9. člen
Dostop do on-line sistema
Za dostop do on-line sistema se uporablja posebna (sistemska) programska oprema, ki mora biti posebej zaščitena pred nepooblaščenim dostopom. Nadzornega programa se ne sme izklopiti ali obiti. Skrbnik on-line sistema dodeljuje dostopna pooblastila glede na zadolžitve uporabnika na osnovi pismene zahteve vodstva. Skrbnik on-line sistema ne sme omejevati dostopa nadzornemu organu.
Prireditelj mora voditi evidenco o dostopu do on-line sistema, ki vsebuje zlasti podatke:
-
o osebah, ki so pooblaščene za dostop,
-
do katerih baz, journalov in aplikacij imajo dostop,
-
o načinu dostopa (vpogled, vnos, popravljanje, brisanje, dodajanje, izvajanje),
-
o pooblastilih.
Dostop do on-line sistema mora biti organiziran po sistemu: uporabniško ime, geslo in nivo dostopa.
Za zaščitne in komunikacijske programe morajo veljati še posebna pooblastila za dostop.
Vse tabele z gesli in nivoji dostopa morajo biti shranjene v zavarovanih datotekah in v šifrirani obliki.
Uporabniško ime mora enolično definirati uporabnika in mora biti daljše od 4 znakov.
Geslo mora biti dolgo najmanj 6 znakov, mora biti nevidno in tajno. Menjati se mora vsaj enkrat v 90 dneh in takoj v primeru suma, da je prišlo v roke nepooblaščeni osebi.
On-line sistema mora zavračati ponavljanja gesel in trivialna gesla.
Ob prekinitvi delovnega razmerja ali premestitvi delavca na drugo mesto, je potrebno njegovo uporabniško ime in geslo takoj odstraniti iz sistema.
Nov uporabnik dobi uporabniško ime (identifikacijo) in geslo za enkratno uporabo na podlagi pisnega zahtevka pooblaščene osebe vodstva oziroma nadzornega organa. Kolikor gesel za enkratno uporabo ni moč implemetirati, prejme uporabnik novo geslo v zaprti kuverti, katere prejem potrdi s podpisom in se obveže, da jo bo po odprtju uničil.
Kontrola identifikacije in gesla mora biti opravljena takoj po vzpostavitvi začetne povezave. Dostop je mogoč le, če je kombinacija "ime uporabnika-geslo" pravilna, če so pooblastila ustrezna in če je dostop opravljen v dovoljenem časovnem intervalu. Dostop mora biti omejen z največ tremi poskusi. Pri tretjem neuspelem poskusu mora nastopiti popolna blokada prijave (logina).
On-line sistem mora beležiti:
-
neuspele poskuse dostopa (datum, čas, uporabnik, linija oziroma port),
-
prijavo in odjavo uporabnikov sistema (datum, čas, vstopna linija, kdo),
-
dostop ali poskus dostopa do računalnika on-line sistema preko mreže oziroma komunikacijskih linij (datum, čas, vstopna linija, eventualno klicna številka),
-
vse poskuse uporabnikov za opravljanje nepooblaščenih aktivnosti,
-
namerne in nenamerne kršitve dostopa.
V primeru, da so na on-line sistem preko lokalne mreže ali modema povezani še drugi računalniški sistemi, mora prireditelj v internih aktih opredeliti, kateri so ti sistemi in kakšen je namen posamezne povezave.
Za zaščito dostopov preko klicne linije do on-line sistema je potrebno uporabiti varnostne modeme z geselsko zaščito in call back funkcijo oziroma priklop realizirati preko call-back procedure.