|
- Покажите, пожалуйста, настройки парольной политики домена Windows.
- Да, конечно, она у нас описана в… ээээ… ммм… кажется в инструкции номер 630-Б… да, точно, 630-Б, принятой 27 июля 2005 года, вот она!
- Хорошо, у вас в ней написано, что длина пароля должна быть не меньше восьми символов, и что его надо менять один раз в 60 дней. Покажите, теперь, пожалуйста, требования к паролю, установленные в политиках контроллера домена.
- Так вот же они, 630-Б, от 27 июля…
- Да, это очень хорошо, что у Вас есть документ, описывающий требования к паролям, но позвольте взглянуть на оснастку групповых политик на сервере dc1, который является контроллером домена.
- А что вы хотите там увидеть?
- Настройки парольной политики на практике.
- Зачем? Вот же, инструкция 630-Б, в ней всё есть, все требования выполнены!
- Требования описаны в вашем внутреннем нормативном документе и это очень хорошо. Однако, как я вам уже говорил, требование стандарта считается выполненным только в том случае, когда кроме нормативного документа присутствует его практическая реализация в конкретных системах, входящих в область аудита.
- Да, безусловно так. Вот инструкция 630-Б, видите, всё практически выполнено!
- Давайте всё-таки взглянем на оснастку сервера dc1.
- Вы айтишников проверяете или безопасность? У нас, у безопасности, всё есть, вот инструкция 630-Б, а чем там айтишники занимаются, я не знаю!
- Мы проверяем насколько эффективно обеспечена безопасность вашей информационной инфраструктуры. Мы можем посмотреть на оснастку?
- Пойдемте к айтишникам… вот, смотрите оснастку.
- Хмм… у вас в доменных парольных политиках не указана минимальная длина пароля, а срок его действия неограничен. Требование не может быть признано выполненным, ваш домен настроен весьма небезопасно.
- Да, тут и вправду ноль стоит… Хорошо, я вас понял, пишите нам замечание, к следующему вашему приезду мы всё как надо внесем в инструкцию 630-Б и заново подпишем её у руководства…
| 
