Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020

3. Системы информационной безопасности создаются владельцами критически важных объектов информатизации и включают совокупность правовых, организационных и технических мер, направленных на обеспечение информационной безопасности критически важных объектов информатизации.

4. Система информационной безопасности должна обеспечивать:

5. Владелец критически важного объекта информатизации организует и контролирует функционирование системы информационной безопасности, определяет ее состав и структуру, функции ее участников при обеспечении информационной безопасности критически важного объекта информатизации в зависимости от количества таких объектов и (или) особенностей деятельности владельца критически важного объекта информатизации.

6. Для проведения работ по технической и криптографической защите информации, обрабатываемой на критически важном объекте информатизации, владелец такого объекта создает подразделение защиты информации или назначает уполномоченное должностное лицо (далее – подразделение защиты информации (должностное лицо). Работники такого подразделения (должностное лицо) должны иметь высшее образование в области защиты информации либо высшее, или среднее специальное, или профессионально-техническое образование и пройти переподготовку или повышение квалификации по вопросам технической и криптографической защиты информации в порядке, установленном законодательством.

7. В случае невозможности выполнения работ по технической и криптографической защите информации, обрабатываемой на критически важном объекте информатизации, силами подразделения защиты информации (должностным лицом) руководителем организации могут привлекаться организации, имеющие лицензии на осуществление деятельности по технической и (или) криптографической защите информации в части соответствующих составляющих данный вид деятельности работ и (или) услуг (далее – специализированные организации).

8. Подразделение защиты информации (должностное лицо):

Обязанности, возлагаемые на подразделение защиты информации (должностное лицо), должны быть определены в локальных правовых актах владельца критически важного объекта информатизации. Не допускается возложение на подразделение защиты информации (должностное лицо) функций, не связанных с обеспечением технической и криптографической защиты информации.

10. Владельцы критически важных объектов информатизации не реже одного раза в год обеспечивают проведение мероприятий, направленных на повышение уровня знаний работников по вопросам информационной безопасности критически важных объектов информатизации, информирование о возможных рисках и угрозах информационной безопасности критически важных объектов информатизации.

11. Представители организаций, привлекаемых владельцем критически важного объекта информатизации для выполнения работ на таких объектах, должны быть ознакомлены с требованиями локальных правовых актов по вопросам технической и криптографической защиты информации, обрабатываемой на критически важном объекте информатизации, в части, их касающейся.

12. При осуществлении технической и криптографической защиты информации, обрабатываемой на критически важных объектах информатизации, используются средства технической и криптографической защиты информации, имеющие сертификат соответствия Национальной системы подтверждения соответствия Республики Беларусь или положительное экспертное заключение по результатам государственной экспертизы, проводимой Оперативно-аналитическим центром при Президенте Республики Беларусь.

Параметры и характеристики применяемых средств защиты информации должны реализовывать технические меры по обеспечению информационной безопасности критически важного объекта информатизации.

Применяемые средства защиты информации должны быть обеспечены гарантийной и технической поддержкой со стороны изготовителей (разработчиков) этих средств. При выборе средств защиты информации должно учитываться возможное наличие ограничений со стороны изготовителей (разработчиков) или иных лиц на применение этих средств на любом из критически важных объектов информатизации, принадлежащих владельцу данных объектов.

Порядок применения средств защиты информации определяется в локальных правовых актах по вопросам технической и криптографической защиты информации, обрабатываемой на критически важном объекте информатизации.

13. В локальных правовых актах по вопросам технической и криптографической защиты информации, обрабатываемой на критически важных объектах информатизации, должны быть также определены порядок и правила функционирования системы информационной безопасности, в том числе:

Состав и виды локальных правовых актов по вопросам технической и криптографической защиты информации, обрабатываемой на критически важном объекте информатизации, определяются его владельцем с учетом особенностей его деятельности.

14. Комплекс мероприятий по технической и криптографической защите информации, обрабатываемой на критически важном объекте информатизации, включает проектирование, создание и аудит системы информационной безопасности.

15.1. определение внутренних (организационная структура, информационные системы, информационные потоки и процессы) и внешних (взаимосвязи с контрагентами и другое) границ, оказывающих влияние на обеспечение информационной безопасности критически важного объекта информатизации;

15.2. определение целей обеспечения информационной безопасности критически важного объекта информатизации, совместимых с процессами деятельности владельца критически важного объекта информатизации и прогнозными документами организации;

15.3. инвентаризация (выявление и учет), а также определение степени важности для основной деятельности владельца критически важного объекта информатизации (исходя из конфиденциальности, целостности и доступности) следующих активов критически важного объекта информатизации:

15.4. определение работников, ответственных за использование активов критически важного объекта информатизации;

15.5. определение физических и логических границ области применения системы информационной безопасности (формуляр критически важного объекта информатизации) с использованием структурной и логической схем критически важного объекта информатизации. При этом структурная схема должна содержать расположение физических устройств с номерами портов, а также физических линий связи, соединяющих физические интерфейсы технических, программно-аппаратных средств обработки информации, средств защиты информации, автоматизированных рабочих мест администратора (оператора). В логической схеме должны быть отображены информационные системы, направления потоков данных, а также спецификация используемых технологий и протоколов, списки VLAN, IP-адреса устройств;

15.6. определение угроз информационной безопасности критически важного объекта информатизации;

15.7. разработка методологии (методики) оценки рисков информационной безопасности критически важного объекта информатизации и оценка таких рисков;

15.8. определение требований к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, по обеспечению информационной безопасности критически важного объекта информатизации, блокированию (нейтрализации) угроз информационной безопасности критически важного объекта информатизации;

15.9. определение средств управления, необходимых для реализации выбранного варианта обработки рисков информационной безопасности критически важного объекта информатизации (план обработки рисков).

16. При создании системы информационной безопасности учитывается ее информационное взаимодействие с иными информационными системами, автоматизированными системами управления технологическими процессами или информационно-телекоммуникационными сетями.

17. Обеспечение информационной безопасности критически важного объекта информатизации достигается путем выполнения совокупности правовых, организационных и технических мер, направленных на блокирование (нейтрализацию) угроз информационной безопасности критически важного объекта информатизации, реализация которых может привести к прекращению или нарушению функционирования этого объекта, обеспечиваемого (управляемого, контролируемого) им процесса, нарушению конфиденциальности, целостности, доступности обрабатываемой информации.

18. Меры по обеспечению информационной безопасности критически важного объекта информатизации определяются и реализуются с учетом угроз информационной безопасности критически важного объекта информатизации на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации.

19. В ходе создания системы информационной безопасности осуществляется разработка политики информационной безопасности критически важного объекта информатизации, содержащая:

20.1. идентификация и аутентификация:

20.2. управление доступом к активам критически важного объекта информатизации:

20.3. обращение с носителями информации:

20.4. аудит информационной безопасности:

20.5. защита от вредоносного программного обеспечения:

20.6. управление процедурами резервирования:

20.7. обеспечение информационной безопасности критически важного объекта информатизации и его элементов:

20.8. управление конфигурацией:

20.9. обновление программного обеспечения:

20.10. планирование мероприятий по обеспечению информационной безопасности критически важного объекта информатизации:

20.11. реагирование на события информационной безопасности критически важного объекта информатизации и управление ими:

20.12. информирование и обучение персонала:

21. В целях постоянного мониторинга угроз безопасности критически важного объекта информатизации владелец этого объекта:

22. В целях определения соответствия системы информационной безопасности требованиям законодательства, в том числе обязательных для соблюдения требований технических нормативных правовых актов в сфере технической и криптографической защиты информации, проводится ее аудит.

Аудит системы информационной безопасности проводится владельцем критически важного объекта информатизации или специализированной организацией не позднее чем через год после завершения мероприятий по созданию системы информационной безопасности и далее ежегодно.

23. Аудит системы информационной безопасности включает следующие этапы:

24. Акт аудита системы информационной безопасности утверждается: