16 управления доступом бывают логическими и физическими, их нужно рассматривать комплексно. Необходимо, чтобы в документе было учтено следующее: - требования к безопасности конкретных информационных систем и ресурсов; - идентификация всей информации, связанной с функционированием конкретных информационных систем, ресурсов и рисков, с которыми сталкиваются пользователи; - условия распространения информации, авторизации доступа, а также классификация информации и требуемые уровни ее защиты; - согласованность между политиками управления доступом и классификацией информации, применительно к различным системам и сетям; - существующее законодательство и любые договорные обязательства, относительно защиты доступа к данным или сервисам; - стандартные профили доступа пользователей для типовых обязанностей и ответственности в организации; - управление правами доступа в распределенной сети, с учетом всех типов доступных соединений; - разделение ролей управления доступом, например, запрос на доступ, разрешение доступа, администрирование доступа; - требования формального санкционирования запросов на доступ; - требования периодического пересмотра средств управления доступом; - изъятие прав доступа. При определении правил управления доступом следует принимать во внимание следующее: - различия между обязательными и рекомендуемыми для использования правилами, которые применяются при определенных условиях; - формулировать правила, основываясь на предпосылке «все должно быть в общем случае запрещено, пока явно не разрешено», а не на более слабом принципе «все в общем случае разрешено, пока явно не запрещено»; - изменения уровня конфиденциальности информации, генерируемых автоматически средствами обработки информации и инициируемых по усмотрению пользователей; - изменения прав пользователя, устанавливаемых автоматически информационной системой и определенных администратором; - правила, требующие и не требующие специального согласования перед введением в действие. Правила управления доступом следует поддерживать с помощью формального порядка и четко определенных обязанностей. Должна быть описана процедура разработки матрицы досту��а к информационным ресурсам организации. Администратором в соответствии с уровнем допуска персонала к информации разрабатывается матрица доступа к информационным ресурсам, которая утверждается руководством организации. Разработка матрицы доступа к информационным ресурсам автоматизированной системы осуществляется по следующему методу: - формируется список информационных ресурсов (файлы, папки, устройства, службы, базы данных); - формируются списки пользователей, с указанием уровня доступа – полномочий к информации. Необходимо, чтобы порядок охватывал все стадии жизненного цикла доступа пользователей, начиная с регистрации в системе новых пользователей и заканчивая удалением учетных записей пользователей, которым больше не требуется доступ к информационным системам и сервисам. Особое внимание следует уделять мероприятиям в отношении предоставления прав привилегированного доступа,