Estándar de interconectividad

22 de junio de 2011

Objetivo

Este documento establece los requisitos mínimos para establecer, mantener y finalizar las interconexiones con la infraestructura informática estatal compartida o con sistemas informáticos externos al gobierno estatal.

Descripción general

El estado de Iowa mantiene una variedad de datos en sus sistemas informáticos, incluyendo información confidencial y sensible de los clientes. Conectar los sistemas informáticos de la agencia a redes externas.   La falta de control por parte de sus agencias aumenta el riesgo de acceso no autorizado a la información e interrupción del servicio. La protección de datos y sistemas se reforzará al garantizar que las agencias cumplan con los estándares al conectarse a la infraestructura informática estatal compartida o a sistemas informáticos externos al gobierno estatal.

Alcance

Para los fines de esta norma, la seguridad se define como la capacidad de proteger la confidencialidad, la integridad y la disponibilidad de la información procesada, almacenada y transmitida por las agencias. Los activos de tecnología de la información cubiertos por esta política incluyen aquellos que procesan, almacenan, transmiten o supervisan información digital. Este documento presenta los estándares mínimos que deben cumplir las agencias que deseen conectarse a la infraestructura de TI estatal compartida y a los sistemas de TI externos al gobierno estatal.

Esta norma se aplica a todos los organismos según lo definido en el Capítulo 8A, Sección 101 del Código de Iowa.   Agencias no participantes   son   motivado   a   seguir   el   pautas   en   este   y otros   empresa   políticas, estándares, directrices, procesos y procedimientos de nivel.

Definiciones

Seleccionado   términos   usado   en   el   Empresa   Interconectividad   Estándar   son   definido a continuación:

• Antivirus   Software :   A   programa   eso   monitores   a   computadora   o   red para   identificar   todo   importante   tipos de malware y prevenir o contener incidentes de malware.

• Compromiso : Divulgación de información a personas no autorizadas o violación de la política de seguridad de un sistema en el que se haya producido una divulgación, modificación, destrucción o pérdida no autorizada, intencional o no intencional, de un objeto.

• Interconexión o interconectividad: Conexión directa de dos o más sistemas informáticos con el fin de compartir datos y otros recursos de información. Esto incluye conexiones con otras agencias, socios comerciales, proveedores de servicios externos e Internet.

• Penetración   Prueba :   Seguridad   prueba   en   cual   evaluadores   imitar   mundo real   ataques   en   un   intentar   identificar formas de eludir las medidas de seguridad de una aplicación, sistema o red.
• Seguridad   Controles : Los controles de gestión, operativos y técnicos (es decir, salvaguardas o contramedidas) prescritos para un sistema de información con el fin de proteger la confidencialidad, la integridad y la disponibilidad del sistema y su información.
• Seguridad   Incidente :   Un   aparición   eso   de hecho   o   potencialmente   pone en peligro   el   confidencialidad, integridad o disponibilidad de un sistema de información o de la información que el sistema procesa, almacena o transmite, o que constituya una violación o una amenaza inminente de violación de las políticas de seguridad, los procedimientos de seguridad o las políticas de uso aceptable.
• Vulnerabilidad   Evaluación:   Formal   descripción   y   evaluación   de   el   vulnerabilidades   en   un sistema de información.

Actualizaciones

Este   estándar   voluntad   ser   revisado   en   el menos   cada   dos   años   y   actualizado   según sea necesario.

Elementos del estándar

El   elementos siguientes   aplicar   a   agencias   conectando con   el   compartido   Estado   infraestructura de TI o   Sistemas informáticos fuera del gobierno estatal.

1. Explotación florestal:   Agencias   deber   mantener   y   revisar   registros   para   todo   servidores   y   red   dispositivos.   Los organismos deberán:
   1. Desarrollar   a   registro   revisar   política que incluye:
      1. Longitud   de   tiempo   para   registro   retención (Registro)   retención   debe   ser   en   el menos   90 días)
      2. Individuo(s)   responsable   para   revisión del registro
      3. Registro   frecuencia de revisión
      4. Registro   procedimientos de revisión
   2. Desarrollar   base   comportamiento   para   actividad normal
   3. Derivación del tiempo:   Los dispositivos sincronizarán su hora con un servidor NTP. Se ajustará el horario de verano.
2. Cifrado:   Agencias   debe   usar   a   mínimo   cifrado de 256 bits   para:   remoto   conexiones; tareas administrativas; y transferencias de archivos que contienen datos confidenciales.

3. Cortafuegos: Las agencias deberán instalar y mantener cortafuegos en todas las interconexiones con su agencia. Esto incluye:   conexiones   a   otro   agencias; socios comerciales;   tercero   fiesta   servicio   proveedores; y   el   Internet. Los cortafuegos deben cumplir los siguientes requisitos:

   1. Por defecto   contraseñas   son   cambió   antes de la instalación
   2. El software y/o los sistemas operativos integrados de los firewalls de hardware están actualizados. Las actualizaciones deben probarse antes de su puesta en producción.
   3. SNMP   comunidad   instrumentos de cuerda   son   cambió   de   configuración predeterminada
   4. Cortafuegos   deber   llevar a cabo   ingreso   y   filtrado de salida

   5. Los cortafuegos bloquearán todo el tráfico por defecto. Se establecerá una lista de excepciones para identificar los puertos, servicios y direcciones autorizados.   Los puertos que permanezcan inactivos durante más de un año serán clausurados.

   6. Crítico   sistemas   son   aislado   en   zonas lógicas

   7. Cortafuegos   debe   fallar   en   a   estado cerrado

   8. Cortafuegos   configuraciones   son   revisado,   y   actualizado   trimestral   por   administradores de red
4. Controles de acceso lógico: Las agencias deberán utilizar listas de control de acceso (ACL) y reglas de acceso para especificar el acceso del personal autorizado (o de las agencias si utilizan una VPN de sitio a sitio) a la red.   dispositivos   (servidores,   enrutadores,   interruptores   y   cortafuegos).   LCA   deber   incluir el   nivel   de   acceso   y el   tipos de transacciones   y   funciones   eso   son   permitido   (p.ej,   leer,   escribir,   ejecutar, eliminar, crear,   y búsqueda).
   1. LCA   será:
      1. Configurado sin conexión
      2. Versionado   en   un repositorio
      3. Repartido   a   el   adecuado   dispositivo de control
   2. Agencias   deber   conceder   adecuado   privilegios de acceso:
      1. Basado   en   roles   o   funciones del puesto
      2. Basado   en   el   principio   de   menos privilegios
   3. Solo   sistema   administradores   con   a   negocio   necesidad   tener   acceso   a   los controles
5. Banner: Las pantallas de inicio de sesión utilizadas para acceder a la red de una agencia deberán incluir un banner de advertencia.   El asesor legal de la agencia deberá aprobar el banner y notificar a los usuarios que:
   1. Usuarios   son   entrando   a   Estado   de   Sistema de Iowa
   2. Acceso   es   limitado   a   autorizado   usar solamente
   3. Usuarios   consentir   para monitorear
6. Identificación y   Autenticación:   Las agencias deberán   identificar y   autenticar   usuarios a   Asegúrese de que estén autorizados para acceder a la interconexión:
   1. En   a   mínimo   contraseñas   y   usuario   Identificaciones   voluntad   ser   usado.   Contraseñas   será:
      1. En   el menos   ocho   personajes   y   administrador   contraseñas   deber   ser   en   el menos   10 caracteres
      2. A   mezcla   de   números,   letras mayúsculas y minúsculas
      3. Incluir   en   el menos   uno   personaje especial
      4. Cambió   en   el menos   cada   sesenta días
   2. Maestro   contraseña   archivos   deber   ser   cifrado   y   protegido   de   acceso no autorizado.
   3. Emergencia   administrador   contraseñas   deber   ser   almacenado de forma segura.
   4. El   siguiente   puede   ser   usado   en   suma   a   contraseñas seguras.
      1. Certificados digitales
      2. Tokens de autenticación
      3. Biometría
      4. Tarjetas inteligentes
7. Análisis de virus: Las agencias deberán instalar software antivirus en todos los servidores y computadoras, excepto en las computadoras centrales. Se deben cumplir los siguientes requisitos:
   1. Datos   transferido   a   el   agencia   de   un   externo   La fuente es escaneada
   2. Antivirus   software   automáticamente   cheques   para   actualizaciones   en   al menos diariamente
   3. Los administradores reciben una notificación por correo electrónico, mensaje de texto o buscapersonas si el software antivirus no puede limpiar automáticamente un virus detectado.
   4. Usuarios   son   instruido   en   cómo   a   informe   a   virus sospechoso
8. Actualizaciones del sistema: Los organismos deberán aplicar las actualizaciones del sistema y los parches de seguridad a sus sistemas de manera oportuna. Los organismos deberán:
   1. Establecer   a   metodología de parches
   2. Prueba   parches/actualizaciones   previo   para la instalación
   3. Instalar   crítico   parches   para   activo   explosiones   dentro   cinco   (5)   negocio   días   de liberación
   4. No crítico   parches   deber   ser   aplicado   por   a   cronograma   establecido   por   la agencia

9. Seguridad física: Los organismos deberán proporcionar la seguridad física adecuada para sus sistemas de tecnología de la información a fin de evitar el acceso no autorizado.

   1. Los servidores, enrutadores, conmutadores y demás equipos de red deberán almacenarse de forma segura en un armario o habitación cerrada con llave.

10. Incidentes de seguridad: Los organismos deberán notificar a la Oficina de Seguridad de la Información sobre los incidentes de seguridad que impliquen la divulgación de información confidencial, el acceso no autorizado a sistemas o que puedan afectar a otros organismos.

    1. Los organismos deberán desarrollar procedimientos para la respuesta ante incidentes e identificar un equipo de respuesta ante incidentes.
    2. Agencias   deber   aislar   y   responder   a   incidentes   originario   de   sus sistemas
    3. Ley   aplicación   deber   ser   notificado   cuando sea apropiado
    4. DAS-ISO   deber   notificar   adecuado   agencia   personal   de   seguridad   incidentes   conmovedor   su agencia.
11. Seguridad   Conciencia   y   Capacitación:   Los organismos deberán:
    1. Proporcionar y realizar un seguimiento de la seguridad.   capacitación de concientización para   nuevo   usuarios al momento de la contratación y actualización   formación para todos los usuarios anualmente
    2. Proporcionar   y   pista   técnico   seguridad   capacitación   anualmente   para   personal   responsable   para   gestión de interconexiones entre agencias
    3. Proporcionar   capacitación   en   Empresa   Normas de seguridad
    4. Establecer   un   aceptable   usar   política   y   distribuir   él   a   todos los usuarios

12. Revisiones de seguridad: Cada organismo deberá revisar sus controles de seguridad al menos una vez al año, o cuando se produzca un cambio significativo.   Las revisiones de seguridad de la agencia deberán abarcar todos los sistemas de la agencia e incluir lo siguiente:

    1. Anual   evaluación de vulnerabilidad
    2. Anual   externo   penetración   prueba   incluido   todo   externo   conexiones   a   la agencia
    3. Documentación   de   problemas de seguridad
    4. Desarrollar   a   remediación   plan   a   DIRECCIÓN   problemas de seguridad

El   Información   Seguridad   Oficina   deber   conducta   anual   seguridad   reseñas   de   sistemas estatales.

13. Comunicación:   Agencias   deber   mantener   comunicación   con   el   Información   Seguridad   Oficina. Los organismos deberán proporcionar a la Oficina de Seguridad de la Información lo siguiente:
    1. El   nombre   y   teléfono   número   para el:
       1. Primario   personal de seguridad
       2. Primario   personal técnico
    2. A   lista   de   nuevo,   restaurado   o   interconexiones terminadas
    3. A   red   diagrama   y   lista   de   interno   y   externo   Direcciones IP
14. Desconexión:   Agencias   son   sujeto   a   emergencia   desconexión   de   el   compartido   Estado   ÉL   infraestructura. Las agencias pueden ser desconectadas si ocurre alguno de los siguientes casos:
    1. Un   agencia   sistema   es   infectado   por   malware   y   remediación   no está disponible
    2. Un   agencia   sistema   es   infectado   por   malware   y   allá   es   a   alto   riesgo   de   infectando   otros sistemas
    3. Un   agencia   compromiso del sistema
    4. Confidencial   información   es   en   riesgo   de divulgación
    5. Un   agencia   sistema   es   accedido   por   un   usuario no autorizado