--- title: "Без названия" status: действует canonical: "https://bukva.ai/docs/bez-nazvaniya-4162/statya-183" --- # Статья 183. Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну ## IV. Объекты защиты информации. Мероприятия и методы по их защите 21. Объектами защиты в Службе являются информация, ее материальные носители и технические средства обработки информации. Защите подлежат: а) информационные ресурсы, содержащие сведения, отнесенные к государственной тайне или конфиденциальной информации, представленные в виде носителей на магнитной или оптической основе, информативных физических полей, информационных массивов и баз данных; б) средства и системы информатизации (средства вычислительной техники, информационно-вычислительные комплексы, сети и системы), программные средства (операционные системы, системы управления базами данных, другое общесистемное и программное обеспечение), автоматизированные системы управления, системы связи и передачи данных, технические средства приема, передачи и обработки информации (звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки графической, смысловой и буквенно-цифровой информации, используемые для обработки информации, содержащей сведения, отнесенные к государственной тайне или конфиденциальной информации; в) технические средства и системы, не обрабатывающие информацию, но размещенные в помещениях, где обрабатывается информация, содержащая сведения, отнесенные к государственной тайне или конфиденциальной информации; г) выделенные (защищаемые) помещения. 22. Мероприятия по защите информации являются составной частью управленческой, научной и производственной деятельности. Они организуются и проводятся, в пределах своей компетенции, всеми должностными лицами, входящими в систему защиты информации Службы. 23. Проведение любых мероприятий и работ с использованием сведений, отнесенных к государственной тайне и конфиденциальной информации, без принятия необходимых мер по защите информации не допускается. 24. В целях предотвращения и нейтрализации угроз безопасности информации применяются правовые, аппаратно-программные методы и организационно-технические мероприятия. Правовые методы предусматривают разработку организационно-распорядительных и руководящих документов Службы в области защиты информации. Аппаратно-программные методы включают: а) аппаратные методы защиты: - предотвращение утечки обрабатываемой информации за счет побочных электромагнитных излучений и наводок, создаваемых функционирующими средствами, а также за счет электроакустических преобразований; - исключение или существенное затруднение несанкционированного доступа к обрабатываемой или хранящейся в технических средствах информации за счет применения реквизитов защиты (паролей, идентифицирующих кодов), устройств измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации; - применение устройств для шифрования информации; - выявление возможно внедренных в импортные технические средства специальных устройств съема (ретрансляции) или разрушения информации (закладных устройств); б) программные методы защиты: - предотвращение специальных программно-математических воздействий, вызывающих разрушение, уничтожение, искажение информации или сбои в работе средств вычислительной техники (далее - СВТ); - идентификацию технических средств (терминалов, устройств группового управления вводом-выводом, ЭВМ, носителей информации), задач и пользователей; - определение прав пользователей (потребителей) информации (дни и время работы, разрешенные к использованию задачи и технические средства обработки информации); - контроль работы технических средств и пользователей; - регистрацию работы технических средств и пользователей при обработке информации ограниченного доступа; - уничтожение информации в записывающем устройстве после использования; - сигнализацию при несанкционированных действиях; - вспомогательные программы различного назначения: контроля работы механизма защиты, проставления грифа секретности (конфиденциальности) на выдаваемых документах; в) резервное копирование (хранение копий информации на различных носителях); г) криптографическое шифрование информации. Организационно-технические мероприятия предусматривают: а) осуществление мероприятий защиты информации при оборудовании и создании вычислительных центров, автоматизированных сетей (далее - АС) и автоматизированных рабочих мест; б) подбор и подготовку персонала для обслуживания СВТ и АС; в) разработку и утверждение функциональных обязанностей должностных лиц, отвечающих за защиту информации; г) контроль за действиями персонала в защищенных автоматизированных системах; д) создание и обеспечение функционирования систем защиты информации ограниченного доступа; е) сертификацию этих систем по требованиям безопасности информации; ж) аттестацию СВТ, автоматизированных систем и помещений; з) привлечение на договорной основе для проведения работ по защите информации специализированных организаций, имеющих лицензии на право проведения работ в области защиты информации; и) стандартизацию способов и средств защиты информации; к) организацию хранения и использования документов и носителей; л) физическую защиту от внешних воздействующих факторов, вызванных явлениями природы; м) физические меры защиты (изоляция помещений с СВТ, установка контролируемых зон, пропускной режим, охранная сигнализация). 25. Защите также подлежат технические средства, не обрабатывающие информацию, но размещенные в помещениях, где информация обрабатывается. К ним относятся системы и средства радиотрансляции, пожарной и охранной сигнализации, часофикации и другие. V. Контроль состояния защиты информации 26. Целью контроля состояния защиты информации в Службе является своевременное выявление и предотвращение утечки информации по техническим каналам, несанкционированного доступа к ней, преднамеренных программно-математических воздействий на информацию, оценка эффективности ее защиты. 27. Организация и проведение контроля возлагаются на входящий в состав МТОИЗИ отдел организации и контроля за защитой информации в автоматизированных системах управления. Осуществляемый указанным отделом контроль распространяется на подразделения центрального аппарата и территориальные органы Службы, на подведомственные организации и предусматривает определение степени соответствия проводимых на местах мероприятий по защите информации положениям федеральных законов, актов Президента Российской Федерации и Правительства Российской Федерации, иных действующих в области защиты информации нормативных правовых актов, а также соответствующих организационно-распорядительных и руководящих документов Службы. 28. Контроль осуществляется посредством комплексных и целевых проверок. Комплексная проверка предусматривает проверку деятельности территориального органа (подведомственной организации) по всем или большей части вопросов защиты информации, находящихся в компетенции Службы. Данная проверка проводится, как правило, комиссией, включающей специалистов по защите информации и информационных систем. К ее проведению могут привлекаться (по согласованию) представители специализированных предприятий, имеющих лицензии на право проведения работ в области защиты информации. Целевая проверка предусматривает детальную проверку одного или нескольких вопросов защиты информации. Данная проверка может проводиться как комиссией, так и специалистами по защите информации. При проведении проверок в обязательном порядке проверяется устранение недостатков, выявленных в ходе предыдущих проверок. Проверки могут быть плановыми и внеплановыми. О плановых проверках территориальные органы (подведомственные организации) уведомляются заранее (не позднее чем за 15 дней до ее начала), о внеплановых - непосредственно перед их началом. Внеплановые проверки могут проводиться в связи с невыполнением требований или норм по защите информации, в результате чего в территориальном органе (подведомственной организации) имелась или имеется реальная возможность ее утечки по техническим каналам (нарушение первой категории <*>), и в других случаях по решению руководителя Службы, технической комиссии при руководителе Службы или руководителя МТОИЗИ. --- <*> Постановление Совета Министров - Правительства Российской Федерации 1993 г., N 912-51. Продолжительность проверки (независимо от ее вида), как правило, не должна превышать 5 календарных дней. 29. Результаты проверки оформляются актом. Кроме того, при выявлении в процессе проверки нарушений установленных требований и норм по защите информации (нарушения первой и второй категорий) должно оформляться предписание об устранении этих нарушений (Приложение N 7 к настоящему Положению). Акт и предписание должны быть подписаны руководителем и членами комиссии (специалистами) и выданы под роспись руководителю проверяемого территориального органа (подведомственной организации) или отправлены по почте не позднее 15 дней после окончания проверки. 30. При обнаружении нарушений первой категории руководитель проверяемого территориального органа (подведомственной организации) обязан: немедленно прекратить работы на участке (рабочем месте), где обнаружены нарушения, и принять меры по их устранению; организовать в установленном порядке расследование причин и условий появления нарушения с целью недопущения их в дальнейшем и привлечения к ответственности виновных лиц; сообщить в Службу (через МТОИЗИ) о вскрытых нарушениях и принятых мерах. Возобновление работ разрешается после устранения нарушений и проверки достаточности принятых мер, проводимой специалистами МТОИЗИ или соответствующим территориальным Управлением Федеральной службы по техническому и экспортному контролю Российской Федерации. При обнаружении нарушений второй и третьей категорий руководители проверяемых территориальных органов (подведомственных организаций) обязаны принять необходимые меры по их устранению в сроки, согласованные с комиссией (специалистами), проводившей проверку. 31. Территориальные органы и подведомственные организации проверяются МТОИЗИ не менее одного раза в 5 лет, подразделения центрального аппарата - по мере необходимости. В случае несоответствия в территориальных органах принимаемых мер по защите информации установленным требованиям или нормам и наличия нарушений первой и второй категорий руководитель МТОИЗИ немедленно докладывает руководителю Службы и вносит соответствующие предложения. 32. При проверках территориальных органов и подведомственных организаций Федеральной службой безопасности Российской Федерации или Федеральной службой по техническому и экспортному контролю Российской Федерации один экземпляр акта проверки представляется их руководителями в МТОИЗИ. 33. Обобщенные данные о результатах проведенных проверок и состоянии защиты информации по итогам года территориальные органы и подведомственные организации представляют в МТОИЗИ к 15 января года, следующего за отчетным. Отчет представляется по формам, разрабатываемым МТОИЗИ. 34. Доклад о состоянии защиты информации в центральном аппарате Службы, ее территориальных органах и подведомственных организациях, эффективности принятых мер по ее совершенствованию по итогам года руководитель МТОИЗИ представляет руководителю Службы к 1 февраля года, следующего за отчетным. В докладе отражается: - общее состояние защиты информации в Службе, территориальные органы и подведомственные организации, в которых эти вопросы решаются неудовлетворительно; - общее количество проведенных проверок МТОИЗИ, Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю Российской Федерации; - основные недостатки, выявленные в ходе проверок; - наличие нарушений первой и второй категорий; - укомплектованность территориальных органов и подведомственных организаций специалистами по защите информации; - предложения по совершенствованию системы защиты информации в Службе.
Приложение N 1
(справочное)
ТЕРМИНЫ И ИХ ОПРЕДЕЛЕНИЯ
Автоматизированная система - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Аттестация - комплекс организационно-технических мероприятий, в результате которых посредством специального документа - "Акта соответствия" подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации. Безопасность информации - состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системой от внутренних или внешних угроз. Документированная информация - зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать. Закладное устройство - элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации). Защита информации - деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию. Защищаемая информация - информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. Защищаемые помещения - помещения (служебные кабинеты, актовые, конференц-залы и т.д.), специально предназначенные для проведения конфиденциальных мероприятий (совещаний, обсуждений, конференций, переговоров и т.п.). Информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Информатизация - организационный социально-экономический и научно-технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования и использования информационных ресурсов. Информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах). Информационная система - организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы. Информационная инфраструктура - совокупность систем обработки и анализа информации, каналов информационного обмена и телекоммуникаций, линий связи, систем и средств защиты информации. Информация ограниченного доступа - информация, для которой установлен специальный режим сбора, хранения, обработки, распространения и использования. Конфиденциальная информация - документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. Локальная вычислительная сеть (ЛВС) - совокупность основных технических средств и систем, осуществляющих обмен информацией между собой и с другими информационными системами, в том числе с ЛВС, через определенные точки входа/выхода информации, которые являются границей ЛВС. Несанкционированный доступ - доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами. Объект защиты информации - информация, или носитель информации, или информационный процесс, которые необходимо защищать в соответствии с поставленной целью защиты информации. Пользователь (потребитель) информации - субъект, обращающийся к информационной системе или посреднику за получением необходимой ему информации и пользующийся ею. Технический канал утечки информации - совокупность объекта технической разведки, физической среды распространения информационного сигнала и средств, которыми добывается защищаемая информация.
Приложение N 2
(справочное)
УГРОЗЫ ИНФОРМАЦИИ.
СПОСОБЫ ИХ ВОЗДЕЙСТВИЯ НА ОБЪЕКТЫ ЗАЩИТЫ ИНФОРМАЦИИ
1. Основными факторами, способствующими повышению уязвимости информации, являются: а) резкое увеличение объемов информации, накапливаемой, хранимой и обрабатываемой с помощью СВТ и других средств автоматизации; б) сосредоточение в единых базах данных информации различного назначения; в) резкое расширение круга пользователей, имеющих непосредственный доступ к ресурсам информационной системы и находящимся в ней данным; г) усложнение режимов функционирования технических средств вычислительных систем: широкое внедрение многопрограммного режима; д) автоматизация межмашинного обмена информацией, в том числе и на больших расстояниях. 2. Источники угроз безопасности информации подразделяются на внешние и внутренние. К внешним источникам относятся: - недружественная политика иностранных государств в области информационного мониторинга, распространения информации и новых информационных технологий; - деятельность иностранных разведывательных и специальных служб в сферах, относящихся к ведению Службы, направленная против ее интересов и интересов Российской Федерации в целом; - деятельность иностранных экономических структур, направленная против интересов Службы в частности и Российской Федерации в целом; - преступные действия международных групп, формирований и отдельных лиц; - стихийные бедствия и катастрофы. Внутренними источниками являются: - противозаконная деятельность политических, экономических и криминальных структур и отдельных лиц в области формирования, распространения и использования информации, направленная в т.ч. и на нанесение экономического ущерба государству; - неправомерные действия различных структур и ведомств, приводящие к нарушению законных прав работников и Службы в информационной сфере; - нарушения установленных регламентов сбора, обработки и передачи информации; - преднамеренные действия и непреднамеренные ошибки персонала автоматизированных систем, приводящие к утечке, уничтожению, искажению, подделке, блокированию, задержке, несанкционированному копированию информации; - отказы технических средств и сбои программного обеспечения в информационных и телекоммуникационных системах; - каналы побочных электромагнитных излучений и наводок технических средств обработки информации. 3. Способы воздействия угроз на объекты защиты информации подразделяются на информационные, аппаратно-программные, физические, радиоэлектронные и организационно-правовые. К информационным способам относятся: - нарушение адресности и своевременности информационного обмена; - несанкционированный доступ к информационным ресурсам; - незаконное копирование данных в информационных системах; - хищение информации из банков и баз данных; - нарушение технологии обработки информации. Аппаратно-программные способы включают: - внедрение компьютерных вирусов; - установку программных и аппаратных закладных устройств; - уничтожение или модификацию данных в информационных системах. Физические способы включают: - уничтожение или разрушение средств обработки информации и связи; - уничтожение, разрушение или хищение машинных или других оригиналов носителей информации; - хищение аппаратных или программных ключей и средств криптографической защиты информации; - воздействие на персонал; - поставку "зараженных" компонентов информационных систем. Радиоэлектронными способами являются: - перехват информации в технических каналах ее утечки; - внедрение электронных устройств перехвата информации в технические средства передачи информации и помещения; - перехват, дешифрование и внедрение ложной информации в сетях передачи данных и линиях связи; - воздействие на парольно-ключевые системы; - радиоэлектронное подавление линий связи и систем управления. Организационно-правовые способы включают: - закупки несовершенных или устаревших информационных технологий и компьютерных средств; - невыполнение требований законодательства Российской Федерации в информационной сфере; - неправомерное ограничение доступа к документам, содержащим важную для граждан и органов информацию.
Приложение N 3
(справочное)
КЛАССИФИКАЦИЯ ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА
```text ┌────────────────┐ │ ИНФОРМАЦИЯ │ └────────┬───────┘ ┌─────────────────────────┼───────────────────────────┐ │ │ │ ┌──────┴─────┐ ┌────────┴──────┐ ┌────────┴────┐ │ПО ВЛАДЕЛЬЦУ│ │ ПО СТЕПЕНИ │ │ПО СОДЕРЖАНИЮ│ │ │ │ СЕКРЕТНОСТИ │ │ │ └─┬──────────┘ └───────┬───────┘ └────────┬────┘ │ ┌─────┴─────────┐ │ │ ┌───────────┐ ┌─────┴─────┐ ┌──────┴──────┐ ┌────────┴───────┐ │ │ Органы │ │Государст- │ │Конфиденциа- │ │┌──────────────┐│ ├──┤ гос. │ │венная тай-│ │льная инфор- │ ││- в военной ││ │ │ власти │ │на: │ │мация: │ ││области; ││ │ └───────────┘ │сведения │ │- персональ- │ ││- в области ││ │ │- особой │ │ные данные; │ ││экономики, на-││ │ ┌───────────┐ │ важности;│ │- служебная │ ││уки и техники;││ │ │ Органы │ │- совершен-│ │тайна; │ ││- в области ││ ├──┤ местного │ │ но секре-│ │- коммерче- │ ││внешнеполит-ой││ │ │ самоупр-я │ │ тные; │ │ская тайна; │ ││деятельности; ││ │ └───────────┘ │- секретные│ │- тайна поч- │ ││- в области ││ │ └───────────┘ │товых отправ-│ ││разведки ││ │ ┌───────────┐ │лений; │ │└──────────────┘│ │ │ │ │- тайна теле-│ │┌──────────────┐│ ├──┤Организации│ │фонных пере- │ ││- деловая ││ │ │ │ │говоров; │ ││(коммерчес- ││ │ └───────────┘ │- тайна след-│ ││кая); ││ │ │ствия и судо-│ ││- сведения о ││ │ ┌───────────┐ │производства;│ ││гражданах; ││ │ │ Обществ. │ │- врачебная │ ││- банковская ││ ├──┤объединения│ │тайна; │ ││тайна ││ │ │ │ │- нотариаль- │ │└──────────────┘│ │ └───────────┘ │ная тайна; │ └────────────────┘ │ │- адвокатская│ │ ┌───────────┐ │тайна; │ │ │ │ │- сведения о │ └──┤ Граждане │ │сущности изо-│ │ │ │бретения, │ └───────────┘ │промышленного│ │образца до │ │офиц-й пуб- │ │ликации инфо-│ │рмации о них │ └─────────────┘ ```
Приложение N 4
(обязательное)
ОБЩИЕ ТРЕБОВАНИЯ
К ПОРЯДКУ РАБОТЫ ПОЛЬЗОВАТЕЛЕЙ И ОСУЩЕСТВЛЕНИЮ
КОНТРОЛЯ СО СТОРОНЫ РУКОВОДИТЕЛЕЙ СТРУКТУРНЫХ ПОДРАЗДЕЛЕНИЙ
ЗА ИХ ДЕЙСТВИЯМИ В КОМПЬЮТЕРНЫХ И ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЯХ
ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ЭКОЛОГИЧЕСКОМУ, ТЕХНОЛОГИЧЕСКОМУ
И АТОМНОМУ НАДЗОРУ
1. Пользователь обязан: - знать правила работы в ЛВС и принятые меры по защите ресурсов ЛВС (в части, его касающейся); - при работе на своей рабочей станции (ПЭВМ) и в ЛВС выполнять только служебные задания; - работать в сети только в разрешенный период времени; - убедиться в исправности своей рабочей станции, отсутствии "вирусов"; - при сообщениях тестовых программ о появлении "вирусов" немедленно прекратить работу, доложить администратору сети (безопасности) и руководителю своего подразделения; - в случае необходимости использования гибких магнитных носителей (дискет), поступивших из других подразделений, учреждений, предприятий и организаций, прежде всего, провести проверку этих носителей на отсутствие "вирусов"; - при решении задач с защищаемой информацией использовать только учтенные в установленном порядке магнитные носители (дискеты и т.п.); - выполнять предписания администратора сети (безопасности); - представлять для контроля свою рабочую станцию руководителю подразделения, администратору сети (безопасности) и специалисту по защите информации; - выполнять требования организационно-распорядительных документов по применению рабочих станций сети и ЛВС; - сохранять в тайне свой индивидуальный пароль, не сообщать его другим лицам, даже если это должностное лицо; - вводить пароль и другие учетные данные, убедившись, что клавиатура находится вне поля зрения других лиц; - периодически в установленном порядке изменять пароль; - при обнаружении различных неисправностей в работе компьютерной техники или ЛВС, недокументированных свойств в программном обеспечении, нарушений целостности пломб (наклеек), нарушении или несоответствии номеров печатей на аппаратных средствах немедленно сообщить в подразделение, осуществляющее эксплуатацию средств информатизации (администратору сети), и поставить в известность руководителя подразделения. 2. Пользователю при работе запрещается: - играть в компьютерные игры; - приносить различные компьютерные программы и пытаться установить их на локальный диск компьютера без уведомления специалистов подразделения, осуществляющего эксплуатацию средств информатизации (администратора сети); - перенастраивать программное обеспечение компьютера; - самостоятельно вскрывать комплектующие рабочей станции; - запускать на своей рабочей станции или другой рабочей станции сети любые системные или прикладные программы, кроме установленных специалистами отдела информатизации (администратором сети); - передавать свой пароль другим лицам, фиксировать свои учетные данные (пароли, идентификаторы и др.) на твердых носителях; - изменять или копировать файл, принадлежащий другому пользователю, не получив предварительно разрешения владельца файла; - оставлять включенной без присмотра свою рабочую станцию, не активизировав средства защиты от несанкционированного доступа (временную блокировку экрана и клавиатуры); - оставлять без личного присмотра на рабочем месте или где бы то ни было свое персональное устройство идентификации (при наличии), машинные носители и распечатки, содержащие конфиденциальную информацию; - допускать к подключенной в сеть рабочей станции посторонних лиц; - использовать неучтенные магнитные носители информации при работе с конфиденциальной информацией; - производить копирование защищаемой информации на неучтенные носители информации (в том числе и для временного хранения информации); - работать на рабочей станции сети с защищаемой информацией при обнаружении неисправностей; - умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты информации, которые могут привести к утечке, блокированию, искажению или утере информации; - отсылать по электронной почте информацию личного или коммерческого характера для решения личных проблем, а также информацию по просьбе третьих лиц без согласования с руководством подразделения; - запрашивать и получать из сети "Интернет" материалы развлекательного характера (игры, клипы и т.д.), кроме случаев их специального использования в служебных целях (только по согласованию с руководством подразделения); - запрашивать и получать из сети "Интернет" программные продукты, кроме случаев, связанных с производственной необходимостью. При этом необходимо согласование руководителя структурного подразделения и обеспечение процесса техническим специалистом отдела информатизации. 3. Возможность пользователей входить в другие компьютерные системы через сеть не дает им права на подключение к этим системам и на их использование, если на то не получено специальное разрешение со стороны операторов этих систем. 4. Пользователь несет персональную ответственность за соблюдение установленных требований во время работы в ЛВС и по защите информации. 5. Руководители структурных подразделений обязаны: - готовить к утверждению списки работников (пользователей ЛВС), которых по своим должностным обязанностям необходимо допустить к работе с защищаемой информацией; - контролировать целевое использование работниками ресурсов сети "Интернет"; - проводить разбирательство по информации администратора сети (безопасности, работника по защите информации) по фактам несоблюдения пользователями инструкции при работе с электронной почтой и других нарушений, установленных для работы в ЛВС, а также нарушений требований защиты информации; - выборочно, лично или через своих заместителей контролировать исходящую информацию, направляемую пользователями по электронной почте другим адресатам; - контролировать выполнение пользователями изложенных выше правил работы; - при обнаружении нарушений установленных требований по защите информации, в результате которых вскрыты факты разглашения конфиденциальной информации либо имелась или имеется реальная возможность ее утечки по техническим каналам, прекратить работы на рабочем месте, где обнаружены нарушения, доложить вышестоящему руководителю и поставить в известность руководителя МТОИЗИ.
Приложение N 5
(рекомендуемое) Одобрено
решением Гостехкомиссии России
от 14 марта 1995 г. N 32
**ТИПОВОЕ ПОЛОЖЕНИЕ**
**О ПОДРАЗДЕЛЕНИИ ПО ЗАЩИТЕ ИНФОРМАЦИИ ОТ ИНОСТРАННЫХ**
**ТЕХНИЧЕСКИХ РАЗВЕДОК И ОТ ЕЕ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ**
**НА ПРЕДПРИЯТИИ (В УЧРЕЖДЕНИИ, ОРГАНИЗАЦИИ)** 1. Общие положения
#### 1.1 Настоящее Положение определяет основные цели, функции, права подразделения по защите информации от иностранных технических разведок и от ее утечки по техническим каналам (далее именуется подразделение по защите информации) в __________________ _________________________________________________________________. (наименование предприятия (учреждения, организации)) 1.2. Подразделение по защите информации создается на основании Положения о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам, утвержденного Постановлением Совета Министров - Правительства Российской Федерации от 15 сентября 1993 г. N 912-51. 1.3. Подразделение по защите информации является самостоятельным структурным подразделением. Штатная численность подразделения по защите информации и его структура определяются руководителем предприятия (учреждения, организации). Примечание: в зависимости от объема работ по защите информации руководителем предприятия (учреждения, организации) может быть создано структурное подразделение по защите информации либо назначаются штатные специалисты по этим вопросам; подразделение по защите информации может входить по усмотрению руководителя предприятия (учреждения, организации) в состав одного из технических, научно-технических подразделений или в состав службы безопасности предприятия (учреждения, организации). #### 1.4 Непосредственное руководство работой подразделения по защите информации осуществляет ___________________________________ (должность заместителя __________________________________________________________________ руководителя предприятия (учреждения, организации), _________________________________________________________________. ответственного за защиту информации) Назначение и освобождение от должности руководителя подразделения по защите информации производится руководителем предприятия (учреждения, организации) по согласованию с вышестоящей организацией, курирующей вопросы защиты информации. 1.5. Подразделение по защите информации комплектуется инженерно-техническими кадрами, имеющими опыт работы по основной деятельности предприятия (учреждения, организации) или в области защиты информации и отвечающими требованиям квалификационных характеристик на специалистов по комплексной защите информации. Работники подразделения (штатные специалисты) приравниваются по оплате труда, льготам и премированию к соответствующим категориям работников основных структурных подразделений. Работникам подразделения по защите информации выплачиваются процентные надбавки к должностному окладу должностных лиц и граждан, допущенных к государственной тайне, установленные Постановлением Правительства Российской Федерации от 14 октября 1994 г. N 1161. 1.6. Подразделение по защите информации свою работу проводит в тесном взаимодействии с научными, производственными и режимно-секретными подразделениями предприятия (учреждения, организации), представителями территориальных органов ФСК, ФАПСИ, Гостехкомиссии России и военными представительствами на предприятии (в учреждении, организации). 1.7. Работа подразделения по защите информации проводится в соответствии с планами работ. На подразделение по защите информации запрещается возлагать задачи, не связанные с его деятельностью. 1.8. Подразделение по защите информации при выполнении работ, связанных с защитой информации применительно к конкретным НИОКР, производственным заказам или программам испытаний, может являться соисполнителем этих работ на договорной основе. 1.9. Для выполнения возложенных задач подразделение по защите информации обеспечивается необходимыми производственными помещениями, вычислительной техникой, контрольно-измерительной аппаратурой и расходными материалами. 1.10. Подразделение по защите информации в своей деятельности руководствуется требованиями Положения о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам, нормативно-технических документов по противодействию иностранным техническим разведкам, приказами, указаниями вышестоящих органов по защите информации и другими руководящими документами в области защиты информации.
2. Основные функции подразделения по защите информации
2.1. Планирование работ по защите информации на предприятии (в учреждении, организации), предусматривающее задачи научным и производственным подразделениям по решению конкретных вопросов по защите информации, организацию их выполнения, а также контроль за их эффективностью. 2.2. Участие в подготовке предприятия (учреждения, организации) к аттестованию на право проведения работ с использованием сведений, отнесенных к государственной тайне. 2.3. Организация разработки нормативно-методических документов по защите информации на предприятии (в учреждении, организации). 2.4. Согласование мероприятий по защите информации для рабочих мест, на которых проводятся работы с использованием сведений, отнесенных к государственной тайне. #### 2.5 Определение: демаскирующих признаков предприятия (учреждения, организации) и выпускаемой продукции; видов и средств иностранной технической разведки, которые позволяют получить сведения о деятельности предприятия (учреждения, организации); технических каналов утечки информации; возможности несанкционированного доступа к информации, ее разрушения (уничтожения) или искажения и разработка соответствующих мер по защите информации. 2.6. Разработка (самостоятельно или совместно с режимными органами и другими подразделениями) проектов распорядительных документов по вопросам организации защиты информации на предприятии. 2.7. Организация в соответствии с нормативно-техническими документами специальных проверок и проведение аттестования рабочих мест, стендов, вычислительных комплексов (средств) и т.д. и выдача предписания на право проведения на них работ с секретной информацией (при наличии лицензии). 2.8. Разработка предложений по совершенствованию системы защиты информации на предприятии (в учреждении, организации). 2.9. Разработка совместно с другими основными подразделениями Руководства по защите информации на предприятии (в учреждении, организации). 2.10. Разработка совместно с представителем заказчика комплекса мероприятий по защите государственной тайны при установлении и осуществлении научно-технических и торгово-экономических связей с зарубежными фирмами, а также при посещении предприятия (учреждения, организации) иностранными представителями. 2.11. Участие в разработке легенды прикрытия оборонных работ, технических методов и способов ее подтверждения и контроль реализации мероприятий по их внедрению. 2.12. Участие в разработке требований по защите информации при проведении исследований, при разработке (модернизации), испытаниях, производстве и эксплуатации отдельных образцов выпускаемой продукции (в том числе вооружения и военной техники), а также при проектировании, строительстве (реконструкции) и эксплуатации объектов предприятия (учреждения, организации). 2.13. Участие в согласовании ТЗ (ТТЗ) на проведение работ, содержащих сведения, отнесенные к государственной или служебной тайне. 2.14. Участие в создании (совершенствовании) системы защиты информации на полигонах (испытательных базах) предприятия (учреждения, организации). 2.15. Проведение периодического контроля эффективности мер защиты информации на предприятии (в учреждении, организации). Учет и анализ результатов контроля. 2.16. Участие в расследовании нарушений в области защиты информации на предприятии (в учреждении, организации) и разработка предложений по устранению недостатков и предупреждению подобного рода нарушений. 2.17. Подготовка отчетов о состоянии работ по защите информации на предприятии (в учреждении, организации). 2.18. Организация проведения занятий с руководящим составом и специалистами предприятия (учреждения, организации) по вопросам защиты информации.
3. Права подразделения по защите информации
Подразделение по защите информации имеет право: 3.1. Запрашивать и получать необходимые материалы для организации и проведения работ по вопросам защиты информации. 3.2. Готовить предложения о привлечении к проведению работ по защите информации на договорной основе предприятия (учреждения, организации), имеющего лицензию на соответствующий вид деятельности. #### 3.3 Контролировать деятельность любого структурного подразделения ____________________________________________________ (наименование предприятия (учреждения, организации)) по выполнению требований по защите информации. 3.4. Участвовать в работе технических комиссий предприятий при рассмотрении вопросов по защите информации. 3.5. Вносить предложения руководителю предприятия (учреждения, организации) о приостановке работ в случае обнаружения утечки (или предпосылок к утечке) информации, содержащей сведения, отнесенные к государственной или служебной тайне. 3.6. Получать установленным порядком лицензии на выполнение работ по защите информации и при ее получении оказывать услуги в этой области другим предприятиям (учреждениям, организациям).
4. Финансирование подразделения по защите информации
#### 4.1 Финансирование подразделения по защите информации предусматривается в смете расходов _______________________________ __________________________________________________________________ (наименование предприятия (учреждения, организации)) __________________________________ и осуществляется за счет: средств основной деятельности ________________________________ _________________________________________________________________; (наименование предприятия (учреждения, организации)) средств, выделяемых на выполнение НИОКР или заказов на производство вооружения, военной техники и других работ по оборонной тематике; выполнения подразделением договорных работ с другими предприятиями (учреждениями, организациями).
Приложение N 6
(справочное)
ПРЕСТУПЛЕНИЯ В СФЕРЕ ЗАЩИТЫ ИНФОРМАЦИИ Уголовный кодекс Российской Федерации
от 13 июня 1996 г. N 63-ФЗ
(выписка с комментариями)
### Статья 183. Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну 1. Собирание сведений, составляющих коммерческую, налоговую, банковскую тайну, путем похищения документов, подкупа или угроз, а равно иным способом, - наказывается штрафом в размере от ста до двухсот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от одного до двух месяцев либо лишением свободы на срок до двух лет. 2. Незаконные разглашение или использование сведений, составляющих коммерческую, налоговую, банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе, - наказываются штрафом в размере от ста до двухсот минимальных размеров оплаты труда с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет либо лишением свободы на срок до трех лет. 3. Те же деяния, причинившие крупный ущерб или совершенные из корыстной заинтересованности, - наказываются штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет либо лишением свободы на срок до пяти лет. 4. Деяния, предусмотренные частями второй или третьей настоящей статьи, повлекшие тяжкие последствия, - наказываются лишением свободы на срок до десяти лет.