стола» и

        «чистого экрана».

        
         

     3. Контроль доступа к операционной системе

        В целях предотвращения несанкционированного доступа к АРМ пользователей выполняется контроль доступа к ОС.

        Работа пользователей в ОС осуществляется под учетными записями с ограниченными правами. Доступ к ОС предоставляется пользователям только после прохождения процедур идентификации и аутентификации.

        Управление учетными записями пользователей, их принадлежностью к группам пользователей, правами и привилегиями, а также парольной политикой осуществляется системным администратором и администратором ИБ посредством службы каталога и согласовывается с подразделением ИБ.

        Средствами ОС обеспечивается автоматическое блокирование сеансов пользователей после установленного периода неактивности.

     4. Контроль доступа к прикладным системам и информационным ресурсам

        В целях предотвращения несанкционированного доступа к информационным ресурсам в ИУС ПХД обеспечивается контроль доступа к прикладным системам и информационным ресурсам.

        Предоставление пользователям доступа к информационным ресурсам и прикладным системам осуществляется соответственно системным администратором и администраторами прикладных систем.

        Пользователи в рамках предоставленных им привилегий могут самостоятельно назначать права доступа к создаваемым ими информационным ресурсам. При этом пользователи несут ответственность за обеспечение их конфиденциальности.

        Доступ к прикладным системам и информационным ресурсам предоставляется пользователям после прохождения ими процедур идентификации и аутентификации.

        Аутентификация в прикладной системе осуществляется пользователем при каждом входе в прикладную систему. При наличии технической возможности целесообразно осуществлять единую аутентификацию в прикладных системах и ОС.

        При доступе к критичным прикладным системам используются средства усиленной аутентификации.

        Наиболее критичные прикладные системы размещаются в отдельных сегментах ИУС ПХД. В целях повышения эффективности контроля доступа и снижения сложности администрирования механизмов доступа, а также упрощения для пользователей процедуры доступа к прикладным системам, сервисам и информационным ресурсам используется единая система

        управления идентификацией и доступом пользователей.

        
         

     5. Контроль доступа к сетевым сервисам

        В целях предотвращения несанкционированного использования сетевых сервисов в ИУС ПХД осуществляется контроль доступа к сетевым сервисам.

        Доступ к сетевым сервисам предоставляется пользователям ИУС ПХД только ввиду служебной необходимости. Предоставление пользователям доступа к сетевым сервисам осуществляется системным администратором.

        Порядок разрешения и осуществления доступа пользователей ИУС ПХД к сетевым сервисам определяется нормативными и организационно-распорядительными документами ОАО «Газпром» и ДОО в области ИБ.

        Работники подразделения ИБ осуществляют контроль эксплуатации пользователями сетевых сервисов и выборочный контентный анализ передаваемой и принимаемой информации.

     6. Обеспечение безопасности при удаленном доступе и использовании мобильных устройств

        В целях защиты от несанкционированного доступа в ИУС ПХД и к защищаемым информационным ресурсам предпринимаются меры обеспечения безопасности при удаленном подключении пользователей к ИУС ПХД и при использовании мобильных устройств.

        При удаленном подключении пользователей к ИУС ПХД осуществляется контроль подключения, предусматривающий включающий применение средств усиленной аутентификации и средств криптографической защиты информационного обмена (защищенных виртуальных сетей).

        Мобильные устройства подразделяются на служебные и личные. Служебные мобильные устройства являются собственностью ДОО и выдаются работникам по заявкам руководителей структурных подразделений для использования при выполнении ими служебных обязанностей. Личные мобильные устройства могут использоваться в служебных целях по согласованию с руководителем структурного подразделения ДОО, в подчинении которого находится владелец мобильного устройства.

        Мобильные устройства представителей органов государственной власти или сторонних организаций приравниваются к личным мобильным устройствам. Регистрацию и подключение мобильных устройств к ИУС ПХД организует руководитель структурного подразделения ДОО, в которое прибыл представитель органов государственной власти или сторонних организаций.

        Перед подключением к ИУС ПХД все мобильные устройства проверяются на наличие вредоносного ПО и необходимых обновлений системного ПО.

        Настройка и установка средств защиты на мобильные устройства возлагаются на администраторов ИБ. Контроль соответствия мобильных устройств требованиям ИБ осуществляется работниками подразделения ИБ.

        При использовании беспроводных подключений к ИУС ПХД применяются меры защиты беспроводных сетей.

  2. Порядок пересмотра Политики информационной безопасности информационноуправляющей системы производственно-хозяйственной деятельности

  Политика ИБ пересматривается с периодичностью не реже одного раза в 2 года. При пересмотре политики ИБ учитываются результаты контроля эффективности обеспечения ИБ за предыдущий период.

  Процедура пересмотра политики ИБ включает:

  • анализ и выявление несоответствий действующей политики ИБ текущим условиям;

  • разработку предложений по совершенствованию политики ИБ;

  • утверждение новой редакции политики ИБ.

    При осуществлении процедуры пересмотра учитываются:

    результаты контроля состояния ИБ и отзывы заинтересованных сторон о состоянии ИБ ИУС ПХД;

  • изменения в организационно-штатной структуре ДОО и информационной инфраструктуре ИУС ПХД;

  • изменения в законодательной и нормативной базе по ИБ, произошедшие с момента утверждения предыдущей политики ИБ;

  • результаты анализа произошедших инцидентов ИБ, а также уязвимости и угрозы, выявленные в ИУС ПХД за время, прошедшее с момента утверждения предыдущей политики ИБ;

  • изменения в управлении ИБ, включая изменения в распределении ресурсов и обязанностей при обеспечении ИБ.

Приложение А

(справочное)

Примерный перечень документов, входящих в систему документов дочернего общества (организации) в части обеспечения информационной безопасности информационно-управляющей системы производственно-хозяйственной деятельности

Библиография

[1] Политика информационной безопасности ОАО «Газпром» (утверждена приказом ОАО «Газпром» от 15.02.2008 № 48)

[2] Рекомендации ОАО «Газпром» Р Газпром

4.2-0-001-2009

Типовая политика информационной безопасности дочернего общества (организации)

ОКС 35.020

Ключевые слова: типовая политика, информационная безопасность, информационноуправляющая система производственно-хозяйственной деятельности

Корректура Е.М. Петровой

Компьютерная верстка А.И. Шалобановой

Подписано в печать 20.04.2010 г.

Формат 60х84/8. Гарнитура «Ньютон». Тираж 155 экз. Уч.-изд. л. 3,2. Заказ 532.

ООО «Газпром экспо» 117630, Москва, ул. Обручева, д. 27, корп. 2. Тел.: (495) 719-64-75, (499) 580-47-42.

Отпечатано в ООО «Полиграфия Дизайн»