3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106.
Приказ ФСТЭК России № 17 от 11.02.2013
ПРИКАЗ. от 11 февраля 2013 г. N 17. Об утверждении требований. Если в рассматриваемых информационных системах обрабатываются ПДн, то требования Приказа 17 применяются "наряду с требованиями Постановления Правительства РФ №1119 " (п.5.). А вот, например, Приказ 21 нигде в документе не упоминается. УТВЕРЖДЕНЫ приказом ФСТЭК России. от 2 июня 2020 г. № 76. Приказ ФСТЭК России № 17 от 11 февраля 2013 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». Федеральная служба по техническому и экспортному контролю. Приказ. от 11 февраля 2013 года N 17. Участники съезда Движения Первых исполнили гимн России с Владимиром Путиным. Порядка 150 пар поженились за прошедшую неделю. На заседании Палаты сельских поселений обсудили реализацию региональной программы по ремонту муниципальных дорог.
Разработка системы защиты информации информационной системы
- Приказ ФСТЭК России № 17 от 11.02.2013
- Популярные материалы
- Преимущества
- Приказ ФСТЭК России от 11 февраля 2013 г. № 17
- Приказ ФСТЭК России от 11.02.2013 № 17 | Редакция действует с 1 января 2021 | Главбух
Приказ ФСТЭК №17 от 11 февраля 2013 года
Постановление Правительства Российской Федерации от 17 февраля 2018 г. Постановление Правительства Российской Федерации от 13 апреля 2019 г. Типовое положение о Совете Технической комиссии министерства, ведомства, органа государственной власти субъекта Российской Федерации по защите информации от ИТР и от ее утечки по техническим каналам, утвержденное решением Гостехкомиссии России от 14 марта 1995 г. Типовые требования к содержанию и порядку разработки Руководства по защите информации от ИТР и от ее утечки по техническим каналам на объекте защиты, утвержденные решением Гостехкомиссии России от 3 октября 1995 г.
Положение о постоянно действующих технических комиссиях по защите государственной тайны, утвержденное совместным приказом Гостехкомиссии России и ФСБ России от 28 июня 2001 г. Приказ Минкомсвязи России от 3 июля 2013 г. Выписка из Системы признаков критически важных объектов и критерием отнесения, функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий, утвержденная заместителем директора ФСТЭК России 18 мая 2007 г.
Методика категорирования объектов управления органов государственной власти, органов местного самоуправления и организаций по важности защиты от иностранных технических разведок, утвержденная первым заместителем директора ФСТЭК России 25 декабря 2014 г.
Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний.
При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы; анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой конфигурированием программного обеспечения и средств защиты информации; испытания системы защиты информации путем осуществления попыток несанкционированного доступа воздействия к информационной системе в обход ее системы защиты информации. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.
Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34. Информационные системы, функционирующие на базе общей инфраструктуры средств вычислительной техники, серверов телекоммуникационного оборудования в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры. В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы. При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы 18.
Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает: управление администрирование системой защиты информации информационной системы; выявление инцидентов и реагирование на них; управление конфигурацией аттестованной информационной системы и ее системы защиты информации; контроль мониторинг за обеспечением уровня защищенности информации, содержащейся в информационной системе. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации 19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает: архивирование информации, содержащейся в информационной системе; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора. Уничтожение стирание данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации. Требования к мерам защиты информации, содержащейся в информационной системе 20.
Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать: идентификацию и аутентификацию субъектов доступа и объектов доступа; управление доступом субъектов доступа к объектам доступа; ограничение программной среды;.
Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем» далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации.
Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.
Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы; анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой конфигурированием программного обеспечения и средств защиты информации; испытания системы защиты информации путем осуществления попыток несанкционированного доступа воздействия к информационной системе в обход ее системы защиты информации. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации.
В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия. Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия.
Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.
Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы; анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой конфигурированием программного обеспечения и средств защиты информации; испытания системы защиты информации путем осуществления попыток несанкционированного доступа воздействия к информационной системе в обход ее системы защиты информации. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации.
В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия. Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34. Информационные системы, функционирующие на базе общей инфраструктуры средств вычислительной техники, серверов телекоммуникационного оборудования в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры.
В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы. При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы 18. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает: управление администрирование системой защиты информации информационной системы; выявление инцидентов и реагирование на них; управление конфигурацией аттестованной информационной системы и ее системы защиты информации; контроль мониторинг за обеспечением уровня защищенности информации, содержащейся в информационной системе. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации 19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает: архивирование информации, содержащейся в информационной системе; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора. Уничтожение стирание данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.
Требования к мерам защиты информации, содержащейся в информационной системе 20. Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать: идентификацию и аутентификацию субъектов доступа и объектов доступа; управление доступом субъектов доступа к объектам доступа; ограничение программной среды;.
Приказ ФСТЭК № 17: комментарии экспертов
Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 11 февраля 2013 г. N 17 г. Москва "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных. 3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106. третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. (в ред. Приказа ФСТЭК России от 15.02.2017 N 27). Программа производственного контроля МБОУ СОШ №11. Перечни юр. лиц и ИП, оказывающих услуги по организации питания в общеобразовательных организациях. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. № 17.
Приложение № 2 к Требованиям
- Порядок обновления сертифицированных средств защиты информации
- Нормативные документы определяющие требования по обработке и защите персональных данных
- Разработка системы защиты информации информационной системы
- Федеральная служба по техническому и экспортному контролю: Приказ № 17 от 11.02.2013
- Институт МОИБ
- Защита документов
Приказ ФСТЭК России от 11 февраля 2013 г. N 17
Стадии создания" далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы; корректировка проектной и эксплуатационной документации на систему защиты информации информационной системы. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.
Внедрение системы защиты информации информационной системы 16. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: установку и настройку средств защиты информации в информационной системе; разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее - организационно-распорядительные документы по защите информации ; внедрение организационных мер защиты информации; предварительные испытания системы защиты информации информационной системы; опытную эксплуатацию системы защиты информации информационной системы; анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем" далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34.
Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.
N 149-ФЗ «Об информации, информационных технологиях и о защите информации» Собрание законодательства Российской Федерации, 2006, N 31, ст. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну далее — информация , от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию носители информации в целях ее добывания, уничтожения, искажения или блокирования доступа к ней далее — защита информации при обработке указанной информации в государственных информационных системах.
Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации». В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных криптографических средств защиты информации. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы далее — заказчики и операторов государственных информационных систем далее — операторы. Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее — уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 Собрание законодательства Российской Федерации, 2012, N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.
Защита информации, содержащейся в государственной информационной системе далее — информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания и в ходе эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее — система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее — аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14.
Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования» далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее — классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц.
Федеральный закон от 27 декабря 2002г. Закон Российской Федерации 21 июля 1993г. Федеральный Закон от 27 июля 2006г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации». Постановление Правительства Российской Федерации от 26 июня 1995г. Организационные документы системы сертификации средств защиты информации ФСТЭК России: Положение о сертификации средств защиты информации по требованиям безопасности информации. Положение об аккредитации испытательных лабораторий по сертификации средств защиты информации по требованиям безопасности информации. Положение по аттестации объектов информатизации по требованиям безопасности информации. Схемы сертификации могут быть различными: для единичных продуктов, для партии продукции, для серийного производства. Сертификации в системе сертификации ФСТЭК России подлежат: средства противодействия иностранным техническим разведкам, а также средства контроля эффективности противодействия иностранным техническим разведкам; средства технической защиты информации, включая средства, в которых они реализованы, а также средства контроля эффективности технической защиты информации; средства обеспечения безопасности информационных технологий, включая защищенные средства обработки информации.
Федеральный закон от 27 июля 2006 г. Федеральный закон от 26 июля 2017 г. Указ Президента Российской Федерации от 31 декабря 2015 г. Указ Президента Российской Федерации от 5 декабря 2016 г. Указ Президента Российской Федерации от 15 апреля 2016 г. Указ Президента Российской Федерации от 22 октября 2015 г. Указа Президента Российской Федерации от 6 марта 1997 г. Указа Президента Российской Федерации от 2 марта 2018 г.
Приказ ФСТЭК России от 11.02.2013 № 17
| Правительство Саратовской области | Утверждены приказом ФСТЭК России от 11 февраля 2013 г. № 17. Требования о защите информации, не составляющей государственную тайну, Содержащейся в государственных информационных системах. |
| Основные изменения в приказе ФСТЭК №17 - YouTube | УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. I. Общие положения. |
Приказ ФСТЭК России от 11 февраля 2013 г. N 17
2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю. Требования о защите информации, не составляющей государственную тайну, содержащейся в. государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю. от 11 февраля 2013 г. N 17). № 17 от 11.02.2013 Об утверждении "Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах". ПРИКАЗ. от 11 февраля 2013 г. N 17. Об утверждении требований. 2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю УТВЕРЖДЕНЫ приказом ФСТЭК России. от 2 июня 2020 г. № 76.
Обзор изменений приказа ФСТЭК №17 утверждённых 28.05.2019
При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются четыре класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс — четвертый, самый высокий — первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» далее — ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации.
Угрозы безопасности информации определяются по результатам оценки возможностей потенциала, оснащенности и мотивации внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
Требования», а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика. Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания» далее — ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.
В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. N 127 зарегистрирован Минюстом России 5 ноября 2013 г. N 266 зарегистрирован Минюстом России 14 июля 2016 г. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.
Постановление Правительства Российской Федерации от 6 мая 2016 г. Постановление Правительства Российской Федерации от 11 мая 2017 г. Постановление Правительства Российской Федерации от 8 февраля 2018 г. Постановление Правительства Российской Федерации от 17 февраля 2018 г. Постановление Правительства Российской Федерации от 13 апреля 2019 г. Типовое положение о Совете Технической комиссии министерства, ведомства, органа государственной власти субъекта Российской Федерации по защите информации от ИТР и от ее утечки по техническим каналам, утвержденное решением Гостехкомиссии России от 14 марта 1995 г. Типовые требования к содержанию и порядку разработки Руководства по защите информации от ИТР и от ее утечки по техническим каналам на объекте защиты, утвержденные решением Гостехкомиссии России от 3 октября 1995 г. Положение о постоянно действующих технических комиссиях по защите государственной тайны, утвержденное совместным приказом Гостехкомиссии России и ФСБ России от 28 июня 2001 г.
Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее - уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 Собрание законодательства Российской Федерации, 2012, N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34.
Приказ ФСТЭК России № 17 от 11.02.2013
Если в рассматриваемых информационных системах обрабатываются ПДн, то требования Приказа 17 применяются "наряду с требованиями Постановления Правительства РФ №1119 " (п.5.). А вот, например, Приказ 21 нигде в документе не упоминается. Актуальная версия Приказа ФСТЭК России от 11 февраля 2013 г. № 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах". 13 сентября 2019 г. в Минюсте были зарегистрированы изменения в приказ ФСТЭК России №17 "Требования о защите информации, не составляющей государственную тайн.
Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17
3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17). 3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106. Приказ ФСТЭК России от 11.02.2013 N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608).