На главную
Об утверждении Требований о защите информации, содержащейся в государственных информационных системах
Приказ
№ 321 от 14.12.2022
САЗ 23-4
- 1. Утвердить Требования о защите информации, содержащейся в государственных информационных системах, согласно Приложению к настоящему Приказу.
- 2. Направить настоящий Приказ на государственную регистрацию и официальное опубликование в Министерство юстиции Приднестровской Молдавской Республики.
- 3. Контроль за исполнением настоящего Приказа оставляю за собой.
- 4. Настоящий Приказ вступает в силу c 1 января 2024 года.
- 1. Общие положения
- 1. Настоящие Требования разработаны в соответствии с Законом Приднестровской Молдавской Республики от 19 апреля 2010 года № 57-3-IV «Об информации, информационных технологиях и о защите информации» (САЗ 10-16) (далее – Закон «Об информации, информационных технологиях и о защите информации»), а также с учетом государственных стандартов Приднестровской Молдавской Республики в области защиты информации и в области создания автоматизированных систем (далее – стандарты), в том числе указанных в пунктах 23, 51, 55, 68 настоящих Требований.
- 2. Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах (далее – ГИС), для достижения целей, указанных в подпунктах а) и в) пункта 1 статьи 15 Закона «Об информации, информационных технологиях и о защите информации».
- 3. Настоящие Требования устанавливаются для обеспечения защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее – информация), от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее – защита информации) при обработке указанной информации в ГИС, в том числе с использованием средств криптографической защиты информации (далее – СКЗИ).
- 4. Настоящие Требования являются обязательными при обработке информации в ГИС, функционирующих на территории Приднестровской Молдавской Республики, а также в муниципальных информационных системах, если иное не установлено законодательством Приднестровской Молдавской Республики о местном самоуправлении.
- 5. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание ГИС (далее – заказчики), и операторов ГИС (далее – операторы).
- 6. Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации (заказчика) или оператора и (или) предоставляющее им вычислительные ресурсы (мощности) для обработки информации на основании заключенного договора (далее – уполномоченное лицо), обеспечивает защиту информации в соответствии с законодательством Приднестровской Молдавской Республики об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями.
- 7. При обработке в ГИС информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением Правительства Приднестровской Молдавской Республики от 5 августа 2014 года № 206 «Об утверждении требований к защите персональных данных при обработке в информационных системах персональных данных» (САЗ 14-32). Меры защиты указанной информации определяются в соответствии с пунктом 108 настоящих Требований.
- 8. Защита информации, содержащейся в ГИС, обеспечивается путем выполнения обладателем информации (заказчиком) и (или) оператором требований к организации защиты информации, содержащейся в ГИС, и требований к мерам защиты информации, содержащейся в ГИС.
- 9. По решению обладателя информации, заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в иных информационных системах.
- 2. Требования к организации защиты информации, содержащейся в ГИС
- 10. В ГИС объектами защиты являются информация, содержащаяся в ГИС, технические средства (в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации), общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.
- 11. Для обеспечения защиты информации, содержащейся в ГИС, оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.
- 12. Для проведения работ по защите информации в ходе создания и эксплуатации ГИС обладателем информации (заказчиком) и оператором в соответствии с законодательством Приднестровской Молдавской Республики при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Постановлением Правительства Приднестровской Молдавской Республики от 15 августа 2018 года № 283 «Об утверждении Положения о лицензировании деятельности по оказанию услуг по технической защите конфиденциальной информации» (САЗ 18-33).
- 13. Для обеспечения защиты информации, содержащейся в ГИС, применяются средства защиты информации с учётом соблюдения пункта 7 статьи 13 Закона «Об информации, информационных технологиях и о защите информации».
- 14. Защита информации, содержащейся в ГИС, является составной частью работ по созданию и эксплуатации ГИС и обеспечивается на всех стадиях (этапах) ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации в ГИС, в рамках системы (подсистемы) защиты информации ГИС (далее – система защиты информации ГИС), указанных в главе 11 настоящих Требований.
- 15. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации ГИС, в зависимости от информации, содержащейся в ГИС, целей создания ГИС и задач, решаемых этой ГИС, должны быть направлены на исключение:
- 16. Для обеспечения защиты информации, содержащейся в ГИС, проводятся следующие мероприятия:
- 3. Формирование требований к защите информации, содержащейся в ГИС
- 17. Формирование требований к защите информации, содержащейся в ГИС, осуществляется обладателем информации (заказчиком).
- 18. Формирование требований к защите информации, содержащейся в ГИС, включает:
- 19. При принятии решения о необходимости защиты информации, содержащейся в ГИС, осуществляется:
- 20. Классификация ГИС проводится в зависимости от значимости обрабатываемой в ней информации и масштаба ГИС (республиканский, районный, объектовый).
- 21. Устанавливаются три класса защищенности ГИС, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс – третий, самый высокий – первый.
- 22. Класс защищенности определяется для ГИС в целом и, при необходимости, для ее отдельных составных частей (сегментов), предназначенных для решения задач ГИС в пределах определенной территории или объекта (объектов) (далее – сегмент ГИС).
- 23. Требование к классу защищенности включается в техническое задание на создание ГИС и (или) техническое задание (частное техническое задание) на создание системы защиты информации ГИС, разрабатываемые с учетом ГОСТ 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы», введённого в действие Приказом Министерства промышленности Приднестровской Молдавской Республики от 17 февраля 2003 года № 68 «О введении в действие межгосударственных стандартов на территории Приднестровской Молдавской Республики (с ГОСТ 31.0171.01-91 по ГОСТ 5.1730-72)» (регистрационный № 2029 от 3 марта 2003 года) (САЗ 03-10) (далее – ГОСТ 34.602).
- 24. Класс защищенности ГИС подлежит пересмотру при изменении масштаба ГИС или значимости обрабатываемой в ней информации.
- 25. Результаты классификации ГИС оформляются актом классификации.
- 26. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей ГИС, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).
- 27. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации, размещенный в глобальной сети Интернет (bdu.fstec.ru).
- 28. При определении угроз безопасности информации учитываются структурно-функциональные характеристики ГИС, включающие структуру и состав ГИС, физические, логические, функциональные и технологические взаимосвязи между сегментами ГИС, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в ГИС и в ее сегментах, а также иные характеристики ГИС, применяемые информационные технологии и особенности ее функционирования.
- 29. По результатам определения угроз безопасности информации при необходимости обладателем информации (заказчиком) или оператором организуется корректировка структурно-функциональных характеристик ГИС, направленных на блокирование (нейтрализацию) отдельных угроз безопасности информации.
- 30. Модель угроз безопасности информации должна содержать описание ГИС и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей ГИС, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.
- 31. Требования к системе защиты информации ГИС определяются в зависимости от класса защищенности ГИС и угроз безопасности информации, включенных в модель угроз безопасности информации.
- 32. Требования к системе защиты информации ГИС включаются в техническое задание на создание ГИС и (или) техническое задание (частное техническое задание) на создание системы защиты информации ГИС, разрабатываемые с учетом ГОСТ 34.602, и должны в том числе содержать:
- 33. При определении требований к системе защиты информации ГИС учитываются положения политик обеспечения информационной безопасности обладателя информации (заказчика), а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации (заказчика).
- 4. Формирование требований к защите информации, содержащейся в ГИС, с использованием СКЗИ
- 34. Информация, содержащаяся в ГИС, подлежит защите с использованием СКЗИ в случаях:
- 35. Необходимость использования СКЗИ для защиты информации, содержащейся в ГИС, подлежит обоснованию в модели угроз безопасности информации, техническом проекте и техническом задании на создание (развитие) ГИС. Модель угроз безопасности информации и техническое задание на создание (развитие) ГИС подлежат согласованию с Министерством государственной безопасности Приднестровской Молдавской Республики.
- 36. Для противодействия угрозам, представляющим собой целенаправленные действия с использованием аппаратных, программно-аппаратных и (или) программных средств, направленные на нарушение безопасности защищаемой СКЗИ информации либо на создание условий для этого (далее – атаки), должны использоваться СКЗИ соответствующего класса, определенного в соответствии с главой 5 настоящих Требований.
- 37. В помещениях, в которых размещены и (или) хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ, необходимо обеспечение режима, препятствующего возможности неконтролируемого проникновения или пребывания лиц, не имеющих права доступа в такие помещения, которое достигается путем:
- 38. Защита информации, содержащейся в ГИС, с использованием СКЗИ должна осуществляться в соответствии с документацией на СКЗИ и настоящими Требованиями, а также в соответствии с иными нормативными правовыми актами, регулирующими отношения в соответствующей области.
- 5. Правила определения класса СКЗИ
- 39. Класс СКЗИ, подлежащих использованию для защиты информации, содержащейся в ГИС, определяется для каждого сегмента ГИС.
- 40. Определение класса СКЗИ, подлежащих использованию для защиты информации, содержащейся в ГИС (сегменте ГИС), осуществляется в зависимости от уровня значимости обрабатываемой в ГИС (сегменте ГИС) информации и масштаба ГИС (сегмента ГИС).
- 41. Уровень значимости информации, содержащейся в ГИС, определяется в соответствии с Приложением № 1 к настоящим Требованиям.
- 42. Класс СКЗИ, подлежащих использованию для защиты информации, содержащейся в ГИС (сегменте ГИС), определяется в соответствии с таблицей, приведенной в Приложении № 2 к настоящим Требованиям, с учетом особенностей, предусмотренных пунктами 43 – 49 настоящих Требований.
- 43. Класс СКЗИ, подлежащих использованию для защиты информации в ГИС (сегменте ГИС), при ее взаимодействии с другими ГИС и (или) сегментами других ГИС определяется по более высокому классу СКЗИ, используемому для защиты информации во взаимодействующих ГИС и (или) сегментах ГИС.
- 44. Класс СКЗИ, подлежащих использованию для защиты информации во взаимодействующих между собой сегментах одной ГИС, определяется не ниже наименьшего класса СКЗИ, используемого для защиты информации в таких сегментах ГИС.
- 45. В случае если в модели угроз безопасности информации в качестве актуальной угрозы определена возможность нарушителя самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны, но без физического доступа к аппаратным средствам, на которых реализованы СКЗИ и среда их функционирования, то для защиты информации в ГИС (сегменте ГИС) необходимо использовать СКЗИ класса КС2.
- 46. В случае если в модели угроз безопасности информации в качестве актуальной угрозы определена возможность нарушителя самостоятельно осуществлять создание способов атак, подготовку и проведение атак в пределах контролируемой зоны с физическим доступом к аппаратным средствам, на которых реализованы СКЗИ и среда их функционирования, то для защиты информации в ГИС (сегменте ГИС) необходимо использовать СКЗИ класса КС3.
- 47. В случае если в модели угроз безопасности информации в качестве актуальной угрозы определена возможность нарушителя привлекать специалистов, имеющих опыт разработки и анализа СКЗИ, включая специалистов в области анализа сигналов линейной передачи и сигналов побочного электромагнитного излучения и наводок СКЗИ и специалистов в области использования для реализации атак недокументированных возможностей прикладного программного обеспечения, то для защиты информации в ГИС (сегменте ГИС) необходимо использовать СКЗИ класса КВ.
- 48. В случае если в модели угроз безопасности информации в качестве актуальной угрозы определена возможность нарушителя привлекать специалистов, имеющих опыт разработки и анализа СКЗИ, включая специалистов в области использования для реализации атак недокументированных возможностей аппаратного и программного компонентов среды функционирования СКЗИ, то для защиты информации в ГИС (сегменте ГИС) необходимо использовать СКЗИ класса КА.
- 49. В случае если иными нормативными правовыми актами, устанавливающими требования о защите информации с использованием СКЗИ, предусмотрена необходимость использовать для защиты информации СКЗИ более высокого класса, чем класс СКЗИ, определенный в соответствии с настоящими Требованиями, то класс СКЗИ, подлежащих использованию в ГИС (сегменте ГИС), определяется в соответствии с такими нормативными правовыми актами.
- 6. Разработка системы защиты информации ГИС
- 50. Разработка системы защиты информации ГИС организуется обладателем информации (заказчиком).
- 51. Разработка системы защиты информации ГИС осуществляется в соответствии с техническим заданием на создание ГИС и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации ГИС с учетом ГОСТ 34.601-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания», введённого в действие Приказом Министерства промышленности Приднестровской Молдавской Республики от 17 февраля 2003 года № 68 «О введении в действие межгосударственных стандартов на территории Приднестровской Молдавской Республики (с ГОСТ 31.0171.01-91 по ГОСТ 5.1730-72)» (регистрационный № 2029 от 3 марта 2003 года) (САЗ 03-10) (далее – ГОСТ 34.601), и в том числе включает:
- 52. Система защиты информации ГИС не должна препятствовать достижению целей создания ГИС и ее функционированию.
- 53. При разработке системы защиты информации ГИС учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.
- 54. При проектировании системы защиты информации ГИС:
- 55. Результаты проектирования системы защиты информации ГИС отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на ГИС (систему защиты информации ГИС), разрабатываемой с учетом ГОСТ 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем», введённого в действие Приказом Министерства промышленности Приднестровской Молдавской Республики от 17 февраля 2003 года № 68 «О введении в действие межгосударственных стандартов на территории Приднестровской Молдавской Республики (с ГОСТ 31.0171.01-91 по ГОСТ 5.1730-72)» регистрационный № 2029 от 3 марта 2003 года) (САЗ 03-10) (далее – ГОСТ 34.201).
- 56. Проектная документация на ГИС и (или) ее систему защиты информации подлежат согласованию с оператором ГИС в случае, если он определен таковым в соответствии с законодательством Приднестровской Молдавской Республики к моменту окончания проектирования системы защиты информации ГИС и не является заказчиком данной ГИС.
- 57. При отсутствии необходимых средств защиты информации, соответствующих требованиям законодательства Приднестровской Молдавской Республики, организуется разработка (доработка) средств защиты информации в соответствии с законодательством Приднестровской Молдавской Республики или производится корректировка проектных решений по ГИС и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся средств защиты информации.
- 58. Разработка эксплуатационной документации на систему защиты информации ГИС осуществляется в соответствии с техническим заданием на создание ГИС и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации ГИС.
- 59. Эксплуатационная документация на систему защиты информации ГИС разрабатывается с учетом ГОСТ 34.601 и ГОСТ 34.201 и должна в том числе содержать описание:
- 60. При макетировании и тестировании системы защиты информации ГИС в том числе осуществляются:
- 61. Макетирование системы защиты информации ГИС и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.
- 7. Внедрение системы защиты информации ГИС
- 62. Внедрение системы защиты информации ГИС организуется обладателем информации (заказчиком).
- 63. Внедрение системы защиты информации ГИС осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации ГИС и в том числе включает:
- 64. К внедрению системы защиты информации ГИС привлекается оператор ГИС в случае, если он определен таковым в соответствии с законодательством Приднестровской Молдавской Республики к моменту внедрения системы защиты информации ГИС и не является заказчиком данной ГИС.
- 65. Установка и настройка средств защиты информации в ГИС должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации ГИС и документацией на средства защиты информации.
- 66. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:
- 67. При внедрении организационных мер защиты информации осуществляются:
- 68. Предварительные испытания системы защиты информации ГИС проводятся с учетом ГОСТ 34.603-92 «Информационная технология. Виды испытаний автоматизированных систем», введённого в действие Приказом Министерства промышленности Приднестровской Молдавской Республики от 17 февраля 2003 года № 68 «О введении в действие межгосударственных стандартов на территории Приднестровской Молдавской Республики (с ГОСТ 31.0171.01-91 по ГОСТ 5.1730-72)» (регистрационный № 2029 от 3 марта 2003 года) (САЗ 03-10) (далее – ГОСТ 34.603) и включают проверку работоспособности системы защиты информации ГИС, а также принятие решения о возможности опытной эксплуатации системы защиты информации ГИС.
- 69. Опытная эксплуатация системы защиты информации ГИС проводится с учетом ГОСТ 34.603 и включает проверку функционирования системы защиты информации ГИС, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты информации ГИС.
- 70. Анализ уязвимостей ГИС проводится в целях оценки возможности преодоления нарушителем системы защиты информации ГИС и предотвращения реализации угроз безопасности информации.
- 71. При анализе уязвимостей ГИС проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.
- 72. В случае выявления уязвимостей ГИС, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.
- 73. Приемочные испытания системы защиты информации ГИС проводятся с учетом ГОСТ 34.603 и включают проверку выполнения требований к системе защиты информации ГИС в соответствии с техническим заданием на создание ГИС и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации ГИС.
- 74. Ввод в эксплуатацию ГИС осуществляется в соответствии с Законом «Об информации, информационных технологиях и о защите информации» с учетом ГОСТ 34.601.
- 8. Обеспечение защиты информации в ходе эксплуатации ГИС
- 75. Обеспечение защиты информации в ходе эксплуатации ГИС должно осуществляться оператором в соответствии с эксплуатационной документацией и организационно-распорядительными документами по защите информации и включать следующие мероприятия:
- 76. В ходе планирования мероприятий по защите информации в ГИС осуществляются:
- 77. План мероприятий по защите информации в ГИС утверждается вместе с правовым актом исполнительного органа государственной власти о вводе ГИС в эксплуатацию.
- 78. В ходе анализа угроз безопасности информации в ГИС в ходе ее эксплуатации осуществляются:
- 79. В ходе управления (администрирования) системой защиты информации ГИС осуществляются:
- 80. В ходе управления конфигурацией ГИС и системы защиты информации ГИС осуществляются:
- 81. В ходе реагирования на инциденты осуществляются:
- 82. В ходе информирования и обучения персонала ГИС осуществляются:
- 83. В ходе контроля над обеспечением уровня защищенности информации, содержащейся в ГИС, осуществляются:
- 84. Контроль над обеспечением уровня защищенности информации, содержащейся в ГИС, проводится оператором самостоятельно и (или) с привлечением организации, имеющей лицензию на деятельность по технической защите конфиденциальной информации.
- 85. Периодичность проведения контроля над обеспечением уровня защищенности информации, содержащейся в ГИС 1 класса защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования ГИС, но не реже 1 раза в год.
- 86. Периодичность проведения контроля над обеспечением уровня защищенности информации, содержащейся в ГИС 2 и 3 классов защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования ГИС, но не реже 1 раза в два года.
- 9. Обеспечение защиты информации при выводе из эксплуатации ГИС или после принятия решения об окончании обработки информации
- 87. Обеспечение защиты информации при выводе из эксплуатации ГИС или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации ГИС и организационно-распорядительными документами по защите информации и в том числе включает:
- 88. Архивирование информации, содержащейся в ГИС, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.
- 89. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю ГИС или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.
- 10. Требования к мерам защиты информации, содержащейся в ГИС
- 90. Организационные и технические меры защиты информации, реализуемые в ГИС в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик ГИС должны обеспечивать:
- 91. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).
- 92. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в ГИС правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил.
- 93. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в ГИС программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в ГИС программного обеспечения.
- 94. Меры по защите машинных носителей информации (средства обработки (хранения) информации, съемные машинные носители информации) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации.
- 95. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в ГИС, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.
- 96. Меры по антивирусной защите должны обеспечивать обнаружение в ГИС компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.
- 97. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в ГИС, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на ГИС и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.
- 98. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в ГИС, путем проведения мероприятий по анализу защищенности ГИС и тестированию ее системы защиты информации.
- 99. Меры по обеспечению целостности ГИС и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности ГИС и содержащейся в ней информации, а также возможность восстановления ГИС и содержащейся в ней информации.
- 100. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в ГИС, в штатном режиме функционирования ГИС.
- 101. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.
- 102. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование ГИС, и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.
- 103. Меры по защите ГИС, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии ГИС или ее сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры ГИС, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.
- 104. Выбор мер защиты информации для их реализации в ГИС в рамках ее системы защиты информации включает:
- 105. В ГИС соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 104 настоящих Требований и обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации.
- 106. При невозможности реализации в ГИС в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации. В этом случае в ходе разработки системы защиты информации ГИС должно быть проведено обоснование применения компенсирующих мер защиты информации.
- 107. Меры защиты информации выбираются и реализуются в ГИС в рамках ее системы защиты информации с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, сетевом, системном и прикладном уровнях, в том числе в среде виртуализации и облачных вычислений.
- 108. В случае обработки в ГИС информации, содержащей персональные данные, реализуемые в соответствии с пунктами 104 и 105 настоящих Требований меры защиты информации:
- 109. При использовании в ГИС новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 106 настоящих Требований.
- 1. Класс защищенности (первый класс (К1), второй класс (К2), третий класс (К3)) государственной информационной системы (далее – ГИС) определяется в зависимости от уровня значимости информации (УЗ) ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее – информация), обрабатываемой в этой ГИС, и масштаба ГИС (республиканский, районный, объектовый).
- 2. Уровень значимости информации, обрабатываемой в ГИС, определяется степенью возможного ущерба для обладателя информации (заказчика, заключившего государственный контракт на создание ГИС) и (или) оператора ГИС от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации (далее – свойства безопасности информации).
- 3. Информация имеет высокий уровень значимости (УЗ 1), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена высокая степень возможного ущерба.
- 4. При обработке в ГИС двух и более видов информации (служебная тайна, коммерческая тайна и иные установленные законодательством Приднестровской Молдавской Республики виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в ГИС, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности каждого вида информации.
- 5. ГИС имеет республиканский масштаб, если она функционирует на территории Приднестровской Молдавской Республики, предназначена для решения задач ГИС по всей территории Приднестровской Молдавской Республики (в пределах трех и более районов Приднестровской Молдавской Республики) и имеет сегменты в районах Приднестровской Молдавской Республики, муниципальных образованиях и (или) организациях.
- 6. Класс защищенности ГИС определяется в соответствии с таблицей:
- 1. Масштаб государственной информационной системы _____________.
- 2. Уровень значимости информации, содержащейся в государственно информационной системе ___________________________________________.
- 3. Класс защищенности государственной информационной системы ___________________________________________________________.
Реквизиты документа
Полное наименование
Об утверждении Требований о защите информации, содержащейся в государственных информационных системах
Издатель
Министерство государственной безопасности
Вид акта
Приказ
№ документа
№ 321
Редакция
Первоначальный документ
Дата документа
14.12.2022
Источник оф. опубликования
САЗ 23-4
Скачать
Доступно по тарифу
К карточке документа
Карточка документа
Об утверждении Требований о защите информации, содержащейся в государственных информационных системах
Тип:
Приказ
Номер:
№ 321
Статус:
Опубликован
Редакция:
Первоначальный документ
Организация:
Министерство государственной безопасности
Дата:
14.12.2022