Приказ Минцифры России от 31.03.2025 № 247

«Об отдельных мероприятиях по обеспечению информационной безопасности в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации и подведомственных ему организациях»

ПРИКАЗ

И ПОДВЕДОМСТВЕННЫХ ЕМУ ОРГАНИЗАЦИЯХ

В целях повышения устойчивости и безопасности функционирования информационных ресурсов Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации и подведомственных ему организаций приказываю:

1. Руководителям подведомственных организаций, в ведении которых находятся эксплуатируемые информационные ресурсы, возложить на своих заместителей функции по обеспечению их информационной безопасности.

2. Утвердить прилагаемую Политику информационной безопасности Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации (далее — Политика).

3. Заместителям Министра цифрового развития, связи и массовых коммуникаций Российской Федерации, руководителям структурных подразделений, находящихся в прямом подчинении Министра, а также руководителям подведомственных организаций, в ведении которых находятся эксплуатируемые информационные ресурсы, обеспечить безопасность информации в таких ресурсах в соответствии с Политикой.

4. Ответственным структурным подразделениям Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, руководителям подведомственных организаций, в ведении которых находятся информационные ресурсы, обеспечить проведение мероприятий по информационной безопасности информационных ресурсов Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации.

5. Признать утратившими силу приказы Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 27.09.2023 № 822 «О реализации мероприятий по обеспечению информационной безопасности в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации», от 09.11.2023 № 970 «О внесении изменений в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 27.09.2023 № 822 „О реализации мероприятий по обеспечению информационной безопасности в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации“, от 08.04.2024 № 295 „О внесении изменений в приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 27.09.2023 № 822 „О реализации мероприятий по обеспечению информационной безопасности в Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации“.»

Утверждена приказом Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 31 марта 2025 г. № 247

ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ МИНИСТЕРСТВА ЦИФРОВОГО РАЗВИТИЯ, СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ

1. Назначение и область действия политики

Настоящая Политика информационной безопасности Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации (далее — Политика, Министерство) определяет порядок обеспечения безопасности информации в Министерстве и подведомственных организациях, в том числе при осуществлении информационного взаимодействия. Политика представляет собой совокупность целей, задач, принципов построения и основные направления обеспечения безопасности информации.

Настоящая Политика распространяется на всех работников Министерства и подведомственных Министерству организаций.

Организациями, подведомственными Министерству, являются федеральные государственные бюджетные, автономные и казенные учреждения, в отношении которых Министерство осуществляет функции и права учредителя, и федеральные государственные унитарные предприятия, в отношении которых Министерство осуществляет права собственника имущества от лица Российской Федерации.

Политика является методологической основой:

при формировании подходов к разработке мероприятий по обеспечению информационной безопасности в Министерстве;

при разработке комплекса согласованных практических мер нормативно-правового, организационного, физического и технического характера, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз безопасности информации;

при разработке и совершенствовании документов методического и организационного обеспечения безопасности информации Министерства и подведомственных организаций;

при выработке ответственными должностными лицами взаимосвязанных и согласованных мер защиты организационного и технического характера;

при принятии ответственными должностными лицами управленческих решений по обеспечению информационной безопасности;

при определении функций и обязанностей работников Министерства и подведомственных организаций в сфере обеспечения безопасности информации;

при координации деятельности структурных подразделений Министерства и подведомственных Министерству организаций при проведении работ по созданию, развитию и эксплуатации информационных систем, сервисов, цифровых и облачных платформ, услуг и сетей с соблюдением требований информационной безопасности;

при разработке технических заданий на создание (модернизацию) информационных систем, в том числе государственных, и объектов информатизации;

при разработке технических заданий на создание (модернизацию) систем защиты информации информационных систем, в том числе государственных, и объектов информатизации;

при проведении практических мероприятий по созданию и эксплуатации системы обеспечения информационной безопасности в Министерстве и подведомственных организациях.

Действие настоящей Политики не распространяется на объекты защиты, в которых содержатся сведения, составляющие государственную тайну.

2. Правовые основания

Правовую основу Политики составляют положения Конституции Российской Федерации, федеральных законов, указов Президента Российской Федерации, постановлений и распоряжений Правительства Российской Федерации, нормативных правовых актов и методических документов ФСТЭК России и ФСБ России по вопросам защиты информации, в том числе:

Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

Федерального закона от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи»;

Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;

Трудового кодекса Российской Федерации;

Гражданского кодекса Российской Федерации;

Уголовного кодекса Российской Федерации;

Кодекса Российской Федерации об административных правонарушениях;

Указа Президента Российской Федерации от 5 декабря 2016 г. № 646 «Об утверждении Доктрины информационной безопасности Российской Федерации»;

Указа Президента Российской Федерации от 17 марта 2008 г. № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена»;

Указа Президента Российской Федерации от 22 декабря 2017 г. № 620 «О совершенствовании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»;

Указа Президента Российской Федерации от 1 мая 2022 г. № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации»;

Указа Президента Российской Федерации от 3 апреля 1995 г. № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации»;

Указа Президента Российской Федерации от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;

Указа Президента Российской Федерации от 9 мая 2017 г. № 203 «О Стратегии развития информационного общества в Российской Федерации на 2017 — 2030 годы»;

Указа Президента Российской Федерации от 30 марта 2022 г. № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации»;

Указа Президента Российской Федерации от 17 августа 2023 г. № 610 «О мерах по обеспечению информационной безопасности отдельных средств массовой информации и операторов связи»;

Концепции государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, утвержденной Президентом Российской Федерации от 12 декабря 2014 г. № К 1274;

постановления Правительства Российской Федерации от 2 июня 2008 г. № 418 «О Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации»;

постановления Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

постановления Правительства Российской Федерации от 6 июля 2015 г. № 676 «О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем, и дальнейшего хранения содержащейся в их базах данных информации»;

постановления Правительства Российской Федерации от 8 февраля 2018 г. № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»;

постановления Правительства Российской Федерации от 13 мая 2022 г. № 860 «О проведении эксперимента по повышению уровня защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений»;

постановления Правительства Российской Федерации от 3 ноября 1994 г. № 1233 «Об утверждении Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти, уполномоченном органе управления использованием атомной энергии и уполномоченном органе по космической деятельности»;

постановления Правительства Российской Федерации от 26 июня 1995 г. № 608 «О сертификации средств защиты информации»;

постановления Правительства Российской Федерации от 18 мая 2009 г. № 424 «Об особенностях подключения федеральных государственных информационных систем к информационно-телекоммуникационным сетям»;

постановления Правительства Российской Федерации от 8 июня 2011 г. № 451 «Об инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг и исполнения государственных и муниципальных функций в электронной форме»;

постановления Правительства Российской Федерации от 9 февраля 2012 г. № 111 «Об электронной подписи, используемой органами исполнительной власти и органами местного самоуправления при организации электронного взаимодействия между собой, о порядке ее использования, а также об установлении требований к обеспечению совместимости средств электронной подписи»;

постановления Правительства Российской Федерации от 16 декабря 2022 г. № 2338 «Об утверждении Положения о единой цифровой платформе Российской Федерации „ГосТех“, о внесении изменений в постановление Правительства Российской Федерации от 6 июля 2015 г. № 676 и признании утратившим силу пункта 6 изменений, которые вносятся в требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации, утвержденных постановлением Правительства Российской Федерации от 1 мая 2017 г. № 555»;

постановления Правительства Российской Федерации от 25 января 2013 г. № 33 «Об использовании простой электронной подписи при оказании государственных и муниципальных услуг»;

постановления Правительства Российской Федерации от 6 мая 2016 г. № 399 «Об организации повышения квалификации специалистов по защите информации и должностных лиц, ответственных за организацию защиты информации в органах государственной власти, органах местного самоуправления, организациях с государственным участием и организациях оборонно-промышленного комплекса»;

постановления Правительства Российской Федерации от 15 июля 2022 г. № 1272 «Об утверждении типового положения о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации), и типового положения о структурном подразделении в органе (организации), обеспечивающем информационную безопасность органа (организации)»;

распоряжения Правительства Российской Федерации от 16 марта 2024 г. № 637-р «Об утверждении стратегического направления в области цифровой трансформации государственного управления»;

приказа ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;

приказа ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

приказа ФСТЭК России от 29 апреля 2021 г. № 77 «Об утверждении порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну»;

приказа ФСТЭК России от 21 декабря 2017 г. № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»;

приказа ФСТЭК России от 25 декабря 2017 г. № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации;»

приказа ФСТЭК России от 28 мая 2020 г. № 75 «Об утверждении Порядка согласования субъектом критической информационной инфраструктуры Российской Федерации с Федеральной службой по техническому и экспортному контролю подключения значимого объекта критической информационной инфраструктуры Российской Федерации к сети связи общего пользования»;

приказа ФСБ России от 1 ноября 2022 г. № 543 «Об определении переходного периода, предусмотренного подпунктом „б“ пункта 5 Указа Президента Российской Федерации от 01.05.2022 № 250»;

приказа ФСБ России от 11 мая 2023 г. № 213 «Об утверждении порядка осуществления мониторинга защищенности информационных ресурсов, принадлежащих федеральным органам исполнительной власти, высшим исполнительным органам государственной власти субъектов Российской Федерации, государственным фондам, государственным корпорациям (компаниям), иным организациям, созданным на основании федеральных законов, стратегическим предприятиям, стратегическим акционерным обществам и системообразующим организациям российской экономики, юридическим лицам, являющимся субъектами критической информационной инфраструктуры Российской Федерации либо используемых ими»;

приказа ФСБ России от 24 июля 2018 г. № 367 «Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»;

приказа ФСБ России от 24 июля 2018 г. № 368 «Об утверждении Порядка обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации, между субъектами критической информационной инфраструктуры Российской Федерации и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты, и Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения»;

приказа ФСБ России от 19 июня 2019 г. № 282 «Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации»;

приказа ФСБ России от 24 октября 2022 г. № 524 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, с использованием шифровальных (криптографических) средств»;

приказа ФСБ России от 9 февраля 2005 г. № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации»;

приказа ФСБ России от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»;

приказа ФСБ России от 13 февраля 2023 г. № 77 «Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных»;

приказа Минцифры России от 18 января 2023 г. № 21 «Об утверждении Методических рекомендаций по переходу на использование российского программного обеспечения, в том числе на значимых объектах критической информационной инфраструктуры Российской Федерации, и о реализации мер, направленных на ускоренный переход органов государственной власти и организаций на использование российского программного обеспечения в Российской Федерации»;

приказа Минцифры России от 7 сентября 2023 г. № 781 «О Регламенте Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации»;

приказа Роскомнадзора от 24 февраля 2021 г. № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения»;

приказа Роскомнадзора от 27 октября 2022 г. № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона „О персональных данных“;»

приказа Роскомнадзора от 28 октября 2022 г. № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

3. Цели и задачи защиты информации, показатели эффективности

Основной целью, на достижение которой направлены положения настоящей Политики, является совершенствование и поддержание на высоком уровне информационной безопасности информационных ресурсов Министерства.

Для достижения цели необходимо обеспечивать эффективное решение следующих задач:

1. Обеспечение внедрения и функционирования комплексной системы защиты информации (далее — задача 1).

2. Обеспечение реагирования на компьютерные атаки и инциденты информационной безопасности (далее — задача 2).

3. Поддержание элементов комплексной системы защиты информации в актуальном состоянии (далее — задача 3).

Для решения задачи 1 принимаются следующие меры:

1.1. своевременное и полное исполнение требований законодательства Российской Федерации в области обеспечения информационной безопасности, а также рекомендаций ФСБ России, ФСТЭК России;

1.2. своевременное и полное исполнение требований внутренних организационно-распорядительных документов;

1.3. обеспечение функционирования и обслуживания средств защиты информации, входящих в состав комплексной системы защиты информации;

1.4. наличие ответственных работников в области обеспечения информационной безопасности, имеющих соответствующее образование и компетенции;

1.5. проведение регулярного аудита защищенности информационных ресурсов Министерства и подведомственных организаций:

1.5.1. для информационных ресурсов, являющихся значимыми объектами критической информационной инфраструктуры, в соответствии с Методикой оценки показателя состояния защиты информации и обеспечения безопасности объектов критической информационной инфраструктуры Российской Федерации, утвержденной ФСТЭК России от 2 мая 2024 г.;

1.5.2. для прочих информационных ресурсов в соответствии с Типовым техническим заданием на выполнение работ по оценке уровня защищенности информационной инфраструктуры, опубликованным на официальном сайте Министерства;

1.5.3. для информационных ресурсов, для которых требованиями законодательства Российской Федерации установлена обязанность по периодическому проведению анализа защищенности, проводится в том числе с учетом указанных требований;

1.6. обеспечение постоянного и непрерывного мониторинга информационной безопасности информационных ресурсов Министерства и подведомственных организаций:

1.6.1. журналирование и анализ событий информационной безопасности;

1.6.2. функционирование Центра (центров) мониторинга информационной безопасности;

1.7. обеспечение необходимой квалификации работников, задействованных для обеспечения информационной безопасности информационных ресурсов Министерства и подведомственных организаций;

1.8. утверждение и использование в работе Регламента по управлению уязвимостями информационных ресурсов, доступ к которым возможен посредством информационно-телекоммуникационной сети «Интернет».

Для решения задачи 2 принимаются следующие меры:

2.1. обеспечение функционирования системы реагирования на компьютерные атаки и инциденты информационной безопасности;

2.2. утверждение Регламента управления инцидентами информационной безопасности;

2.3. осуществление реагирования в соответствии с Регламентом управления инцидентами информационной безопасности;

2.4. заключение соглашения с Национальным координационным центром по компьютерным инцидентам;

Для решения задачи 3 в случае необходимости принимаются следующие меры:

3.1. обеспечение импортозамещения программно-аппаратных комплексов, программного обеспечения, в том числе средств защиты информации;

3.2. обеспечение обновления программного обеспечения (в случае выхода обновлений) и устранения уязвимостей;

3.3. обеспечение регулярного анализа источников информации об угрозах безопасности информации и уязвимостях с целью оценки их актуальности для объектов защиты;

3.4. обеспечение актуализации конструкторской, программной, документации в области информационной безопасности;

3.5. обеспечение модернизации комплексной системы защиты информации в связи с недостатками, выявленными в ходе проведения аудита защищенности информационных ресурсов Министерства и подведомственных организаций, и возникновением новых актуальных угроз.

4. Принципы защиты информации

1. Законность. Информационные ресурсы Министерства и подведомственных организаций соответствуют нормам законодательства Российской Федерации, требованиям регуляторов в области информационной безопасности (ФСБ России, ФСТЭК России), внутренним организационно-распорядительным документам.

2. Непрерывность. Процессы, связанные с обеспечением информационной безопасности, должны выполняться на всех этапах жизненного цикла информации — от ее создания до уничтожения. Принцип непрерывности определяет обеспечение информационной безопасности как непрерывный процесс, направленный на снижение рисков уничтожения и повреждения объектов защиты Министерства и подведомственных организаций.

3. Безопасность. Функционирующая комплексная система обеспечения информационной безопасности позволяет достичь конфиденциальности, целостности и доступности информации, обрабатываемой в объектах защиты.

4. Поддержка. Определяет необходимость обеспечения поддержки руководством и работниками Министерства, подведомственных организаций мероприятий по информационной безопасности. Взаимодействие и координация усилий между работниками и руководителями структурных подразделений Министерства и подведомственных организаций, а также с внешними лицами (регуляторы, контрагенты, сообщества, отраслевые ассоциации и т.д.).

5. Системность. Организационные меры и технические средства должны разрабатываться и применяться в рамках единой системы защиты, учитывающей все способы реализации актуальных угроз и не содержащей слабых мест на стыке отдельных ее компонентов.

6. Своевременность. Меры обеспечения защиты информации должны носить упреждающий характер.

7. Комплексность. Устанавливает согласованное применение различных методов и механизмов информационной безопасности.

8. Разумная достаточность. Обеспечивает сбалансированность между уровнем затрат на обеспечение информационной безопасности с уровнем рисков объектов защиты Министерства и подведомственных организаций.

9. Ответственность. Ответственность за обеспечение информационной безопасности возлагается на каждого работника в пределах его функциональных обязанностей. Работники Министерства и подведомственных организаций и третьи лица, которые имеют доступ к информации и/или инфраструктуре Министерства и подведомственных организаций, принимают участие в поддержании соответствующего уровня информационной безопасности в пределах своих должностных обязанностей и полномочий и несут ответственность за его нарушения в пределах, установленных действующим законодательством Российской Федерации и внутренними нормативными документами Министерства и подведомственных организаций.

10. Контроль. Информационные ресурсы и средства коммуникаций должны предусматривать механизмы контроля порядка обращения с конфиденциальной информацией.

11. Подконтрольность. Реализация мероприятий в области информационной безопасности информационных ресурсов в соответствии с разрабатываемыми для них Планами по обеспечению информационной безопасности. Реализация указанных Планов позволяет обеспечить регулярный контроль выполнения мероприятий в области защиты информации на отдельных объектах защиты.

12. Централизация управления. Процесс обеспечения информационной безопасности осуществляется в соответствии со структурой системы управления деятельностью по защите информации.

13. Резервирование. Все критичные процессы и сервисы должны предусматривать резервирование с учетом их постоянной готовности.

14. Минимизация полномочий. Доступ к информационным ресурсам и технологиям, используемым в рамках служебной деятельности работниками Министерства и подведомственных организаций, должен быть ограничен, обоснован и предоставляться исключительно для выполнения служебных обязанностей. Предоставление доступа к информации только при наличии обоснования на использование данных, ознакомление с информацией, подключение к информационной системе, при наличии согласования на доступ и выполнение действий от непосредственного руководителя.

15. Постоянное совершенствование. Комплексная система обеспечения информационной безопасности должна развиваться и совершенствоваться в соответствии с появлением новых векторов распространения угроз, изменениями в объектах защиты Министерства и подведомственных организаций и организационно-распорядительных документах, учитывать требования законодательства Российской Федерации и опираться на достигнутые результаты и лучшие мировые практики в области защиты информации, развивать уже имеющиеся меры защиты информации.

16. Повышение квалификации. Для уменьшения рисков возникновения инцидентов информационной безопасности Министерство создает условия для систематического обучения (повышения осведомленности) работников нормам и мерам информационной безопасности.

5. Объекты защиты

5.1 Информационные ресурсы

Информационными ресурсами, подлежащими защите в Министерстве и подведомственных организациях, являются:

автоматизированные системы;

информационно-телекоммуникационные сети;

информационные системы, в том числе государственные, оператором и/или правообладателем которых являются Министерство и/или подведомственные организации;

информационно-вычислительные и программно-аппаратные комплексы;

локальные вычислительные сети и системы;

системы связи и передачи данных (в том числе телефонная связь, устройства звукозаписи, звукоусиления и звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства), осуществляющие прием, обработку, хранение и передачу информации;

центры обработки данных;

сервисы, компоненты, информационные ресурсы, информационные системы, объекты и системы информатизации цифровых и облачных платформ, обеспечение информационной безопасности которых возложены на Министерство и/или на подведомственные организации нормативными актами Российской Федерации;

иные объекты информатизации.

5.2 Информация

Информация как объект защиты делится:

1. на типы:

общедоступная;

персональные данные;

служебная информация ограниченного распространения;

служебная технологическая информация;

2. на категории:

внутренние данные;

внешние данные;

3. по уровню доступа:

свободного (неограниченного) доступа;

ограниченного доступа.

Отдельное внимание должно уделяться обеспечению безопасности персональных данных, которые могут иметь различные формы представления (бумажная, файлы, записи и поля записей баз данных, электромагнитные волны и поля, излучения и т.д.), каждая из которых является объектом защиты.

Формы представления персональных данных связаны с различными ресурсами информационных систем персональных данных, которые в свою очередь могут порождать объекты защиты. Используемые в информационных системах персональных данных средства защиты информации также являются объектами защиты.

6. Категории лиц, участвующих в защите информации, и их задачи

1. Заместитель Министра, обеспечивающий организацию и координацию работ по обеспечению информационной безопасности информационных ресурсов (защиты информации и обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты в информационных ресурсах).

2. Заместители Министра, заместители руководителей подведомственных учреждений, руководители структурных подразделений, находящихся в прямом подчинении Министра, в ведении которых находятся эксплуатируемые информационные ресурсы, обеспечивают их информационную безопасность (защиту информации и обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты в информационных ресурсах), а также несут персональную ответственность за обеспечение их информационной безопасности (защиту информации и обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты в информационных ресурсах).

При передаче функций (назначении) оператора информационных ресурсов сторонней организации ответственность за информационную безопасность информационных ресурсов (защиту информации и обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты в информационных ресурсах) несет указанная организация.

3. Ответственные за обеспечение информационной безопасности информационных систем, функции оператора которых выполняет Министерство, а также информационных ресурсов, находящихся в ведении Министерства.

Ответственные назначаются из числа работников структурного подразделения Министерства в соответствии со сферой ведения (имеющих высшее образование (не ниже уровня специалитета, магистратуры) по направлению обеспечения информационной безопасности, либо прошедших обучение по программе профессиональной переподготовки по направлению «Информационная безопасность»).

В обязанности указанного ответственного работника входит обеспечение информационной безопасности информационных ресурсов, находящихся в сфере ведения (либо координация/сопровождение указанных работ), а также рассмотрение, согласование документации в области информационной безопасности в соответствии со сферой ведения.

4. Ответственные за обеспечение информационной безопасности информационных систем, функции оператора которых выполняет подведомственная организация, а также информационных ресурсов подведомственной организации работники.

Ответственные назначаются из числа работников данной подведомственной организации (имеющих высшее образование (не ниже уровня специалитета, магистратуры) по направлению обеспечения информационной безопасности, либо прошедших обучение по программе профессиональной переподготовки по направлению «Информационная безопасность).»

В обязанности указанного ответственного работника входит обеспечение информационной безопасности информационных ресурсов, находящихся в сфере ведения (либо координация/сопровождение указанных работ), а также рассмотрение, согласование документации в области информационной безопасности в соответствии со сферой ведения.

5. Ответственные за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты в информационных системах, функции оператора которых выполняет Министерство, а также информационных ресурсов, находящихся в ведении Министерства, работники.

Ответственные назначаются из числа работников структурного подразделения Министерства в соответствии со сферой ведения (имеющих высшее образование (не ниже уровня специалитета, магистратуры) по направлению обеспечения информационной безопасности, либо прошедших обучение по программе профессиональной переподготовки по направлению «Информационная безопасность»).

В обязанности указанного ответственного работника входит обнаружение, предупреждение и ликвидация последствий компьютерных атак и реагирование на компьютерные инциденты.

В случае если для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты привлекаются организации на контрактной основе, имеющие соответствующие лицензии, то указанный ответственный работник обеспечивает контроль мероприятий, проводимых в рамках данного контракта.

6. Ответственные за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты информационных систем, функции оператора которых выполняет подведомственная организация, а также информационных ресурсов подведомственной организации работники.

Ответственные назначаются из числа работников данной подведомственной организации (имеющих высшее образование (не ниже уровня специалитета, магистратуры) по направлению обеспечения информационной безопасности, либо прошедших обучение по программе профессиональной переподготовки по направлению «Информационная безопасность).»

9. Организация, привлеченная для выполнения работ по информационной безопасности информационных ресурсов (защите информации и обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты в информационных ресурсах). Привлекаемая организация должна иметь действующую лицензию на осуществление деятельности по технической защите конфиденциальной информации (а также иные лицензии, необходимые для осуществления видов деятельности в рамках контрактных обязательств).

10. Организация, обеспечивающая в соответствии с заключенными контрактами (договорами) эксплуатацию информационных ресурсов.

11. Гражданские государственные служащие и работники Министерства в соответствии с возложенными на них служебными и трудовыми обязанностями, работники подведомственных организаций.

Дополнительные мероприятия (задачи) по защите информации, обязательные к реализации отдельными категориями лиц (за исключением пункта 1 настоящего раздела), предусмотрены в приложении к настоящей Политике.

7. Структура системы управления деятельностью по защите информации

1. Министр:

осуществляет руководство заместителем Министра, обеспечивающим организацию и координацию работ по обеспечению информационной безопасности информационных ресурсов Министерства, и структурным подразделением, находящимся в ведении указанного заместителя Министра, выполняющего функции по организации и координации работ по обеспечению информационной безопасности информационных ресурсов Министерства.

2. Заместитель Министра, обеспечивающий организацию и координацию работ по обеспечению информационной безопасности информационных ресурсов Министерства:

осуществляет непосредственное руководство деятельностью Структурного подразделения по ИБ.

3. Структурное подразделение по ИБ:

назначает ответственного за прием информации об установлении уровня опасности и оперативное доведение ее до сведения Министра;

обеспечивает согласование кандидатур, ответственных за обеспечение информационной безопасности информационных систем и ответственных за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты;

обеспечивает организацию и координацию работ заместителей Министра, руководителей структурных подразделений, находящихся в прямом подчинении Министра, а также руководителей подведомственных учреждений, в ведении которых находятся информационные ресурсы, по обеспечению информационной безопасности информационных ресурсов;

обеспечивает методическую поддержку (в том числе путем разработки типовых форм документов) заместителям Министра, руководителям структурных подразделений, находящихся в прямом подчинении Министра, в ведении которых находятся информационные ресурсы, а также руководителям подведомственных учреждений;

обеспечивает экспертное рассмотрение документов, приведенных в Перечне документации на информационные ресурсы Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации.

4. Заместители Министра, руководители структурных подразделений, находящихся в прямом подчинении Министра, в ведении которых находятся информационные ресурсы:

организуют работу по обеспечению информационной безопасности информационных ресурсов, находящихся в их сфере ведения при помощи структурных подразделений, находящихся под их управлением;

назначают ответственных за обеспечение информационной безопасности информационных систем и ответственных за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты из числа работников своих (находящихся в сфере ведения) структурных подразделений;

осуществляют руководство деятельностью назначенных за обеспечение информационной безопасности информационных систем и ответственных за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты работников в части обеспечения информационной безопасности информационных ресурсов, находящихся в сфере ведения;

обеспечивают реализацию мер, предлагаемых заместителем Министра, обеспечивающим организацию и координацию работ по обеспечению информационной безопасности информационных ресурсов Министерства, и Структурным подразделением по ИБ.

5. Заместители руководителей подведомственных учреждений:

назначают ответственных за обеспечение информационной безопасности информационных систем и ответственных за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты из числа работников подведомственной организации;

осуществляют руководство деятельностью назначенных за обеспечение информационной безопасности информационных систем и ответственных за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты работников в части обеспечения информационной безопасности информационных ресурсов подведомственной организации;

назначают ответственного за прием информации об установлении уровня опасности и оперативное доведение ее до сведения руководителя подведомственной организации;

обеспечивают реализацию мер, предлагаемых заместителем Министра, обеспечивающим организацию и координацию работ по обеспечению информационной безопасности информационных ресурсов Министерства, и Структурным подразделением по ИБ.

6. Ответственные за обеспечение информационной безопасности информационных систем и ответственные за обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на компьютерные инциденты Министерства и подведомственных организаций:

обеспечивают реализацию (контроль реализации) мероприятий при обеспечении информационной безопасности информационных ресурсов, находящихся в сфере ведения;

обеспечивают экспертное рассмотрение документов на информационные ресурсы, находящихся в сфере ведения, согласование документов в соответствии с Перечнем документации на информационные ресурсы Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, для которой обеспечивается экспертное рассмотрение в соответствии с установленным перечнем информационных ресурсов, со структурным подразделением, определенным пунктом 8 раздела 6 настоящей Политики;

обеспечивают соблюдение требований законодательства Российской Федерации, требований регуляторов в области информационной безопасности (ФСБ России, ФСТЭК России), внутренних организационно-распорядительных документов при выполнении контрактных обязательств организациями, привлеченными для выполнения работ по информационной безопасности, и организациями, обеспечивающими в соответствии с заключенными контрактами (договорами) эксплуатацию;

обеспечивают контроль соблюдения требований законодательства Российской Федерации, требований регуляторов в области информационной безопасности (ФСБ России, ФСТЭК России), внутренних организационно-распорядительных документов гражданскими государственными служащими и работниками Министерства, а также работниками подведомственных организаций при выполнении ими трудовых функций в соответствии с должностными инструкциями.

8. Виды и степень ответственности работников за нарушения требований о защите информации и ее обработки в соответствии с законодательством Российской Федерации

Работники Министерства и подведомственных организаций несут ответственность за исполнение возложенных на них трудовых обязанностей в соответствии с нормами действующего законодательства Российской Федерации.

При привлечении организаций для обеспечения функций по информационной безопасности, а также эксплуатации информационных ресурсов указанные организации несут ответственность перед Министерством и подведомственными организациями в соответствии с договором (государственным контрактом), а также нормами действующего законодательства Российской Федерации.

Приложение к Политике информационной безопасности Министерства цифрового развития, связи и массовых коммуникаций, утвержденной приказом Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации

ДОПОЛНИТЕЛЬНЫЕ МЕРОПРИЯТИЯ ПО ЗАЩИТЕ ИНФОРМАЦИИ, ОБЯЗАТЕЛЬНЫЕ К РЕАЛИЗАЦИИ ОТДЕЛЬНЫМИ КАТЕГОРИЯМИ ЛИЦ

Дополнительные мероприятия (задачи) по защите информации, обязательные к выполнению отдельными категориями лиц, должны быть реализованы для информационных ресурсов, подлежащих защите в Министерстве и подведомственных организациях в случае применимости.

Заместителям Министра, руководителям структурных подразделений, находящихся в прямом подчинении Министра, а также заместителям руководителей подведомственных организаций, в ведении которых находятся эксплуатируемые информационные ресурсы, обеспечить:

1. Проведение инвентаризации информационных ресурсов, находящихся в их сфере ведения, включая следующие мероприятия:

1.1. определение объектов инвентаризации: информационные системы, автоматизированные системы, информационные ресурсы, почтовые сервера, программные, программно-аппаратные средства, включая коммуникационное оборудование, информационно-телекоммуникационные сети и подсети, средства защиты информации (в том числе криптографической) и др.;

---