Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020

Страна: Беларусь

Положение о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено

О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449

Для проведения оценки соответствия по документу войдите в систему.

Для оценки соответствия
- авторизуйтесь

Планируемый уровень

Текущий уровень

Группы областей

86 %

Входящая логистика

84 %

Создание продукта

42 %

Исходящая логистика

85 %

Маркетинг, продажа

89 %

Обслуживание клиента

76 %

Инфраструктура

56 %

HR-менеджмент

90 %

Технологии

78 %

Закупки / Снабжение

85 %

Опыт клиента

Список требований

1. В настоящем Положении в соответствии с абзацем третьим подпункта 6.4 пункта 6 Положения о технической и криптографической защите информации, утвержденного Указом Президента Республики Беларусь от 16 апреля 2013 г. № 196, определяется порядок аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам (далее – информационная система).
Настоящее Положение может не применяться операторами электросвязи – собственниками (владельцами) информационных систем, обеспечивающих управление технологическими процессами и предназначенных только для передачи персональных данных по технологическим сетям электросвязи, в отношении таких информационных систем. Для целей применения настоящей части операторы электросвязи согласовывают с Оперативно-аналитическим центром при Президенте Республики Беларусь (далее – ОАЦ) перечни указанных информационных систем, к которым должны прилагаться структурная и логическая схемы каждой информационной системы, включенной в перечень.
2. Для целей настоящего Положения термины используются в значениях, определенных в Положении о технической и криптографической защите информации, Законе Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации», Законе Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных», а также следующие термины и их определения:
- аттестат соответствия системы защиты информации информационной системы требованиям по защите информации (далее – аттестат соответствия) – документ установленной формы, подтверждающий соответствие системы защиты информации требованиям законодательства об информации, информатизации и защите информации;
- аттестация системы защиты информации (далее – аттестация) – комплекс организационно-технических мероприятий, в результате которых документально подтверждается соответствие системы защиты информации требованиям законодательства об информации, информатизации и защите информации.
3. Аттестация проводится организациями, имеющими лицензии на осуществление деятельности по технической и (или) криптографической защите информации в части соответствующих составляющих данный вид деятельности работ (далее – специализированные организации).
Собственники (владельцы) информационных систем вправе самостоятельно проводить аттестацию.
4. При проведении аттестации собственником (владельцем) информационной системы самостоятельно работы по аттестации выполняются комиссией, назначенной решением (приказом, иным документом) руководителя собственника (владельца) информационной системы. Физические лица, являющиеся собственниками информационных систем, в которых обрабатываются персональные данные, вправе выполнять работы по аттестации единолично.
Аттестация специализированными организациями проводится на основании сведений, содержащихся:
в акте отнесения информационной системы к классу (классам) типовых информационных систем;
в политике информационной безопасности;
в структурной и логической схемах информационной системы;
в техническом задании на создание информационной системы или системы защиты информации*;
в локальных правовых актах и других организационно-распорядительных документах по вопросам применения системы защиты информации;
в сертификатах соответствия либо экспертных заключениях на средства защиты информации.
При проведении аттестации специализированной организацией привлекаются представители собственника (владельца) информационной системы из состава подразделения защиты информации или иного подразделения (должностное лицо), ответственного (ответственное) за обеспечение защиты информации.
* Техническое задание на создание информационной системы представляется в случае закрепления в нем требований по защите информации.
5. Аттестация проводится:
при создании системы защиты информации;
в случае истечения срока действия аттестата соответствия;
в случае изменения технологии обработки защищаемой информации и (или) технических мер, реализованных при создании системы защиты информации.
Дополнительные основания для проведения аттестации (помимо случаев, определенных в части первой настоящего пункта) могут предусматриваться собственником (владельцем) информационной системы.
6. Аттестация создаваемой системы защиты информации осуществляется до ввода информационной системы в эксплуатацию.
7. Наличие аттестата соответствия является обязательным условием для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам, в течение установленного в нем срока.
8. Аттестация предусматривает комплексную оценку системы защиты информации в реальных условиях эксплуатации информационной системы и включает:
разработку программы и методики аттестации;
проверку правильности отнесения информационной системы к классу (классам) типовых информационных систем;
установление соответствия фактического состава активов информационной системы структурной и логической схемам информационной системы;
проверку достаточности реализованных в системе защиты информации мер по защите информации, в том числе:
анализ локальных правовых актов и других организационно-распорядительных документов по вопросам применения системы защиты информации на предмет их соответствия требованиям законодательства об информации, информатизации и защите информации;
проведение испытаний системы защиты информации на предмет выполнения установленных законодательством требований по защите информации;
внешнюю и внутреннюю проверку отсутствия либо невозможности использования нарушителем свойств активов информационной системы, средств защиты информации, которые могут быть случайно инициированы (активированы) или умышленно использованы для нарушения безопасности системы и сведения о которых подтверждены изготовителями (разработчиками) этих активов информационной системы, средств защиты информации;
оценку эффективности защищенности информационной системы классов «3-бг» и (или) «3-дсп» (тестирование на проникновение);
оформление технического отчета и протокола испытаний;
оформление аттестата соответствия.
Допускается выполнение мероприятий по аттестации на выделенном наборе сегментов информационной системы, обеспечивающих полную реализацию технологии обработки защищаемой информации.
При аттестации информационных систем классов «3-ин», «3-спец», «3-бг», «3-юл» и «3-дсп» мероприятия, предусмотренные в абзацах восьмом и девятом части первой настоящего пункта, проводятся с использованием средств оценки эффективности защищенности (средств тестирования на проникновение) (сетевой сканер, сканер уязвимостей, сканер уязвимостей веб-приложений).
Мероприятия, предусмотренные в абзацах втором–десятом части первой настоящего пункта, могут не проводиться при соблюдении в совокупности следующих условий:
аттестация системы защиты информации информационной системы, создаваемой на базе информационной системы специализированной организации, проводится этой специализированной организацией;
в системе защиты информации информационной системы специализированной организации, аттестованной в установленном порядке, реализованы требования по защите информации аттестуемой системы защиты информации.
9. Программа и методика аттестации разрабатываются на основании сведений, указанных в части второй пункта 4 настоящего Положения, и должны содержать перечень выполняемых работ с указанием ответственных лиц, сроков выполнения этих работ, описанием используемых методов проверки требований, реализованных в системе защиты информации, перечень используемых контрольных средств.
Программа и методика аттестации разрабатываются:
- комиссией, назначенной решением (приказом, иным документом) руководителя собственника (владельца) информационной системы, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно. Физические лица, являющиеся собственниками информационных систем, в которых обрабатываются персональные данные, вправе разработать программу и методику аттестации единолично;
- специализированной организацией – при проведении аттестации такой организацией. В данном случае специализированная организация согласовывает разработанные программу и методику аттестации с собственником (владельцем) информационной системы.
10. Протокол испытаний должен содержать подробное описание проведенных мероприятий, в том числе с применением графических изображений, позволяющее сформировать вывод о полноте выполнения мероприятий, предусмотренных в части первой пункта 8 настоящего Положения.
11. Технический отчет должен содержать:
- требования к системе защиты информации согласно приложению 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утвержденному приказом, утверждающим настоящее Положение, с описанием компенсирующих мер (в случае согласования таких мер с ОАЦ);
- сведения об организации информационного взаимодействия с иными информационными системами, если предполагается такое взаимодействие;
- сведения о выполнении требований безопасности средств криптографической защиты информации, которые должны соблюдаться при их эксплуатации в соответствии с выбранным уровнем безопасности;
- требования из числа реализованных в аттестованной в установленном порядке системе защиты информации информационной системы другого собственника (владельца), если функционирование информационной системы, система защиты информации которой проходит аттестацию, предполагается на базе информационной системы другого собственника (владельца) в соответствии с пунктом 15 Положения о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утвержденного приказом, утверждающим настоящее Положение;
- список лиц, проводивших испытания, и сроки проведения;
- отчет о внешней и внутренней проверке отсутствия либо невозможности использования нарушителем свойств активов информационной системы, средств защиты информации, которые могут быть случайно инициированы (активированы) или умышленно использованы для нарушения безопасности системы и сведения о которых подтверждены изготовителями (разработчиками) этих активов информационной системы, средств защиты информации;
- отчет об оценке эффективности защищенности информационной системы классов «3-бг» и (или) «3-дсп» (тестировании на проникновение);
- выводы о соответствии (несоответствии) фактического состава активов информационной системы структурной и логической схемам информационной системы, выполнении (невыполнении) установленных законодательством требований по защите информации.
12. Срок проведения аттестации:
определяется руководителем собственника (владельца) информационной системы, физическим лицом, являющимся собственником информационной системы, в которой обрабатываются персональные данные, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно;
не может превышать 180 календарных дней – при проведении аттестации специализированной организацией. В случае выявления в процессе проведения аттестации недостатков специализированная организация не позднее чем за 35 календарных дней до истечения срока проведения аттестации направляет собственнику (владельцу) информационной системы соответствующее уведомление. Собственник (владелец) информационной системы должен устранить недостатки, выявленные указанной организацией, в течение 30 календарных дней со дня получения уведомления. При невозможности устранения собственником (владельцем) информационной системы выявленных недостатков в указанный срок специализированная организация отказывает в выдаче аттестата соответствия. После устранения недостатков собственник (владелец) информационной системы вправе повторно обратиться за проведением аттестации в порядке, установленном настоящим Положением.
13. При подтверждении соответствия системы защиты информации требованиям законодательства об информации, информатизации и защите информации оформляется аттестат соответствия по форме согласно приложению, который подписывается:
руководителем собственника (владельца) информационной системы, физическим лицом, являющимся собственником информационной системы, в которой обрабатываются персональные данные, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно;
руководителем специализированной организации – при проведении аттестации специализированной организацией.
Аттестат соответствия оформляется сроком на пять лет.
Приложение к Положению о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено (в редакции приказа Оперативно-аналитического центра при Президенте Республики Беларусь 10.12.2024 № 259)

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.