Постановление № 56-8 Межпарламентской Ассамблеи государств — участников СНГ

«О Рекомендациях для государств — участников СНГ по вопросам профилактики и пресечения нарушений в области информационно-коммуникационных технологий»

(Принято в г. Бишкеке 17.11.2023)

Рассмотрев представленный Постоянной комиссией МПА СНГ по вопросам обороны и безопасности проект Рекомендаций для государств — участников СНГ по вопросам профилактики и пресечения нарушений в области информационно-коммуникационных технологий, Межпарламентская Ассамблея постановляет:

1. Принять Рекомендации для государств — участников СНГ по вопросам профилактики и пресечения нарушений в области информационно-коммуникационных технологий (прилагаются).

2. Направить указанные рекомендации в парламенты государств — участников Межпарламентской Ассамблеи СНГ и рекомендовать для использования в национальном законодательстве.

1. Общие положения

Целью настоящих Рекомендаций (далее — Рекомендации) является гармонизация процедур организационного, правового и управленческого характера в сфере профилактики и пресечения нарушений, возникающих при функционировании и использовании инфраструктуры информационно-коммуникационных технологий в государствах — участниках СНГ, в интересах обеспечения взаимодействия данных государств в указанной области.

Рекомендации могут применяться к отношениям, возникающим в связи с обеспечением целостности, непрерывности и безопасности процессов использования информационно-коммуникационных технологий. Вопросы, связанные с профилактикой и пресечением нарушений в работе сетей критической информационной инфраструктуры, могут регулироваться специальными нормативными правовыми актами.

В Рекомендациях используются следующие термины и понятия:

информационная безопасность — состояние сетей электросвязи и информационных систем, характеризуемое способностью обеспечивать их защиту от нарушений;

информационная система — автоматизированный (в том числе цифровой) информационный ресурс или совокупность таких ресурсов, под которыми понимается любая обособленная совокупность информационных продуктов (представления информации в конкретно организованной форме и конкретном виде);

информационно-коммуникационные технологии (информационно-телекоммуникационные технологии) — технологические системы (технические и программные средства и инструменты), предназначенные для оборота информации, то есть ее создания, накопления, хранения, модификации, распространения и предоставления, включая сети электросвязи и информационные системы;

информация — любые сведения, сообщения и (или) данные, независимо от формы их предоставления (в том числе о лицах, предметах, фактах, событиях, явлениях и процессах), которые могут быть физически зафиксированы на материальных носителях или отображены в электронном виде;

защита информации при использовании информационно-коммуникационных технологий — совокупность правовых, организационных, программных, информационных, технических и иных мер, направленных на профилактику и пресечение нарушений;

нарушение — событие, характеризующееся возникновением угрозы надлежащему функционированию сети электросвязи и (или) информационной системы либо фактом ненадлежащего функционирования сети электросвязи и (или) информационной системы, в том числе содержащее факт либо создающее условия для незаконных получения, копирования, распространения, модификации, уничтожения или блокирования информации, а равно ненадлежащих передачи, получения и (или) хранения информации посредством сети электросвязи и (или) в информационной системе;

оператор системы информационно-коммуникационных технологий (оператор) — лицо, оказывающее услуги электросвязи либо использования информационной системы на основании и в соответствии с действующим законодательством;

сеть критической информационной инфраструктуры — сеть электросвязи и (или) информационная система, используемые исключительно в целях защиты территориальной целостности, суверенитета и безопасности государства, предотвращения чрезвычайных ситуаций и ликвидации их последствий, а равно в иных интересах государства, определенных национальным законодательством и имеющих соответствующий статус в национальном законодательстве;

сеть электросвязи — технологическая система, предназначенная для передачи информации посредством электросвязи, в том числе в цифровой форме, независимо от типа передаваемой информации;

средства связи — технические и программные средства, используемые для формирования, приема, обработки, хранения, передачи, доставки сообщений электросвязи, а также иные технические и программные средства, используемые при оказании услуг связи или обеспечении функционирования сетей связи, включая технические системы и устройства с измерительными функциями;

субъекты информационных отношений — физические и юридические лица, участвующие в процессах создания, модификации, обработки, передачи, распространения, получения и (или) потребления информации;

угроза информационной безопасности — фактор или совокупность факторов, порождающие нарушение либо возможность нарушения;

уполномоченный орган в сфере профилактики и пресечения нарушений (уполномоченный орган) — орган государственной власти, на который национальным законодательством возложены функции контроля (надзора) за информационной безопасностью в сфере информационно-коммуникационных технологий, руководство и межотраслевая координация в области профилактики и предотвращения нарушений;

услуга пользования информационно-коммуникационными технологиями — деятельность по приему, обработке, хранению, передаче, доставке информации посредством информационно-коммуникационных технологий;

электросвязь — любые излучение, передача или прием знаков, сигналов, голосовой информации, письменного текста, изображений, звуков или сообщений любого рода по радиосистеме, проводной, оптической и другим электромагнитным системам, включая цифровые информационно-телекоммуникационные системы.

2. Виды нарушений и действий по профилактике и пресечению нарушений

Рекомендуется учитывать следующую типологию нарушений:

• программные нарушения, вызванные нештатным, несанкционированным или вредоносным функционированием компьютерных программ, в том числе внешним воздействием на работоспособность инфраструктуры и информационных систем и на целостность и неприкосновенность информации;
• организационные нарушения, вызванные действиями физических лиц (в том числе сотрудников государственных и муниципальных (местных) органов, иных организаций) в сфере информационно-коммуникационных технологий по причине прямого или косвенного умысла, небрежности или неосторожности;
• технические нарушения, вызванные выходом или выводом из строя технической инфраструктуры;
• юридические нарушения, вызванные недостаточностью либо избыточностью правового регулирования, иными юридическими факторами (в том числе фактором недобросовестного правоприменения со стороны уполномоченных органов), оказавшими негативное влияние на функционирование отдельных систем информационно-коммуникационных технологий.

Субъектами профилактики и пресечения нарушений, а также иными субъектами среды информационно-коммуникационных технологий может использоваться следующая классификация нарушений по объекту воздействия угроз и по характеру:

• программно-технические нарушения, направленные на вывод из строя инфраструктуры передачи информации, в том числе информационных систем, при помощи вредоносного программного обеспечения либо нештатного функционирования иного программного обеспечения;
• контентные нарушения, затрагивающие целостность, неприкосновенность, немодифицированность, подлинность и достоверность информации, общественную безопасность в информационном пространстве, в том числе хищение информации, несанкционированная модификация информации, распространение заведомо ложной информации, совершение преступлений в сфере информации путем обмана или злоупотребления доверием;
• гибридные нарушения, содержащие элементы программно-технических и контентных угроз.

Для дополнительной классификации могут использоваться также следующие виды (подвиды):

• экономические нарушения, направленные на манипуляции с денежными средствами и иными материальными и финансовыми активами;
• коммуникационные преступления и правонарушения, связанные с недопустимым характером коммуникации (вовлечение в совершение преступления, клевета и оскорбление, обман и злоупотребление доверием).

В Рекомендациях предлагаются следующие виды действий по профилактике и пресечению нарушений:

• организационные действия, то есть создание и обеспечение функционирования структур, предметом деятельности которых являются профилактика и пресечение нарушений, установление регламента работы таких структур, а также порядка их взаимодействия между собой и с иными субъектами информационных правоотношений;
• юридические действия, то есть формирование правовой базы для профилактики и пресечения нарушений, а также непрерывного и безопасного функционирования информационно-коммуникационных технологий, в том числе в части эффективного взаимодействия и обмена информацией между субъектами информационных правоотношений, в целях профилактики, выявления, пресечения, ликвидации последствий нарушений, поддержание актуальности правовой базы (ее соответствия актуальной ситуации в сфере безопасности функционирования информационно-коммуникационных технологий), гармонизация национальных законодательств в рамках СНГ;
• программные и технические действия, то есть непосредственные технические и программные процедуры, регламенты и действия субъектов информационных правоотношений, включая специально указанные в Рекомендациях, направленные на профилактику, выявление, пресечение, ликвидацию последствий нарушений, а также процедуры, нацеленные на обеспечение безопасности технической инфраструктуры.

3. Юридические меры в сфере профилактики и пресечения нарушений

Законодательство в сфере профилактики и пресечения нарушений в области информационно-коммуникационных технологий должно состоять из национального закона, регулирующего вопросы профилактики и пресечения нарушений, а также иных национальных законов и принимаемых в соответствии с ними нормативно-правовых актов, в том числе регулирующих функционирование специальных сегментов информационно-коммуникационных технологий (критической информационной инфраструктуры, государственных и муниципальных (местных) информационных систем и т.п.) и отдельные виды информационных правоотношений (обработку данных, в частности персональных, использование отдельных видов оборудования, программных средств и инфраструктуры и т.п.).

Рекомендуется наличие в национальном законодательстве положений об уголовной, административной и гражданской ответственности за нарушения в сфере информационно-коммуникационных технологий, а также введение конкретных норм, устанавливающих такую ответственность, в случаях, если существующие нормы не охватывают отдельные нарушения, с учетом принципов разумности и соразмерности наказания.

В национальном законодательстве рекомендуется принимать во внимание нормы модельного законодательства для государств — участников СНГ в части регулирования (гармонизации) соответствующих видов правоотношений.

Регулирование отношений в сфере профилактики и пресечения нарушений рекомендуется основывать на следующих принципах:

• соблюдения прав, свобод и законных интересов физических и юридических лиц — субъектов информационных отношений в сфере информационно-коммуникационных технологий, то есть пользователей и операторов сетей электросвязи и (или) информационных систем;
• законности;
• свободы использования информационно-коммуникационных технологий в соответствии с национальным законодательством;
• учета сложившихся правил использования информационно-коммуникационных технологий, в том числе морально-этических норм, если таковые не противоречат закону и не влекут за собой нарушение прав, свобод и законных интересов субъектов информационных отношений;
• приоритета ответственности регулятора и оператора сети электросвязи и информационной системы в сфере профилактики и пресечения нарушений;
• обеспечения безопасности личности, общества и государства при использовании информационно-коммуникационных технологий;
• обеспечения централизованного управления процессами защиты информации от нарушений, угрожающих целостности и безопасности функционирования национальной инфраструктуры информационно-коммуникационных технологий, а также критической информационной инфраструктуры;
• обеспечения своевременного обмена информацией о возможных и имевших место нарушениях в целях их профилактики и пресечения между соответствующими субъектами процесса профилактики и пресечения нарушений.

Рекомендуется предусмотреть в национальном законодательстве в качестве цели создание условий для развития отрасли информационно-коммуникационных технологий и добросовестной конкуренции в ней.

Рекомендуется установить в национальном законодательстве обязанность операторов, а также субъектов организационных мер профилактики и пресечения нарушений раскрывать информацию о нарушениях, затронувших права пользователей информационно-коммуникационных технологий, в том числе нарушениях целостности и неприкосновенности информации (включая персональные данные), в объеме сообщения о факте нарушения, причиненном ущербе и сроках либо факте восстановления функционирования объекта инфраструктуры (информационной системы).

4. Организационные меры в сфере профилактики и пресечения нарушений

Организационные меры в сфере профилактики и пресечения нарушений должны предусматривать создание системы профилактики и пресечения нарушений, то есть наличие группы государственных органов, иных организаций и (или) структурных подразделений, осуществляющих деятельность по профилактике и пресечению нарушений; установление эффективного системного взаимодействия между ними, в том числе оперативного обмена информацией, имеющей отношение к выявлению, пресечению и ликвидации последствий нарушений, а также к их профилактике; обеспечение надлежащего уровня компетенций специалистов системы профилактики и пресечения нарушений.

Рекомендуется включить в национальную систему профилактики и пресечения нарушений следующие органы (организации):

• уполномоченный орган в сфере профилактики и пресечения нарушений;
• структурное подразделение уполномоченного органа, осуществляющее деятельность в части содействия непосредственному пресечению нарушений;
• служба реагирования на нарушения (CERT);
• отраслевой центр профилактики и пресечения нарушений.

Также в систему профилактики и пресечения нарушений входят структурные подразделения субъектов информационных правоотношений (операторов системы информационно-коммуникационных технологий), ответственные за непрерывность, целостность и безопасность функционирования таких субъектов в части оборота информации.

В национальном законодательстве рекомендуется предусмотреть следующие права, полномочия и обязанности уполномоченного органа в сфере профилактики и пресечения нарушений:

• обеспечение реализации государственной политики в сфере информационной безопасности, профилактики и пресечения нарушений;
• разработка единых требований в области профилактики и пресечения нарушений с учетом требований национального законодательства;
• разработка перечня критически важных объектов информационно-коммуникационной инфраструктуры (критической информационной инфраструктуры), а также правил и критериев отнесения объектов информационно-коммуникационной инфраструктуры к критической информационной инфраструктуре;
• утверждение методики и правил проведения испытаний объектов, отнесенных к критической информационной инфраструктуре, на соответствие требованиям защищенности сети электросвязи (информационной системы) и ее отдельных элементов от нарушений;
• утверждение правил проведения мониторинга защищенности сети электросвязи (информационной системы) и ее отдельных элементов от нарушений, в том числе правил проведения мониторинга информационной инфраструктуры органов государственной власти и местного самоуправления в соответствии с национальным законодательством (по согласованию с уполномоченным органом в сфере государственной безопасности, если такое согласование предусмотрено национальным законодательством);
• утверждение правил контроля (надзора) за исполнением единых требований в сфере профилактики и пресечения нарушений;
• осуществление контроля (надзора) за исполнением единых требований в сфере профилактики и пресечения нарушений;
• координация деятельности по разработке средств защиты информации в части обнаружения, анализа и предотвращения нарушений, угрожающих информационной безопасности, для обеспечения устойчивого функционирования сетей электросвязи и информационных систем (включая сети электросвязи и информационные системы органов государственной власти);
• выдача установленных национальным законодательством документов по результатам испытаний на соответствие сети электросвязи (информационной системы) и ее отдельных элементов требованиям защищенности от нарушений;
• направление для исполнения соответствующих предписаний при выявлении ненадлежащего исполнения требований в сфере защищенности сети электросвязи (информационной системы) и ее отдельных элементов от нарушений;
• координация деятельности по управлению сетями электросвязи (информационными системами) либо управления сетями электросвязи (информационными системами), в том числе национальной информационной инфраструктурой, при чрезвычайных ситуациях социального, природного и техногенного характера, во время чрезвычайного или военного положения, включая организационные меры по пресечению распространения информации или доступа к информации, распространение которой прямо угрожает безопасности общества и государства в условиях чрезвычайной ситуации, чрезвычайного или военного положения;
• организация содействия собственникам, владельцам и пользователям сетей электросвязи и информационных систем в вопросах безопасного использования информационно-коммуникационных технологий, включая предотвращение неправомерных действий по получению, копированию, распространению, модификации, уничтожению или блокированию информации;
• разработка в соответствии с национальным законодательством инструкций по реагированию и планов реагирования на нарушения;
• утверждение профилей защиты и методики разработки профилей защиты;
• утверждение правил обмена информацией, необходимой для профилактики и пресечения нарушений, между субъектами информационной инфраструктуры;
• разработка и утверждение правил сертификации средств защиты информации и средств профилактики и пресечения нарушений, если национальным законодательством данная обязанность не возложена на иной уполномоченный орган государственной власти, а также разработка и утверждение перечня сертифицированных средств защиты информации и средств профилактики и пресечения нарушений;
• осуществление иных полномочий в сфере профилактики и пресечения нарушений, предусмотренных национальным законодательством.

В составе уполномоченного органа рекомендуется сформировать структурное подразделение, осуществляющее деятельность в части содействия непосредственному пресечению нарушений.

Такое структурное подразделение может иметь следующие функции:

• деятельность по обнаружению, оценке, прогнозированию, локализации, нейтрализации и профилактике нарушений при установлении технической возможности для осуществления указанной деятельности;
• принятие мер по минимизации угроз информационной безопасности, возникших в результате нарушения, незамедлительное информирование оператора сети электросвязи и (или) информационной системы, а также уполномоченного органа о факте нарушения;
• мониторинг обеспечения информационной безопасности объектов критической информационной инфраструктуры, а также государственных информационных ресурсов, если данная функция не возложена национальным законодательством на иной орган государственной власти;
• обмен информацией, необходимой для обеспечения информационной безопасности, профилактики и пресечения нарушений, между субъектами информационной инфраструктуры и иными уполномоченными органами государственной власти (включая правоохранительные органы);
• сбор, накопление, анализ и хранение сведений о нарушениях;
• предоставление собственникам и операторам объектов критической информационной инфраструктуры информации, необходимой для обеспечения состояния защищенности сетей электросвязи и информационных систем от нарушений, в том числе информации об угрозах безопасности, уязвимости программного обеспечения, оборудования и технологий, способах реализации угроз информационной безопасности, предпосылках возникновения нарушений, а также методах их предупреждения и ликвидации их последствий;
• обеспечение сохранности информации с ограниченным доступом, ставшей известной указанному подразделению при осуществлении его деятельности (в случае нарушения, связанного с несоблюдением сохранности такой информации указанным структурным подразделением, виновные сотрудники подразделения несут установленную законом ответственность).

Применение указанным структурным подразделением специальных технических средств, используемых в ходе оперативно-розыскной деятельности, может осуществляться в случае отнесения уполномоченного органа к субъектам оперативно-розыскной деятельности в соответствии с национальным законодательством.

Рекомендуется организация Службы реагирования на нарушения (CERT), которая может осуществлять следующие функции:

• мониторинг сетей электросвязи и (или) информационных систем на предмет их надлежащего функционирования и наличия нарушений;
• осуществление взаимодействия с уполномоченным органом и иными органами государственной власти в сфере профилактики и пресечения нарушений, в том числе в условиях чрезвычайной ситуации, чрезвычайного или военного положения;
• контроль за исполнением сотрудниками операторов требований (в том числе локальных нормативных актов), направленных на профилактику и пресечение нарушений;
• выявление нарушений, осуществление сбора и анализа информации о нарушениях;
• принятие мер по быстрому и качественному устранению нарушений (самостоятельно или путем координации деятельности работников других структурных подразделений оператора), содействие максимально возможному восстановлению работоспособности информационной системы в период устранения нарушения;
• сбор и анализ информации о нарушениях и попытках нарушений, актуальных угрозах информационной безопасности, разработка и предоставление рекомендаций по устранению таких нарушений и угроз;
• исследование совместно с другими уполномоченными структурными подразделениями оператора имевших место в сети электросвязи или в информационной системе нарушений;
• информирование собственников и владельцев сети электросвязи и информационной системы, а также уполномоченного органа о ставших известными нарушениях, в том числе повлекших за собой угрозу информационной безопасности;
• взаимодействие с другими структурными подразделениями оператора в части привлечения к дисциплинарной ответственности сотрудников, по вине которых произошло либо могло произойти нарушение;
• разработка программ и организация мероприятий по повышению квалификации и осведомленности сотрудников оператора в части профилактики и пресечения нарушений;
• взаимодействие с иными операторами в части обмена информацией в сфере профилактики и пресечения нарушений.

Национальным законодательством могут быть предусмотрены отраслевые центры профилактики и пресечения нарушений для отдельных отраслей экономической и хозяйственной деятельности, а также для отдельных отраслей в сфере связи и информации.

Объем функций уполномоченного органа и службы реагирования на нарушения, которые могут выполняться отраслевым центром профилактики и пресечения нарушений, должен быть определен национальным законодательством.

5. Программные и организационно-технические меры в сфере профилактики и пресечения нарушений

В национальном законодательстве рекомендуется предусмотреть:

• положения, устанавливающие требования к программам и программным комплексам, используемым различными субъектами информационных правоотношений для профилактики, выявления, пресечения и ликвидации последствий нарушений;
• обязанность отдельных субъектов информационных правоотношений осуществлять резервное копирование и хранение информации (отдельных видов информации), а также порядок такого копирования и хранения в целях оперативного восстановления деятельности систем информационно-коммуникационных технологий после ликвидации последствий нарушений, обеспечения гарантий целостности и немодифицированности хранимой информации. Законодатель может устанавливать требования к хранению информации в рамках национальной юрисдикции.

В отношении объектов капитальной инфраструктуры информационно-коммуникационных технологий, в том числе критической информационной инфраструктуры, рекомендуется включить в национальное законодательство нормы, предусматривающие осуществление охраны и контроля доступа, в том числе к инфраструктуре управления, а также контроля состояния сети электросвязи (информационной системы). Организация охраны и контроля доступа осуществляется в соответствии с национальным законодательством.

Национальное законодательство может предусматривать:

• обязательную или добровольную национальную государственную сертификацию сетей электросвязи, информационных систем, средств связи, иного оборудования, используемого для надлежащего функционирования сетей электросвязи и информационных систем, программных и программно-технических средств, средств профилактики и пресечения нарушений, а также работ в сфере информационно-коммуникационных технологий, услуг пользования информационно-коммуникационными технологиями, операторов систем информационно-коммуникационных технологий и организаций, допущенных к выполнению работ и (или) оказанию услуг для надлежащего функционирования информационно-коммуникационных технологий. При этом национальное законодательство также может предусматривать признание результатов сертификации, проведенной в других государствах, а равно разрешать использование межгосударственных и (или) международных норм и стандартов в части профилактики и пресечения нарушений. Национальным законодательством должна быть установлена ответственность за неисполнение установленных требований к сертификации;
• обязательную или добровольную регистрацию средств связи и их отдельных видов в целях профилактики нарушений. Перечень таких средств связи и порядок их регистрации, а также снятия с регистрации устанавливаются уполномоченным органом либо иным органом государственной власти в соответствии с национальным законодательством.

6. Иные меры по профилактике и пресечению нарушений

Рекомендуется предусмотреть в национальном законодательстве об образовании программы подготовки специалистов в сфере профилактики и пресечения нарушений, а также обеспечить подготовку таких специалистов в количестве, достаточном для удовлетворения потребности отрасли информационно-коммуникационных технологий и государственных и муниципальных (местных) органов в эффективной деятельности в сфере информационно-коммуникационных технологий.

Для обеспечения должного уровня профессиональных компетенций таких специалистов рекомендуется обеспечивать их переподготовку (например, в форме курсов повышения квалификации), а также оперативно вносить изменения в программы их подготовки и переподготовки в соответствии с актуальной ситуацией в части нарушений в сфере информационно-коммуникационных технологий. Для подготовки таких курсов и проведения обучения могут привлекаться специалисты в сфере информационно-коммуникационных технологий.

Для отдельных видов организаций и их структурных подразделений могут устанавливаться периодические аттестации в целях подтверждения уровня профессиональных компетенций и их соответствия актуальной ситуации в сфере нарушений.

Функции администратора национального домена (национальных доменов) в сети Интернет могут исполняться уполномоченным органом в сфере профилактики и пресечения нарушений либо иной организацией. Рекомендуется установить соответствие полномочий такой организации в части профилактики и пресечения нарушений, связанных с использованием доменной инфраструктуры, полномочиям отраслевого центра профилактики и пресечения нарушений. При этом в установленных национальным законодательством случаях такая организация может выполнять функции отраслевого центра в отношении аккредитованных регистраторов доменных имен в иных доменных зонах, при условии нахождения таких аккредитованных регистраторов на территории государства — субъекта национальной доменной зоны.

В соответствии с национальным законодательством на сетях электросвязи, предназначенных для передачи информации в цифровой форме, могут быть установлены технические средства противодействия нарушениям, находящиеся под управлением уполномоченного органа.

Рекомендуется предусмотреть в национальном законодательстве нормы, предписывающие оператору системы информационно-коммуникационных технологий исполнение требований национального законодательства в части недопущения, в том числе прекращения, оборота информации, распространение которой запрещено национальным законодательством, в частности программ, влекущих нарушение функционирования информационных систем и их элементов, а также при выявлении действий, направленных на ненадлежащее функционирование сети электросвязи или информационной системы. При этом согласно таким нормам оператор должен быть вправе ограничивать или исключать временно либо на постоянной основе возможность использования информационной системы пользователями, с оконечных устройств (средств связи) которых осуществляются действия, направленные на нарушение функционирования сети электросвязи, информационной системы или средств связи.

7. Оператор системы информационно-коммуникационных технологий как субъект деятельности по профилактике и пресечению нарушений

В национальном законодательстве рекомендуется предусмотреть следующие обязанности оператора системы информационно-коммуникационных технологий в целях профилактики и пресечения нарушений в сети электросвязи, оператором которой он является:

• обеспечивать соблюдение установленных национальным законодательством требований в области связи и информации, в том числе в сфере информационной безопасности;
• осуществлять системно-техническое обслуживание и сопровождение сети электросвязи и (или) информационной системы в целях их надлежащего функционирования, а также средств связи в установленных законодательством случаях;
• оказывать услуги пользования информационно-коммуникационными технологиями на условиях недискриминационного доступа, за исключением случаев, установленных национальным законодательством для защиты интересов общества и государства;
• обеспечивать безопасность хранения и передачи информации, в том числе с применением программно-технических средств;
• осуществлять мониторинг защищенности информационной системы и (или) сети электросвязи и ее отдельных элементов от нарушений, в том числе с применением программно-технических средств;
• использовать средства защиты информации, прошедшие национальную государственную сертификацию, в установленных национальным законодательством случаях;
• в случае нарушения принимать все возможные меры по ликвидации его последствий в максимально короткий срок;
• иметь в своем составе структурное подразделение, функцией которого является оперативное реагирование на нарушения и их организационная и программно-техническая профилактика;
• предоставлять уполномоченному органу своевременную, достоверную и полную информацию о состоянии защищенности сети электросвязи и (или) информационной системы, о нарушениях, в том числе об их характере и обстоятельствах, о принятых мерах по их пресечению;
• предоставлять правоохранительному органу в соответствии с национальным законодательством информацию, способствующую расследованию преступлений, совершенных с использованием информационно-коммуникационных технологий;
• идентифицировать пользователей информационно-коммуникационных технологий в установленных национальным законодательством случаях, а также хранить информацию о пользователях информационно-коммуникационных технологий, используемых ими средствах связи, соединениях, произведенных ими посредством информационно-коммуникационных технологий, в объеме и порядке, установленных национальным законодательством;
• устанавливать на сетях электросвязи, предназначенных для использования информационно-коммуникационных технологий, технические средства для осуществления оперативно-розыскной деятельности и обеспечивать их надлежащее функционирование;
• осуществлять сбор, обработку, хранение, передачу информации для аналитики данных в целях реализации государственными органами их функций в порядке, определенном уполномоченным органом;
• в установленном национальным законодательством порядке осуществлять обмен информацией с иными субъектами в сфере профилактики и пресечения нарушений.

В национальном законодательстве рекомендуется предусмотреть следующие права оператора системы информационно-коммуникационных технологий, чтобы обеспечить ему возможность эффективно осуществлять профилактику и пресечение нарушений:

• привлекать объекты инфраструктуры информационно-коммуникационных технологий, находящиеся в собственности или под управлением иных лиц, для оказания услуг пользования информационно-коммуникационными технологиями, осуществления сопровождения и системно-технического обслуживания сетей электросвязи и информационных систем при условии соблюдения требований национального законодательства о профилактике и пресечении нарушений, а также иных положений национального законодательства;
• приостанавливать оказание услуг пользования информационно-коммуникационными технологиями в случае нарушения пользователем требований, установленных национальным законодательством;
• расторгать в одностороннем порядке договор об оказании услуг пользования информационно-коммуникационными технологиями в случае неустранения в установленный национальным законодательством срок нарушений, послуживших основанием для приостановления оказания таких услуг;
• получать возмещение вреда, возникшего по вине пользователей.

В национальном законодательстве рекомендуется предусмотреть положения, согласно которым оператор системы информационно-коммуникационных технологий не несет ответственности, в том числе перед пользователями информационно-коммуникационных технологий, в следующих случаях:

• нарушение, вызвавшее ненадлежащее функционирование сети электросвязи и (или) информационной системы, произошло не по вине оператора, в частности, причиной такого нарушения (одной из причин) не было ненадлежащее исполнение оператором законодательства в сфере профилактики и пресечения нарушений;
• ненадлежащее функционирование информационной системы и (или) сети электросвязи имело место вследствие обстоятельств непреодолимой силы (форс-мажора), в частности, вследствие исполнения решений органов государственной власти;
• оказание услуги пользования информационно-коммуникационными технологиями в надлежащем виде оказалось невозможным в силу действий пользователя информационно-коммуникационных технологий, которые повлекли либо могли повлечь за собой нарушение.

В национальном законодательстве рекомендуется предусмотреть положения, согласно которым оператор системы информационно-коммуникационных технологий несет материальную ответственность, в том числе перед пользователем, за незаконный доступ к передаваемой по сети электросвязи либо в информационной системе информации или хранимой оператором в информационной системе информации, в частности к персональным данным, со стороны третьих лиц, а равно за модификацию, блокирование и уничтожение такой информации.

8. Рекомендации в области трансграничного сотрудничества в сфере профилактики и пресечения нарушений

В национальном законодательстве рекомендуется предусмотреть положения, согласно которым трансграничное сотрудничество в сфере профилактики и пресечения нарушений осуществляется в соответствии с международными договорами, стороной которой является государство, и национальным законодательством, в установленных объемах и пределах. При этом рекомендуется указать в национальном законодательстве, что стороной, представляющей государство, при осуществлении трансграничного сотрудничества является уполномоченный орган.

---