На главную
Об утверждении Требований к защите фискальных данных в информационных системах и технических средствах
Приказ
№ 166 от 20.06.2019
САЗ 19-24
- 1. Утвердить Требования к защите фискальных данных в информационных системах и технических средствах согласно Приложению к настоящему Приказу.
- 2. Направить настоящий Приказ на государственную регистрацию и официальное опубликование в Министерство юстиции Приднестровской Молдавской Республики.
- 3. Контроль по исполнению настоящего Приказа оставляю за собой.
- 4. Настоящий Приказ вступает в силу со дня, следующего за днем его официального опубликования.
- 1. Общие положения
- 1. Данным документом устанавливаются требования к обеспечению защиты фискальных данных (далее - Требования) от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такие данные (носители информации) в целях их добывания, уничтожения, искажения или блокирования доступа к ним (далее - защита данных) в информационных системах и технических средствах.
- 2. Настоящие Требования являются обязательными при обработке фискальных данных в информационных системах и технических средствах, функционирующих на территории Приднестровской Молдавской Республики.
- 3. Настоящие Требования предназначены для соискателя разрешения на обработку фискальных данных (далее - соискатель) и оператора фискальных данных (далее - оператор).
- 4. В информационной системе настоящие Требования применяются наряду требованиями законодательства Приднестровской Молдавской Республики о защите персональных данных.
- 5. Защита фискальных данных в информационных системах и технических средствах обеспечивается путем выполнения требований к организации защиты фискальных данных и требований к мерам защиты фискальных данных.
- 6. В Требованиях используются следующие понятия:
- 2. Требования к организации защиты фискальных данных в информационных системах и технических средствах
- 7. В информационной системе и технических средствах объектами защиты являются фискальные данные в информационной системе, технические средства (в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации), общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.
- 8. Для обеспечения защиты информации, содержащейся в информационной системе и технических средствах, назначается структурное подразделение или работник, ответственные за защиту информации.
- 9. Защита фискальных данных, содержащихся в информационной системе и технических средствах, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях (этапах) ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации в информационной системе и технических средствах, в рамках системы (подсистемы) защиты информации информационной системы (далее - система защиты информации информационной системы и технических средств).
- 10. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы и технических средствах должны быть направлены на исключение:
- 11. Для обеспечения защиты фискальных данных в информационной системе и технических средствах, проводятся следующие мероприятия:
- 12. Формирование требований к защите фискальных данных в информационной системе и технических средствах включает:
- 13. Классификация проводится в зависимости от готовности противодействовать угрозам безопасности информации (фискальных данных).
- 14. Устанавливаются три класса защищенности информационной системы и технических средств (далее - класс защищенности), определяющие уровни защищенности содержащихся в них фискальных данных. Самый низкий класс - третий, самый высокий - первый. Класс защищенности определяется в соответствии с пунктом 66 настоящих Требований.
- 15. Класс защищенности подлежит пересмотру при изменении готовности информационной системы и технических средств противодействовать угрозам безопасности информации (фискальных данных), согласно Перечню угроз.
- 16. Результаты классификации включаются в отчет о проведении проверки информационных систем и технических средств о соответствии требованиям к защите фискальных данных в информационных системах и технических средствах.
- 17. Разработка системы защиты информации информационной системы и технических средств организуется соискателем и оператором, и осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы и технических средств и включает в себя:
- 18. Система защиты информации информационной системы и технических средств не должна препятствовать достижению целей создания информационной системы и ее функционированию.
- 19. При разработке системы защиты информации информационной системы и технических средств учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки фискальных данных.
- 20. При проектировании системы защиты информации информационной системы и технических средств:
- 21. Результаты проектирования системы защиты информации информационной системы и технических средств отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы и технических средств).
- 22. Разработка эксплуатационной документации на систему защиты информации информационной системы и технических средства осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы и технических средств.
- 23. Эксплуатационная документация на систему защиты информации информационной системы и технических средств должна содержать описание:
- 24. При макетировании и тестировании системы защиты информации информационной системы и технических средств в том числе осуществляются:
- 25. Макетирование системы защиты информации информационной системы и технических средств и ее тестирование может проводиться, в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.
- 26. Внедрение системы защиты информации информационной системы и технических средств организуется соискателем и оператором и осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и технических средств и в том числе включает:
- 27. Установка и настройка средств защиты информации в информационной системе и технических средствах должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и технических средств и документацией на средства защиты информации.
- 28. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:
- 29. При внедрении организационных мер защиты информации осуществляются:
- 30. Предварительные испытания системы защиты информации информационной системы и технических средств включают проверку работоспособности системы защиты информации информационной системы и технических средств, а также принятие решения о возможности опытной эксплуатации системы защиты информации информационной системы и технических средств.
- 31. Опытная эксплуатация системы защиты информации информационной системы и технических средств включает проверку функционирования системы защиты информации информационной системы и технических средств, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты информации информационной системы и технических средств.
- 32. Анализ уязвимостей информационной системы и технических средств проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и технических средств и предотвращения реализации угроз безопасности фискальных данных.
- 33. Анализ уязвимостей информационной системы и технических средств включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы.
- 34. При анализе уязвимостей информационной системы и технических средств проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.
- 35. В случае выявления уязвимостей информационной системы и технических средств, приводящих к возникновению дополнительных угроз безопасности фискальных данных, при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.
- 36. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе и технических средствах отсутствуют уязвимости, содержащиеся в источниках, или их использование (эксплуатация) нарушителем невозможно.
- 37. Приемочные испытания системы защиты информации информационной системы и технических средств включают проверку выполнения требований к системе защиты информации информационной системы и технических средств в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы и технических средств.
- 38. Обеспечение защиты информации в ходе эксплуатации информационной системы и технических средств осуществляется в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает:
- 39. В ходе управления (администрирования) системой защиты информации информационной системы и технических средств осуществляются:
- 40. В ходе выявления инцидентов и реагирования на них осуществляются:
- 41. В ходе управления конфигурацией информационной системы и технических средств и ее системы защиты информации осуществляются:
- 42. В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе и технических средствах, осуществляются:
- 43. Обеспечение защиты информации при выводе из эксплуатации информационной системы и технических средств или после принятия решения об окончании обработки информации осуществляется в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и технических средств и организационно-распорядительными документами по защите информации и в том числе включает:
- 44. Архивирование информации, содержащейся в информационной системе и технических средствах, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.
- 45. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.
- 46. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.
- 3. Требования к мерам защиты фискальных данных в информационной системе и технических средствах
- 47. Организационные и технические меры защиты информации, реализуемые в информационной системе и технических средствах должны обеспечивать:
- 48. Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности приведены в Приложении к настоящим Требованиям.
- 49. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).
- 50. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил.
- 51. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.
- 52. Меры по защите машинных носителей информации (средства обработки (хранения) информации, съемные машинные носители информации) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации.
- 53. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.
- 54. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.
- 55. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.
- 56. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации.
- 57. Меры по обеспечению целостности информационной системы и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации.
- 58. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы.
- 59. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.
- 60. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.
- 61. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.
- 62. Выбор мер защиты информации для их реализации в информационной системе и технических средствах в рамках ее системы защиты информации включает:
- 63. В информационной системе соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, указанные в пункте 47 настоящих Требований и обеспечивающие блокирование (нейтрализацию) угроз безопасности фискальных данных.
- 64. При невозможности реализации в информационной системе и технических средствах в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности фискальных данных.
- 65. Меры защиты информации выбираются и реализуются в информационной системе и технических средствах в рамках ее системы защиты информации с учетом угроз безопасности фискальных данных применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений.
- 66. Организационные меры и средства защиты информации, применяемые в информационной системе и технических средствах, должны обеспечивать:
- 67. При использовании в информационных системах и технических средствах новых информационных технологий и выявлении дополнительных угроз безопасности фискальных данных, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 64 настоящих Требований.
Реквизиты документа
Полное наименование
Об утверждении Требований к защите фискальных данных в информационных системах и технических средствах
Издатель
Министерство государственной безопасности
Вид акта
Приказ
№ документа
№ 166
Редакция
Первоначальный документ
Дата документа
20.06.2019
Источник оф. опубликования
САЗ 19-24
Скачать
Доступно по тарифу
К карточке документа
Карточка документа
Об утверждении Требований к защите фискальных данных в информационных системах и технических средствах
Тип:
Приказ
Номер:
№ 166
Статус:
Опубликован
Редакция:
Первоначальный документ
Организация:
Министерство государственной безопасности
Дата:
20.06.2019