Гостайна - пароли - Форум по вопросам информационной безопасности

Забавные вопросы:
Какие НМД предписывают вести журнал паролей?
Какие НМД определяют гриф этого журнала?
Вопросы возникли когда после аттестации из органа аттестации пришла инструкция которая предполагает что пароли меняют сами пользователи, не предполагает ни ведения журнала ни грифа на карточках паролей. В первый момент я был убежден что смогу быстро найти ссылки на документы предписывающие и вести журнал и определяющие гриф. Но не нашел.

Если собственных регламентов для этого не написали, то и не найдёте вовсе...
Пароль у пользователей - это лично-интимная "вещь" его идентификации. Поэтому вопрос чисто из любопытства: зачем Вам вообще такой журнал паролей понадобился?

Данная тема уже обсуждалась на форуме.
Регламентация слабая но есть в ряде документов с грифом, а также в РД еще Гостехкомиссии.

Понятно что "с грифом", по гостайне других документов мало. Понятно что "ещё Гостехкомиссии", история старая.
Но названия документов известны или "здесь так принято", если кто помнит известный анекдот про обезьян?

Для примера - решения МВК №210, № 172

Руководящий документ
Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации (Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.)

"Какие НМД предписывают вести журнал паролей?"

Хотелось бы пункты докуменов!?
решения МВК №210 и РД по НСД может другие...

Реализация политики парольной защиты в АС для ГТ является частью работ по защите ГТ. Так что Вы хотите услышать в открытом форуме?

Вопрос был не в реализации парольной защиты, а регламенте ведения журнала, куда пользователи должны записывать свои пароли, и грифе такого журнала.

Не регламентировано журнал или карточка.

Главное, что при проверке Вы должны подтвердить что:

1. Пароли соответствуют РД Гостехкомиссии (по длине и структуре)
2. Что они меняются через установленное время.
3. Кто их генерит и как доводятся до пользователей.
4. Как обеспечивается их защита от НСД.

Что касается грифа паоля:

В некоторых перечнях ведомств - С, в некоторых - гриф пароля соответствует грифу обрабатываемой информации.
Соотвтетсвенно такой же гриф журнала (карточки)

В продвинутых системах пользователь не знает пароль - он зашит в средство идентификации (карту, ТМ и т.д.)

На мой взгляд, перечисленные Вами п.п. 1-4 относятся к реализации (организации) парольной защиты. Требований в РД Гостехкомиссии РФ к журналам паролей пользователей и грифу таких журналов я не встречал. При этом признаю, что не все ведомственные требования мне известны. Поэтому, как следствие, стОит согласиться с вероятностью наличия "ведомственных исключений" по этому поводу.
Как же тогда в подобных ведомствах поступают с "продвинутыми системами":
> В продвинутых системах пользователь не знает пароль - он зашит в средство идентификации (карту, ТМ и т.д.)
Видимо нарушают ведомственные требования или занимаются глупостью - ставят гриф на средства идентификации (карту, ТМ и т.д.)?!