Приказ ФАС России от 23.10.2012 № 654

«Об утверждении Положения по организации парольной защиты автоматизированных систем Федеральной антимонопольной службы»

ФЕДЕРАЛЬНАЯ АНТИМОНОПОЛЬНАЯ СЛУЖБА

ПРИКАЗ

от 23 октября 2012 г. № 654

ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ПО ОРГАНИЗАЦИИ ПАРОЛЬНОЙ ЗАЩИТЫ АВТОМАТИЗИРОВАННЫХ СИСТЕМ ФЕДЕРАЛЬНОЙ АНТИМОНОПОЛЬНОЙ СЛУЖБЫ

В соответствии с Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Специальными требованиями и рекомендациями по технической защите конфиденциальной информации (СТР-К), утвержденными Приказом Гостехкомиссии России от 30.08.2002 № 282, а также в целях защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, и обрабатываемой на объектах информатизации Федеральной антимонопольной службы, приказываю:

1. Утвердить прилагаемое Положение по организации парольной защиты автоматизированных систем Федеральной антимонопольной службы (далее — Положение).

2. В центральном аппарате ФАС России — Службе поддержки сотрудников ФАС России (В.Ю. Кудрявцев), в территориальных органах ФАС России — ответственным за обеспечение требований по технической защите конфиденциальной информации не позднее двух недель со дня издания настоящего Приказа организовать проведение смены всех паролей автоматизированных систем ФАС России, защищенных паролем, в соответствии с Положением.

3. Руководителям территориальных органов ФАС России и начальникам структурных подразделений центрального аппарата ФАС России ознакомить под роспись с настоящим Приказом государственных гражданских служащих и иных лиц, допущенных к работе с автоматизированными системами ФАС России, защищенными паролем.

4. Государственным гражданским служащим и иным лицам, допущенным к работе с автоматизированными системами ФАС России, защищенными паролем, при эксплуатации автоматизированных систем ФАС России, защищенных паролем, руководствоваться настоящим Приказом.

5. Управлению информационных технологий ФАС России (В.Ю. Кудрявцев):

5.1. Один раз в полугодие докладывать о выполнении требований Положения.

5.2. Оказывать территориальным органам и структурным подразделениям центрального аппарата ФАС России методическую и консультационную помощь в выполнении требований Положения.

6. Контроль за исполнением настоящего Приказа возложить на статс-секретаря — заместителя руководителя Федеральной антимонопольной службы А.Ю. Цариковского.

И. Ю. Артемьев

от 23 октября 2012 г. № 654

ПОЛОЖЕНИЕ ПО ОРГАНИЗАЦИИ ПАРОЛЬНОЙ ЗАЩИТЫ АВТОМАТИЗИРОВАННЫХ СИСТЕМ ФЕДЕРАЛЬНОЙ АНТИМОНОПОЛЬНОЙ СЛУЖБЫ

1. Общие положения

1.1. Настоящее Положение регламентирует организационно-техническое обеспечение процессов генерации, смены и прекращения действия паролей (удаления учетных записей пользователей) в автоматизированных системах центрального аппарата и территориальных органов Федеральной антимонопольной службы (далее — АС ФАС России), меры обеспечения безопасности при использовании паролей, а также контроль за действиями пользователей и обслуживающего персонала системы при работе с паролями.

1.2. Организационно-техническое обеспечение процессов генерации, использования, смены и прекращения действия паролей во всех подсистемах АС ФАС России, контроль за действиями исполнителей и обслуживающего персонала системы при работе с паролями в центральном аппарате ФАС России возлагается на Службу поддержки сотрудников ФАС России, в территориальных органах ФАС России — на ответственных за обеспечение требований по технической защите конфиденциальной информации.

1.3 Термины и определения:

Автоматизированная система (АС) — система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

Информационная безопасность (ИБ) — состояние защищенности информации, характеризуемое способностью персонала, технических средств и информационных технологий обеспечивать конфиденциальность (т.е. сохранение в тайне от субъектов, не имеющих полномочий на ознакомление с ней), целостность и доступность информации при ее обработке техническими средствами.

Несанкционированный доступ (НСД) — доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

Учетная запись — информация о сетевом пользователе: имя пользователя, его пароль, права доступа к ресурсам и привилегии при работе в системе. Учетная запись может содержать дополнительную информацию (адрес электронной почты, телефон и т.п.).

Пользователь АС (ФАС России) — лицо, участвующее в функционировании АС (ФАС России) или использующее результаты ее функционирования.

Администратор (локальный, домена) — это зарегистрированный в системе пользователь, наделенный полномочиями администрирования АС ФАС России, имеет учетную запись с функциями администрирования.

Служебная учетная запись — учетная запись, используемая службами либо техническим персоналом АС ФАС России для доступа к ресурсам, необходимым для выполнения их функций. Локальные учетные записи компьютеров Administrator и Guest предназначены для служебного использования при настройке систем и не предназначены для повседневной работы.

Привилегированная учетная запись — учетная запись, используемая для управления работой АС ФАС России.

Принцип минимальных привилегий — принцип, согласно которому каждому субъекту системы предоставляется минимальный набор полномочий (или минимальный допуск), необходимый для выполнения вверенных задач. Применение этого принципа ограничивает ущерб, наносимый в случае случайного, ошибочного или несанкционированного использования.

Компрометация — утрата доверия к тому, что информация недоступна посторонним лицам.

Служба каталогов — средство иерархического представления ресурсов, принадлежащих организации, и информации об этих ресурсах. Под ресурсами могут пониматься материальные ресурсы, персонал, сетевые ресурсы и т.д.

Ключевой носитель — электронный носитель (дискета, флэш-накопитель, компакт-диск и т.п.), на котором находится ключевая информация (сертификаты и т.п.).

2. Общие требования к паролям

2.1 Личные пароли пользователей АС ФАС России должны выбираться с учетом следующих требований:

• длина пароля должна быть не менее 8 символов;
• в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и (или) специальные символы (@, #, $, &, *, % и т.п.);
• пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, наименования рабочих станций и т.д.), а также общепринятые сокращения и термины (qwerty, password и т.п.);
• при смене пароля новый пароль должен отличаться от старого не менее чем двумя символами;
• при создании паролей личных учетных записей пользователей возможно использование специализированного программного обеспечения для генерации сложных для подбора легкозапоминаемых паролей, размещенного на внутреннем портале ФАС России.

2.2. Пароли служебных и привилегированных учетных записей автоматизированной системы должны выбираться с учетом следующих требований:

• длина пароля должна быть не менее 12 символов;
• в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и (или) специальные символы (@, #, $, &, *, % и т.п.);
• пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, наименования рабочих станций и т.д.), а также общепринятые сокращения и термины (qwerty, password и т.п.), пароль не должен быть словом русского либо английского языка, в котором заменены некоторые символы (o->0, s->$, a->@ и т.п.);
• при смене пароля новый пароль должен отличаться от старого не менее чем четырьмя символами, расположенными не подряд;
• при создании паролей служебных учетных записей возможно использование специализированного программного обеспечения для генерации сложных для подбора легкозапоминаемых паролей, размещенного на внутреннем портале ФАС России.

3. Безопасность локальных учетных записей

3.1. Создание и использование локальных учетных записей на рабочих станциях, подключенных к АС ФАС России и входящих в состав домена либо в состав какого-либо из его поддоменов, пользователям запрещено.

3.2. Встроенная учетная запись Guest (Гость) должна быть заблокирована на всех рабочих станциях в составе АС ФАС России при первоначальном конфигурировании операционной системы.

3.3. Встроенная учетная запись Administrator (Администратор) должна быть переименована и защищена паролем согласно пункту 2.2 настоящего Положения.

4. Безопасность доменных учетных записей

4.1. Создание, изменение, удаление доменных учетных записей, а также учетных записей сервисов АС ФАС России (корпоративная электронная почта и др.) необходимо производить в соответствии с Положением о ведомственной электронной почте ФАС России, утвержденным Приказом ФАС России от 30.09.2009 № 650, а также другими положениями и инструкциями ФАС России, регламентирующими порядок действий технического персонала при предоставлении, изменении и прекращении действия полномочий пользователей на доступ к ресурсам АС ФАС России.

4.2. Пользователь АС ФАС России несет персональную ответственность за сохранение в тайне личного пароля. Запрещается сообщать пароль другим лицам, а также записывать и хранить его.

4.3. Пароли учетных записей пользователей АС ФАС России должны соответствовать требованиям пункта 2.1 настоящего Положения.

4.4. К управлению доменными учетными записями пользователей АС ФАС России необходимо подходить исходя из принципа «минимальных привилегий», т.е. пользователь АС ФАС России не должен иметь прав доступа как к локальной системе, так и к ресурсам АС ФАС России больше, чем это необходимо ему для выполнения своих должностных обязанностей.

4.5. Полная плановая смена паролей пользователей АС ФАС России должна проводиться регулярно, не реже одного раза в 3 месяца.

4.6. Внеплановая смена личного пароля или удаление учетной записи пользователя АС ФАС России в случае прекращения его полномочий (увольнение и т.п.) должна производиться Службой поддержки сотрудников ФАС России (в центральном аппарате ФАС России) или ответственными за обеспечение требований по технической защите конфиденциальной информации (в территориальных органах ФАС России) немедленно после окончания последнего сеанса работы данного пользователя АС ФАС России с системой.

4.7. Внеплановая полная смена паролей пользователей АС ФАС России должна производиться в случае прекращения полномочий (увольнение, переход на другую должность в центральном аппарате или территориальном органе ФАС России и другие обстоятельства) государственных гражданских служащих ФАС России, которым в связи с исполнением должностных обязанностей были предоставлены полномочия по управлению парольной защитой подсистем АС ФАС России, или лиц, работающих на договорной основе, которым были предоставлены аналогичные полномочия.

4.8. В случае длительного отсутствия пользователя АС ФАС России (командировка, болезнь и т.п.) его учетная запись может быть заблокирована и, в случае необходимости, изменены права доступа других пользователей в отношении ресурсов данного пользователя.

4.9. В случае компрометации личного пароля пользователя АС ФАС России либо подозрения на компрометацию должны быть немедленно предприняты меры по внеплановой смене личного пароля самим пользователем с немедленным информированием Службы поддержки сотрудников ФАС России (в центральном аппарате ФАС России) или ответственного за обеспечение требований по технической защите конфиденциальной информации (в территориальных органах ФАС России).

4.10. Смена забытого пользовательского пароля производится на основании заявки пользователя в Службу поддержки сотрудников ФАС России (в центральном аппарате ФАС России) или ответственному за обеспечение требований по технической защите конфиденциальной информации (в территориальных органах ФАС России).

4.11. Для предотвращения угадывания паролей должен быть настроен механизм блокировки учетной записи на 20 минут при пятикратном неправильном вводе пароля.

4.12. При возникновении вопросов, связанных с использованием доменных учетных записей, пользователь АС ФАС России должен обратиться в центральном аппарате ФАС России в Службу поддержки сотрудников ФАС России, в территориальном органе ФАС России к ответственному за обеспечение требований по технической защите конфиденциальной информации.

5. Временные учетные записи

5.1. Для предоставления временного доступа к ресурсам АС ФАС России (для лиц, не являющихся государственными гражданскими служащими ФАС России, для государственных гражданских служащих ФАС России, которым необходимо получить временный доступ к ресурсам АС ФАС России, в других подобных случаях) требуется использовать процедуру временных учетных записей.

5.2. Временная учетная запись — учетная запись, имеющая ограничение по времени действия, а также ограниченные права по доступу. Для временных учетных записей проводится подробное протоколирование их использования. Процедура получения временных учетных записей состоит в следующем:

• государственный гражданский служащий ФАС России в центральном аппарате ФАС России через Службу поддержки сотрудников ФАС России, в территориальном органе через ответственного за обеспечение требований по технической защите конфиденциальной информации, либо лицо, не являющееся государственным гражданским служащим ФАС России, через доверенное лицо в ФАС России (которое подает заявку в указанном порядке) оформляет заявку на внесение изменений в списки пользователей АС ФАС России и наделение пользователя полномочиями доступа к ресурсам АС ФАС России, указав в заявке, что требуемая учетная запись временная, и определив временные рамки ее использования;
• временная учетная запись создается Службой поддержки сотрудников ФАС России в центральном аппарате ФАС России, при содействии ответственного за обеспечение требований по технической защите конфиденциальной информации в территориальном органе ФАС России;
• пользователь, получивший временную учетную запись, информируется об ограничениях, связанных с ее использованием.

5.3. Для рассмотрения вопросов, связанных с использованием временных учетных записей, необходимо обращаться в центральном аппарате в Службу поддержки сотрудников ФАС России, в территориальном органе к ответственному за обеспечение требований по технической защите конфиденциальной информации.

6. Безопасность служебных и привилегированных учетных записей

6.1. Требования пункта 2.2 настоящего Положения относятся ко всем служебным и привилегированным учетным записям АС ФАС России. Пароли служебных учетных записей необходимо менять не реже чем раз в месяц.

6.2. При использовании привилегированных учетных записей необходимо руководствоваться принципом «минимальных привилегий», т.е. привилегии должны использоваться только тем лицом, которому они даны, и только если выполняемая задача требует наличия таких привилегий.

6.3. Использование привилегированных учетных записей в повседневной работе, не связанной с необходимостью их использования (установка, конфигурирование, восстановление и т.п. операционной системы и сервисов), недопустимо.

6.4. Учетная запись с функциями администрирования, используемая при установке, конфигурировании, восстановлении контроллера домена и иных действиях, при которых использование других учетных записей невозможно, не должна использоваться каким-либо иным образом. Для этой учетной записи необходимо подробное протоколирование всех событий ее использования, а также немедленное расследование любого нецелевого ее использования.

6.5. Использование принципа «минимальных привилегий» необходимо для служб и сервисов, выполняющихся на серверах АС ФАС России, т.е. службы и сервисы должны работать с минимально возможными для их корректной работы привилегиями, исходя из следующей иерархии:

• локальная служба;
• сетевая служба;
• уникальная учетная запись локального пользователя;
• уникальная учетная запись пользователя домена;
• локальная система;
• учетная запись локального администратора;
• учетная запись администратора домена.

6.6. К серверам высокой степени безопасности (контроллеры домена, серверы баз данных, иные серверы, от которых зависит бесперебойная работа АС ФАС России) необходимо предъявлять повышенные требования к минимизации привилегий доступа со стороны как удаленных, так и локальных пользователей и служб.

6.7. Пароли служебных учетных записей устройств, не входящих в службу каталогов (маршрутизаторы, серверы, аппаратные межсетевые экраны и т.п.), необходимо хранить в запечатанном конверте в сейфе у руководства Службы поддержки сотрудников ФАС России (для центрального аппарата ФАС России) или в сейфе у ответственного за обеспечение требований по технической защите конфиденциальной информации (для территориальных органов ФАС России). При смене паролей конверт со старыми паролями уничтожается.

6.8. В случае компрометации либо подозрении на компрометацию служебной или привилегированной учетной записи должны быть немедленно приняты меры по внеплановой смене пароля, кроме того необходима внеплановая смена паролей всех зависящих от нее учетных записей.

7. Аппаратные средства аутентификации

7.1. Для повышения степени защиты критически важных объектов АС ФАС России (рабочие станции и мобильные компьютеры с информацией высокой степени конфиденциальности, иные объекты) от несанкционированного доступа может использоваться двухфакторная аутентификация (по паролю и предмету — далее ключевой носитель информации).

7.2. Каждому пользователю АС ФАС России, для которого предусмотрена двухфакторная аутентификация, выдается персональный ключевой носитель информации, который учитывается установленным образом (однозначное сопоставление ключевого носителя и его владельца).

7.3. Ключевые носители информации маркируются установленным образом (уникальный номер ключевого носителя).

7.4. В случае прекращения необходимости использования персонального ключевого носителя (увольнение пользователя АС ФАС России, прекращение функционирования объекта, для аутентификации на котором носитель использовался, и т.п.) информация с данного носителя стирается установленным образом, доступ с использованием данного носителя блокируется.

7.5. Пользователям АС ФАС России категорически запрещается оставлять без личного присмотра, а также передавать другим лицам персональные ключевые носители, сообщать коды от персонального ключевого носителя, если таковые имеются.

7.6. В случае утраты персонального ключевого носителя пользователь обязан немедленно сообщить об инциденте в Службу поддержки сотрудников ФАС России (для центрального аппарата ФАС России) или ответственному за обеспечение требований по технической защите конфиденциальной информации (для территориальных органов ФАС России). При возникновении подобного инцидента необходимо незамедлительно принять меры для недопущения несанкционированного использования утраченного персонального ключевого носителя.

8. Контроль

8.1. Повседневный контроль за соблюдением требований настоящего Положения заключается в протоколировании процессов использования и изменения учетных записей, процессов доступа к ресурсам, процессов изменения учетных записей и предоставления доступа к ресурсам АС ФАС России.

8.2. Периодический контроль за соблюдением требований настоящего Положения заключается в регулярном проведении процедур протоколирования и анализе журналов протоколирования процессов, связанных с мониторингом выполнения установленных требований по парольной защите.

8.3. Контроль за выполнением требований настоящего Положения возлагается на Службу поддержки сотрудников ФАС России в центральном аппарате ФАС России, на ответственных за обеспечение требований по технической защите конфиденциальной информации в территориальных органах ФАС России.

9. Ответственность

9.1. Пользователи АС ФАС России несут персональную ответственность за несоблюдение требований по парольной защите.

9.2. Служба поддержки сотрудников ФАС России (в центральном аппарате ФАС России) и ответственные за обеспечение требований по технической защите конфиденциальной информации (в территориальных органах ФАС России) несут ответственность за компрометацию и нецелевое использование служебных и привилегированных учетных записей.

9.3. Форма и размер ответственности определяются исходя из вида и размера ущерба, нанесенного ресурсам АС ФАС России совершенными действиями либо бездействием.

---