ГОСУДАРСТВЕННЫЙ ТАМОЖЕННЫЙ КОМИТЕТ
РОССИЙСКОЙ ФЕДЕРАЦИИ

ПРИКАЗ

от 16 июля 2001 года N 670

О Временном руководстве администратора безопасности по организации разграничения доступа к базам данных таможенных органов

____________________________________________________________________
Утратил силу на основании
приказа ФТС России от 22 июня 2020 года N 557
____________________________________________________________________

В целях совершенствования системы обеспечения информационной безопасности таможенных органов и во исполнение решения Научно-технического совета ГТК России от 30.03.2000, утвержденного распоряжением ГТК России от 19.06.2000 N 01-99/723,

1. Утвердить и внести в действие Временное руководство администратора безопасности по организации разграничения доступа к базам данных, функционирующих под управлением СУБД Oracle (приложение).

2. Начальникам таможенных органов обеспечить:

- выполнение требований данного руководства;

- представление до 01.04.2002 в Управление спецтехники и автоматизации таможенных технологий ГТК России предложений о совершенствовании Временного руководства.

3. Считать утратившим силу распоряжение ГТК России от 03.02.2000 N 01-99/114.

4. Контроль за исполнением данного приказа осуществлять начальнику Управления спецтехники и автоматизации таможенных технологий ГТК России Л.М.Ухлинову.

     
ВРЕМЕННОЕ РУКОВОДСТВО
администратора безопасности по организации разграничения доступа
 к базам данных, функционирующих под управлением СУБД Oracle

Временное руководство администратора безопасности по организации разграничения доступа к базам данных, функционирующих под управлением СУБД Oracle (далее - руководство), разработано во исполнение приказов ГТК России от 31.12.98 N 906 "О Концепции информационной безопасности таможенных органов Российской Федерации" и от 03.09.99 N 595дсп "Об устранении недостатков, выявленных Инспекцией Гостехкомиссии России", а также распоряжения ГТК России от 19.06.2000 N 01-99/723 "О выполнении решения НТС ГТК России от 30.03.2000".

I. Общие положения

1. Настоящее руководство определяет комплекс организационно-технических мероприятий по обеспечению безопасности информации, хранящейся в базах данных (БД), функционирующих под управлением СУБД Oracle, и обрабатываемой в локальных вычислительных сетях (ЛВС) таможенных органов.

2. Организация и управление доступом к БД основывается на требованиях руководящих документов Гостехкомиссии России по защите информации от несанкционированного доступа.

3. Данное руководство содержит рекомендации только о разграничении доступа к БД с помощью средств СУБД Oracle и не содержит рекомендации о настройке серверов и сертифицированных средств защиты информации, а также о разработке системной политики для пользователей рабочих станций, подключаемых к ЛВС таможенного органа.

4. Решение задач, связанных с организацией и управлением доступом сотрудников таможенных органов к БД, осуществляет администратор безопасности таможенного органа. При наличии подразделения информационно-технической службы (отдела, отделения) защиты информации обязанности администратора безопасности осуществляет сотрудник данного подразделения, при его отсутствии - сотрудник информационно-вычислительного (информационно-технического) отдела.

5. Назначение сотрудника таможенного органа администратором безопасности производится на основании приказа таможенного органа.

6. Администратору безопасности разрешается передавать исполнение своих обязанностей по разграничению доступа к БД другим сотрудникам только при издании приказа таможенного органа о временном исполнении обязанностей администратора безопасности другим сотрудником. В приказе должен быть указан срок, в течение которого обязанности администратора безопасности временно исполняет другой сотрудник таможенного органа.

7. Требования данного руководства обязательны для выполнения всеми сотрудниками таможенных органов, эксплуатирующими средства вычислительной техники, входящих в состав ЛВС.

8. Ответственность за выполнение требований данного руководства несут начальники таможенных органов.

II. Требования к программно-аппаратным средствам
 доступа к базам данных таможенных органов

9. Рабочее место администратора безопасности должно быть оборудовано на рабочей станции под управлением операционной системы Microsoft Windows 9x (Windows NT Workstation 4.0) или на сервере домена.

10. Для выполнения задач организации и управления доступом сотрудников таможенного органа к БД на рабочем месте администратора безопасности должен быть установлен инструментальный пакет средств администрирования БД Oracle Enterprise Manager.

11. Все операции по организации и управлению доступом сотрудников таможенного органа к БД осуществляет администратор безопасности с использованием специализированного инструментального средства Oracle Security Manager, входящего в состав пакета Oracle Enterprise Manager, и во взаимодействии с системным администратором, администратором базы данных и администратором данных.

12. Рабочие станции сотрудников таможенного органа, которым предоставляется доступ к БД, должны функционировать только под управлением операционных систем Microsoft Windows 9x (Windows NT Workstation 4.0).

13. Для обеспечения доступа сотрудников таможенного органа к БД на их рабочих местах должны быть установлены компоненты Oracle SQL Plus и(или) Oracle SQL Worksheet (входящий в состав Oracle Enterprise Manager) или другое программное обеспечение (ПО), обеспечивающее доступ и выполнение операций с данными в базах данных, функционирующих под управлением СУБД Oracle. В обязанности администратора безопасности входят установка и определение параметров конфигурации данных программных средств.

14. Сотрудникам таможенных органов запрещается самостоятельно устанавливать другие программные средства (или менять параметры конфигурации ранее установленных средств) для доступа к БД таможенного органа.

III. Рекомендации об организации доступа к базам данных

15. Запрещается предоставлять сотрудникам таможенных органов прямой доступ к записям БД.

16. Доступ сотрудникам таможенных органов к БД предоставляется только с использованием типовых ролей* через формальные схемы** БД, не ассоциируемые с конкретными сотрудниками.

_______________

* Роли - это поименованные группы полномочий, предоставляемых пользователям. Подробная информация об управлении ролями представлена в документации по серверу Oracle.

** Под схемой в документации по серверу Oracle понимается некоторый набор базовых объектов БД (например, таблиц, представлений, хранимых процедур) и(или) полномочий по доступу к этим объектам (например, изменение записей таблицы, выполнение хранимой процедуры), назначенных некоторому пользователю БД.

17. Для определения состава и структуры формальных схем БД выполняются следующие операции:

а) анализ и классификация информации, используемой и(или) накапливаемой в БД в процессе деятельности таможенного органа, с учетом ее целевой направленности (например, нормативно-справочная информация, данные таможенных деклараций и т.п.);

б) формирование для каждого из выявленных классов информации отдельной схемы БД, в которую включаются все таблицы данного класса и объекты БД, наследуемые из них (например, представления и снэпшоты) или зависящие от таблиц (триггеры, хранимые процедуры и т.п.); список полномочий формальных схем должен содержать системные полномочия по управлению содержащимися в данной схеме объектами (полномочия по реструктуризации таблиц, включению (выключению) триггеров, выполнению хранимых процедур и т.п.);

в) включение в состав полномочий формальной схемы БД для администратора безопасности системных полномочий по управлению объектами, содержащимися в предметно-ориентированных (целевых) схемах.

18. Для определения состава и структуры типовых ролей выполняются следующие операции:

а) анализ хранящейся в БД информации и операций (процессов), выполняемых сотрудниками таможенного органа;

б) формирование на основе проведенного анализа элементарных ролей с единичными полномочиями, необходимыми для доступа к конкретным объектам БД;

в) создание типовых ролей для должностей каждой категории (руководство, главный инспектор и т.д.) в таможенном органе;

г) формирование дерева типовых ролей (пример фрагмента дерева приведен в (приложении 1); изменения полномочий элементарной роли автоматически вступают в силу для всех ролей, в состав которых входит изменяемая роль;

д) формирование карточек типовых ролей доступа (приложение 2).

19. Для каждого из сотрудников таможенного органа, которым необходим доступ к БД, создается учетная запись о пользователе БД, состоящая из имени (идентификатора) пользователя и пароля. Имена пользователей и пароли должны состоять только из букв латинского алфавита и(или) цифр.

Рекомендуемые варианты назначения имен пользователей:

- в виде USERXXYYY, где XX - условный номер подразделения таможенного органа, a YYY - условный (личный) номер сотрудника;

- в виде <краткое наименование подразделения>_<фамилия и инициалы, заглавными буквами>.

20. Обеспечивается уникальность паролей пользователей и исключается использование одинаковых паролей различными пользователями. Пароли пользователей изменяют ежемесячно, а также при компрометации. Рекомендуется (только для СУБД Oracle 8 и выше) устанавливать следующие параметры:

- число дней действия пароля - 30;

- число изменений пароля, после которых пароль можно использовать вновь, - не менее 3;

- число неудачных попыток подключения к БД, после которых учетная запись пользователя блокируется, - 3;

- число дней блокировки учетной записи пользователя (после совершения им установленного числа неудачных попыток подключения) - UNLIMITED*.

_______________

* Разблокировать учетную запись может только администратор БД.

Сотрудники, имеющие доступ к БД, не могут пользоваться одной и той же учетной записью. Это правило действует и в случае, когда сотрудники имеют одинаковые полномочия по доступу к БД.

21. Созданным пользователям назначаются типовые роли в зависимости от выполняемых функциональных обязанностей и соответственно прав на доступ и управление информации, хранящейся в БД таможенного органа. Каждому пользователю может быть назначено несколько типовых ролей.

22. В состав ролей, назначаемых пользователям, не должны входить системные полномочия RESTRICTED SESSION, LOCK ANY TABLE, GRANT ANY ROLE, GRANT ANY PRIVILEGE, FORCE TRANSACTION, FORCE ANY TRANSACTION , все системные полномочия DROP, все системные полномочия CREATE, все системные полномочия ALTER.

23. Только администратор безопасности может иметь полномочия, требуемые по созданию, изменению и удалению пользователей БД, а также полномочия по созданию, изменению и назначению полномочий для этих объектов ролям и другим пользователям.

24. Для выполнения административных задач с использованием Enterprise Manager администратор безопасности должен обладать системными полномочиями DBA при подключении к консоли. Поскольку многие окна Enterprise Manager включают в себя информацию, выбираемую из таблиц словаря данных, то требуются системные полномочия SELECT ANY TABLE, которые входят в состав роли SYSDBA/SYSOPER. Подробная информация о ролях и полномочиях представлена в документации по серверу Oracle.

25. После создания БД немедленно изменяются пароли для административных учетных имен SYS и SYSTEM с целью предотвращения несанкционированного доступа к БД. Только администратор безопасности должен иметь доступ к этим учетным именам и возможность подключаться к БД, используя ключевое слово INTERNAL.

26. Идентификация пользователя при доступе к БД при отсутствии сертифицированных средств защиты информации осуществляется только с помощью средств СУБД Oracle.

27. Администратор безопасности должен иметь полномочия операционной системы для создания и удаления файлов, а пользователи БД не должны иметь полномочий операционных систем, которые позволяли бы им создавать или удалять файлы, связанные с базой данных.

28. Отладка БД разработчиками производится только на тестовых схемах БД. Разработчикам в исключительных случаях разрешается предоставлять лишь некоторые специфичные системные полномочия, при этом полномочия для каждого разработчика ограничиваются индивидуально.

IV. Порядок организации доступа к базам
 данных таможенного органа

29. При регистрации пользователей БД решение о разрешении доступа сотрудника к БД принимает начальник таможенного органа по ходатайству руководителя подразделения, в состав которого входит данный сотрудник. Руководитель подразделения составляет заявку (приложение 3) на регистрацию пользователя БД, утверждает у начальника таможенного органа и передает ее администратору безопасности. Перерегистрация пользователей осуществляется ежегодно.

30. При получении заявки администратор безопасности выполняет следующее:

а) присваивает в соответствии с принятой политикой формирования имен (идентификаторов) пользователей данному пользователю имя и пароль для доступа к БД;

б) создает новую учетную запись о пользователе;

в) определяет метод аутентификации пользователя на основе пароля;

г) определяет пароль доступа пользователя при подключении к БД;

д) устанавливает, что при первом подключении к базе данных пользователь должен будет заменить пароль (эта функция доступна только в БД под управлением СУБД Oracle 8);

е) определяет табличные области для пользователя;

ж) определяет статус активности учетной записи пользователя (эта функция доступна только в БД под управлением СУБД Oracle 8);

з) назначает на основе анализа задач, выполняемых сотрудником и указанных в заявке, данному пользователю перечень типовых ролей и(или) профилей, содержащих достаточные полномочия по доступу к требуемой информации в БД;

и) формирует Карточку пользователя (приложение 4);