Приказ МПР России от 21.06.2005 № 172

«Об утверждении Регламента использования ресурсов глобальной сети Интернет в МПР России»

ПРИКАЗ

В целях упорядочения доступа должностных лиц МПР России к информационным ресурсам глобальной сети Интернет приказываю:

1. Утвердить прилагаемый Регламент использования ресурсов глобальной сети Интернет в Министерстве природных ресурсов Российской Федерации.

2. Руководителям структурных подразделений МПР России:

при работе с информационными ресурсами глобальной сети Интернет руководствоваться настоящим Регламентом;

обеспечить ознакомление всех сотрудников структурных подразделений МПР России с настоящим Регламентом;

в двухнедельный срок представить в Департамент науки, имущества и информатики сведения согласно Приложению № 4 к Регламенту использования ресурсов глобальной сети Интернет в МПР России.

3. Возложить обязанности по системному администратированию доступа должностных лиц МПР России к глобальной сети Интернет на ФГУ «ИВЦ МПР России» (Долженко).

4. Контроль за исполнением настоящего Приказа оставляю за собой.

РЕГЛАМЕНТ ИСПОЛЬЗОВАНИЯ РЕСУРСОВ ГЛОБАЛЬНОЙ СЕТИ ИНТЕРНЕТ В МПР РОССИИ

Настоящий Регламент разработан для повышения эффективности работы сотрудников МПР России, использующих электронные информационные ресурсы глобальной сети Интернет, и повышения уровня информационной безопасности локальной информационно-вычислительной сети МПР России.

Руководство МПР России устанавливает постоянный контроль и полностью специфицирует виды информации, к которой разрешен доступ тому или иному работнику. В случае нарушения сотрудником МПР России данного Регламента работник будет отстранен от использования ресурсов сети Интернет.

1. Назначение доступа к ресурсам сети Интернет

Доступ к ресурсам сети Интернет предоставляется сотрудникам МПР России для выполнения ими прямых должностных обязанностей. Глобальная сеть Интернет используется для:

доступа к всемирной паутине гипертекстовых страниц (WWW);

доступа к файловым ресурсам Интернета (FTP);

доступа к специализированным (правовым и др.) базам данных;

контактов с официальными лицами других правительственных структур, с сотрудниками структурных подразделений МПР России и работниками отраслевых предприятий; производителями и потребителями товаров и услуг в области природопользования и охраны окружающей среды;

обмена электронной почтой с официальными лицами по неконфиденциальным вопросам производственного характера;

сбора информации о состоянии рынка продукции и услуг, используемых в отрасли природопользования и охраны окружающей среды;

повышения квалификации работников, необходимой для выполнения работником своих должностных обязанностей;

поиска и сбора информации по управленческим, производственным, финансовым, юридическим вопросам, если эти вопросы напрямую связаны с выполнением работником его должностных обязанностей, и др.

2. Доступ к Интернет-ресурсам

МПР России обеспечивает доступ пользователей локальной сети к ресурсам Интернет по специальным каналам связи в соответствии с установленными в МПР России правилами и настоящим Регламентом.

Без согласования с руководством МПР России запрещена самостоятельная организация дополнительных точек доступа в глобальную сеть Интернет (удаленный доступ, канал по локальной сети и пр.).

3. Регистрация пользователя

Каждому физически подключенному к сети компьютеру назначается ответственный за этот компьютер пользователь, информация о котором заносится в базу данных пользователей соответствующего домена локальной сети МПР России.

Регистрация выполняется Системным администратором в соответствии с «Правами доступа сотрудников МПР России к внутренним и внешним электронным информационным ресурсам» (Приложение № 4 к настоящему Регламенту).

Пользователь обязан хранить свои идентификационные данные (пароли и т.п.) в тайне, запрещена передача идентификационных данных третьим лицам. За все деструктивные действия, произведенные в сети, отвечает сотрудник — пользователь учетной записи (идентификационных данных), использовавшейся при их проведении.

При подозрении на то, что идентификационные данные стали известны третьим лицам, пользователь должен немедленно обратиться в информационную службу МПР России с целью их изменения.

4. Основные ограничения при работе в сети Интернет

Основными являются следующие ограничения:

запрещено посещение пользователем ресурсов с непристойным содержанием (эротико-порнографические ресурсы, нацистские или националистические ресурсы, ресурсы, призывающие к насилию);

запрещено посещение игровых, развлекательных и прочих сайтов, не имеющих отношения к деятельности МПР России и деятельности пользователя;

запрещено использование электронной почты, досок объявлений, конференций на компьютерах МПР России в личных целях в любое время;

запрещена публикация корпоративного электронного адреса @mnr.gov.ru на досках объявлений, в конференциях и гостевых книгах;

запрещено использование некорпоративных E-mail адресов и ограничен доступ пользователей локальной сети МПР России ко всем почтовым серверам, в том числе и бесплатным почтовым службам, кроме корпоративного сервера @mnr.gov.ru. В случае, если пользователю в служебных целях необходимо завести почтовый ящик в домене, отличном от @mnr.gov.ru., необходимо письменное разрешение вышестоящего руководителя пользователя, согласованное с информационной службой;

запрещена передача кому бы то ни было учетных данных пользователя;

запрещено применение имен пользователей и паролей компьютеров МПР России на иных (сторонних) компьютерах;

запрещены игры на компьютере автономно и в сети;

запрещено единовременное скачивание больших объемов информации (файлы объемом более указанных в Приложении № 4 к настоящему Регламенту);

запрещено посещение ресурсов трансляции потокового видео и аудио (веб-камеры, трансляция ТВ- и музыкальных программ в Интернете), создающих большую загрузку сети и мешающих нормальной работе остальных пользователей;

запрещена загрузка материалов порнографического содержания, компьютерных игр, анекдотов, других развлекательных материалов;

запрещена передача конфиденциальной информации третьей стороне;

запрещено подключение к электронной сети под другим паролем;

запрещено нанесение вреда электронной системе МПР России;

запрещено проведение незаконных операций в глобальной сети Интернет;

запрещено создание личных веб-страниц и хостинг (размещение web- или ftp-сервера) на компьютере пользователя;

запрещены любые попытки деструктивных действий по отношению к нормальной работе электронной системы МПР России и сети Интернет (рассылка вирусов, ip-атаки и т.п.);

запрещено нарушение закона об авторском праве: копирование и использование материалов, защищенных законом об авторском праве;

запрещено совершение действий, противоречащих законодательству, а также настоящему Регламенту.

5. Соблюдение субординации

Работа в сети Интернет, общение с другими организациями, может быть связана с необходимостью изложения своих взглядов по отдельным вопросам. Если сотрудник МПР России высказывает в сообщении собственное мнение, то указанный сотрудник обязан предупредить об этом в конце сообщения фразой: «прошу считать, что в сообщении указано мое личное мнение, которое необязательно отражает взгляды и политику МПР России» — по предварительному согласованию с непосредственным руководством.

Обращение по электронной почте в подведомственные организации осуществляется по указанию директора (заместителя) департамента, начальника (заместителя) отдела.

6. Время работы пользователей в сети Интернет

Время работы пользователей в сети Интернет ограничено и регламентировано следующим образом:

ресурс активен с понедельника по пятницу, с 8:00 до 19:00;

при необходимости работы с ресурсами Интернет в выходные дни или в вечернее время пользователь обязан получить разрешение вышестоящего руководителя и уведомить информационные службы МПР России с целью временного снятия ограничения для конкретного пользователя.

7. Контроль использования ресурсов сети Интернет

Руководство МПР России оставляет за собой право в целях обеспечения безопасности электронной системы производить выборочные и полные проверки всей электронной системы и отдельных файлов без предварительного уведомления работников.

Информационные службы МПР России ведут учет использования ресурсов Интернет, обеспечивают контроль за соблюдением настоящего Регламента, обеспечивают безопасное использование ресурсов сети Интернет в соответствии с «Обязанностями информационных служб по обеспечению доступа к ресурсам сети Интернет» (Приложение № 1 к настоящему Регламенту).

После утверждения настоящего Регламента все пользователи МПР России под личную роспись знакомятся с Регламентом и его Приложениями.

Общие положения

Основными задачами информационных служб МПР России по обслуживанию доступа к сети Интернет являются:

обеспечение достаточной пропускной способности и бесперебойного функционирования каналов доступа в сеть Интернет;

выполнение различных требований отдельных групп пользователей;

максимальная защита внутренних сетей от несанкционированного доступа из Интернет и вирусных атак;

определение прав доступа отдельных пользователей к различным ресурсам Интернет, директивного ограничения потребления ресурсов для определенных пользователей, контроль и ограничение входящей и исходящей информации.

Обеспечение бесперебойного функционирования каналов сети Интернет

Для обеспечения бесперебойного функционирования каналов сети Интернет в МПР России создается несколько каналов доступа к сети.

1. Три основных канала — для различных групп пользователей:

канал с условным названием «Служебный», к которому подключены пользователи Ситуационного центра, почтовый и веб-серверы МПР, финансовая сеть и информационные службы МПР. По этому каналу предусматривается передача больших объемов информации как в сеть Интернет, так и из сети Интернет (например, бухгалтерская и финансовая отчетность, вся электронная почта, трафик пользователей веб-сайта МПР России, обновления программного обеспечения, информация для Ситуационного центра и т.п.);

канал с условным названием «Публичный», к которому подключено основное количество пользователей МПР России;

канал с условным названием «VIP».

2. Обслуживание каналов связи, контроль за их работоспособностью, оперативная связь с провайдерами и устранение сбоев, ввод в действие канала холодного резерва осуществляет подразделение, обслуживающее каналы связи МПР России. В обязанности этой службы входит непрерывный мониторинг и документирование работы каналов, связь с провайдером, восстановление каналов при сбое, а также защита сетей МПР России от несанкционированного проникновения из сети Интернет, антивирусная защита на первом канальном уровне.

Обеспечение пропускной способности каналов

Нормативная пропускная способность для трех основных каналов связи с сетью Интернет принимается 10 Мбит/сек. на каждый канал.

Нормативная пропускная способность для каналов холодного резерва принимается 0,5 Мбит/сек. на каждый канал.

Информационные службы обязаны организовать непрерывный мониторинг за фактической пропускной способностью каналов связи, выполнять документирование и принимать оперативные меры в случае ее снижения.

Контроль за доступом пользователей к ресурсам Интернет

Пользователи, для которых нет запрета или ограничений по использованию ресурсов Интернет, разбиваются на группы по интенсивности использования ресурсов. Информационной службой для каждой группы пользователей определяется (в соответствии с заявкой руководителя подразделения) необходимая полоса пропускания и месячный лимит трафика Интернет.

Все ограничения утверждаются руководством и осуществляются программно-аппаратными методами.

В случае, если пользователь превышает выделенный ему лимит трафика, он автоматически отключается от всех ресурсов сети Интернет, кроме электронной почты.

Если пользователь превысил месячный лимит трафика, то в связи со служебной деятельностью ему необходим доступ к ресурсам Интернет, то на основании обоснованного запроса информационная служба выделяет пользователю дополнительный объем трафика.

Контроль и ограничение трафика непроизводственного характера

В целях осуществления контроля и ограничения трафика непроизводственного характера информационными службами МПР России решаются следующие задачи:

фильтрация ненужной информации;

политика ограничений использования протоколов для передачи потоковой музыки, теле- и видеопрограмм;

реализация политики запрета доступа к непроизводственным ресурсам.

Информационные службы обязаны:

создавать и регулярно обновлять необходимые фильтры, оперативно анализировать их эффективность и постоянно обновлять списки запрещенных ресурсов;

вести непрерывный мониторинг использования Интернет-трафика в разрезе пользователей, используемых Интернет-ресурсов, протоколов, с целью выявления новых источников ненужной и непроизводственной (непрофильной) информации и их нейтрализации;

еженедельно представлять руководителю информационной службы МПР России отчет об использовании Интернет-трафика с анализом эффективности его использования и указанием принятых мер по ее повышению.

Защита локальных сетей МПР России от несанкционированного доступа из сети Интернет, вирусных атак и проникновения вредоносных кодов

Для обеспечения защиты локальных сетей МПР России от несанкционированного доступа из Интернет, вирусных атак и проникновения вредоносных кодов организуются два уровня защиты.

1. Первый уровень защиты организован на канальном уровне в центральном кроссе МПР России, куда входят основные и резервные каналы связи с сетью Интернет.

В центральном кроссе развернуты:

программно-аппаратный межсетевой экран на каждом из каналов связи с глобальной сетью Интернет;

централизованная система серверной антивирусной защиты и система контроля безопасности доступа к серверному оборудованию;

первый уровень системы контроля и управления использованием Интернет-ресурсов;

первый уровень системы директивного ограничения доступа пользователей к сети Интернет;

аппаратно-программное оборудование для контроля каналов связи и т.п.

Утверждается перечень Интернет-ресурсов для фильтрации и блокирования доступа и политика ограничения использования портов и протоколов.

Эти данные фиксируются в специальном документе, утверждаются руководителем информационной службы и передаются администраторам сети для исполнения.

На основании вышеуказанного документа администраторы программными и аппаратными методами обеспечивают каждому каналу соответствующие права доступа к внешним сетям и ведут контроль за их исполнением.

Администраторы на этом рубеже защиты анализируют характер информации, потребляемой из внешних сетей, выявляют факт использования непрофильных ресурсов, источники паразитного трафика и еженедельно направляют отчеты для внесения корректив в руководящие документы.

2. Второй уровень защиты организован в серверных помещениях.

Утверждается перечень Интернет-ресурсов для фильтрации и блокирования доступа и политика ограничения использования портов и протоколов на втором уровне защиты.

Эти данные фиксируются в специальном документе, утверждаются руководителем информационной службы и передаются администраторам сети для исполнения.

На основании вышеуказанного документа администраторы программными и аппаратными методами обеспечивают каждому пользователю соответствующие права доступа к внешним сетям и ведут контроль за их исполнением.

Администраторы на этом рубеже защиты анализируют в целом характер информации, потребляемой из внешних сетей, выявляют факт использования непрофильных ресурсов, источники паразитного трафика и регулярно направляют отчеты руководителю информационной службы для внесения корректив в руководящие документы.

Политика использования электронной почты является важнейшим элементом общекорпоративной политики информационной безопасности МПР России и неотделима от нее.

Электронная почта является собственностью МПР России и может быть использована ТОЛЬКО в служебных целях. Использование электронной почты в других целях категорически запрещено.

Содержимое электронного почтового ящика сотрудника может быть проверено без предварительного уведомления по требованию непосредственного либо вышестоящего руководителя.

При работе с корпоративной системой электронной почты сотрудникам МПР России запрещается:

использовать адрес корпоративной почты для оформления подписок;

публиковать свой адрес либо адреса других сотрудников МПР России на общедоступных Интернет-ресурсах (форумы, конференции и т.п.);

открывать вложенные файлы во входящих сообщениях без предварительной проверки антивирусными средствами, даже если отправитель письма хорошо известен;

осуществлять массовую рассылку почтовых сообщений рекламного характера;

рассылать через электронную почту материалы, содержащие вирусы или другие компьютерные коды, файлы или программы, предназначенные для нарушения, уничтожения либо ограничения функциональности любого компьютерного или телекоммуникационного оборудования или программ, для осуществления несанкционированного доступа, а также серийные номера к коммерческим программным продуктам и программы для их генерации, логины, пароли и прочие средства для получения несанкционированного доступа к платным ресурсам в Интернете, а также ссылки на вышеуказанную информацию;

распространять защищаемые авторскими правами материалы, затрагивающие какой-либо патент, торговую марку, коммерческую тайну, копирайт или прочие права собственности и/или авторские и смежные с ним права третьей стороны;

распространять информацию, содержание и направленность которой запрещены международным и российским законодательством, включая материалы, носящие вредоносную, угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности, в том числе разъясняющие порядок применения взрывчатых веществ и иного оружия, и т.д.;

распространять информацию ограниченного доступа, предназначенную для служебного использования;

предоставлять кому бы то ни было пароль доступа к своему почтовому ящику.

С настоящей памяткой ознакомлен

___________________ (подпись)	(__________________) (Ф.И.О.)
«__» ____________ 200_ г.

Приложение № 3 к Регламенту использования

Настоящий документ описывает общепринятые нормы работы в сети Интернет, соблюдение которых является обязательным для всех пользователей. Действие этих норм распространяется на использование ресурсов Сети. Здесь и далее словом Сеть обозначены сеть Интернет и доступные из нее другие сети.

массовая рассылка не согласованных предварительно электронных писем (mass mailing). Под массовой рассылкой подразумевается как рассылка множеству получателей, так и множественная рассылка одному получателю. Здесь и далее под электронными письмами понимаются сообщения электронной почты, ICQ и других подобных средств личного обмена информацией;

несогласованная рассылка электронных писем рекламного, коммерческого или агитационного характера, а также писем, содержащих грубые и оскорбительные выражения и предложения;

размещение в любой конференции Usenet или другой конференции, форуме или электронном списке рассылки статей, которые не соответствуют тематике данной конференции или списку рассылки (off-topic). Здесь и далее под конференцией понимаются телеконференции (группы новостей) Usenet и другие конференции, форумы и электронные списки рассылки;

размещение в любой конференции сообщений рекламного, коммерческого или агитационного характера, кроме случаев, когда такие сообщения явно разрешены правилами такой конференции либо их размещение было согласовано с владельцами или администраторами такой конференции предварительно;

размещение в любой конференции статьи, содержащей приложенные файлы, кроме случаев, когда вложения явно разрешены правилами такой конференции либо такое размещение было согласовано с владельцами или администраторами такой конференции предварительно;

рассылка информации получателям, высказавшим ранее явное нежелание получать эту информацию;

использование собственных или предоставленных информационных ресурсов (почтовых ящиков, адресов электронной почты, страниц WWW и т.д.) в качестве контактных координат при совершении любого из вышеописанных действий, вне зависимости от того, из какой точки Сети были совершены эти действия;

запрет несанкционированного доступа и сетевых атак. Не допускается осуществление попыток несанкционированного доступа к ресурсам Сети, проведение или участие в сетевых атаках и сетевом взломе, за исключением случаев, когда атака на сетевой ресурс проводится с явного разрешения владельца или администратора этого ресурса.

В том числе запрещены:

действия, направленные на нарушение нормального функционирования элементов Сети (компьютеров, другого оборудования или программного обеспечения), не принадлежащих пользователю;

действия, направленные на получение несанкционированного доступа, в том числе привилегированного, к ресурсу Сети (компьютеру, другому оборудованию или информационному ресурсу), последующее использование такого доступа, а также уничтожение или модификация программного обеспечения или данных, не принадлежащих пользователю, без согласования с владельцами этого программного обеспечения или данных либо администраторами данного информационного ресурса;

передача компьютерам или оборудованию Сети бессмысленной или бесполезной информации, создающей паразитную нагрузку на эти компьютеры или оборудование, а также промежуточные участки Сети, в объемах, превышающих минимально необходимые для проверки связности сетей и доступности отдельных ее элементов.

Соблюдение правил, установленных владельцами ресурсов.

Владелец любого информационного или технического ресурса Сети может установить для этого ресурса собственные правила его использования. Правила использования ресурсов либо ссылка на них публикуются владельцами или администраторами этих ресурсов в точке подключения к таким ресурсам и являются обязательными к исполнению всеми пользователями этих ресурсов. Пользователь обязан соблюдать правила использования ресурса либо немедленно отказаться от его использования.

Недопустимость фальсификации.

Значительная часть ресурсов Сети не требует идентификации пользователя и допускает анонимное использование. Однако в ряде случаев от пользователя требуется предоставить информацию, идентифицирующую его, и используемые им средства доступа к Сети.

При этом пользователю запрещается:

использование идентификационных данных (имен, адресов, телефонов и т.п.) третьих лиц, кроме случаев, когда эти лица уполномочили пользователя на такое использование. В то же время пользователь должен принять меры по предотвращению использования ресурсов Сети третьими лицами от его имени (обеспечить сохранность паролей и прочих кодов авторизованного доступа);

фальсификация своего IP-адреса, а также адресов, используемых в других сетевых протоколах, при передаче данных в Сеть;

использование несуществующих обратных адресов при отправке электронных писем.

Настройка собственных ресурсов.

При работе в Сети Интернет пользователь становится ее полноправным участником, что создает потенциальную возможность для использования сетевых ресурсов, принадлежащих пользователю, третьими лицами. В связи с этим пользователь должен принять надлежащие меры по такой настройке своих ресурсов, которая препятствовала бы недобросовестному использованию этих ресурсов третьими лицами, а также оперативно реагировать при обнаружении случаев такого использования.

Примерами потенциально проблемной настройки сетевых ресурсов являются:

открытый ретранслятор электронной почты (SMTP-relay) — отказ в приеме почты от таких ретрансляторов регламентирован RFC 2505;

общедоступные для неавторизованной публикации серверы новостей (конференций, групп);

средства, позволяющие третьим лицам неавторизованно скрыть источник соединения (открытые прокси-серверы и т.п.);

общедоступные широковещательные адреса локальных сетей;

электронные списки рассылки с недостаточной авторизацией подписки или без возможности ее отмены.

Ответственность за все действия в Сети, произведенные под именем и с паролем пользователя им самим или другими физическими, или юридическими лицами и организациями, полностью лежит на самом пользователе. МПР России не несет никакой юридической, материальной или иной ответственности за качество, содержание, законность и любое другое свойство полученной или переданной пользователем информации в нарушение настоящего Регламента. МПР России не несет никакой юридической, материальной и иной ответственности за использование пользователем платных услуг других организаций, предоставляющих услуги в Сети.

С настоящей памяткой ознакомлен

___________________ (подпись)	(__________________) (Ф.И.О.)
«__» ____________ 200_ г.

Согласовано Начальник отдела			Утверждаю Директор Департамента
ПРАВА доступа сотрудников МПР России к внешним электронным информационным ресурсам
_____________________________ (подразделение МПР России)

Фамилия, имя, отчество	Доступ к внешним сетевым ресурсам						Ознакомлен (подпись сотрудника)	Примечания <*>
	к ресурсам Интернет		к внешней электронной почте		к корпоративным каналам			Домен, имя в сети, E-mail	IP-адрес, MAC-адрес	№ комнаты, телефон
	неограниченный	ограниченный	неограниченный	ограниченный	неограниченный	ограниченный
1	5	6	7	8	9	10	11	12	13	14

---

---