Приказ ФССП России от 02.04.2014 № 116

(ред. от 07.10.2014)

«Об утверждении Положения об организации работы по управлению учетными записями пользователей в подсистемах автоматизированной информационной системы Федеральной службы судебных приставов»

МИНИСТЕРСТВО ЮСТИЦИИ РОССИЙСКОЙ ФЕДЕРАЦИИ

ФЕДЕРАЛЬНАЯ СЛУЖБА СУДЕБНЫХ ПРИСТАВОВ

ПРИКАЗ

от 2 апреля 2014 г. № 116

ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОРГАНИЗАЦИИ РАБОТЫ ПО УПРАВЛЕНИЮ УЧЕТНЫМИ ЗАПИСЯМИ ПОЛЬЗОВАТЕЛЕЙ В ПОДСИСТЕМАХ АВТОМАТИЗИРОВАННОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ ФЕДЕРАЛЬНОЙ СЛУЖБЫ СУДЕБНЫХ ПРИСТАВОВ

В целях повышения эффективности мер по управлению учетными записями пользователей в подсистемах автоматизированной информационной системы Федеральной службы судебных приставов, в соответствии с Приказом ФСТЭК России от 11.02.2013 № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» (зарегистрирован в Минюсте России 31.05.2013, регистрационный № 28608) приказываю:

1. Утвердить прилагаемое Положение об организации работы по управлению учетными записями пользователей в подсистемах автоматизированной информационной системы Федеральной службы судебных приставов.

2. Контроль за исполнением Приказа возложить на заместителя директора Федеральной службы судебных приставов — заместителя главного судебного пристава Российской Федерации Игнатьеву Т.П.

Директор Федеральной службы судебных приставов — главный судебный пристав Российской Федерации А. О. Парфенчиков

Приложение

Утверждено Приказом ФССП России от 2 апреля 2014 г. № 116

ИНФОРМАЦИОННОЙ СИСТЕМЫ ФЕДЕРАЛЬНОЙ СЛУЖБЫ СУДЕБНЫХ ПРИСТАВОВ

I. Общие положения

1.1. Настоящее Положение об организации работы по управлению учетными записями пользователей в подсистемах АИС ФССП России разработано в соответствии с Приказом ФСТЭК России от 11.02.2013 № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» в целях организации системного, упорядоченного подхода к управлению учетными записями, своевременному созданию, блокированию учетных записей работников центрального аппарата (территориальных органов) ФССП России для содействия работникам в выполнении работы. Положение направлено на повышение эффективности мер по исключению:

неправомерного доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);

неправомерного уничтожения или модифицирования информации (обеспечение целостности информации);

неправомерного блокирования информации (обеспечение доступности информации).

1.2. Процесс управления учетными записями и правами доступа пользователей является неотъемлемой частью администрирования системы защиты информации в подсистемах АИС ФССП России.

1.3. Для осуществления управления учетными записями пользователей в АИС ФССП России используется сервис управления учетными записями подсистемы технологического мониторинга и администрирования АИС ФССП России (далее — Подсистема ТМА).

Подсистема ТМА предназначена для администрирования системного каталога, обеспечения контроля состояния подсистем и информационных потоков АИС ФССП России, механизмов гарантированной доставки и обновления подсистем, процессов аутентификации и авторизации пользователей и подсистем.

1.4. Функциями Подсистемы ТМА АИС ФССП России в части обеспечения администрирования системного каталога и управления учетными записями являются:

управление (заведение, блокирование) учетными записями пользователей, а также подсистем (технологических пользователей);

реализация необходимых методов (дискреционный, ролевой), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа;

разделение прав доступа (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы;

назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы;

оповещение администратора, осуществляющего управление учетными записями пользователей, об изменении сведений о пользователях, обязанностях, правах доступа, ограничениях.

1.5. Для аутентификации и авторизации пользователей подсистем АИС ФССП России федерального и регионального уровней используется распределенный ведомственный системный каталог на базе OpenLDAP, входящий в состав Подсистемы ТМА.

1.6. Ведомственный системный каталог на базе OpenLDAP может использоваться для аутентификации и авторизации пользователей в иных информационных системах территориальных органов ФССП России.

II. Пользователи и уровни доступа в подсистемах АИС ФССП России

2.3. Для создания резервных копий, выполнения системных задач, диагностики баз данных в подсистемах АИС ФССП России используется системная учетная запись sysdba.

III. Заведение учетных записей пользователей, в том числе технологических пользователей в подсистемах АИС ФССП России

3.1. В центральном аппарате (территориальных органах) ФССП России определяется должностное лицо, входящее в состав подразделения по обеспечению информационной безопасности, ответственное за управление учетными записями в подсистемах АИС ФССП России (далее — администратор по УУЗП);

3.2. Доступ к ресурсам АИС ФССП России в центральном аппарате (территориальных органах) ФССП России предоставляется пользователям, прошедшим процедуру заведения учетной записи.

3.3 Процедура заведения учетной записи:

для государственного гражданского служащего центрального аппарата (территориального органа) ФССП России, работника, замещающего должность, не являющуюся должностью государственной гражданской службы, проводится на основании приказа о назначении на должность, приказа о командировании;

для лица, не являющегося работником центрального аппарата (территориального органа) ФССП России, проводится на основании согласия субъекта о неразглашении информации, в отношении которой установлены требования по обеспечению ее конфиденциальности, с указанием реквизитов государственного контракта или иного документа, предусматривающего допуск субъекта к ресурсам АИС ФССП России;

для технологических пользователей подсистем АИС ФССП России, в том числе подсистем, не являющихся подсистемами АИС ФССП России, производится на основании приказов, соглашений, регламентов и (или) иных документов, определяющих порядок работы (доступа) в подсистемах АИС ФССП России.

3.4. Процедура заведения учетной записи в подсистемах АИС ФССП России проводится не позднее одного рабочего дня с момента передачи регистрационной информации кадровым подразделением центрального аппарата (территориального органа) ФССП России в подразделение по обеспечению информационной безопасности центрального аппарата (территориального органа) ФССП России и включает в себя следующие работы в указанном порядке:

IV. Процесс управления учетными записями пользователей в подсистемах АИС ФССП России

4.1. В случае необходимости изменения прав доступа, присвоенных пользователю, отсутствия необходимости в дальнейшей работе в определенных подсистемах АИС ФССП России в подразделение по обеспечению информационной безопасности центрального аппарата (территориального органа) ФССП России направляется заявка на изменение прав доступа (допускается направление заявок посредством использования сервиса технической поддержки АИС ФССП России). В случае если необходимо назначение прав доступа, предоставляющих доступ к защищаемой информации, доступ предоставляется по согласованию с лицом, ответственным за организацию обработки персональных данных в центральном аппарате (территориальном органе) ФССП России. По результатам рассмотрения заявки администратор по УУЗП проводит работы по добавлению/исключению прав доступа.

4.2. В структурных подразделениях территориального органа ФССП России в подсистеме ПК ОСП проводится дополнительная работа по управлению учетными записями пользователей, исполняющих обязанности судебных приставов-исполнителей, а именно по указанию участков судебных приставов-исполнителей и внесению иной необходимой для полноценной работы пользователей подсистемы ПК ОСП информации. Проведение указанных работ организует начальник отдела — старший судебный пристав соответствующего структурного подразделения территориального органа ФССП России.

4.3. Информация о кадровых перемещениях, изменениях в реквизитах (фамилия, имя и т.д.), уходе в отпуск, увольнении работника кадровым подразделением вносится в подсистему кадрового учета АИС ФССП России либо в случае отсутствия подсистемы кадрового учета АИС ФССП России в сервис «Заявки кадрового учета» подсистемы электронного документооборота АИС ФССП России и обрабатывается администратором по УУЗП в течение одного дня. В случае неисправности подсистемы электронного документооборота АИС ФССП России допускается передача информации в подразделение по обеспечению информационной безопасности на бумажном носителе для последующего безотлагательного внесения информации администратором по УУЗП.

4.4. Начальник либо заместитель начальника подразделения по обеспечению информационной безопасности центрального аппарата (территориального органа) ФССП России инициирует проверку актуальности учетных записей пользователей, пересматривает и при необходимости корректирует их с периодичностью, определяемой лицом, ответственным за организацию обработки персональных данных центрального аппарата ФССП России.

V. Управление паролями в подсистемах АИС ФССП России

5.1. Пароли, используемые для аутентификации в подсистемах АИС ФССП России, формируются в соответствии с приведенными ниже требованиями:

длина пароля составляет не менее шести символов;

(в ред. Приказа ФССП России от 07.10.2014 № 591)

в числе символов пароля присутствуют буквы в верхнем и (или) нижнем регистрах, цифры и специальные символы;

пароль не включает в себя легко вычисляемые сочетания символов (имена, фамилии и т.д.), а также общепринятые сокращения (USER, ADMIN, ALEX и т.д.);

при смене пароля новое значение отличается от предыдущего не менее чем в 4 позициях;

периодичность смены паролей учетных записей администраторов подсистем АИС ФССП России составляет не более 3 месяцев, иных пользователей — не более 6 месяцев;

5.4. В случае утери пароля пользователь обращается в подразделение по обеспечению информационной безопасности центрального аппарата (территориального органа) ФССП России с просьбой о сбросе пароля. При подозрении на то, что пароль стал известен вторым лицам, либо при установленном факте несанкционированного использования реквизитов учетной записи пользователь в устной форме незамедлительно обращается к администратору по УУЗП с просьбой блокирования учетной записи до момента предоставления заявки на смену пароля либо выяснения обстоятельств выявленного инцидента. Заявки пользователей рассматриваются администратором по УУЗП в течение часа с момента поступления заявки.

5.5. В случае перевода в иное структурное подразделение пользователь производит смену пароля принадлежащей ему учетной записи.

5.6. В подсистеме нормативно-справочной информации АИС ФССП России отделом обеспечения информационной безопасности Управления информационных технологий ФССП России создан и ведется справочник недопустимых паролей, распространяемый на федеральный, региональный и местный уровень подсистем АИС ФССП России. Использование справочника в подсистемах АИС ФССП России направлено на исключение возможности задания пользователем простых паролей и, как следствие, подбор пароля пользователя злоумышленником.

VI. Ограничения использования учетных записей

6.1 Не допускается:

использование учетных записей с правами администраторов пользователями, а также назначение таких прав без имеющихся на то оснований, утвержденных организационно-распорядительными документами;

использование системной учетной записи sysdba для выполнения работ, не указанных в пункте 2.3 настоящего Положения, и передача реквизитов системной учетной записи sysdba лицам, не уполномоченным на выполнение соответствующих работ;

использование системной учетной записи sysdba для интеграции подсистем АИС ФССП России с подсистемами, не являющимися подсистемами АИС ФССП России;

применение обезличенных учетных записей пользователей работниками;

использование одной учетной записи несколькими работниками;

передача реквизитов учетной записи иным работникам, в том числе администраторам подсистем АИС ФССП России;

использование учетных записей уволенных работников.

6.2. Нарушение правил, указанных в пункте 6.1, рассматривается как инцидент информационной безопасности.

6.3. Контроль за соблюдением ограничений использования учетных записей в центральном аппарате ФССП России осуществляется подразделением по обеспечению информационной безопасности, в территориальных органах ФССП России — подразделениями по обеспечению информационной безопасности и начальниками отделов (структурных подразделений).

в подсистемах автоматизированной информационной системы Федеральной службы судебных приставов

СПРАВОЧНИК «ШАБЛОНЫ НАБОРОВ РОЛЕЙ»

Приложение № 2 к Положению об организации работы по управлению учетными записями в подсистемах автоматизированной информационной системы Федеральной службы судебных приставов

Журнал учетных записей работников территориального органа ФССП России