Разглашение пароля администратору - Форум по вопросам информационной безопасности

2рокот
Каждая железяка имеет свой идентификатор и отзывается в сети по своему
Если админ подделал платежку со своего АРМ - это следак влет выявит.
Если админ вампирил с АРМ Бухгалтера тут сложнее но тоже решаемо - по логам по времени.
Вы введите двухфакторную идентификацию или через биометрию и админ будет работать только со своим паролем.
Но у Вас что-то очень криминально - все друг у друга воруют и никто никому не верит?
ВВодите видеозапись всех АРМ наймите в охрану злых янычар из зулусов или АПАЧЕЙ с плетьми и всех пороть по пятницам!

"Бухгалтер кроме пароля предъявляет еще свой электронный ключ"

Серей, электронный ключ - это одна из разновидносией пароля. Суть остается та же - может ли знать (обладать) администратор этим паролем(ключем)?

Если "да", вопрос - "зачем"?

2Прохожий
нет, у нас не все так зло. Просто возник принципиальный вопрос у двух спорящих людей - представителей разных отделов, а именно отдела информационных технологий и информационной безопасности.

[q]ВВодите видеозапись всех АРМ [\q]

Кстате в системе видео наблюдения будет содержаться защищаемая информация (те-же пароли) и эту систему тоже надо защищать.

"Старая проблема кто следит за следящим"

Предлагаю признать, с точки зрения технической защиты информации, "администратора безопасности" абсолютно доверенным лицом и не рассматривать его как нарушителя.

электронный ключ - это одна из разновидносией пароля

Термин:
Пароль - Идентификатор субъекта доступа, который является его (субъекта) секретом

Электронный ключ это не разновидность пароля это одно из возможных мест его хранения.

[quote="Электронный ключ это не разновидность пароля это одно из возможных мест его хранения"][/quote]

2рокот
Я так и понял - прочтите мой первый пост.
Надо всегда разъяснять для "ДУРАКА"
ВсЁ что может быть НЕПРАВИЛЬНО понято - будет понято НЕПРАВИЛЬНО!!!!!
У вас как в встарь в КГБ - там тоже всегда спорили похожие функционалы в предметных департаментах
Тут ведь как... Информационщики плюют на ИБ - им глафное чтобы фурычило
ИБ_эшникам пофигу что не работает - главное чтобы утечки не было!
Кому подчинены эти персоны - пусть выступит судьей!
Поэтому ИБ нежелательно подчинять ИТ.
Надо включить здравый смысл и начать с угроз - что страшнее и дороже стоит - остальное от лукавого.
Кстати Сергей говорил про ГТ - там просто админ ИБ ОБЯЗАН выдавать пароли под роспись на неких учтенных материальных носителях...всё...обязан, да еще и хранит у себя эталонную копию и ведет журнал.

Успехов в постижении ИСТИНЫ!!!
...она где-то рядом...

Так я ж и хочу понять - если четкие требования по этому поводу в федеральном законодательстве. Например в АИС класса К1, К2.

Кстати Сергей говорил про ГТ - там просто админ ИБ ОБЯЗАН выдавать пароли под роспись на неких учтенных материальных носителях...всё...обязан, да еще и хранит у себя эталонную копию и ведет журнал.
Если пароль (ключ) - ГТ, тогда да. Но пароль (не ключ) может быть и не ГТ в АС где ГТ. В РД АС от НСД требования нет. В других документах рекомендация.

Пароль соответствующий идентификатору является секретом пользователя и не является ГТ. Администратор безопасности не должен выдумывать ГТ и передавать ее пользователю. Проталкиваемые на рынок генераторы паролей - способ заработка.