Oboznámenie zamestnancov s prijateľným používaním hesiel – vzor smernice

Oboznámenie zamestnancov s prijateľným používaním hesiel

(smernica v kontexte riadenia hesiel v organizácii)

Táto interná smernica je spracovaná na základe dobrej praxe a reflektuje pravidlá a postupy v kontexte požiadaviek medzinárodnej normy STN ISO/IEC 27001:2014 (príloha A.9.4 Riadenie systémových a aplikačných prístupov, konkrétne A.9.4.3 Systém riadenia hesiel). Smernica vychádza tiež z požiadaviek ďalších noriem a legislatívy v oblasti informačnej a kybernetickej bezpečnosti.

Kľúčové súvisiace predpisy a normy

1. Súbor medzinárodných noriem radu ISO/IEC 27000
2. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
3. Vyhláška č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení
4. Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe
5. Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

1. Úvod

Za ochranu svojich pracovných staníc (desktop, notebook, mobilný telefón) sú priamo a osobne zodpovední pracovníci organizácie. Aby sa znížilo riziko neoprávneného prístupu, resp. úniku prístupových hesiel, sú pracovníci povinní dodržiavať politiku čistého stola a politiku čistej obrazovky.

Interná sieť organizácie je riadená tak, že je zabezpečené, aby boli na interných sieťach LAN pripojené len schválené zariadenia a aby bol prístup k informačným aktívam a sieťam udelený len oprávneným osobám na základe pozitívnej identifikácie osoby (minimálne prihlasovacím menom a heslom). Zároveň musí byť takýto prístup odôvodnený obchodnými a pracovnými potrebami organizácie.

2. Základné bezpečnostné princípy v oblasti riadenia hesiel

Všetky pracovné stanice organizácie musia byť vybavené softvérom na detekciu škodlivého softvéru a štandardnými bezpečnostnými opatreniami zavedenými v organizácii. Organizácia je povinná zabezpečiť pravidelnú aktualizáciu a inštaláciu bezpečnostných záplat a antivírusového softvéru.

Prístup k službám počítačovej siete XXX je riadený na základe doménového mena a hesla.

Prideľovanie, zmena a odoberanie prístupov do domény je riadené v súlade s pravidlami uvedenými v smernici „Riadenie prístupových práv“.

Pre vytváranie a používanie doménových hesiel platia pravidlá uvedené v kapitole „Základné princípy tvorby bezpečných hesiel“.

Prístup do BIOS musí byť zabezpečený heslom. Správca komunikačných technológií je povinný zabezpečiť, aby užívateľ nemal možnosť meniť nastavenia v BIOS.

Správca komunikačných technológií je povinný zabezpečiť, aby na pracovnej stanici bol pri nečinnosti dlhšej ako 30 minút z bezpečnostných dôvodov spúšťaný zaheslovaný šetrič obrazovky.

Inicializačné heslo musí byť novému používateľovi siete alebo informačného systému  odovzdané osobne alebo iným bezpečným spôsobom určeným vedúcim organizačného útvaru IT (napr. v zalepenej obálke, zaslaním SMS na zvolené mobilné číslo a podobne).

Správca komunikačných ...