Правила разграничения доступа

Создание ПРД должно осуществляться общими силами технического персонала, который понимает все тонкости предлагаемых правил и их реализации, службой безопасности организации, которая обеспечивает защиту организации в целом и руководителями (лицами, которые принимают решение - ЛПР), которые имеют власть для воплощения правил в жизнь. ПРД, которые либо не могут быть реализованы, либо не подкреплены организационными мероприятиями, являются бесполезными.

Если в организации действует служба безопасности, то разработка и воплощение в жизнь ПРД - одна из ее обязанностей. В случае, если в организации отсутствует служба безопасности, разработкой и воплощением в жизнь ПРД может заниматься группа сотрудников, которая обеспечивает процессы обработки данных.

Хотя конкретная группа сотрудников (такая, как технический отдел организации) может иметь в этом случае право претворять в жизнь ПРД, однако будет нужна поддержка и одобрение ПРД группой сотрудников более высокого ранга в организации.

Разрабатываемые ПРД организации потенциально касаются каждого пользователя АС организации. Пользователи АС могут отвечать за управление своими паролями. Системные администраторы обязаны фиксировать слабые места в защите и осуществлять наблюдение за АС.

Очень важно определить группы людей, которых касаются данные ПРД, в самом начале процесса разработки правил. Могут уже существовать группы сотрудников, связанные с безопасностью, которые считают ПРД своим полем деятельности.

Группами, которых могут касаться эти ПРД, являются группы контроля и ревизии, подразделы организации, которые имеют дело с конфиденциальной информацией, администрация вычислительного центра и т.д. Привлечение этих групп к процессу разработки с самого начала может помочь обеспечить приемлемость ПРД для большинства будущих пользователей защищенной АС.

Ключевым моментом в ПРД является гарантия того, что каждый знает свои обязанности по поддержке защиты. ПРД не могут предусматривать все возможные варианты, однако, они могут гарантировать, что для решения каждого типа проблем предназначен кто-то ответственный за их решение.

Могут существовать уровни ответственности, связанные с ПРД. На одном уровне каждый пользователь АС отвечает за защиту своего регистрационного имени и пароля.

Системные администраторы образуют другой уровень ответственности: они должны помогать обеспечивать гарантию защищенности АС. Сетевые администраторы могут располагаться на еще одном уровне ответственности, связанном с защитой данных в каналах связи. Администраторы баз данных в свою очередь поддерживают защиту на уровне систем управления базами данных. Администратор безопасности непосредственно отвечает за воплощение в жизнь ПРД и использование СРД.

Руководитель службы безопасности контролирует все вопросы, связанные с разработкой и реализацией ПРД.