Повышение уровня информационной безопасности исследуемого предприятия

Требования и оценки

Подкатегория

Передовые методики

Требования по безопасности

Организации следует определить круг лиц, обладающих достаточной квалификацией по системам безопасности, которые должны участвовать во всех обсуждениях и принятии решений, связанных с безопасностью. Организация должна определить необходимые составляющие защиты на основе ценности имущества, а также уровень безопасности, требуемый для его защиты. Все векторы угроз включаются в анализ. Выработанная стратегия должна быть уравновешена с точки зрения расходов и преимуществ защиты. Кроме того, она может включать передачу или принятие рисков. Требования по безопасности, полученные от представителей бизнеса и технических специалистов, должны быть задокументированы и опубликованы с целью ознакомления и будущего использования всеми сторонами. Различия между классами приложений и данных может привести к определению других конечных требований.

Полученные данные

Рекомендации

Требования по безопасности

Вы указали, что в вашей организации отсутствует модель для назначения уровней критичности каждому компоненту вычислительной среды.

Назначение уровней важности для каждого компонента компьютерной инфраструктуры позволяет предоставлять больше ресурсом тем компонентам, которые считаются более важными, и меньше тем, которые менее важные. В результате этого ресурсы безопасности наиболее эффективно применяются для тех систем, в которых они больше всего требуются.

Подкатегория

Передовые методики

Оценки безопасности

Необходимо провести стороннюю оценку, чтобы получить полезную и объективную точку зрения на состояние системы безопасности организации.

Сторонние оценки могут быть также полезны для обеспечения соответствия требованиям нормативов, клиентов, партнеров и поставщиков.

Оценки должны затрагивать инфраструктуру, приложения, политики, а также процедуры аудита. Целью этих оценок должно быть не только определение проблем безопасности, но также проверка небезопасных конфигураций и прав внешнего доступа. Необходимо проверить и оценить политики и процедуры безопасности на предмет пробелов.

Полученные данные

Рекомендации

Оценки безопасности

Вы указали, что оценки безопасности для вашей организации выполняются внутренним персоналом.

Продолжайте практику частых проверок безопасности внутренним персоналом, но в дополнение к этому привлекайте заслуживающую доверия стороннюю организацию.

Оценки безопасности

Вы указали, что независимые оценки безопасности не выполнялись третьими сторонами.

Начните с самостоятельной оценки важных элементов инфраструктуры сети и приложений.
Рассмотрите необходимость составления плана, предусматривающего проведение регулярной плановой независимой оценки важных элементов инфраструктуры сети и приложений.

Используйте результаты этих оценок в проектах, направленных на совершенствование.

Политика и процедуры

Подкатегория

Передовые методики

Проверка в фоновом режиме

Для определения любых потенциальных проблем необходимо проводить проверки в фоновом режиме, тем самым снижая риск для организации и других служащих. Этот шаг также позволяет определить любые потенциальные проблемы и пробелы в резюме кандидата.
Процесс найма должен включать обзор предыдущих мест работы кандидата и сведения о привлечении к юридической ответственности.

Необходимо оценить навыки кандидата с точки зрения подробных должностных инструкций и требований, чтобы оценить его сильные и слабые стороны.

Полученные данные

Рекомендации

Проверка в фоновом режиме

Ваш ответ указывает на то, что проверка в фоновом режиме выполняется по отношению ко всем сотрудникам.

Отлично, продолжайте реализацию этой политики. Проверка биографических данных должна включать обзор предыдущих мест работы кандидата, сведений об образовании и привлечении к юридической ответственности.

Подкатегория

Передовые методики

Политика отдела кадров

Формальная процедура увольнения должна гарантировать, что предприняты все необходимые шаги при завершении трудового соглашения.

Должны существовать процедуры для увольнения как по обычным причинам, так и в результате конфликтов.Эти процедуры должны включать следующее:
+ Уведомление всех отделов -- отдела кадров, ИТ, физической защиты, службы поддержки, финансового отдела и т.д.
+ Выдворение служащего за пределы компании
+ Удаление всех учетных записей и прекращение доступа к сети
+ Сдача собственности, принадлежащей компании -- переносные и карманные компьютеры, электронные носители, конфиденциальные документы и т.д.

Полученные данные

Рекомендации

Политика отдела кадров

Ваш ответ указывает на то, что в вашей организации отсутствует официальная политика в отношении служащих, покидающих компанию.

Немедленно начните работу с отделом кадров по разработке официальной политики увольнения сотрудников.
Должны быть разработаны отдельные политики в отношении увольнения как по обычным причинам, так и при наличии конфликтов.

Наиболее важным компонентом этой политики является гарантированное прекращение действия физического доступа и привилегий специалиста отдела ИТ для данного сотрудника.

Подкатегория

Передовые методики

Сторонние взаимосвязи

Чтобы снизить риск разглашения данных, необходимо применять формальные политики и процедуры для урегулирования взаимоотношений со сторонними компаниями. Эти политики и процедуры позволяют определить проблемы безопасности и ответственность каждой из сторон при их устранении.
Эти политики должны включать следующее:
+ Уровень соединения и доступа
+ Представление данных и работа с ними
+ Роли и ответственность (включая полномочия) каждой стороны
+ Управление взаимоотношениями -- установка, продолжение и прекращение.

Полученные данные

Рекомендации

Сторонние взаимосвязи

Вы указали, что конфигурирование систем выполняется внутренним персоналом.

Системы должны настраиваться внутренним персоналом в соответствии с проверенным образом.

Сторонние взаимосвязи

Вы указали, что ваша организация самостоятельно осуществляет управление вычислительной средой.

В зависимости от потребностей бизнеса, подходящим решением будет самоуправление или привлечение внешних ресурсов. Если управление осуществляется с использованием внешних ресурсов, требования по безопасности необходимо оговорить в контракте, а соглашения об уровне сервиса (SLA) предназначены для обеспечения соответствия этим требованиям.

Сторонние взаимосвязи

Ваш ответ указывает на то, что политики регулирования сторонних взаимосвязей все же существуют.

Проверяйте все политики и процедуры для существующих сторонних взаимосвязей. Пересматривайте эти политики по мере развития предприятия для обеспечения гарантии того, что они по-прежнему согласованы и должным образом представляют положение компании.

Список приоритетных действий

Предмет анализа

Рекомендация

Высокий приоритет

Инфраструктура > Управление и контроль > Защищенная сборка

Рассмотрите возможность использования единого решения удаленного доступа для среды, если развернуто несколько типов решений.

Инфраструктура > Защита по периметру > Сегментация

Убедитесь в наличии межсетевого экрана, сегментирования и систем определения вторжения для защиты инфраструктуры компании от атак из Интернета.

Приложения > Развертывание и использование > Уязвимые места в системе

Эти процедуры включают проверку исправлений в лабораторных условиях, а также проверку приложений после установки исправления, чтобы определить наличие конфликтов, из-за которых может потребоваться выполнить откат исправления.
Периодически повторяйте эти процедуры, чтобы убедиться, что они соответствуют текущим требованиям приложения.

Приложения > Хранение данных и связь > Шифрование - Алгоритм

Продолжайте использование имеющегося алгоритма шифрования, но убедитесь, что используется ключ с сильной защитой.

Инфраструктура > Защита по периметру > Удаленный доступ

Рассмотрение беспроводной сети как небезопасной и требование от пользователей использовать VPN или аналогичные технологии для подключения к корпоративным ресурсам является лучшим решением для поддержания целостности данных, однако это не предотвращает несанкционированное подключение посторонних пользователей. Рассмотрите необходимость использования проверки подлинности WPA и ограничение MAC-адресов, чтобы разрешить доступ только для определенных пользователей.

Средний приоритет

Приложения > Схема приложения > Ведение журнала

Для облегчения управления файлами журнала и их анализа рассмотрите необходимость интеграции с централизованным механизмом ведения журналов. Механизм ведения журналов должен обеспечивать сохранение и архивирование журналов в соответствии с действующими политиками хранения корпоративных данных.

Персонал > Политика и процедуры > Сторонние взаимосвязи

Системы должны настраиваться внутренним персоналом в соответствии с проверенным образом.

Операции > Архивация и восстановление > Файлы журнала

Рассмотрите необходимость переноса файлов журналов на защищенный сервер в сети управления для архивирования. Доступ к архивированным файлам журналов следует предоставить только службе безопасности для анализа происшествий.

Операции > Архивация и восстановление > Резервные носители

Наличие политики хранения резервных носителей и работы с ними является полезным начальным шагом, однако очень важно, чтобы эта политика была тщательно проработана и четко определена. Регулярно проводите аудит этой политики, чтобы обеспечить ее соответствие всем критериям, изложенным в разделе, посвященном передовым методикам.

Персонал > Требования и оценки > Оценки безопасности

Начните с самостоятельной оценки важных элементов инфраструктуры сети и приложений.
Рассмотрите необходимость составления плана, предусматривающего проведение регулярной плановой независимой оценки важных элементов инфраструктуры сети и приложений.

Используйте результаты этих оценок в проектах, направленных на совершенствование.

Низкий приоритет

Операции > Политика безопасности > Правильное использование

Все сотрудники и клиенты, использующие корпоративные ресурсы, должны быть ознакомлены с этими политиками. Разместите политики в корпоративной интрасети и рассмотрите необходимость ознакомления с ними всех новых сотрудников при приеме их на работу.

Операции > Архивация и восстановление > Архивация

Проведите аудит механизмов архивации и обеспечьте регулярное архивирование всех важных активов. Периодически проверяйте работоспособность функций восстановления, чтобы контролировать возможность восстановления с резервных носителей.

Инфраструктура > Защита по периметру > Антивирус - Настольные компьютеры

Продолжайте использовать такую практику. Реализуйте политику, в соответствии с которой пользователям необходимо регулярно обновлять сигнатуры вирусов. Рассмотрите необходимость установки клиента антивирусной программы с использованием настроек для рабочей станции по умолчанию.

Инфраструктура > Защита по периметру > Антивирус - Серверы

Продолжайте использовать такую практику. Рассмотрите необходимость активного управления антивирусными клиентами на серверах с централизованной консоли управления с целью развертывания конфигурации и сигнатур.
Если используется Microsoft Exchange, рассмотрите необходимость активизации дополнительных антивирусных функций и функции фильтров содержимого на уровне почтового ящика.

Инфраструктура > Проверка подлинности > Политики паролей - Учетная запись администратора

Рассмотрите необходимость реализации дополнительной системы защиты, связанной с учетными записями администратора, например службы ведения журналов и учета всех успешных и неудачных попыток проверки подлинности.
Перейдите с протоколов незашифрованного текста.

Вопрос оценки

Ваш ответ

Business Risk Profile

Число используемых настольных и переносных компьютеров в компании:

300 - 399

Число используемых серверов в компании:

11 - 25

Используется ли в вашей компании постоянное подключение к Интернету?

Да

Получают ли клиенты и поставщики доступ к сети или внутренним системам по Интернету?

Нет

Предоставляет ли ваша компания на своем узле такие службы приложений, как портал или веб-узел, для внешних клиентов или партнеров?

Нет

Развертывает ли ваша организация службы, используемые как внешними, так и внутренними клиентами, в одном и том же сегменте?

Нет

Подключаются ли внешние партнеры или клиенты непосредственно к внутренним серверным системам компании с целью получения доступа к данным, записи обновлений или обработки информации?

Нет

Развертывала ли ваша организация идентичные компоненты серверной инфраструктуры, например базы данных, для поддержки как внешних приложений, так и внутренних корпоративных служб?

Да

Разрешено ли сотрудникам или подрядчикам вашей организации пользоваться удаленным доступом для подключения к внутренней корпоративной сети?

Да

Разрешено ли сотрудникам в вашей организации развертывать непроизводственные системы, например личные веб-серверы или компьютеры, на которых хранятся "любимые проекты", в общей корпоративной сети?

Нет

Разрешена ли в вашей организации, помимо резервных носителей/ленточных носителей, обработка конфиденциальных или принадлежащих компании данных за пределами сети?

Да

Сильно ли повлияет дискредитация безопасности систем в вашей среде на способность компании вести дела?

Да

Пользуется ли ваша компания офисным пространством совместно с другими организациями?

Нет

Разрабатывает ли ваша компания приложения?

Нет

Разрешено ли разработчикам программного обеспечения в вашей организации пользоваться удаленным доступом для подключения к корпоративным ресурсам, связанным с разработкой, или удаленно разрабатывать код приложения?

Нет

Разрабатывает ли ваша компания и поставляет ли программные продукты клиентам, партнерам или на рынок широкого потребления?

Нет

Разрешено ли разработчикам в вашей организации вести разработку или тестировать системы удаленно или в каких-либо местах в незащищенных условиях?

Нет

Выступает ли ваш персонал ИТ в роли хранителя (в отличие от разработчика) важных бизнес-приложений?

Да

Требуется ли использовать в бизнес-процессах данные, которые хранятся, обрабатываются или распределяются третьей стороной?

Нет

Хранит или обрабатывает ваша компания данные клиента в общей среде совместно с корпоративными ресурсами?

Да

Полагаетесь ли вы на сторонних партнеров по разработке программных продуктов с целью поддержки предложений, связанных с бизнес-службами?

Нет

Получает ли ваша компания доход от предложения услуг, требующих обработки данных или информационной проходки?

Нет

Считает ли ваша организация данные, обработанные службами приложений компании, конфиденциальными или важными для деловых операций клиентов?

Нет

Доступны ли основные бизнес-приложения компании через Интернет-соединения?

Нет

Кто является целевыми пользователями основных приложений в вашей среде?

Внутренние сотрудники

Каким образом основные приложения становятся доступны пользователям?

Из внутренней сети и с использованием удаленного доступа

Подключена ли корпоративная сеть к сетям клиента, партнера или сторонним сетям по сетевым соединениям - общедоступным или частным?

Да

Получает ли ваша компания доход от услуг, в основе которых лежит хранение или распределение данных в электронном виде, например файлов мультимедиа или документации?

Нет

Прошла ли ваша организация через изменение "копирование и замена", касающееся любого основного компонента технологии, за последние 6 месяцев?

Нет

Полагается ли ваша компания на данные, полученные от партнеров, поставщиков или из сторонних источников, или данные, обработанные ими?

Да

Повлияет ли на доходность событие, нанесшее вред приложениям или инфраструктуре клиента, например бездействие узла, отказ оборудования или сбой в приложении?

Да

Хранит ли ваша компания конфиденциальные или важные данные клиентов?

Нет

Зависит ли работа компонентов или приложений инфраструктуры клиентов от доступа к ресурсам в вашей среде?

Нет

Используется ли инфраструктура и компоненты приложений вашей компании несколькими клиентами?

Нет

Развертывает ли ваша организация новые службы или приложения до выполнения их оценки, относящейся к возможным проблемам безопасности?

Нет

Регулярно ли ваша организация меняет учетные данные для привилегированных учетных записей?

Да

Меняет ли ваша организация учетные данные для привилегированных учетных записей после увольнения персонала с привилегированным доступом?

Да

Считаете ли вы, что информационные технологии являются необходимым условием для вашей компании?

Да

Все ли сотрудники в вашей компании используют компьютеры для бизнеса?

Да

Привлекает ли ваша компания внешний ресурс, управляющий или владеющий любой частью инфраструктуры?

Да

Существует ли у вашей компании среднесрочный или долгосрочный план для выбора и развертывания компонентов новых технологий?

Нет

Считаете ли вы, что ваша организация является ранним последователем в новых технологиях?

Нет

Выбирает и разворачивает ли ваша организация новые технологии на основе существующих партнерских или лицензионных соглашений?

Нет

Ограничивается ли ваша организация в выборе технологий только теми технологиями, которые известны текущему ИТ-персоналу?

Да

Расширяет ли ваша компания свою сеть посредством приобретения новых компаний и существующих в них сред?

Нет

Разрешено ли сотрудникам в вашей организации загружать конфиденциальные данные клиентов или корпоративные данные на свои рабочие станции?

Да

Ограничивает ли ваша организация доступ пользователей к данным в зависимости от их роли в компании?

Да

Выберите вариант, который наиболее точно описывает отраслевой сегмент вашей компании:

Производство (отдельное)

Выберите размер организации:

Более 500 сотрудников

Располагается ли ваша компания в разных местах?

Да

Относится ли деятельность вашей компании к чрезвычайно конкурентной или сосредоточенной на исследованиях отрасли, в которой кража интеллектуальной собственности или шпионаж может стать серьезной проблемой?

Нет

Существует ли в вашей компании высокая текучесть среди специалистов по технологиям, а также изнурительные условия работы?

Нет

Обладает ли ваша компания продуктом, имеющим важное значение, или широко известной торговой маркой?

Нет

Используется ли вашей компании программное обеспечение самых ранних версий (которое уже не поддерживается поставщиком)?

Да

Приобретает ли ваша организация программное обеспечение у известных и надежных поставщиков или источников?

Да

Инфраструктура

Используются ли в вашей организации на границах сети межсетевые экраны или другие элементы управления доступом на сетевом уровне для защиты корпоративных ресурсов?

Да

Развертывает ли ваша организация эти элементы управления в каждом офисе?

Нет

Использует ли ваша организация нейтральную зону (также широко известную как демилитаризованная зона или ДМЗ), отделяющую внутренние и внешние сети, в которых размещены службы?

Нет

Размещены ли в вашей организации службы, связанные с Интернетом?

Да

Используется ли в вашей организации программное обеспечение межсетевого экрана на хост-компьютере для защиты серверов?

Нет

Используется ли в вашей организации оборудование или программное обеспечение для определения вторжения, помогающее выявить злонамеренные атаки?

Нет

Реализованы ли в среде антивирусные решения?

Да

Выберите системы, в которых развернуты антивирусные решения:

Настольные компьютеры

Серверы

Возможен ли удаленный доступ к сети компании?

Да

Выберите тех, кто может удаленно подключаться к сети:

Сотрудники

Используется ли технология виртуальной частной сети (VPN) для обеспечения возможности безопасного подключения удаленных пользователей к корпоративным ресурсам?

Да

Способна ли VPN ограничивать подключение к карантинной сети до прохождения клиентом всех необходимых проверок безопасности?

Нет

Проводится ли многофакторная проверка подлинности (маркеры, смарт-карты и т.п.) для удаленных пользователей?

Нет

Существует ли в сети более одного сегмента?

Да

Используется ли сегментация сети для отделения внешнего клиента и служб внешней сети от корпоративных ресурсов?

Нет

Существует ли возможность беспроводного подключения к сети?

Да

Какие из приведенных элементов управления безопасностью используются для упорядочения подключений к беспроводной сети?

Изменение заданного (по умолчанию) сетевого имени (известного также как идентификатора наборов служб или SSID) в точке доступа

Включение защищенного доступа Wi-Fi (WPA)

Включение аппаратных ограничений MAC-адреса

Подключение точки доступа к сети за пределами межсетевого экрана или в отдельном сегменте из проводной локальной сети

Существуют ли средства контроля для применения политик паролей к учетным записям разного типа?

Да

Выберите учетные записи, для которых существуют средства контроля для применения политик паролей:

Администратор

Пользователь

Удаленный доступ

Укажите вариант проверки подлинности, используемый для административного доступа к управлению устройствами и хост-компьютерами:

Сложный пароль

Укажите вариант проверки подлинности, используемый для доступа внутренних пользователей к внутренней сети и хост-компьютеру:

Сложный пароль

Укажите вариант проверки подлинности, используемый для удаленного доступа пользователей:

Сложный пароль

Разрешена ли блокировка учетной записи для блокирования доступа после определенного числа неудачных попыток входа в систему?

Да

Разработаны ли в организации процессы наблюдения за неактивными учетными записями администраторов, сотрудников, поставщиков и удаленных пользователей?

Нет

Конфигурирование систем выполняется самой компанией или поставщиком оборудования/продавцом?

Конфигурируется внутренним персоналом

Что из приведенного создается на основе образа или формальной документированной конфигурации?

Рабочие станции и переносные компьютеры

Включает ли в себя эта конфигурация процедуры 'укрепления узла'?

Да

Какие из приведенных решений были установлены на рабочих станциях и переносных компьютерах сотрудников?

Программа обнаружения и удаления шпионских средств

Программа удаленного контроля/управления

Модем

Разработаны ли в организации формальные процедуры реагирования на нарушения безопасности?

Нет

Развернуты ли элементы управления физической безопасностью для защиты имущества компании?

Да

Какие из приведенных элементов управления безопасностью используются?

Система сигнализации, установленная для обнаружения незаконного вторжения и оповещения

Сетевое оборудование (коммутаторы, кабельные системы, Интернет-соединение) находится в закрытом помещении с ограниченным доступом

Серверы находятся в закрытом помещении с ограниченным доступом

Конфиденциальные печатные материалы хранятся в запираемых картотечных шкафах

Какие из перечисленных мер контроля физического доступа используются?

Идентификационные карточки для сотрудников и посетителей

Сопровождение посетителей

Журналы регистрации посетителей

Контрольно-пропускные пункты

Приложения

Существуют ли в вашей компании важные бизнес-приложения (LOB)?

Да

Используются ли у вас специально разработанные макросы для офисных приложений (например для Word, Excel или Access)?

Да

Какие механизмы действуют на местах для обеспечения высокой доступности приложений? Выберите в приведенном списке все развернутые механизмы:

Регулярная проверка приложения и восстановление данных

Собственная группа разрабатывала какие-либо основные приложения, развернутые в вашей среде?

Да

Регулярно ли собственная группа разработки предоставляет программные обновления и исправления для обеспечения безопасности, а также документацию по механизмам безопасности?

Нет

Были ли какие-либо из основных приложений, развернутых в инфраструктуре предприятия, разработаны сторонними консультантами или поставщиками?

Да

Предоставляет ли сторонний консультант или поставщик регулярное обновление программного обеспечения, исправления для системы безопасности и сведения о способах обеспечения безопасности? (Действует ли такая поддержка в настоящее время?)

Окончательная проверка

Регулярно ли сторонний поставщик предоставляет программные обновления и исправления, повышающие безопасность, а также документацию по механизмам безопасности? (существует ли еще поддержка)

Нет

Какие методологии разработки систем безопасности программного обеспечения применяются в компании? (Отметьте все подходящие варианты)

Нет

Располагает ли ваша организация сведениями о проблемах безопасности, существующих в каком-либо приложении, используемом в среде?

Да

Имеются ли в вашей организации процедуры, направленные на устранение проблем безопасности?

Да

Проводит ли компания обучение в области безопасности для разработчиков и испытателей?

Нет

Применяет ли компания программные средства в качестве инструмента тестирования и аудита при разработке защищенного программного обеспечения?

Нет

Существуют ли средства контроля для применения политик паролей в основных приложениях?

Да

Выберите элементы управления, предусматривающие наличие паролей и применяемые для основных приложений:

Сложные пароли

Истечение срока действия пароля

Блокировка учетной записи

Выберите в приведенном списке наиболее распространенный метод проверки подлинности, используемый для основных приложений:

Сложный пароль

Существуют ли механизмы для основных приложений в вашей среде, позволяющие ограничивать доступ к критическим данным и функциональным возможностям?

Да

Записываются ли сообщения основных приложений в вашей среде в файлы журналов для проведения анализа и проверки?

Да

Выберите тип регистрируемых событий:

Неудачные попытки проверки подлинности

Ошибки приложения

Отказ в доступе к ресурсам

Проверяются ли входные данные развернутыми приложениями?

Нет

Шифруются ли основными приложениями обрабатываемые ими конфиденциальные и важные данные для бизнеса?

Да

Выберите разные стадии, на которых используется шифрование:

Хранение данных

Какие из приведенных алгоритмов шифрования используются?

Расширенный стандарт шифрования (AES4)/Rijndael

Twofish

Операции

Управление средой осуществляется самой компанией или внешним ресурсом?

Средой управляет компания

Используются ли в организации выделенные узлы управления для безопасного управления системами и устройствами в вашей среде?

Нет

Используются ли учетные записи для отдельного входа в систему в обычной или административной/управленческой деятельности?

Да

Предоставляет ли организация пользователям административные права доступа к их рабочим станциям и переносным компьютерам?

Нет

Регулярно ли тестируется межсетевой экран в целях обеспечения ожидаемой производительности?

Нет

Разработаны ли в организации планы аварийного восстановления и возобновления деятельности предприятия?

Нет

Существует ли модель для назначения уровней критичности каждому компоненту вычислительной среды?

Нет

Существуют ли политики для управления вычислительной средой?

Да

Существует ли политика безопасности информации, направленная на регулирование деятельности организации, связанной с безопасностью?

Да

Выберите тех, кто разрабатывал политику:

Исключительно отделом ИТ

Существует ли корпоративная политика правильного использования?

Да

Существуют ли политики для управления учетными записями отдельных пользователей?

Да

Выберите из приведенных политик те, что применяются для управления учетными записями отдельных пользователей:

Индивидуальные учетные записи пользователей (общие учетные записи отсутствуют)

Привилегированные и непривилегированные учетные записи для администраторов

Задать стойкость пароля

Учетные записи уволившихся сотрудников блокируются

Существует ли документированный процесс для сборок хост-компьютеров? Если да, то укажите, какого типа. (Для каких типов хост-компьютеров существует документированный процесс для сборок?)

Нет

Существуют ли документированные указания, которые предписывают, какие протоколы и службы разрешены в корпоративной сети? Выберите используемый вариант.

Указания отсутствуют

Разработана ли в организации формальная и документально оформленная процедура утилизации данных на электронных и бумажных носителях?

Нет

Разработана ли в компании схема классификации данных с соответствующими рекомендациями по их защите?

Нет

Существует ли процесс управления изменениями и конфигурацией?

Нет

Существует ли установленная политика исправлений и обновлений, а также сам процесс?

Да

Выберите компоненты, для которых они существуют:

Операционные системы и приложения

Проверяет ли организация исправления и обновления до их развертывания?

Да

Укажите, что из приведенного используется для развертывания и управления исправлений:

Автоматическое обновление Windows

Веб-узел Windows Update

Windows Server Update Services (WSUS)

На хост-компьютерах какого типа используется автоматизированное управление исправлениями?

Рабочие станции и переносные компьютеры

Существует ли установленная политика, направленная на обновление продуктов обнаружения по сигнатуре?

Антивирус

Существуют ли точные логические схемы и справочная документация по конфигурации для сетевой инфраструктуры и хост-компьютеров?

Схемы существуют, но они устарели

Существуют ли точные схемы архитектуры приложений и потоков данных для основных приложений?

Нет

Ведутся ли журналы в среде для записи событий на хост-компьютерах и устройствах?

Да

Предпринимает ли организация меры для защиты сведений, содержащихся в журналах?

Доступ к файлам журнала разрешен только для учетных записей уровня администратора

Регулярно ли в организации просматриваются файлы журналов?

Нет

Регулярно ли резервируются важные и критические данные?

Да

Существуют ли политики и процедуры для хранения резервных носителей и работы с ними?

Да

Какие из приведенных политик и процедур применяются:

Хранение за пределами сети

Ограниченный доступ персонала к резервным носителям

Существуют ли политики для регулярной проверки процедур архивации и восстановления? Документированы ли эти политики?

Да, но они не документированы

Персонал

Существует ли в вашей компании в отношении безопасности индивидуальная или групповая ответственность?

Нет

Используются ли независимые сторонние специалисты для организации оценки безопасности среды?

Нет

Выполняют ли оценки безопасности среды внутренние специалисты организации?

Да

С какой периодичностью выполняются такие оценки безопасности?

Два раза в год или реже

Выберите области анализа, которые охватываются этими оценками:

Инфраструктура

Политика

Выполняются ли в организации проверки в фоновом режиме, являющиеся составной частью процесса найма?

Да

Выберите наиболее подходящий вариант:

Проверка в фоновом режиме выполняется по отношению ко всем должностям

Существует ли официальная политика в отношении служащих, покидающих компанию?

Нет

Существует ли официальная политика регулирования сторонних взаимосвязей?

Да

Существует ли в вашей компании программа уведомления о вопросах безоп...