Приказ фстэк 025 от 20 10 2016

Содержание

Приказ фстэк 025 от 20 10 2016 читать

В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации.

Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний.

При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям.

Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации.

Приказ фстэк 025 от 20 10 2016 читать
Смотрите еще:
Приказ фстэк 025 от 20 10 2016 читать онлайн
Приказ фстэк 025 от 20 10 2016 читать бесплатно
Административные регламенты, утвержденные ФСТЭК России

ДАННОЕ СОГЛАСИЕ ЗАЩИЩАЕТ ВАШИ ДАННЫЕ, КОТОРЫЕ ВЫ УЖЕ ПРЕДОСТАВИЛИ НАМ ПРИ ПОСТУПЛЕНИИ РЕБЕНКА В МОУ СОШ № 51

С нормативно-правовыми и локальными актами и формами согласия можно ознакомиться у директора школы и на сайте ОУ.

Список действующих нормативных документов в области защиты ПДн:

Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных»

Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 года №55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных»

kom-sh51.ru

Смотрите еще:

Закон мурманской области о мерах социальной поддержки инвалидов Закон Мурманской области от 29 декабря 2004 г.

Таким образом, в настоящее время проблема защиты персональных данных является очень актуальной.

Приказ фстэк 025 от 20 10 2016 читать онлайн

N 569 «О внесении изменений в Положение о Федеральной службе по техническому и экспортному контролю, утвержденное Указом Президента Российской Федерации от 16 августа 2004 г.

N 1085» (Собрание законодательства Российской Федерации, 2017, N 48, ст. 7198) приказываю:

Внести в Регламент Федеральной службы по техническому и экспортному контролю, утвержденный приказом ФСТЭК России от 12 мая 2005 г. N 167 (зарегистрирован Министерством юстиции Российской Федерации 6 июня 2005 г., регистрационный N 6682) (в редакции приказов ФСТЭК России от 1 февраля 2007 г.

N 16 «О внесении изменений в Регламент Федеральной службы по техническому и экспортному контролю, утвержденный приказом ФСТЭК России от 12 мая 2005 г.

Приказ фстэк 025 от 20 10 2016 читать бесплатно

б) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;

в) возможные способы (сценарии) реализации угрозы безопасности информации;

г) возможные последствия от угрозы безопасности информации.

Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации.

Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.

14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению.

Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта.

По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены.

Действие закона распространяется не только на бумажные носители, но и на электронные средства: автоматизированные информационные системы, электронные базы данных.

Для соблюдения требований закона «О персональных данных» (ПДн) ОУ должно получить от сотрудников и родителей (законных представителей) каждого ученика СОГЛАСИЕ НА ОБРАБОТКУ ПДн (на основании статьи 6, п. 1 ФЗ № 152- «О персональных данных).

МОУСОШ № 51 обрабатывает и защищает сведения о сотрудниках, учащихся и их родителях (законных представителях) на правовом основании. Правовое основание обработки персональных данных:

Источник: https://ohrana-nasledie.ru/prikaz-fstek-025-ot-20-10-2016-chitat

Приказ фстэк 025 от 20 10 2016

По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам.

4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне.

Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 (Собрание законодательства Российской Федерации, 2012, № 45, ст.

ФСТЭК России от 24 апреля 2013 г.N 50″ (Зарегистрировано в Минюсте России 24.05.2019 N 46808) «Об

Новости

N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2019 г.

Приказ фстэк 025 от 20 10 2016 г 025

Анализ уязвимостей значимого объекта проводится до ввода его в действие на этапах, определяемых субъектом критической информационной инфраструктуры.

В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей.

По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта.

12.7.

Приказ фстэк 025 от 20 10 2016 года

Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов

7.
Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла.

N 245 «О внесении изменений в Регламент Федеральной службы по техническому и экспортному контролю, утвержденный приказом ФСТЭК России от 12 мая 2005 г.

Особенности защиты

12.Требование к ВП, размещение их в КЗ, системы электропитания, связи с сетями общего пользования (интернет), прокладка и размещение коммуникаций для ОТСС и ВТСС в ВП.

13.Специальные ОИ (цифровые сети, множительная техника, телефония, средства звукоусиления и конференцсвязь, средства измерения, средства магнитозаписи, ТВ и видеосистемы).

14.Отдельные специфические требования к перечисленным типам ОИ

15.Истолкование и рекомендации по отдельным требованиям НМД (по всем разделам)

16.Оформление документов (по Приложениям).

Обязательно предъявление справки о допуске к ГТ и предписания.

По итогам выдается сертификат.

Не является курсом повышения квалификации.

Тестирование должно быть направлено на:

обеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;

практическую отработку выполнения средствами защиты информации функций безопасности;

исключение влияния подсистемы безопасности на функционирование значимого объекта.

Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации.

При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г.

Состав и формы документов определяются субъектом критической информационной инфраструктуры.

9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов.

Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов.

Установление требований к обеспечению безопасности значимого объекта

10.

При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований.

Приложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 26 декабря 2017 г. № 239

Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости

Обозначение и номер меры Меры обеспечения безопасности значимого объекта Категория значимости 3 2 1 I.

6.Категорирование и классификация ОИ (объектов ЭВТ).

7.Перечень ТКУИ в отношении ОВТ.

8.Требование к составу ТС ОВТ, размещению в КЗ, электропитание, связи с сетями общего пользования (интернет), прокладка и размещение коммуникаций,

9.Категорирование и классификация ОИ (ВП).

10.Требования по НСД к ОИ типа АС.

11.Перечень ТКУИ в отношении ВП.

Утвердить прилагаемый Административный регламент Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по осуществлению (в пределах своей компетенции) нетарифного регулирования внешнеторговой деятельности, в том числе выдаче лицензий на осуществление операций по экспорту и (или) импорту товаров (работ, услуг), информации, результатов интеллектуальной деятельности (прав на них) в случаях, предусмотренных законодательством Российской Федерации.

а) определение базового набора мер по обеспечению безопасности значимого объекта;

б) адаптацию базового набора мер по обеспечению безопасности значимого объекта;

в) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации.

Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям.

Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта.

Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения.

При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления.

Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта.

14.3.

а) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);

б) проектирование подсистемы безопасности значимого объекта;

в) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности).

Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта.

При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями.

11.1.

В соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (Собрание законодательства Российской Федерации, 2017, № 31, ст. 4736) приказываю:

Утвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации.

Директор Федеральной службы по техническому и экспортному контролю В. Селин

Зарегистрировано в Минюсте РФ 26 марта 2018 г.

Регистрационный № 50524

УТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г.
№ 239

I. Общие положения

12.5.

Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности.

12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации.

Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры.

В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации.

Испытания (приемка) средств защиты информации проводятся отдельно или в составе значимого объекта критической информационной инфраструктуры в соответствии с программой и методиками испытаний (приемки), утверждаемыми субъектом критической информационной инфраструктуры.

29.

Обеспечение действий в нештатных ситуациях (ДНС) ДНС.0 Разработка политики обеспечения действий в нештатных ситуациях + + + ДНС.1 Разработка плана действий в нештатных ситуациях + + + ДНС.2 Обучение и отработка действий персонала в нештатных ситуациях + + + ДНС.

3 Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций + + ДНС .4 Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных ситуаций + + ДНС.

5 Обеспечение возможности восстановления информационной (автоматизированной) системы в случае возникновения нештатных ситуаций + + + ДНС.5 Анализ возникших нештатных ситуаций и принятие мер по недопущению их повторного возникновения XVII.

Важно ООО «АИнБ» осуществляет выдачу сертификатов ключей проверки электронной подписи для всех существующих в РФ областей применения электронной подписи. Тел.: 99-22-51, доб. 107, 115 E-mail: [email protected]

ООО «АИнБ» получена лицензия ФСБ России №16124М от 28.07.2017 г.

на проведение работ по выявлению в технических средствах электронных устройств негласного получения информации (проведение специальных проверок технических средств).

Источник: https://59agmr.top/prikaz-fstek-025-ot-20-10-2016

Техническая защита информации по требованиям ФСТЭК, меры по информационной безопасности ФСТЭК

Приказ фстэк 025 от 20 10 2016

ГК «Интегрус» помогает реализовать требования защиты информации ФСТЭК с учетом последних реальных моделей угроз.

Сегодня информация является ценнейшим товаром, а множество массивов данных охраняются на законодательном уровне.

На рынке информационной безопасности представлено большое количество программных и аппаратно-программных средств защиты данных (СЗИ) – отечественного и зарубежного производства.

Вопросы в области технической защиты информации в России регулирует Федеральная служба по техническому и экспортному контролю (ФСТЭК). Служба определяет классы защиты информации, разрабатывает рекомендации и требования по защите данных от несанкционированного доступа, проводит сертификацию средств по обеспечению безопасности сведений в информационных системах.

Ведется государственный реестр сертифицированных средств защиты информации ФСТЭК России за № РОСС RU.0001.01БИ00.

Также существует добровольная сертификация средств технической защиты информации, например, Certified by AM Test Lab, сертификатами которых отмечены такие продукты как Kaspersky Industrial CyberSecurity for Networks, Solar Dozor UBA, Indeed PAM, DLP-система СёрчИнформ КИБ и многие другие.

Требования ФСТЭК по защите информации

Документация государственного регулирования устанавливает минимальные требования защиты от несанкционированного доступа к данным. Для противодействия киберугрозам ФСТЭК регулярно обновляет базу уязвимостей, вносит новые рекомендации в аттестацию, сертификацию оборудования, программного обеспечения.

Выполнение требований регулятора по технической защите информации обязательно при:

оказании услуг информационной безопасности (ТЗКИ, СКЗИ);
проведении работ по обеспечению государственной и банковской тайн;
выполнении обязанностей оператора персональных данных (ПНд);
передаче информации посредством сети Интернет.

Требования ФСТЭК по технической защите информации распространяются на:

программное обеспечения и оборудование;
внешние носители;
средства связи и шифровки/дешифровки данных;
операционные системы;
прочие технические средства хранения, обработки, передачи сведений;
персональные данные;
специалистов по обеспечению информационной безопасности.

Так, в состав мер по защите персональных данных согласно требованиям ФСТЭК входят:

использование системы идентификации и аутентификации (авторизации) субъектов, имеющих доступ к ПНд, и объектов ПНд;
возможность ограничения и управления правами доступа к персональной информации;
физическая и программная защита носителей информации;
регистрация событий безопасности и ведение их журнала;
применение средств антивирусной защиты;
регулярный контроль защищенности ПНд;
обнаружение и предотвращение вторжений, несанкционированного доступа;
обеспечение доступности хранимых сведений, их и информационной системы, базы данных доступности;
соблюдение требований по защите среды виртуализации, технических средств, информационной системы (ИС), ее средств, каналов и линий связи и передачи данных.

Также требованиями ФСТЭК России по защите персональных данных предусмотрено наличие возможности управления конфигурацией ИС, своевременного выявления инцидентов, способных привести к сбоям в работе ИС, возникновению угроз безопасности ПНд.

Требования ФСТЭК к специалистам по защите информации включают в себя понимание:

основных законодательных и нормативных актов в области информационной безопасности и защиты персональных данных;
в области сертификации средств защиты информации;
о государственной системе противодействия иностранным техническим разведкам.

К профессиональным знаниям специалистов относится:

подготовка в части работы с каналами и линиями связи (предотвращение утечки информации);
ориентация в сфере комплексных СЗИ;
понимание основ методологии построения СЗИ;
умение работать со средствами контроля защищенности баз данных (БД) и т.д.

С полным перечнем требований к профессиональной подготовке специалистов в сфере защиты информации можно ознакомиться здесь.

Требования ФСТЭК по защите конфиденциальной информации направлены на исключение неправомерного доступа, копирования, передачи или распространения сведений. Для обеспечения требований по безопасности конфиденциальной информации проводится оценка возможных уязвимостей ИС для внешних и внутренних нарушителей, возможных средств реализации этих уязвимостей.

Меры по защите информации ФСТЭК

Меры защиты информации в информационных системах согласно требованиям ФСТЭК должны обеспечивать необходимый уровень безопасности при взаимодействии защищаемых ИС с другими ИС, при обработке и хранении информации. При этом предлагаемые на этапе проектирования меры должны быть реализуемы в конкретной ИС.

Методы и средства технической защиты информации подбираются с учетом структуры СЗИ, состава и мест размещения ее элементов. Если защищаемая ИС проектируется в составе центра обработки данных (ЦОД) рекомендуется использовать уже имеющиеся в ЦОД средства, меры защиты данных.

Выстраивание защиты в государственных информационных системах (ГИС) предполагает ряд нюансов:

К работе допускаются только компании, имеющие лицензию на деятельность по технической защите конфиденциальной информации;
Требования по охране данных и информации базируются на ряде ГОСТов.
Структурирование классов защиты информации для государственных учреждений – жесткое (всего три класса из семи возможных, используемых в работе частных операторов персональных данных).
Модели угроз основываются на документах и баз ФСТЭК.

Организационные мероприятия предотвращают неправомерные:

доступ, хищение и распространение закрытых данных;
уничтожение/изменение целостности данных;
препятствие получению информации, нарушающее права пользователей.
Важное значение имеет разработка пакета организационных и распорядительных документов для:
регламентации процесса безопасности хранения данных;
порядка выявления инцидентов безопасности;
регламентации управления конфигурированием информационных систем по защите данных;
установления методов мониторинга информсистем.

Существует регламентация разработки систем и введения их в эксплуатацию, разграничения уровней доступности, проведения проверок и анализ реакций, ответственных за организацию защиты специалистов. Лишь после проведения совокупности мероприятий информационная система аттестуется, вводясь в эксплуатацию.

Технические меры защиты обязывают госструктуры использовать сертифицированные средства, соответствующие классу защиты с функциями:

идентификации, аутентификации;
управления доступом к данным с возможностью контроля;
ограничений по использованию программ;
защиты всех информационных носителей;
ведение регистрационного учета инцидентов в сфере безопасности;
отслеживания вторжений извне;
обеспечения целостности находящейся на хранении и обрабатываемой информации;
защиты в облачной среде.

Для частных компаний это допустимо с более урезанным функционалом, используемым при обработке массива персональных данных.

Методические документы и приказы ФСТЭК по защите информации

Существует огромный перечень подзаконных актов и документов, определяющих порядок организации информационной защиты и позволяющих эффективно применять разработанную систему информационной безопасности.

Так, положения о защите технической информации разрабатываются организациями самостоятельно. Отдельные положения выносятся местными органами власти.

ФСТЭК выпускает приказы, уточняющие требования в сфере защиты информации, например, Приказ ФСТЭК России от 23 марта 2017 г. N 49, от 15 февраля 2017 г. N 27 и т.д.

– полный перечень документов ФСТЭК по технической защите информации можно уточнить здесь. Детальнее:

Техническая защита информации затрагивает вопросы сбора, обработки, передачи, хранения, распространения информации с соответствующим классу защищенности обеспечением ее безопасности на предприятиях. Система документов по технической защите информации строится на основополагающих элементах:

федеральное законодательство;
распоряжения и указы Президента РФ;
постановления правительства РФ;
документация ФСБ, ФСТЭК, Роскомнадзора;
общероссийские стандарты;
документы руководящие, нормативно-методические.

Документы ФСТЭК по технической защите информации ложатся в основу проектирования и исполнения информсистем, защищенных от проникновения на любых уровнях. Вся документация размещается по мере обновления на официальном сайте и является обязательной к исполнению.

В нормативных руководящих документах ФСТЭК по защите информации содержатся принципы разноуровневой защиты по шкале важности сведений, степени конфиденциальности, предписаний по оценке защищенности от несанкционированных действий злоумышленников, регламенты работ для сотрудников сферы защиты данных.

Сертифицированные средства защиты ФСТЭК

Функции ФСТЭК в области сертификации средств защиты информации заключаются в:

создании системы сертификации средств защиты информации в соответствии с требованиям по обеспечению информационной безопасности;
формировании правил проведения сертификации средств защиты данных;
аккредитации органов по сертификации и испытательных лабораторий и разработке правил аккредитации;
выборе способов подтверждения соответствия СЗИ требования нормативных документов;
выдаче сертификатов и лицензий на использование знаков соответствия;
ведении государственного реестра участников сертификации и реестра сертифицированных средств защиты информации;
осуществлении государственного надзора над соблюдением участниками правил сертификации, инспекционного контроля – над сертифицированными средствами защиты;
рассмотрении апелляций по вопросам сертификации;
утверждении нормативных документов с требованиями к средствам и системам защиты информации, методических документов по проведению испытаний.

Также ФСТЭК исполняет функции центрального органа системы сертификации средств защиты информации (либо может делегировать их другой организации по необходимости). ФСТЭК может приостанавливать или отменять действие сертификатов.

Система сертификации средств защиты информации ФСТЭК включает в себя органы по сертификации (работающие с определенными видом продукции), испытательные лаборатории. В структуру системы сертификации ФСТЭК также входят заявители (предприятия, организации, компании) и центральный орган, в роли которой выступает сама ФСТЭК.

Классы средств защиты информации ФСТЭК

Регулятор выделил семь классов защищенности, где первый класс соответствует наивысшей степени защиты, а седьмой (для госструктур – третий) является низшей. Комплекс требований по защите средств вычислительной техники и автоматизированных систем формируют градацию классов.

Сертификаты соответствия ФСТЭК России на средства защиты информации подтверждают, что организация соответствует действующим нормативно-правовым актам РФ и имеет высокий уровень защищенности от кибер-угроз.

Выбор оптимального защитного средства зависит напрямую от класса системы.

В ситуациях значительного превышения стоимости программного обеспечения нужного класса допустимо, согласовав с территориальным органом ФСТЭК, устанавливать иные средства защиты.

Госреестр средств защиты информации ФСТЭК России

Государственный реестр сертифицированных средств защиты информации ФСТЭК постоянно обновляется, находясь в открытом доступе. В нем содержится информация об аккредитациях, сертификатах (в т.ч. двойного назначения), лицензиях, разрешениях. Программы и средства информационной защиты в обязательном порядке проходят обязательную регистрацию, с занесением в реестр и выдачей сертификата.

Лицензирование деятельности по технической защите информации ФСТЭК

Лицензия ФСТЭК на техническую защиту конфиденциальной информации включает средства информационной защиты, их установку и эксплуатацию. Выдача предприятию лицензии для работы с конфиденциальными сведениями и по оказанию телематических услуг означает корректную работу системы безопасности данных на основе рекомендаций, требований, положений и приказов ФСТЭК.

Отказ от получения допуска чреват жесткими проверками с возможной приостановкой работы, отзывом разрешительных документов и административным наказанием.

Виды лицензий, связанных с деятельностью:

по предотвращению утечек по различным каналам, бесконтрольного проникновения, видоизменения информации как в системах, так и помещениях, где они размещаются;
на услуги мониторинга информбезопасности, аттестации на соответствие требованиям защиты информации, проектирования систем информатизации в защищаемых помещениях, монтажа, отладки, проведению испытаний и ремонтных работ;
на разработку и производство средств безопасности;
на выстраивание мероприятий по сохранности гостайны.

При оформлении лицензии используются только некриптографические методы.

Срок оформления лицензии составляет 30 дней, хотя зачастую готовое разрешение удается получить только спустя два месяца. Действие лицензии бессрочное.

Источник: https://integrus.ru/blog/it-decisions/zashhita-informatsii-i-informatsionnaya-bezopasnost-fstek.html

Нет комментариев