Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020

Страна: Беларусь

Положение о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено

О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449

Для проведения оценки соответствия по документу войдите в систему.

Для оценки соответствия
- авторизуйтесь

Планируемый уровень

Текущий уровень

Группы областей

45 %

Входящая логистика

70 %

Создание продукта

77 %

Исходящая логистика

83 %

Маркетинг, продажа

60 %

Обслуживание клиента

55 %

Инфраструктура

81 %

HR-менеджмент

57 %

Технологии

92 %

Закупки / Снабжение

57 %

Опыт клиента

Список требований

ГЛАВА 1. ОБЩИЕ ПОЛОЖЕНИЯ
1. В настоящем Положении в соответствии с абзацем вторым подпункта 6.4 пункта 6 Положения о технической и криптографической защите информации, утвержденного Указом Президента Республики Беларусь от 16 апреля 2013 г. № 196, определяется порядок технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам.
Настоящее Положение может не применяться:
- собственниками (владельцами) информационных систем, в которых обрабатываются только общедоступные персональные данные и (или) персональные данные, полученные после применения методов обезличивания, – в отношении таких информационных систем;
- операторами электросвязи – собственниками (владельцами) информационных систем, обеспечивающих управление технологическими процессами и предназначенных только для передачи персональных данных по технологическим сетям электросвязи, – в отношении таких информационных систем. Для целей применения настоящего абзаца операторы электросвязи согласовывают с Оперативно-аналитическим центром при Президенте Республики Беларусь (далее – ОАЦ) перечни указанных информационных систем, к которым должны прилагаться структурная и логическая схемы каждой информационной системы, включенной в перечень.
2. Для целей настоящего Положения термины используются в значениях, определенных в Положении о технической и криптографической защите информации, Законе Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации», Законе Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных», а также следующие термины и их определения:
- активы информационной системы – средства вычислительной техники, телекоммуникационное оборудование, системное и прикладное программное обеспечение, информационные ресурсы, входящие в состав информационной системы;
- защищенный канал передачи данных – установленный между средствами криптографической защиты информации отправителя и получателя информации канал передачи данных, в котором конфиденциальность и контроль целостности передаваемой информации обеспечиваются криптографическими методами защиты информации;
- компрометация криптографического ключа – событие, в результате которого криптографический ключ или его часть становятся известными лицам, не имеющим прав доступа к данному ключу.
3. Работы по технической и криптографической защите информации включают:
- аттестацию системы защиты информации в соответствии с Положением о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утвержденным приказом, утверждающим настоящее Положение;
- обеспечение функционирования системы защиты информации в процессе эксплуатации информационной системы;
- обеспечение защиты информации в случае прекращения эксплуатации информационной системы.
4. Работы по проектированию, созданию и (или) аттестации систем защиты информации у собственника (владельца) информационной системы могут выполняться:
подразделением защиты информации или иным подразделением (должностным лицом), ответственным за обеспечение защиты информации. Работники такого подразделения (должностное лицо) должны иметь высшее образование в области защиты информации либо высшее, или среднее специальное, или профессионально-техническое образование и пройти переподготовку или повышение квалификации по вопросам технической и криптографической защиты информации в порядке, установленном законодательством;
организациями, имеющими лицензии на осуществление деятельности по технической и (или) криптографической защите информации в части соответствующих составляющих данный вид деятельности работ и (или) услуг (далее – специализированные организации).
Физические лица, являющиеся собственниками информационных систем, в которых обрабатываются персональные данные, вправе выполнять работы по проектированию и (или) созданию систем защиты информации этих информационных систем самостоятельно (без создания (назначения) подразделения защиты информации или иного подразделения (должностного лица), ответственного за обеспечение защиты информации) либо с привлечением специализированной организации.
5. Допускается применение единой системы защиты информации для нескольких информационных систем, принадлежащих одному собственнику (владельцу).
6. Перечень работ по технической и криптографической защите информации может предусматриваться в техническом задании на создание информационной системы.
7. При выполнении специализированными организациями работ по проектированию и (или) созданию систем защиты информации информационное взаимодействие между информационными системами должно осуществляться с использованием защищенных каналов передачи данных.
8. До проведения работ по проектированию системы защиты информации собственник (владелец) информационной системы в соответствии с законодательством об информации, информатизации и защите информации определяет вид информации, которая будет обрабатываться в информационной системе, и осуществляет отнесение информационной системы к классу (классам) типовых информационных систем согласно приложению 1.
Об отнесении информационной системы к классу (классам) типовых информационных систем составляется акт по форме согласно приложению 2. Физические лица, являющиеся собственниками информационных систем, в которых обрабатываются персональные данные, составляют акт отнесения информационной системы к классу (классам) типовых информационных систем в произвольной форме.
ГЛАВА 2. ПРОЕКТИРОВАНИЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
9. На этапе проектирования системы защиты информации осуществляются:
разработка (корректировка) политики информационной безопасности. При этом физические лица, являющиеся собственниками информационных систем, в которых обрабатываются персональные данные, за исключением индивидуальных предпринимателей и физических лиц, осуществляющих деятельность по оказанию услуг в сфере агроэкотуризма, вправе не разрабатывать политику информационной безопасности;
разработка структурной и логической схем информационной системы;
разработка технического задания на создание системы защиты информации (далее – техническое задание);
разработка проектов локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации.
На этапе проектирования системы защиты информации документы, указанные в абзацах втором–четвертом части первой настоящего пункта, утверждаются собственником (владельцем) информационной системы.
10. Политика информационной безопасности:
должна содержать цели и принципы защиты информации, обязательства собственника (владельца) информационной системы соответствовать требованиям по защите информации, постоянно совершенствовать систему защиты информации;
по решению собственника (владельца) информационной системы может содержать иную информацию, отражающую общие намерения по обеспечению конфиденциальности, целостности, подлинности, доступности и сохранности информации, обрабатываемой в информационной системе;
должна быть доведена до сведения работников собственника (владельца) информационной системы в части, их касающейся, быть доступной всем заинтересованным субъектам информационных отношений для ознакомления.
При наличии у одного собственника (владельца) нескольких информационных систем разрабатывается и утверждается единая политика информационной безопасности.
11. Структурная и логическая схемы информационной системы разрабатываются на основе анализа структуры информационной системы и информационных потоков (внутренних и внешних), состава, количества и мест размещения активов информационной системы, ее физических и логических границ.
Структурная схема информационной системы отражает особенности функционирования информационной системы на физическом и канальном уровнях и должна содержать:
наименование информационной системы;
места размещения физических устройств, относящихся к активам информационной системы, средств защиты информации с указанием названия устройства согласно его системному имени (серийный номер – для неуправляемого устройства), названий физических интерфейсов устройства;
физические линии связи с указанием их типа (витая пара, волоконно-оптический кабель и др.), идентификаторы виртуальных локальных вычислительных сетей (VLAN ID);
физические границы информационной системы.
К структурной схеме информационной системы должны прилагаться:
сведения о назначении линий связи (передача данных или управление активами информационной системы, средствами защиты информации);
перечень виртуальных локальных вычислительных сетей (VLAN) с указанием их идентификаторов (VLAN ID), названий виртуальных локальных вычислительных сетей (VLAN Name), IP-адресации, используемой в виртуальных локальных вычислительных сетях (VLAN);
перечень телекоммуникационного оборудования с указанием производителя оборудования, его модели, системного имени (серийного номера для неуправляемого устройства), IP-адреса управления устройством, места размещения (помещение, номер стойки, место в стойке и др.).
Логическая схема информационной системы отражает особенности функционирования информационной системы на сетевом и последующих уровнях и должна содержать:
наименование информационной системы;
направления информационных потоков (внутренних и внешних). Для информационных систем классов «3-ин», «3-спец», «3-бг», «3-дсп» и «3-юл» допускается взаимодействие с любыми информационными системами;
логические границы информационной системы.
К логической схеме информационной системы должны прилагаться сведения:
об информационных ресурсах, входящих в состав информационной системы, с указанием IP-адресов и названий физических серверов, виртуальных машин, контейнеров, обеспечивающих их функционирование;
о средствах защиты информации с указанием IP-адресов их администрирования;
об открытых портах транспортного уровня с указанием соответствующих им IP-адресов технологий и (или) протоколов.
Сведения, указанные в частях второй–пятой настоящего пункта, отражаются на структурной и логической схемах информационной системы и в приложениях к ним при наличии таких сведений.
В структурной и логической схемах информационной системы допускается объединение однотипных физических устройств, виртуальных машин, относящихся к активам информационной системы, средствам защиты информации, в единый элемент при условии наличия соответствующих обозначений, отражающих наполнение данного элемента.
Структурная и логическая схемы информационной системы и прилагаемые к ним документы составляются в произвольной форме с учетом особенностей функционирования информационной системы и должны обеспечивать читаемость содержащихся в них сведений.
12. Техническое задание разрабатывается собственником (владельцем) информационной системы либо специализированной организацией и утверждается собственником (владельцем) информационной системы.
Техническое задание должно содержать:
- порядок обезличивания персональных данных, если предполагается обезличивание персональных данных. Допустимые методы обезличивания определены согласно приложению 4;
- требования из числа реализованных в аттестованной в установленном порядке системе защиты информации информационной системы другого собственника (владельца), если функционирование информационной системы, для которой осуществляется проектирование системы защиты информации, предполагается на базе информационной системы другого собственника (владельца) в соответствии с пунктом 15 настоящего Положения;
- требования к средствам криптографической защиты информации на основе перечня государственных стандартов, взаимосвязанных с техническим регламентом Республики Беларусь «Информационные технологии. Средства защиты информации. Информационная безопасность» (ТР 2013/027/BY), утвержденным постановлением Совета Министров Республики Беларусь от 15 мая 2013 г. № 375.
Собственник (владелец) информационной системы вправе не включать в техническое задание отдельные обязательные требования к системе защиты информации по перечню согласно приложению 3 при отсутствии в информационной системе соответствующего актива (технологии) либо при условии согласования с ОАЦ закрепления в таком техническом задании обоснованных компенсирующих мер.
13. В локальных правовых актах и других организационно-распорядительных документах по вопросам применения системы защиты информации с учетом требований, определенных в техническом задании, должны быть регламентированы права и обязанности пользователей информационной системы, а также порядок применения системы защиты информации, в том числе порядок реализации мероприятий по:
выявлению угроз, которые могут привести к сбоям, нарушению функционирования информационной системы, реагированию на соответствующие события и ликвидации их последствий;
применению технологии электронной цифровой подписи (особенности выработки и проверки электронной цифровой подписи, обращения с личными ключами электронной цифровой подписи).
Формы документов, указанных в части первой настоящего пункта, определяются собственником (владельцем) информационной системы с учетом особенностей его деятельности.
Не допускается определение порядка применения системы защиты информации в локальных правовых актах организации по иным вопросам ее деятельности. При необходимости такие акты могут содержать отсылки к локальным правовым актам, указанным в части первой настоящего пункта.
Собственник (владелец) информационной системы обязан утвердить (в произвольной форме) и поддерживать в актуальном состоянии перечень локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации.
Локальные правовые акты и другие организационно-распорядительные документы по вопросам применения системы защиты информации должны быть доведены до сведения работников собственника (владельца) информационной системы в части, их касающейся.
14. При выборе мер по защите информации и регламентации порядка их реализации, а также при выборе компенсирующих мер собственник (владелец) информационной системы должен руководствоваться целями защиты информации, определенными в законодательных актах и политике информационной безопасности.
15. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационной системы другого собственника (владельца), имеющей аттестованную систему защиты информации, может быть предусмотрено применение требований, реализованных в системе защиты информации информационной системы этого собственника (владельца). Такие требования применяются согласно договору на оказание соответствующих услуг.
ГЛАВА 3. СОЗДАНИЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
16. На этапе создания системы защиты информации осуществляется реализация мер по технической и криптографической защите информации, в том числе:
внедрение средств защиты информации, проверка их работоспособности и совместимости с активами информационной системы;
корректировка (при необходимости) разработанных на этапе проектирования системы защиты информации структурной и логической схем информационной системы;
корректировка (при необходимости) разработанных на этапе проектирования системы защиты информации проектов локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации и их утверждение.
17. В ходе внедрения средств технической и криптографической защиты информации осуществляются:
их монтаж и наладка в соответствии с проектами локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации, рекомендациями изготовителей, ограничениями, установленными в сертификатах соответствия, требованиями по совместимости средств криптографической защиты информации;
проверка корректности выполнения такими средствами требований по защите информации в реальных условиях эксплуатации и во взаимодействии с активами информационной системы. В рамках такой проверки допускается обработка только общедоступной информации;
маркировка всех физических линий связи согласно структурной схеме информационной системы.
18. При корректировке разработанных на этапе проектирования системы защиты информации проектов локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации учитываются результаты внедрения средств технической и криптографической защиты информации, проверки их работоспособности и совместимости с активами информационной системы.
ГЛАВА 4. ОСОБЕННОСТИ ЭКСПЛУАТАЦИИ ИНФОРМАЦИОННОЙ СИСТЕМЫ С ПРИМЕНЕНИЕМ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
19. В процессе эксплуатации информационной системы с применением аттестованной в установленном порядке системы защиты информации подразделение защиты информации или иное подразделение (должностное лицо), ответственное за обеспечение защиты информации:
реализует регламентированные в локальных правовых актах и других организационно-распорядительных документах по вопросам применения системы защиты информации меры по защите информации;
реализует мероприятия по выявлению угроз, которые могут привести к сбоям, нарушению функционирования информационной системы, реагированию на соответствующие события и ликвидации их последствий;
при выявлении событий, которые фактически угрожают конфиденциальности, целостности, подлинности, доступности и сохранности информации или представляют собой нарушение политики информационной безопасности, проводит на внеплановой основе мероприятия, предусмотренные в абзаце десятом настоящей части;
осуществляет контроль за соблюдением у собственника (владельца) информационной системы требований, установленных законодательством, локальными правовыми актами и другими организационно-распорядительными документами по вопросам применения системы защиты информации;
принимает меры, направленные на совершенствование системы защиты информации;
при заключении и исполнении собственником (владельцем) информационной системы договоров с юридическими и физическими лицами по вопросам обеспечения функционирования, модернизации информационной системы участвует в проведении наладочных работ и сервисного (технического) обслуживания активов информационной системы, средств защиты информации;
на регулярной основе, но не реже одного раза в год со дня аттестации системы защиты информации проводит:
инструктажи, иные мероприятия, направленные на повышение уровня знаний и навыков работников собственника (владельца) информационной системы по вопросам применения системы защиты информации в части, их касающейся;
анализ эффективности применения системы защиты информации, включая пересмотр применяемых мер по защите информации на предмет их актуальности и необходимости внесения изменений в систему защиты информации.
Результаты проведения мероприятий, предусмотренных в абзаце десятом части первой настоящего пункта, должны быть отражены в документе произвольной формы, который подлежит утверждению руководителем организации – собственника (владельца) информационной системы.
20. В случае невозможности устранения выявленных в процессе эксплуатации информационной системы нарушений ее функционирования в течение пяти рабочих дней с момента выявления таких нарушений собственник (владелец) информационной системы обязан прекратить обработку информации, распространение и (или) предоставление которой ограничено, о чем письменно проинформировать ОАЦ.
В случае компрометации криптографических ключей средств криптографической защиты информации собственник (владелец) информационной системы обязан незамедлительно прекратить использование данных средств для обработки информации.
21. При получении собственником (владельцем) информационной системы от физического лица его персональных данных, предоставленных этим физическим лицом без использования средств криптографической защиты информации, предоставление в последующем этих персональных данных тем же собственником (владельцем) информационной системы названному физическому лицу может осуществляться без использования средств криптографической защиты информации.
22. При наличии нескольких введенных в эксплуатацию информационных систем собственник (владелец) этих информационных систем обязан утвердить и поддерживать в актуальном состоянии перечень таких систем с указанием в нем присвоенных этим системам соответствующих классов типовых информационных систем.
23. Модернизация действующих систем защиты информации осуществляется в порядке, установленном настоящим Положением для проектирования и создания таких систем.
24. В случае прекращения эксплуатации информационной системы собственник (владелец) информационной системы в соответствии с локальными правовыми актами и другими организационно-распорядительными документами по вопросам применения системы защиты информации принимает меры по:
защите информации, которая обрабатывалась в информационной системе;
резервному копированию информации и криптографических ключей (при необходимости), обеспечению их конфиденциальности и целостности;
уничтожению (удалению) информации и криптографических ключей с машинных носителей информации и (или) уничтожению таких носителей информации.
Приложение 1 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено (в редакции приказа Оперативно-аналитического центра при Президенте Республики Беларусь 10.12.2024 № 259)
КЛАССЫ типовых информационных систем

Класс 4-ин – информационные системы, в которых обрабатываются персональные данные, за исключением специальных персональных данных, и которые не имеют подключений к сетям электросвязи общего пользования (открытым каналам передачи данных) (далее – открытые каналы передачи данных).
Класс 4-спец – информационные системы, в которых обрабатываются специальные персональные данные, за исключением биометрических и генетических персональных данных, и которые не имеют подключений к открытым каналам передачи данных.
Класс 4-бг – информационные системы, в которых обрабатываются биометрические и генетические персональные данные и которые не имеют подключений к открытым каналам передачи данных.
Класс 4-юл – информационные системы, в которых обрабатывается информация, составляющая коммерческую и иную охраняемую законом тайну юридического лица, распространение и (или) предоставление которой ограничено (за исключением сведений, составляющих государственные секреты, и служебной информации ограниченного распространения), и которые не имеют подключений к открытым каналам передачи данных.
Класс 4-дсп – информационные системы, в которых обрабатывается служебная информация ограниченного распространения и которые не имеют подключений к открытым каналам передачи данных.
Класс 3-ин – информационные системы, в которых обрабатываются персональные данные, за исключением специальных персональных данных, и которые подключены к открытым каналам передачи данных.
Класс 3-спец – информационные системы, в которых обрабатываются специальные персональные данные, за исключением биометрических и генетических персональных данных, и которые подключены к открытым каналам передачи данных.
Класс 3-бг – информационные системы, в которых обрабатываются биометрические и генетические персональные данные и которые подключены к открытым каналам передачи данных.
Класс 3-юл – информационные системы, в которых обрабатывается информация, составляющая коммерческую и иную охраняемую законом тайну юридического лица, распространение и (или) предоставление которой ограничено (за исключением сведений, составляющих государственные секреты, и служебной информации ограниченного распространения), и которые подключены к открытым каналам передачи данных.
Класс 3-дсп – информационные системы, в которых обрабатывается служебная информация ограниченного распространения и которые подключены к открытым каналам передачи данных.
Приложение 2 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено (в редакции приказа Оперативно-аналитического центра при Президенте Республики Беларусь 10.12.2024 № 259)
Приложение 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено (в редакции приказа Оперативно-аналитического центра
при Президенте Республики Беларусь 10.12.2024 № 259)*

*Приложение вынесено как отдельный документ и доступно по ссылке.
Приложение 4 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено (в редакции приказа Оперативно-аналитического центра при Президенте Республики Беларусь 10.12.2024 № 259)
МЕТОДЫ обезличивания персональных данных

Для обезличивания персональных данных используются следующие методы:
введение идентификаторов;
изменение состава;
декомпозиция;
перестановка.
Метод введения идентификаторов реализуется путем замены персональных данных или части персональных данных, позволяющих идентифицировать субъекта персональных данных, их идентификаторами и создания таблицы соответствия с последующим раздельным хранением идентификаторов и таблиц.
Метод изменения состава реализуется путем обобщения, изменения или удаления части сведений, позволяющих идентифицировать субъекта персональных данных, с последующим раздельным хранением полученных персональных данных и правил изменения.
Метод декомпозиции реализуется путем разбиения множества записей персональных данных на несколько подмножеств и создания таблиц, устанавливающих связи между подмножествами, с последующим раздельным хранением подмножеств и таблиц.
Для реализации метода декомпозиции необходимо предварительно разработать правила разбиения множества записей на подмножества, правила установления соответствия между записями в различных таблицах и правила внесения изменений в подмножества и таблицы.
Метод перестановки реализуется путем взаимного перемещения отдельных записей и (или) групп записей с последующим раздельным хранением полученных персональных данных и правил изменения.

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.