Требования к защите информации, содержащейся в государственных ИС, в контексте изменений в Приказ ФСТЭК России от 11.02.2013 № 17. Васильев Петр Директор департамента аттестации АО «НПО «Эшелон». ЧТО НОВОГО? применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. I. Общие положения. Приказ ФСТЭК России № 17 от 11 февраля 2013 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». Контроль соответствия требованиям Приказа ФСТЭК России № 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.
Приказ ФСТЭК России № 17 от 11.02.2013
Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы. Приказ Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17. применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. Издание приказа ФСТЭК России от 11 февраля 2013 г. № 17 не отменяет действие методических документов «Специальные требования и рекомендации по технической защите конфиденциальной информации» (далее – СТР-К) и «Автоматизированные системы.
Приказ № 17
Федеральная служба по техническому и экспортному контролю. ПРИКАЗ от 11 февраля 2013 г. N 17. Об утверждении требований о защите информации, не составляющей государственную тайну. 2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю № 17 от 11.02.2013 Об утверждении "Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах". УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17.
Приказ ФСТЭК № 17: комментарии экспертов
Программа производственного контроля МБОУ СОШ №11. Перечни юр. лиц и ИП, оказывающих услуги по организации питания в общеобразовательных организациях. 2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований. Утверждены приказом ФСТЭК России от 11 февраля 2013 г. N 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. I. Общие положения.
Приказ ФСТЭК России № 17 от 11.02.2013
Впрочем, по новому пункту особо ничего нового, это же наш горячо уважаемый администратор безопасности! Остальное здесь осталось на месте, хоть и немного перефразированное, но по сути — то же самое. Пункт про управление конфигурацией информационной системы старый 18. То же самое можно сказать и про пункт по реагированию на инциденты старый 18. Пункт 18.
Итак, чему же мы должны их обучать и о чем информировать: о новых актуальных угрозах безопасности информации; о правилах безопасной эксплуатации информационной системы; о требованиях по защите информации нормативных и внутренних документов ; о правилах эксплуатации отдельных средств защиты информации; проводить практические занятия по блокированию угроз безопасности информации и реагированию на инциденты; контролировать осведомленность персонала о всем вышеперечисленном. Периодичность обучения устанавливается во внутренних документах оператора, но должна быть не реже чем 1 раз в два года. Появление обучения персонала это хорошее начало, но к сожалению, снова не указаны формы, часы обучения, должно ли такое обучение проводиться по утвержденным ФСТЭК программам или достаточно внутреннего инструктажа. Подозреваем, что многие продолжат подходить к вопросу формально, а именно отметками в журнале «инструктаж провел», «инструктаж прослушал» без фактического проведения занятий.
В пункт про контроль за обеспечением уровня защищенности информации добавлена периодичность проведения такого контроля. Для ГИС 1 класса — не реже 1 раза в год. Для ГИС 2 и 3 класса — не реже 1 раза в два года. К таким мероприятиям можно привлекать лицензиата, но можно проводить и самостоятельно.
Про уровни доверия к средствам защиты информации В пункт 26 помимо понятия «класс средства защиты» вводится понятие «уровень доверия». Это единственный пункт изменений, который вступает не сразу, а с 1 июня 2020 года.
Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации.
Результаты классификации информационной системы оформляются актом классификации. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации.
Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика. Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации.
Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации.
N 149-ФЗ "Об информации, информационных технологиях и о защите информации" Собрание законодательства Российской Федерации, 2006, N 31, ст. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст.
Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы абзац исключен. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы 16. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: установку и настройку средств защиты информации в информационной системе; разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее - организационно-распорядительные документы по защите информации ; внедрение организационных мер защиты информации; предварительные испытания системы защиты информации информационной системы; опытную эксплуатацию системы защиты информации информационной системы; анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Средства защиты информации, устанавливаемые в информационной системе, функционирующей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны быть совместимы между собой, а также со средствами защиты информации, установленными в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем" далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами работниками , осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
Внедрение системы защиты информации информационной системы
- Состав работ
- Приказ ФСТЭК России от 11 февраля 2013 г. N 17 - ФСТЭК России
- Сертификация средств защиты информации от несанкционированного доступа
- Приложение № 1 к Требованиям
- Приказ ФСТЭК России от 11.02.2013 № 17 | Редакция действует с 1 января 2021 | Главбух
Приказ ФСТЭК России от 11 февраля 2013 г. N 17
2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю В частности указаны следующие требования: Класс ГИС, которая переезжает в облачный ЦОД не должен быть выше класса самого ЦОД, а это значит, что сам ЦОД должен пройти классификацию (новый абзац в пункте 14.2 17-го приказа). Актуальная версия Приказа ФСТЭК России от 11 февраля 2013 г. № 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах".
Сертификация средств защиты информации от несанкционированного доступа
Контроль соответствия требованиям Приказа ФСТЭК России № 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. № 17. Программа производственного контроля МБОУ СОШ №11. Перечни юр. лиц и ИП, оказывающих услуги по организации питания в общеобразовательных организациях. Федеральная служба по техническому и экспортному контролю. Приказ. от 11 февраля 2013 года N 17. Работа в России. Общероссийская база вакансий. Уполномоченный по правам ребенка в Краснодарском крае. Приказ Министерства строительства и жилищно-коммунального хозяйства Российской Федерации (Минстрой России) от 5 мая 2014 г. № 223/пр г. Москва "Об утверждении условий отнесения жилых помещений к жилью экономического класса".
Спасибо за обращение!
- Приказ ФСТЭК России от 11 февраля 2013 г. N 17 - ФСТЭК России
- Приказ ФСТЭК России от 11.02.2013 N 17 (ред. от 28.05.2019)
- Приказ ФСТЭК РФ от 11.02.2013 № 17
- Правительство Саратовской области
- Кодексы РФ
- Публикации
Порядок обновления сертифицированных средств защиты информации
- Приложение № 1 к Требованиям
- Приказ ФСТЭК РФ от 11.02.2013 № 17
- Институт МОИБ
- Приказ ФСТЭК России от 11 февраля 2013 г. N 17 - ФСТЭК России
- Приказ ФСТЭК РФ от 11.02.2013 № 17
Обзор изменений приказа ФСТЭК №17 утверждённых 28.05.2019
Финальная часть досконального рассматривания Приказа ФСТЭК представляет собой майндкарту, на которой в схематичном варианте представлены основные тезисы правового акта. Специальных стандартов по мерам безопасности для вышеназванных инстанций в законодательном акте нет, выходит и норм по защите информации для этих органов тоже не имеется? Мнения экспертов при принятии новых регулятивных актов крайне важны: законодательство в сфере ИБ еще очень зыбко и может по-разному интерпретироваться.
Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г.
Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее - уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации.
В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 Собрание законодательства Российской Федерации, 2012, N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе.
Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г.
Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком.
Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц.
Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей.
Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34.
Следовательно, необходимо ждать обновленные сертификаты на СрЗИ к 01. Пункт 26. Новые мероприятия по обеспечению ЗИ п. Комплекс мероприятий по планированию мер по защите информации в ГИС включает: определение лиц, ответственных за планирование и контроль мероприятий по защите информации в ГИС; определение лиц, ответственных, за выявление инцидентов и реагирование на них; разработка, утверждение и актуализация плана мероприятий по защите информации в ГИС; определение порядка контроля выполнения мероприятий по обеспечению защиты информации в ГИС, предусмотренных утвержденным планом. Для выполнения данных мероприятий оператор должен подготовить следующие организационно-распорядительные документы ОРД : перечень лиц, ответственных за планирование и контроль мероприятий по защите информации в ГИС; перечень лиц, ответственных за выявление инцидентов и реагирование на них; план мероприятий по защите информации, в котором будет указан порядок контроля выполнения мероприятий.
Для выполнения данных мероприятий оператор должен периодически актуализировать модель угроз. Комплекс мероприятий по информированию и обучению персонала ГИС включает: информирование персонала ГИС о появлении актуальных угроз безопасности информации, о правилах безопасной эксплуатации ГИС; доведение до персонала ГИС требований по защите информации, а также положений — организационно-распорядительных документов по защите информации с учетом внесенных в них изменений; обучение персонала ГИС правилам эксплуатации отдельных СрЗИ; проведение практических занятий и тренировок с персоналом ГИС по блокированию угроз безопасности информации и реагированию на инциденты; контроль осведомленности персонала ГИС об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения защиты информации. Периодичность информирования и обучения должна быть не реже 1 раза в два года.