Безопасные процедуры входа в систему

Должны минимизировать возможность неразрешенного доступа и раскрывать минимум информации о системе, чтобы избежать предоставления неполномочному пользователю любой необязательной помощи.

Процедура входа в систему должна:

· не отображать идентификаторы системы или приложения до успешного завершения процесса входа;

· предупреждать, что доступ к компьютеру должен осуществляться только полномочными пользователями;

· не предоставлять сообщений-подсказок в ходе процедуры входа в систему,

· проверять данные, вводимые для входа в систему только по окончании ввода всех входных данных, не указывать, какая часть данных является правильной или неправильной;

· ограничивать число разрешенных неудачных попыток входа в систему и:

· записывать неудачных и удачных попыток;

· принудительно устанавливать временную задержку до разрешения новых попыток входа в систему, или отклонение дальнейших попыток без специального разрешения;

· разъединение каналов передачи данных;

· отправка сообщения об аварийной ситуации на пульт управления системой, если достигнуто максимальное число попыток входа в систему;

· установление числа повторных наборов пароля вместе с минимальной длиной пароля и ценностью защищаемой системы;

· ограничивать максимальное и минимальное время, допускаемое для входа в систему. Если оно превышено, то система должна прекратить осуществление процесса входа в систему;

· отображать следующую информацию по завершении успешного входа в систему:

· дата и время предыдущего успешного входа в систему;

· подробности любых неудачных попыток входа в систему с момента последнего успешного входа в систему;

· не отображать вводимый пароль или продумать скрывание знаков пароля символами;

· не передавать пароли открытым текстом по сети.

 

Идентификация и аутентификация пользователей

Все пользователи должны иметь уникальный идентификатор (идентификатор [ID] пользователя) исключительно для личного использования, и должна быть подходящая методика аутентификации для доказательства заявленной личности пользователя.

Идентификаторы используются для отслеживания деятельности.

В обоснованных случаях могут выделяться групповые идентификаторы (когда доступные идентификатору функции либо выполняемые действия не обязательно должны отслеживаться (доступ только для чтения), или имеются другие средства управления (например, пароль для общего идентификатора выдается только одному сотруднику в данный момент времени, и этот факт регистрируется).

Для строгой аутентификации и верификации идентичности должны использоваться методы, альтернативные паролям, такие как криптографические средства, смарт-карты, маркеры или биометрические средства.

 

Система управления паролями

· обязывать к использованию личных идентификаторов и паролей пользователя для того, чтобы поддерживать ведение учета;

· позволять пользователям выбирать и изменять свои собственные пароли и включать процедуру подтверждения для того, чтобы учесть ошибки ввода;

· обязывать к выбору качественных паролей;

· обязывать к изменениям пароля;

· принуждать пользователей изменять временные пароли при первом входе в систему;

· поддерживать запись предыдущих паролей пользователя и предотвращать повторное использование;

· не отображать пароли на экране при их вводе;

· хранить файлы с паролями отдельно от данных прикладной системы;

· хранить и передавать пароли в защищенной форме (например, зашифрованными или хешированными).

Некоторые приложения требуют, чтобы пароли пользователя были назначены независимым органом

 

Блокировка сеанса по превышению лимита времени [тайм-аут]

Средство блокировки должно очищать экран сеанса, а также, возможно позже, закрывать как приложения, так и сеансы работы в сети по истечении определенного периода бездействия. Значение лимита времени должно отражать риски для защиты зоны, классификацию информации, с которой осуществляется работа, и используемые приложения, а также риски, связанные с пользователями оборудования.