Приказ ФАС России от 10.01.2024 № 4/24

Федеральная антимонопольная служба · № 4/24 от 10.01.2024Действующий акт

Актуально на 11.11.2026.

Как цитировать: Приказ ФАС России от 10.01.2024 N 4/24. 4/24. 10.01.2024. https://bukva.ai/docs/prikaz-424-2024-fas-rossii-federalnaya

«Об утверждении Политики информационной безопасности ФАС России»

ФЕДЕРАЛЬНАЯ АНТИМОНОПОЛЬНАЯ СЛУЖБА

ПРИКАЗ

от 10 января 2024 г. № 4/24

ОБ УТВЕРЖДЕНИИ ПОЛИТИКИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ФАС РОССИИ

В целях развития и совершенствования системы управления информационной безопасностью ФАС России приказываю:

1. Утвердить Политику информационной безопасности ФАС России (далее — Политика ИБ), согласно приложению к настоящему приказу.

2. Руководителям подразделений центрального аппарата и территориальных органов ФАС России, подведомственных учреждений в течение 15 рабочих дней с даты подписания настоящего приказа ознакомить сотрудников под личную подпись с Политикой ИБ.

3. Признать утратившим силу приказ ФАС России от 26.01.2017 № 61/17 «О введении в действие политики информационной безопасности ФАС России».

4. Контроль исполнения настоящего приказа возложить на заместителя руководителя ФАС России Н.Ф. Галимханову.

Руководитель
М. А. Шаскольский

Приложение
к приказу ФАС России
от 10 января 2024 г. № 4/24

ПОЛИТИКА
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ФАС РОССИИ

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Политика информационной безопасности (далее — Политика ИБ) ФАС России является основополагающим документом, определяющим систему приоритетов, принципов и методов достижения целей обеспечения защищенности информационных активов ФАС России в условиях наличия угроз, характерных и существенных для органов государственной власти Российской Федерации.

1.2. Основными целями Политики ИБ являются защита информации от возможного причинения материального или иного ущерба ФАС России посредством случайного или преднамеренного воздействия инцидентов информационной безопасности на информацию, ее носители, процессы обработки и передачи, а также обеспечение эффективной работы всего информационно-вычислительного комплекса при осуществлении деятельности ФАС России.

1.3. Политика ИБ исходит из того, что обеспечение информационной безопасности ФАС России как системно-значимой и территориально распределенной структуры представляет собой комплексную многоуровневую и многоаспектную задачу, включающую различные объекты и цели защиты, характер угроз, способы противодействия им, а также критерии оценки эффективности систем безопасности.

1.4. Политика ИБ является обязательной к применению в центральном аппарате ФАС России, территориальных органах и подведомственных учреждениях ФАС России. Выполнение требований Политики ИБ является обязательным для всех сотрудников ФАС России, территориальных органах и подведомственных учреждений.

1.5. Область применения настоящей Политики покрывает весь жизненный цикл (создание, эксплуатация и вывод из эксплуатации) защищаемых объектов информационной безопасности ФАС России.

1.6. Политика ИБ также распространяется на все деловые, договорные, финансовые, информационные, публичные или иные взаимодействия ФАС России с третьими лицами или организациями, которые могут влиять на информационную безопасность ФАС России.

1.7. Настоящая Политика ИБ является руководящим документом для следующих подразделений или ответственных сотрудников ФАС России и подведомственных учреждений:

Управление цифровой трансформации и информационной безопасности ФАС России;
Управление развития и эксплуатации инфраструктуры ФБУ «ИТЦ ФАС России»;
Отдел информационной безопасности ФБУ «ИТЦ ФАС России»;
Управление эксплуатации и поддержки пользователей ФБУ «ИТЦ ФАС России»;
Управление государственной службы;
Управление делами;
Сотрудники, ответственные за информационные технологии в территориальных органах и подведомственных организациях.

1.8. Положения настоящей Политики ИБ должны применяться при определении наиболее важных объектов защиты, формулировке принципов и направлений работ по разработке необходимых мер защиты информационных активов, сопровождения, обслуживания и обеспечения нормального функционирования корпоративной информационной системы ФАС России, а также при ручной или автоматизированной обработке и хранении информации, содержащей сведения, составляющие коммерческую, служебную тайну, персональные или иные, подлежащие защите, критичные для деятельности данные ограниченного доступа.

2. ТЕРМИНЫ, ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ

Для целей настоящего Положения в нем определены следующие термины, определения и сокращения:

Автоматизированная система — система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций;

Администратор информационной системы — сотрудник или структурное подразделение центрального аппарата или территориального органа ФАС России, которое уполномочено осуществлять деятельность по эксплуатации информационных систем, в том числе по обработке информации, содержащейся в ее базах данных;

Анализ риска — систематическое использование информации для выявления угроз безопасности информации, уязвимостей системы информационной и оценки количественной вероятностей реализации угроз с использованием уязвимостей и последствий реализации угроз для информации и системы информационной, предназначенной для обработки этой информации;

Аудит информационной безопасности — систематический процесс получения и оценки данных о текущем состоянии информационной безопасности информационных активов ФАС России, устанавливающий соответствие определенным критериям;

Доступность — состояние информации, характеризующееся способностью информационной системы обеспечивать беспрепятственный доступ к информации;

Информация — сведения (о лицах, предметах, фактах, событиях, явлениях) независимо от формы их представления;

Информационная технология — процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;

Информационная система — совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

Информационная безопасность ФАС России — механизм защиты информации, обеспечивающий конфиденциальность, целостность и доступность информации, обращающейся в ФАС России;

Информационные активы ФАС России — информация, в том числе содержащаяся в информационных системах ФАС России, представляющая ценность для ФАС России с точки зрения достижения ее интересов (целей);

Инцидент информационной безопасности — событие или комбинация событий, указывающая на свершившуюся, предпринимаемую или вероятную реализацию угрозы информационной безопасности, которые приводят или с определенной вероятностью могут привести к компрометации информационных активов, нарушению бизнес-процессов или иному ущербу информационной безопасности;

Криптографическая защита информации — защита конфиденциальности информации путем использования средств шифрования;

Конфиденциальность — свойство информации, доступной только для авторизованных пользователей, имеющих полномочие на ознакомление с ней;

Мониторинг информационной безопасности — оперативное и постоянное наблюдение за объектами, являющимися объектами информационной безопасности, а также объектами, влияющими на обеспечение информационной безопасности, проведение сбора, анализа и обобщения результатов наблюдения в соответствии с заданными целями;

Несанкционированный доступ к информационным активам — доступ к информации, нарушающий установленные правила разграничения доступа;

Ответственный за информационный ресурс — сотрудник или подразделение центрального аппарата или территориального органа ФАС России, которое уполномочено ответственным заместителем руководителя ФАС России исполнять по отношению к информационному активу административные обязанности: учет, категорирование, управление развитием, обслуживанием, использованием, обеспечением безопасности и координация деятельности в этих направлениях;

Объект информационной безопасности — защищаемые ФАС России информация, носитель информации или процесс обработки информации;

Пользователь — сотрудник ФАС России, территориального органа ФАС России, подведомственной организации ФАС России, подрядной организации имеющий легитимный доступ к информационным системам ФАС России.

Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации лицу (субъекту персональных данных);

Риск — сочетание вероятности и последствий наступления неблагоприятных инцидентов информационной безопасности ФАС России;

Риск-аппетит — это степень риска, которая считается приемлемой в процессе достижения целей информационной безопасности ФАС России;

Оценивание риска — процесс оценки угроз, их последствий, уязвимости информации и средств ее обработки, а также вероятности их возникновения;

Система информационной безопасности — взаимоувязанный комплекс организационных, нормативно-правовых мер и аппаратно-программных комплексов, и средств, обеспечивающих защиту от возникновения случайных и преднамеренных инцидентов информационной безопасности;

Система скоординированной деятельности по руководству и управлению информационной безопасностью ФАС России — часть общей корпоративной деятельности по руководству и управлению ФАС России, предназначенная для создания, реализации, эксплуатации, мониторинга, анализа, поддержки и повышения его информационной безопасности. Система общей корпоративной деятельности по руководству и управлению ФАС России включает структуру, политики, деятельности по планированию, обязанности, практики, процедуры, процессы и ресурсы ФАС России;

Угроза информационной безопасности — совокупность условий и факторов, создающих опасность нарушения информационной безопасности;

Управление рисками информационной безопасности — процесс выявления, контроля и минимизации или устранения рисков информационной безопасности, оказывающих влияние на информационные системы, в рамках допустимых затрат;

ТО — территориальные органы ФАС России;

Целостность — свойство достоверности и полноты информации;

SLA — Service level agreement, соглашение об уровне услуг, согласованный уровень качества предоставляемой услуги;

АРМ — автоматизированное рабочее место;

ВВД — внутренняя нормативная документация;

УЦТиИБ — Управление цифровой трансформации и информационной безопасности ФАС России;

ОИБ — отдел информационной безопасности ФБУ «ИТЦ ФАС России»;

УИТ — Управление развития и эксплуатации инфраструктуры и Управление эксплуатации и поддержки пользователей ФБУ «ИТЦ ФАС России»;

ОИТТО — ответственный за информационные технологии территориального органа УФАС России;

ОИБТО — ответственный за информационную безопасность территориального органа ФАС России;

УГС — Управление государственной службы;

ИБ — информационная безопасность;

ИС — информационная система;

КИС — корпоративная информационная система;

КСОИБ — комплексная система обеспечения информационной безопасности;

ЛВС — локально-вычислительная сеть;

ПО — программное обеспечение;

ПЭВМ — персональная электронно-вычислительная машина;

СИБ — система информационной безопасности;

СУИБ — система управления информационной безопасностью.

3. ОРГАНИЗАЦИЯ УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТЬЮ

3.1. Процесс управления информационной безопасностью ФАС России является комплексным и включает выполнение ряда функций на различных уровнях управления.

Цели представленного ряда функций управления приведены ниже.

3.2 Учет и классификация информационных активов.

Для обеспечения необходимого уровня защиты информационных активов в ФАС России, должны быть выполнены следующие условия:

учтены все информационные активы ФАС России;
классифицированы (категорированы) информационные активы по степени конфиденциальности;
реализованы меры по обеспечению ИБ информационных активов, соответствующих уровню их конфиденциальности.

Учет и классификация информационных активов должны проводиться в соответствии с действующими федерально нормативными правовыми актами федеральных органов исполнительной власти Российской Федерации, регулирующих сферу информационной безопасности, входящих в область применения системы управления информационной безопасностью ФАС России по категориям критичности к обеспечению конфиденциальности, целостности и доступности, с учетом жизненного цикла существования информационных активов.

3.3 Разработка требований по ИБ КИС ФАС России.

На основании результатов, полученных ответственным за информационный ресурс, классификации и категорирования информационного ресурса, а также информации об ИС ФАС России (технологии и технические средства), в которой осуществляется обработка, хранение и передача информации данного информационного ресурса, в УЦТиИБ совместно с ОИБ производится разработка требований по обеспечению информационной безопасности для указанной ИС, их выполнение и последующий контроль выполнения с периодичностью, указанной в соответствующих ВНД.

Аналогичным образом разработка и контроль выполнения требований по обеспечению информационной безопасности на стадиях создания, развития и управления информационными активами и информационными системами ФАС России должны обеспечиваться УЦТиИБ. Специалисты УИТ участвуют в согласовании и обеспечивают выполнение указанных требований.

3.4 Планирование, развитие и сопровождение СИБ.

УЦТиИБ несет ответственность за планирование и развитие СИБ ФАС России, а ответственность за контроль состояния СИБ ФАС России и ее сопровождение несет ОИБ.

ОИБ обеспечивает управление жизненными циклами процессов, систем защиты информации и автоматизированных систем в составе СИБ.

Планирование и развитие СУИБ должно осуществляться с учетом особенностей существующих информационных технологий ФАС России и планов их развития, при этом реализация тех или иных информационных технологий не должна осуществляться без выполнения требований по обеспечению информационной безопасности.

3.5. Создание и поддержание в актуальном состоянии правовых актов, регламентирующих деятельность по обеспечению ИБ.

Создание и поддержание в актуальном состоянии правовых актов ФАС России, регламентирующих деятельность по обеспечению ИБ, осуществляется на основании нормативно-методической базы, регламентирующей деятельность по обеспечению ИБ, которая включает в себя:

законы Российской Федерации;
указы и распоряжения Президента Российской Федерации, постановления Правительства Российской Федерации;
международные и национальные стандарты;
нормативные правовые акты и методические документы федерального органа исполнительной власти в области обеспечения безопасности и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации (далее — регуляторы в сфере ИБ);
нормативные правовые акты ФАС России.

Правовые акты ФАС России, регламентирующие деятельность по обеспечению информационной безопасности, должны обладать свойствами полноты, актуальности и исполнимости. Исполняемость правовых актов, регламентирующих деятельность по информационной безопасности, должна быть предметом регулярного контроля со стороны УЦТиИБ.

3.6. Обеспечение информационной безопасности от угроз информационной безопасности, связанных с действиями пользователей.

Целью данной функции является влияние на корпоративную культуру, обеспечение минимизации рисков «человеческого фактора», ошибок, краж, мошенничества и неправомерного использования информационных активов в отношении пользователей.

3.7 Мониторинг состояния информационной безопасности ФАС России.

Целью данной функции является выявление и своевременное устранение недостатков ИБ путем сбора, накопления и анализа оперативной информации о событиях, инцидентах информационной безопасности и прогнозирования рисков ИБ.

3.8 Управление рисками ИБ.

Целью данной функции является реализация процессов управления рисками ИБ как методической основы обеспечения информационной безопасности ФАС России.

3.9 Управление инцидентами ИБ.

Целью данной функции является минимизация последствий реализации угроз, направленных на информационные активы ФАС России, включая использование данных анализа мониторинга информационной безопасности для минимизации будущих возможных рисков.

3.10 Совершенствование СУИБ.

Целью данной функции является выявление новых угроз и рисков в отношении объектов информационной безопасности и снижение уровня выявленных рисков до уровня риск-аппетита ФАС России.

3.11 Управление непрерывностью процессов.

Целью данной функции является обеспечение требований доступности информационных активов, выполнения норм восстановления работоспособности информационных систем и снижения ущерба от аварийных и сбойных ситуаций, потерь информационных активов, реализации инцидентов информационной безопасности.

3.12 Решение организационных вопросов ИБ.

Целями данной функции являются:

создание организационной инфраструктуры ИБ;
обеспечение безопасности при наличии доступа к ИС ФАС России сторонних организаций;
обеспечение безопасности при привлечении сторонних организаций к обработке информации (аутсорсинг).

3.13 Физическая защита и защита от воздействий окружающей среды.

Целями физической защиты и защиты от воздействий окружающей среды являются предотвращение:

неавторизованного доступа, повреждения и воздействия в отношении помещений и информации ФАС России;
потерь, повреждений или компрометации информационных активов и нарушения непрерывности деятельности ФАС России (или отдельных процессов);
компрометации или кражи информации и средств обработки (а также средств передачи или хранения) информации.

3.14. Контроль выполнения требований КБ при передаче данных и операционной деятельности.

Целями данной функции являются:

обеспечение надлежащего и безопасного функционирования средств обработки информации;
сведение к минимуму риска сбоев в работе ИС;
обеспечение защиты целостности программного обеспечения и массивов информации от вредоносного программного обеспечения;
поддержание целостности и доступности услуг по обработке информации и связи;
обеспечение безопасности информации в сетях связи и защиты поддерживающей инфраструктуры;
предотвращение повреждений информационных активов и прерываний деятельности;
предотвращение потери, модификации или неправильного (неправомерного) использования информации при обмене ею между организациями.

3.15 Управление контролем доступа.

Целями данной функции являются:

обеспечение контроля доступа к информационным активам ФАС России;
предотвращение неавторизованного доступа пользователей к информации (данным) или к той или иной ИС;
защита сетевых сервисов;
предотвращение неавторизованного доступа к компьютерам;
обнаружение неавторизованных действий;
обеспечение ИБ ФАС России при использовании переносных устройств и средств, обеспечивающих работу в дистанционном режиме.

3.16. Контроль выполнения требований ИБ при разработке и обслуживании информационных систем.

Целями выполнения данной функции являются:

обеспечение учета (выполнения) требований ИБ при разработке информационных систем ФАС России (инфраструктуры, приложений);
предотвращение потерь при неправильном использовании пользовательских данных в прикладных системах;
обеспечение защиты конфиденциальности, аутентичности или целостности информации с применением криптографических систем и методов в случаях, когда другие средства защиты ИБ не обеспечивают адекватного уровня защищенности;
обеспечение информационной безопасности ФАС России при модернизации и действиях по поддержке информационных систем (целостности системных файлов);
поддержание безопасности прикладных систем и информации в процессах их разработки и поддержки (исключение утечки информации).

3.17. Контроль управления средствами криптографической защиты информации.

Целью данной функции является защита информационных активов ФАС России, базирующейся на политике использования средств криптографической защиты информации.

Реализация положений политики осуществляется с использованием и на базе корпоративного удостоверяющего центра.

3.18. Контроль обеспечения соответствия ИБ требованиям нормативно-методической базе по ИБ.

Целями данной функции являются:

предотвращение любых нарушений норм уголовного и гражданского права, обязательных предписаний и регулирующих требований или договорных обязательств, а также требований безопасности;
обеспечение соответствия систем Политике ИБ ФАС России международным и национальным стандартам (путем регулярного пересмотра Политики ИБ и технического соответствия требованиям ИБ).

УЦТиИБ является ответственным подразделением ФАС России, осуществляющим организацию процесса управления информационной безопасностью ФАС России.

ОИБ является ответственным структурным подразделением ФБУ «ИТЦ ФАС России», осуществляющим техническую защиту информации в ФАС России.

4. СТРАТЕГИЯ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

4.1. Стратегия обеспечения информационной безопасности ФАС России заключается в планировании, развертывании, эксплуатации и совершенствовании системы управления информационной безопасностью, адекватно отвечающей потребностям деятельности ФАС России. СУИБ должна обеспечивать достижение целей деятельности ФАС России в условиях:

штатного функционирования;
возникновения локальных инцидентов и проблем информационной безопасности;
возникновения широкомасштабных катастроф и аварий различной природы, последствия которых имеют или могут иметь отношение к эффективной работе ФАС России в целом.

При построении СУИБ ФАС России ставит своей задачей соответствовать уровню не ниже 4 модели зрелости процесса DS5 «Обеспечение безопасности систем» в соответствии с «Целями контроля для информационных и смежных технологий — стандарта COBIT 4.1».

Для достижения указанного уровня УЦТиИБ проводит регулярную оценку эффективности работы СУИБ по ключевым показателям, установленным регуляторами в сфере ИБ. Показатели в ФАС России должны соответствовать установленным регуляторами внешним (по отношению к ФАС России) нормативно-правовым документам.

4.2. Информационная безопасность ФАС России обеспечивается на основе согласованного комплекса организационных мер, нормативно-правовых актов и программно-технических средств, включающих:

контроль за соблюдением законодательных норм, определяющих взаимоотношения с внешними организациями;
контроль за соблюдением соглашений с внешними организациями и физическими лицами о конфиденциальности или неразглашении, отражающие потребности ФАС России и подвергающиеся регулярному пересмотру;
планирование, разработку, согласование, ввод в действие и контроль за выполнением ВИД ФАС России, устанавливающих обязанности и ответственность пользователей за нарушения информационной безопасности;
применение технических и программных средств защиты;
контроль за выполнением организационно-технических норм и регламентов, определяющих стадии жизненного цикла информационных систем ФАС России, включающих технические и программные средства защиты (создание, ввод в действие, эксплуатация, модернизация и вывод из эксплуатации);
проведение обязательного обучения пользователей основам ИБ, обеспечение регулярных переподготовок и контроля знаний;
мониторинг, внутренний контроль и аудит подсистем ИБ (включенных в состав ИС), а также возникающих угроз с целью минимизации рисков ФАС России.

4.3. Информационная безопасность ФАС России обеспечивается в условиях централизованно распределенной структуры средств защиты информационных активов ФАС России с учетом возможности воздействия следующих условий и факторов;

подверженность катастрофам, действиям террористов и иных внешних злоумышленников;
зависимость от внешних поставщиков аппаратно-программных средств, расходных материалов, телекоммуникационных услуг и т.п.;
невозможность обработки информации в связи с отказом технических средств;
неправильное администрирование аппаратно-программных и технических средств;
нарушения в управлении информационными активами;
ошибочные или злонамеренные действия персонала.

4.4. ФАС России финансирует мероприятия, связанные с решением задач по информационной безопасности, исходя из результатов оценки рисков и выбора адекватных мер по их снижению, в объемах и в сроки, обеспечивающие достижение следующих целей:

обеспечение приемлемого уровня защищенности информационных активов ФАС России, то есть риск нарушения конфиденциальности, доступности и целостности информационных активов ФАС России соответствует риск-аппетиту ФАС России;
соответствие уровню не ниже 4 модели зрелости процесса DS5 «Обеспечение безопасности систем» в соответствии с «Целями контроля для информационных и смежных технологий — COBIT 4.1».

5. ЗАЩИЩАЕМЫЕ ОБЪЕКТЫ ИБ

ФАС России защищает от угроз, связанных с рисками ИБ, следующие типы объектов:

информационные активы ФАС России;
программное обеспечение (целостность компонентов ПО информационных систем);
физические устройства, хранящие, обрабатывающие и передающие информацию;
процессы деятельности (услуги).

6. ОСНОВНЫЕ УГРОЗЫ ИБ

6.1. Подробный перечень угроз информационной безопасности определяется на этапе анализа рисков. Основываясь на практиках, изложенных в отечественных и международных стандартах, ФАС России выделяет основные угрозы защищаемых ресурсов:

6.2 Внешние угрозы.

К внешним угрозам ИБ ФАС России относятся:

атаки из внешних информационных сред на аппаратно-программные и технические комплексы и информационные активы ФАС России, в том числе компьютерные вирусы;
катастрофы и неблагоприятные события природного и техногенного характера;
террористические акты;
зависимость от монопольных поставщиков аппаратно-программных и технических средств, расходных материалов, услуг.

6.3 Внутренние угрозы.

К внутренним угрозам ИБ ФАС России относятся:

невыполнение (или неполное выполнение) пользователями, в том числе консультантами и специалистами фирм, привлекаемых в рамках аутсорсинга, установленных технических и (или технологических регламентов;
несанкционированная деятельность (включая ошибки) персонала и пользователей информационных систем, приводящая к уменьшению уровня защищенности, т.е. снижению количества и (или) изменению состава) выполненных требований по защите информационных систем, необходимого для отнесения данных систем к тому или иному классу защищенности информационных систем;
нецелевое использование информационных активов, средств вычислительной техники и сетей передачи данных ФАС России;
несанкционированный доступ к информационным активам (чтение, копирование, публикация, искажение, частичное или полное уничтожение, ввод ложной информации);
сбои ПО и отказы оборудования.

6.4. Приведенная выше классификация угроз носит условный характер, не является окончательной и не ранжирована по степени приоритетности. В объективной реальности угрозы, как правило, носят комбинированный характер.

6.5. Непрерывный процесс прогнозирования, выявления, идентификации, конкретизации, анализа и выработки мер по локализации угроз является неотъемлемой задачей текущей деятельности в построении СИБ.

7. ПОДХОДЫ К ФОРМИРОВАНИЮ ОСНОВНЫХ ТРЕБОВАНИЙ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

7.1. Формирование требований обеспечения ИБ в обязательном порядке осуществляется с учетом особенностей развития ИТ-инфраструктуры ФАС России.

7.2. Требования обеспечения информационной безопасности в ФАС России формируются на основе анализа рисков информационной безопасности, характерных для ИС ФАС России. Для достижения целей обеспечения информационной безопасности ФАС России, в условиях отсутствия методологии проведения анализа рисков, требования формируются на основе экспертных оценок специалистов, ответственных за обеспечение ИБ в ФАС России, согласованных с подразделениями ИТ.

7.3. Корректировка требований обеспечения информационной безопасности при необходимости должна производиться на основании анализа действий по выполнению требований ИБ и оценки остаточных (после выполнения требований) рисков информационной безопасности.

8. ОПРЕДЕЛЕНИЕ ЗАЩИЩАЕМЫХ ИНФОРМАЦИОННЫХ АКТИВОВ ФАС РОССИИ

8.1. Перечень информационных активов, попадающих в область действия СУИБ, должен быть определен на этапе инвентаризации информационных активов. В перечень видов ИС и входящих в них информационных активов, являющихся наиболее приоритетными с точки зрения обеспечения ИБ, входит:

финансово значимые автоматизированные информационные системы;
системы, хранящие, обрабатывающие и передающие информацию, охраняемую согласно законодательству Российской Федерации или иным документам, содержащим обязательные для выполнения ФАС России требования по защите информации (информация, составляющая коммерческую, служебную тайну, персональные данные) или иные, критичные для ФАС России сведения;
системы автоматизации делопроизводства и документооборота.

8.2. В автоматизированных информационных системах ФАС России присутствует информация, различная с точки зрения необходимости и уровня обеспечения ее защиты. Каждому виду информации соответствуют свои приоритеты обеспечения целостности, конфиденциальности и доступности.

8.3. Приоритеты в организации защиты информации, являющейся собственностью государства или защита которой регламентируется государством, определяются с учетом положений соответствующих нормативно-правовых актов. Приоритеты в организации защиты иной информации определяются обладателями данной информации, исходя из ее ценности (значимости) для ФАС России.

9. ИНФОРМАЦИЯ, ХРАНЯЩАЯСЯ, ОБРАБАТЫВАЮЩАЯСЯ И ПЕРЕДАЮЩАЯСЯ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ФАС РОССИИ

9.1. Информация хранящаяся, обрабатывающаяся в ИС ФАС России делится на общедоступную и ограниченного доступа.

9.2. Общедоступная информация, предназначенная для официальной передачи во внешние организации, средства массовой информации и т.п., а также информация, полученная из внешних открытых источников.

9.3 Информация ограниченного доступа делится на две категории:

конфиденциальная информация (в том числе информация, составляющая коммерческую тайну ФАС России или третьих лиц). Режим защиты информации устанавливается ФАС России на основании Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне»;
персональные данные. Режим защиты информации устанавливается Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказом Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

10. ОТВЕТСТВЕННОСТЬ ФАС РОССИИ

10.1 ФАС России несет ответственность за:

достоверность и выполнение регламента предоставления регуляторам в сфере ИБ, иным уполномоченным органам государственной власти информации по вопросам ИБ, обязательность и порядок предоставления которой определены законодательством Российской Федерации и (или) нормативными правовыми актами ФАС России и (или) закреплены в договорах (соглашениях) с подрядными организациями;
обеспечение соответствующего законодательству Российской Федерации, заключенным договорам (соглашениям) с подрядными организациями и внутренними актами ФАС России уровня защиты ИБ как собственной информации ФАС России, а также информации, переданной в ФАС России юридическими и физическими лицами.

11. ОБЩИЕ ТРЕБОВАНИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ К ИНФОРМАЦИОННЫМ СИСТЕМАМ ФАС РОССИИ

11.1 В ИС ФАС России должны быть выполнены следующие требования информационной безопасности:

ИС ФАС России должна обеспечивать предоставление пользователю ИС, к которой он получил легитимный доступ, индивидуального уникального идентификатора;
для учетной записи в ИС должен быть определен сотрудник или группа сотрудников, несущие ответственность за ее использование;
ИС ФАС России должна иметь возможность обеспечить предоставление каждому пользователю минимальных прав, достаточных для исполнения им своих функциональных обязанностей;
ИС должна иметь встроенные механизмы безопасности и должна быть настроена в соответствии с требованиями к настройкам информационной безопасности информационных систем;
ИС должна иметь средства регистрации изменений функциональности информационных систем, мониторинга пользовательской активности, особенно активности привилегированных учетных записей, а также контроль прав доступа к инструменту аудита пользовательской активности;
к ИС ФАС России должен предоставляться доступ пользователя к информационному активу ФАС России на основании заявки, утвержденной обладателем этого информационного актива в установленном порядке;
ОИБ должен обеспечивать контроль копирования пользователем информации на съемные носители, а также ее отправку на внешние для ФАС России адреса с помощью корпоративной системы электронной почты;
для ИС ФАС России должна быть обеспечена защита от доступа пользователя в базы данных в обход прикладного клиентского ПО;
использование стека протоколов IP v.6 в корпоративной сети передачи данных ФАС России возможно только после реализации мер по обеспечению достаточного уровня защищенности;
для ИС ФАС России должна быть обеспечена защита от действий, в явном виде не разрешенных пользователю и запрещенных ему по умолчанию;
для ИС, а при необходимости дополнительно для отдельных ее частей (система управления базами данных, локальная вычислительная сеть, сервер, операционная система и т.п.), назначается системный администратор из сотрудников УИТ. Допускается назначение одного администратора для нескольких информационных систем и их частей. Все ИС ФАС России должны быть настроены или доработаны таким образом, чтобы все (любые) действия администратора могли быть проконтролированы;
для ИС из числа сотрудников ОИБ назначается администратор информационной безопасности системы. Допускается назначение одного администратора информационной безопасности для нескольких информационных систем, а также совмещение выполнения указанных функций с другими обязанностями. Во всех ИС ФАС России администратор информационной безопасности системы должен иметь права, необходимые только для осуществления функций контроля, и не должен иметь прав для осуществления функций администрирования.

11.2. Совмещение в одном лице функций системного администратора и администратора информационной безопасности системы не допускается.

11.3. Разграничение доступа пользователей к защищаемым информационным активам осуществляется в соответствии с должностным регламентом. Полномочия по доступу к защищаемым информационным активам определяют руководители подразделений ФАС России и территориальных органов ФАС России, являющиеся ответственными за информационный ресурс.

11.4. В случае, если в некоторых подсистемах или для некоторых групп пользователей ИС ФАС России выдвигаются дополнительные требования по защите информации, такие подсистемы (группы пользователей) объединяются в выделенные сегменты с применением сертифицированных и согласованных с ОИБ и УЦТиИБ средств, позволяющих реализовать указанные дополнительные требования (межсетевые экраны, виртуальные сети и т.п.).

11.5. Доступ пользователей ФАС России к сети Интернет возможен в режимах online и offline.

Доступ в режиме offline для всех подразделений ФАС России, ТО ФАС России, подведомственных учреждений, подключенных к КИС ФАС России, предоставляется через единый шлюз, принадлежащий ФАС России и находящийся в его управлении. На указанном шлюзе реализуется безопасная развязка между внутренними сетями ФАС России и сетью Интернет. На шлюзе также реализуется подсистема регистрации и автоматизированного анализа действий пользователей, а также обеспечивается анализ и контроль информационных потоков. Объем и порядок реализации функций анализа и контроля определяет ОИБ.

Доступ в режиме online предоставляется только с изолированных на сетевом уровне от внутренних сетей ФАС России АРМ, находящихся в отдельном сегменте ЛВС.

11.6. Обновление программного обеспечения ИС из сети Интернет осуществляться только с использованием специализированных защищенных шлюзов или серверов обновлений.

11.7. Доступ извне пользователей ФАС России и ТО ФАС России к КИС с использованием сети Интернет должен осуществляться только с мобильных компьютеров, принадлежащих ФАС России, с применением VPN-соединений, использующих средства криптографической защиты информации.

11.8 К основным требованиям ИБ при проектировании, разработке и эксплуатации ИС относятся:

обеспечение информационной безопасности при проектировании и закупке новых ИС;
ввод в действие ИС;
допустимое использование информационных активов, средств вычислительной техники и сетей передачи данных;
установка и модификация программного, аппаратного и информационного обеспечения;
настройка и администрирование элементов информационных систем (серверов, активного оборудования и т.д.);
предоставление доступа пользователям к информационным активам ФАС России;
предоставление доступа к информационным активам ФАС России персонала третьей стороны, оказывающего услуги по поддержке и эксплуатации ресурсов ФАС России;
работа со съемными носителями и устройствами записи;
работа с паролями;
обнаружение несанкционированной активности;
обнаружение вредоносного программного обеспечения;
обеспечение ИБ при выводе из эксплуатации информационных систем;
утилизация носителей информации.

12. СФЕРЫ ОТВЕТСТВЕННОСТИ ПРИ РЕАЛИЗАЦИИ ПОЛИТИКИ

12.1. Ответственный за ИБ заместитель руководителя ФАС России устанавливает цели безопасности информации, назначения и контроля исполнения обязанностей персонала в области ИБ. В сферу ответственности заместителя руководителя ФАС России входит:

управление процессом обеспечения ИБ в ФАС России;
рассмотрение и поддержка инициатив в области ИБ;
контроль за определением, установлением и соответствием целей ИБ требованиям законодательства Российской Федерации;
выделение необходимых ресурсов для обеспечения деятельности в области ИБ.

12.2 В сферу ответственности Управления делами входят:

организация системы охранно-пропускного режима и системы контроля допуска на объекты ФАС России;
введение дополнительных ограничений по доступу в помещения, предназначенные для хранения закрытой информации (кодовые и электронные замки, карточки допуска и т.д.);
визуальный и технический контроль объекта защиты;
организация систем охранной и пожарной сигнализации.

12.3 В сферу ответственности УИТ входят:

обеспечение штатного функционирования КИС в соответствии с требованиями ИБ ФАС России;
своевременное информирование сотрудников ОИБ об инцидентах, связанных с вопросами ИБ;
управление жизненным циклом ПО, контроль соблюдения в ФАС России лицензионных соглашений и обеспечение защиты авторских прав производителей программного обеспечения, легально приобретенного ФАС России и принятого УИТ на техническую поддержку;
согласование и внесение необходимых изменений в состав и настройки программного обеспечения в соответствии с предъявляемыми требованиями по информационной безопасности;
согласование и внесение необходимых изменений в состав оборудования КИС в соответствии с требованиями по информационной безопасности;
техническая поддержка пользователей и своевременное информирование УЦТиИБ и ОИБ о выявлении признаков инцидентов ИБ (несанкционированной активности, появлении вредоносного кода, несоответствие прав учетных записей пользователей заявкам и т.д.);
предоставление, настройка прав в соответствии с согласованной заявкой и своевременное удаление прав пользователей на доступ к ИС;
настройка средств регистрации и учета событий ИБ в соответствии с требованиями ИБ и возможностями ИС;
настройка политики учетных записей и паролей в соответствии с требованиями ИБ и возможностями ИС;
доработка ИС (или инициирование процесса доработки с привлечением сторонних организаций) при обеспечении поставщиком или производителем ИС соответствующей возможности в случаях, когда выполнение требований по обеспечению ИБ ограничено текущими возможностями ИС с целью выполнения предъявляемых требований в полном объеме;
совместное с ОИБ обеспечение гарантированного уровня обслуживания по предоставлению доступа в Интернет, соответствующего SLA;
совместное с ОИБ обеспечение гарантированного уровня обслуживания по предоставлению почтового сервиса, соответствующего SLA.

12.4 В сферу ответственности УГС входят:

ознакомление вновь принимаемых сотрудников ФАС России, ТО и подведомственных учреждений с действующей в ФАС России Политикой ИБ;
ежегодное обучение пользователей КИС основам ИБ по мере необходимости.

12.5 В сферу ответственности ОИБ входят:

ввод в действие ВНД по ИБ;
определение необходимости разработки и разработка ВНД по вопросам обеспечения ИБ, включая документы, регламентирующие деятельность пользователей ФАС России;
формирование требований к необходимым подсистемам ИБ в процессе создания (развития) СИБ ФАС России;
планирование, организация и обеспечение выполнения мероприятий по совершенствованию ИБ, контроль соблюдения установленных в ФАС России норм и правил информационной безопасности;
обеспечение функционирования (эксплуатации) СИБ ФАС России;
управление рисками ИБ;
обеспечение технической поддержки информационной безопасности ФАС России в рамках стоящих перед управлением задач;
отчетность по вопросам обеспечения технической поддержки ИБ в ФАС России;
управление администраторами безопасности;
подготовка обоснования по наложению взысканий на нарушителей ИБ в ФАС России;
предоставление необходимых справочных материалов для обучения пользователей основам информационной безопасности;
принятие мер при попытках несанкционированного доступа к информации и при нарушениях правил функционирования системы защиты;
разработка требований по ИБ при проектировании и разработке информационных систем;
участие в проработке и в контроле исполнения технических решений по вопросам обеспечения безопасности информации при проектировании и разработке информационных систем;
участие в испытаниях, разработанных ИС по вопросам оценки качества реализации требовании по обеспечению безопасности информации;
последующий анализ надежности и эффективности функционирования системы защиты;
контроль деятельности пользователей по вопросам обеспечения безопасности информации;
контроль итогов прохождения сотрудниками ФАС России, ТО и подведомственных учреждений обучающих курсов по вопросам обеспечения безопасности информации;
информирование пользователей о положениях настоящей Политики и других внутренних нормативных документов в сфере ИБ;
аудит СУИБ и СИБ;
совместное с УИТ обеспечение гарантированного уровня обслуживания по предоставлению доступа в Интернет, соответствующего SLA;
совместное с УИТ обеспечение гарантированного уровня обслуживания по предоставлению почтового сервиса, соответствующего SLA.

12.6 В сферу ответственности УЦТиИБ входят:

обеспечение конфиденциальности информации, доступ к которой ограничен в соответствии с законодательством Российской Федерации;
обеспечение технологической независимости информационных систем и информационно-технологической инфраструктуры от оборудования и программного обеспечения, разработанного и произведенного в иностранных государствах;
разработка, согласование и внесение изменений в ведомственную программу цифровой трансформации и обеспечение проектов цифровой трансформации;
обеспечение оптимизации процессов деятельности ФАС России для реализации задач по информационной безопасности и цифровой трансформации;
контроль создания, развития, обеспечения надежности и непрерывности функционирования информационных систем и информационно-телекоммуникационной инфраструктуры ФАС России;
контроль обеспечения доступности государственных данных для предоставления государственных услуг в электронном виде физическим лицам и организациям;
контроль обеспечения надежности и непрерывности функционирования информационных систем и информационно-телекоммуникационной инфраструктуры.

12.7 В сферу ответственности ОИБТО входит:

определение необходимости и разработка правовых актов по вопросам обеспечения безопасности информации, включая акты, регламентирующие деятельность сотрудников ФАС России, ТО и подведомственных учреждений в соответствии со спецификой работы ТО ФАС России, подведомственных учреждений;
планирование, организация и обеспечение функционирования системы защиты информации в процессе функционирования СИБ ТО;
обеспечение функционирования системы защиты ТО и ее элементов;
предоставление необходимых справочных материалов для обучения пользователей ТО основам информационной безопасности;
принятие мер при попытках несанкционированного доступа к информации и при нарушениях правил функционирования системы защиты ТО ФАС России;
участие в проработке технических решений по вопросам обеспечения безопасности информации при проектировании и разработке КИС;
участие в испытаниях КИС по вопросам оценки качества реализации требовании по обеспечению безопасности информации;
последующий анализ надежности и эффективности функционирования системы защиты ТО, подведомственной организации;
контроль деятельности пользователей по вопросам обеспечения безопасности информации;
информирование пользователей о положениях настоящей Политики и других нормативно-правовых и правовых актов в сфере ИБ;
предоставление в ОИБ отчетов о проделанной работе.

12.8 В сферу ответственности ОИТТО входит:

обеспечение штатного функционирования ИС в соответствии с требованиями ИБ ФАС России;
своевременное информирование сотрудников ОИБ об инцидентах, связанных с вопросами информационной безопасности;
управление жизненным циклом ПО и контроль соблюдения в ТО ФАС России лицензионных соглашений и авторских прав производителей программного обеспечения;
согласование и внесение необходимых изменений в состав программного обеспечения и его настройки в соответствии с требованиями информационной безопасности;
согласование и внесение необходимых изменений в состав оборудования ИС в соответствии с требованиями информационной безопасности;
техническая поддержка пользователей и выявление признаков инцидентов ИБ;
предоставление, настройка и своевременное лишение прав пользователей на доступ к информационным системам в соответствии с утвержденной заявкой;
настройка средств регистрации и учета в соответствии с требованиями ИБ и возможностями ИС;
настройка учетных записей и паролей в соответствии с требованиями ИБ и возможностями ИС;
совместное с ОИБ обеспечение гарантированного уровня обслуживания по предоставлению доступа в Интернет, соответствующего SLA;
совместное с ОИБ обеспечение гарантированного уровня обслуживания по предоставлению почтового сервиса, соответствующего SLA.

12.9 В сферу ответственности ответственных за информационный ресурс ФАС России входит:

исполнение по отношению к информационному активу административных обязанностей в соответствии с должностным регламентом;
управление развитием, обслуживанием, использованием, обеспечением безопасности и координация деятельности в этих направлениях;
категорирование и определение ценности информационного актива;
разрешение, ограничение и определение порядка и условий доступа к информационному активу.

12.10 В сферу ответственности конечных пользователей АРМ входят:

соблюдение установленных в ФАС России политик, правил и процедур обработки и хранения информации;
работа в информационных системах в соответствии с действующими политиками, требованиями информационной безопасности к конкретным системам и приложениям, соответствующими инструкциями и другими внутренними нормативными и организационно-распорядительными актами;
информирование заместителя руководителя ФАС России ответственного за ИБ, УЦТиИБ и ОИБ о неправомерных действиях других пользователей, нарушающих установленные правила информационной безопасности.

13. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЯ ПОЛОЖЕНИЙ ПОЛИТИКИ ИБ

Пользователи, нарушившие положения настоящей Политики ИБ, несут административную и (или) дисциплинарную ответственность в соответствии с действующим законодательством и (или) условиями трудового соглашения.

14. РАССЫЛКА И АКТУАЛИЗАЦИЯ

14.1. Настоящая Политика ИБ действует бессрочно до замены ее новым документом. При внесении изменений указывается дата последнего обновления редакции.

14.2. Периодическая проверка настоящей Политики ИБ проводится УЦТиИБ с интервалом не реже одного раза в два года.

14.3. Решение об инициировании процесса внесения изменений в Политику ИБ принимает начальник УЦТиИБ на основании результатов применения документа в ФАС России, анализа зарегистрированных и устраненных несоответствий, а также рекомендаций внутренних или внешних аудитов.

14.4. Актуальные версии Политики ИБ на интранет-портале ФАС России. Ответственность за размещение, поддержание в актуальном состоянии размещенных документов на интранет-портале и доведение информации до всех подразделений ФАС России о месте размещения актуальных версий утвержденного документа несет УЦТиИБ.