13 сентября 2019 г. в Минюсте были зарегистрированы изменения в приказ ФСТЭК России №17 "Требования о защите информации, не составляющей государственную тайн.

Приказ ФСТЭК России №17 от 11 февраля 2013 года «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». Приказ ФСТЭК России № 17 от 11 февраля 2013 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». ПРИКАЗ. от 11 февраля 2013 г. N 17. Об утверждении требований.

Обзор изменений приказа ФСТЭК №17 утверждённых 28.05.2019

Приказ ФСТЭК России № 17 от 11.02.2013	Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе.
Приказ ФСТЭК России от 11.02.2013 № 17	3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106.
Приказ ФСТЭК России от 11.02.2013 № 17 \| Редакция действует с 1 января 2021 \| Юрист компании	По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований.
Новости компании	2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю
Приказ ФСТЭК России № 17 от 11.02.2013	Требования к защите информации, содержащейся в государственных ИС, в контексте изменений в Приказ ФСТЭК России от 11.02.2013 № 17. Васильев Петр Директор департамента аттестации АО «НПО «Эшелон». ЧТО НОВОГО?

Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17

Защита документов	Участники съезда Движения Первых исполнили гимн России с Владимиром Путиным. Порядка 150 пар поженились за прошедшую неделю. На заседании Палаты сельских поселений обсудили реализацию региональной программы по ремонту муниципальных дорог.
Приказ ФСТЭК № 17: комментарии экспертов	Контроль соответствия требованиям Приказа ФСТЭК России № 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.
Правительство Саратовской области	Работа в России. Общероссийская база вакансий. Уполномоченный по правам ребенка в Краснодарском крае.
Новости компании	Требования о защите информации, не составляющей государственную тайну, содержащейся в. государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю. от 11 февраля 2013 г. N 17).

Приказ ФСТЭК России от 11 февраля 2013 г. N 17

Федеральная служба по техническому и экспортному контролю. Приказ. от 11 февраля 2013 г. N 17. Об утверждении требований. О защите информации, не составляющей государственную тайну. Приказ ФСТЭК России №17 от 11 февраля 2013 года «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608) (с изм. и доп. ПРИКАЗ. от 11 февраля 2013 г. N 17. Об утверждении требований. "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608) (с изм. и доп. Участники съезда Движения Первых исполнили гимн России с Владимиром Путиным. Порядка 150 пар поженились за прошедшую неделю. На заседании Палаты сельских поселений обсудили реализацию региональной программы по ремонту муниципальных дорог.

Приказ ФСТЭК РФ от 11.02.2013 № 17

СТP-К) и «Автоматизированные системы. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе. Федеральная служба по техническому и экспортному контролю. ПРИКАЗ от 11 февраля 2013 г. N 17. Об утверждении требований о защите информации, не составляющей государственную тайну.

Правительство Саратовской области

утверждены приказом ФСТЭК России от 28 июля 2014 года №87 – содержит 10 методических документов, содержащих профили защиты средств контроля съемных МНИ. Приказ ФСТЭК России от 11.02.2013 N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608). третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. (в ред. Приказа ФСТЭК России от 15.02.2017 N 27). ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 11 февраля 2013 года № 17 Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных. Федеральная служба по техническому и экспортному контролю. ПРИКАЗ от 11 февраля 2013 г. N 17. Об утверждении требований о защите информации, не составляющей государственную тайну. 2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г.

Правительство Саратовской области

Директор федеральной службы по техническому и экспортному контролю. В. Селин. Зарегистрировано в Минюсте РФ 31 мая 2013 г. Регистрационный № 28608. УТВЕРЖДЕНЫ приказом ФСТЭК России от «11» февраля 2013 г. № 17. Участники съезда Движения Первых исполнили гимн России с Владимиром Путиным. Порядка 150 пар поженились за прошедшую неделю. На заседании Палаты сельских поселений обсудили реализацию региональной программы по ремонту муниципальных дорог. Приказ ФСТЭК России № 17 от 11 февраля 2013 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». ПРИКАЗ 11 февраля 2013 г. N 17 ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ.

Приказ ФСТЭК №17 от 11 февраля 2013 года

Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц.

Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

Проведение аттестационных испытаний информационной системы должностными лицами работниками , осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается.

В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.

N 1085. По решению заказчика оператора аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : абзац введен Приказом ФСТЭК России от 15.

Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации.

Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.

Аттестат соответствия выдается на весь срок эксплуатации информационной системы. Оператор обладатель информации в ходе эксплуатации информационной системы должен обеспечивать поддержку соответствия системы защиты информации аттестату соответствия в рамках реализации мероприятий, предусмотренных пунктом 18 настоящих Требований. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.

Информационные системы, функционирующие на базе общей инфраструктуры средств вычислительной техники, серверов телекоммуникационного оборудования в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры. В случае если информационная система создается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных уполномоченного лица, такая инфраструктура центра обработки данных должна быть аттестована на соответствие настоящим Требованиям. Обеспечение защиты информации в ходе эксплуатации информационной системы должно осуществляться оператором в соответствии с эксплуатационной документацией и организационно-распорядительными документами по защите информации и включать следующие мероприятия: планирование мероприятий по защите информации в информационной системе; анализ угроз безопасности информации в информационной системе; управление администрирование системой защиты информации информационной системы; управление конфигурацией информационной системы и ее системой защиты информации; реагирование на инциденты; информирование и обучение персонала информационной системы; контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе.

В ходе планирования мероприятий по защите информации в информационной системе осуществляются: определение лиц, ответственных за планирование и контроль мероприятий по защите информации в информационной системе; определение лиц, ответственных за выявление инцидентов и реагирование на них; разработка, утверждение и актуализация плана мероприятий по защите информации в информационной системе; определение порядка контроля выполнения мероприятий по обеспечению защиты информации в информационной системе, предусмотренных утвержденным планом. План мероприятий по защите информации в информационной системе утверждается вместе с правовым актом органа исполнительной власти о вводе информационной системы в эксплуатацию. Контроль выполнения мероприятий, предусмотренных планом мероприятий по защите информации в информационной системе, осуществляется в сроки, определенные указанным планом.

В ходе анализа угроз безопасности информации в информационной системе в ходе ее эксплуатации осуществляются: выявление, анализ и устранение уязвимостей информационной системы; анализ изменения угроз безопасности информации в информационной системе; оценка возможных последствий реализации угроз безопасности информации в информационной системе. Периодичность проведения указанных работ определяется оператором в организационно-распорядительных документах по защите информации. Реализованные процессы управления изменениями информационной системы и ее системы защиты информации должны включать процессы гарантийного и или технического обслуживания, в том числе дистанционного удаленного , программных и программно-аппаратных средств, включая средства защиты информации, информационной системы.

В ходе информирования и обучения персонала информационной системы осуществляются: информирование персонала информационной системы о появлении актуальных угрозах безопасности информации, о правилах безопасной эксплуатации информационной системы; доведение до персонала информационной системы требований по защите информации, а также положений организационно-распорядительных документов по защите информации с учетом внесенных в них изменений; обучение персонала информационной системы правилам эксплуатации отдельных средств защиты информации; проведение практических занятий и тренировок с персоналом информационной системы по блокированию угроз безопасности информации и реагированию на инциденты; контроль осведомленности персонала информационной системы об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения защиты информации. Периодичность проведения практических занятий и тренировок с персоналом, мероприятий по обучению персонала и контролю осведомленности персонала устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в два года. В ходе контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются: контроль анализ защищенности информации с учетом особенностей функционирования информационной системы; анализ и оценка функционирования информационной системы и ее системы защиты информации, включая анализ и устранение уязвимостей и иных недостатков в функционировании системы защиты информации информационной системы; документирование процедур и результатов контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе; принятие решения по результатам контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, о необходимости доработки модернизации ее системы защиты информации.

Контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе, проводится оператором самостоятельно и или с привлечением организации, имеющей лицензию на деятельность по технической защите конфиденциальной информации. Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе 1 класса защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в год. Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационных системах 2 и 3 классов защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационных систем, но не реже 1 раза в два года.

Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении.

Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации.

Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации.

Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. Всего их 14. Разберемся с каждым из изменений далее. Приемочные испытания и аттестационные испытания можно совместить по решению заказчика п. Новое определение — ЦОД Центр обработки данных далее — ЦОД — технологически и территориально обособленные серверные комплексы, включая рабочие станции, предназначенные для обслуживающего персонала, и технологическое оборудование, обеспечивающие функционирование серверов стойки, источники бесперебойного питания, коммутационное оборудование и кабельные системы. Дополнительные обязательные требования к СрЗИ Согласно п. Данный пункт вступает в силу 1 июня 2020 года.

УД должен указываться в сертификате соответствия СрЗИ.

Защита документов

Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования» далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц.

Техническое задание на создание автоматизированной системы» далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации.

При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных. В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных.

По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.

Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика.

Автоматизированные системы. Стадии создания» далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.

При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации.

Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы; абзац исключен. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.

Внедрение системы защиты информации информационной системы 16. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: установку и настройку средств защиты информации в информационной системе; разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее - организационно-распорядительные документы по защите информации ; внедрение организационных мер защиты информации; предварительные испытания системы защиты информации информационной системы; опытную эксплуатацию системы защиты информации информационной системы; анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации.

Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно.

Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы; анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой конфигурированием программного обеспечения и средств защиты информации; испытания системы защиты информации путем осуществления попыток несанкционированного доступа воздействия к информационной системе в обход ее системы защиты информации.

Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14.

Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы.

При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее — инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации.

При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем» далее — ГОСТ 34.

Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы.

При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.

Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания.

Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации.

Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.

Приказ ФСТЭК РФ от 11.02.2013 № 17

Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17	Требования о защите информации, не составляющей государственную тайну, содержащейся в. государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю. от 11 февраля 2013 г. N 17).
Приказ ФСТЭК России от 11.02.2013 N 17	3. Во всех проектных решениях на систему защиты ГИС, которую планируется аттестовать и(или) ввести в эксплуатацию после 27 сентября 2019 года, необходимо учесть изменения, установленные приказом ФСТЭК России №106.
Приказ ФСТЭК России от 11.02.2013 № 17	УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. № 17.

Приказ ФСТЭК России от 11.02.2013 № 17

Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности.

В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика.

Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34.

Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных,1 не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.

При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных. В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика. Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком.

Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания» далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем» далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных.

Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем» далее — ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34.

При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: — проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; — проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; — корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы; — корректировка проектной и эксплуатационной документации на систему защиты информации информационной системы. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы 16. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: — установку и настройку средств защиты информации в информационной системе; — разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее — организационно-распорядительные документы по защите информации ; — внедрение организационных мер защиты информации; — предварительные испытания системы защиты информации информационной системы; — опытную эксплуатацию системы защиты информации информационной системы; — анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; — приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: — управления администрирования системой защиты информации информационной системы; — выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее — инциденты , и реагирования на них; — управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; — контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; — защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации.

При внедрении организационных мер защиты информации осуществляются: — реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; — проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; — отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем» далее — ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.

Указа Президента Российской Федерации от 6 марта 1997 г. Указа Президента Российской Федерации от 2 марта 2018 г.

Постановление Правительства Российской Федерации от 5 января 2004 г. Постановление Правительства Российской Федерации от 24 мая 2010 г. Постановление Правительства Российской Федерации от 1 ноября 2012 г. Постановление Правительства Российской Федерации от 22 ноября 2012 г. Постановление Правительства Российской Федерации от 6 мая 2016 г. Постановление Правительства Российской Федерации от 11 мая 2017 г.

Правительство Саратовской области

Постановление Правительства Российской Федерации от 17 февраля 2018 г. Постановление Правительства Российской Федерации от 13 апреля 2019 г. Типовое положение о Совете Технической комиссии министерства, ведомства, органа государственной власти субъекта Российской Федерации по защите информации от ИТР и от ее утечки по техническим каналам, утвержденное решением Гостехкомиссии России от 14 марта 1995 г. Типовые требования к содержанию и порядку разработки Руководства по защите информации от ИТР и от ее утечки по техническим каналам на объекте защиты, утвержденные решением Гостехкомиссии России от 3 октября 1995 г. Положение о постоянно действующих технических комиссиях по защите государственной тайны, утвержденное совместным приказом Гостехкомиссии России и ФСБ России от 28 июня 2001 г. Приказ Минкомсвязи России от 3 июля 2013 г. Выписка из Системы признаков критически важных объектов и критерием отнесения, функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий, утвержденная заместителем директора ФСТЭК России 18 мая 2007 г. Методика категорирования объектов управления органов государственной власти, органов местного самоуправления и организаций по важности защиты от иностранных технических разведок, утвержденная первым заместителем директора ФСТЭК России 25 декабря 2014 г.

При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно- телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34.

Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы; абзац исключен. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.

Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст.

Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем" далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами работниками , осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По решению заказчика оператора аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : абзац введен Приказом ФСТЭК России от 15. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия. Аттестат соответствия выдается на весь срок эксплуатации информационной системы. Оператор обладатель информации в ходе эксплуатации информационной системы должен обеспечивать поддержку соответствия системы защиты информации аттестату соответствия в рамках реализации мероприятий, предусмотренных пунктом 18 настоящих Требований. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34. Информационные системы, функционирующие на базе общей инфраструктуры средств вычислительной техники, серверов телекоммуникационного оборудования в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры. В случае если информационная система создается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных уполномоченного лица, такая инфраструктура центра обработки данных должна быть аттестована на соответствие настоящим Требованиям.

Приказ ФСТЭК России от 11.02.2013 № 17

Утверждены приказом ФСТЭК России от 11 февраля 2013 г. № 17. Требования о защите информации, не составляющей государственную тайну, Содержащейся в государственных информационных системах. Контроль соответствия требованиям Приказа ФСТЭК России № 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. I. Общие положения. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17).

Фстэк россии от 11 февраля 2013 г no 17

Обзор изменений приказа ФСТЭК №17 утверждённых 28.05.2019

Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17

Приказ ФСТЭК России от 11 февраля 2013 г. N 17

Приказ ФСТЭК РФ от 11.02.2013 № 17

Правительство Саратовской области

Правительство Саратовской области

Приказ ФСТЭК №17 от 11 февраля 2013 года

Защита документов

Приказ ФСТЭК РФ от 11.02.2013 № 17

Приказ ФСТЭК России от 11.02.2013 № 17

Правительство Саратовской области

Приказ ФСТЭК России от 11.02.2013 № 17

Похожие новости: