Приказ ФКУ «Объединенная дирекция» Минстроя России от 07.06.2019 № 56

(ред. от 19.01.2022)

«О предоставлении доступа к ресурсам информационной системы выданных и оплаченных государственных жилищных сертификатов в рамках государственной программы Российской Федерации „Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации“ с использованием средств криптографической защиты информации для защиты персональных данных граждан, данные которых подлежат обработке в рамках реализации указанной государственной программы, в Федеральном казенном учреждении „Объединенная дирекция по реализации федеральных инвестиционных программ“ Министерства строительства и жилищно-коммунального хозяйства Российской Федерации»

ПРИКАЗ

В соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и подпунктом «в» пункта 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами, утвержденного Постановлением Правительства Российской Федерации от 21 марта 2012 г. № 211, в целях выполнения основных видов деятельности федерального казенного учреждения «Объединенная дирекция по реализации федеральных инвестиционных программ» Министерства строительства и жилищно-коммунального хозяйства Российской Федерации, установленных пунктами 2.3.1.3, 2.3.1.11, 2.3.2.3, 2.3.3.2 Устава федерального казенного учреждения «Объединенная дирекция по реализации федеральных инвестиционных программ» Министерства строительства и жилищно-коммунального хозяйства Российской Федерации, утвержденного приказом Минстроя России от 25 февраля 2021 г. № 85/пр (далее — Устав, Учреждение), по реализации отдельных мероприятий государственной программы Российской Федерации «Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации» (далее — Государственная программа), в рамках которых реализуется механизм государственных жилищных сертификатов, а также мероприятия по формированию Единого реестра граждан, перед которыми имеются федеральные жилищные обязательства (которые имеют право на оказание государственной поддержки в улучшении жилищных условий) (далее — Мероприятия), приказываю:

(в ред. Приказа ФКУ «Объединенная дирекция» Минстроя России от 19.01.2022 № ПРВ-6)

1. Утвердить:

1.1. Регламент предоставления доступа к ресурсам информационной системы с использованием каналов связи сетей общего пользования согласно приложению № 1 к настоящему приказу;

1.2 Форму соглашения об информационном взаимодействии согласно приложению № 2 к настоящему приказу;

1.3. Форму декларации о соответствии требованиям безопасности информации согласно приложению № 3 к настоящему приказу.

2. Контроль за исполнением настоящего приказа возложить на заместителя генерального директора Учреждения А.Н. Бабарицкого.

Генеральный директор

Приложение № 1 к приказу

ДОСТУПА К РЕСУРСАМ ИНФОРМАЦИОННОЙ СИСТЕМЫ ВЫДАННЫХ

I. Общие положения

1.2. Оператором ИС ГЖС выступает Федеральное казенное учреждение «Объединенная дирекция по реализации федеральных инвестиционных программ» Министерства строительства и жилищно-коммунального хозяйства Российской Федерации (далее — Оператор, Учреждение).

1.3. Пользователями ИС ГЖС являются уполномоченные сотрудники Оператора. Ограниченный доступ к ресурсам ИС ГЖС также предоставляется пользователям ИС ГЖС — уполномоченным сотрудникам федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, органов местного самоуправления закрытых административно-территориальных образований, органов местного самоуправления муниципальных образований, в границы которых включены территории, ранее входившие в закрытые административно-территориальные образования, и администрации города Байконура, осуществляющих выдачу государственных жилищных сертификатов (далее — ГЖС) в рамках государственной программы Российской Федерации «Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации либо работающих с информационными ресурсами Единого реестра граждан, перед которыми имеются федеральные жилищные обязательства (которые имеют право на государственную поддержку в улучшении жилищных условий)» (далее — органы, осуществляющие выдачу ГЖС).

(в ред. Приказа ФКУ «Объединенная дирекция» Минстроя России от 19.01.2022 № ПРВ-6)

1.4. ИС ГЖС функционирует на двух физических серверах под управлением сертифицированной операционной системы Astra Linux Special Edition релиз «Смоленск».

1.5. Пользователям ИС ГЖС предоставляется доступ к ресурсам ИС ГЖС с использованием каналов связи ИТКС Интернет. Для организации доступа использован сертифицированный Веб-сервер Apache2 из состава операционной системы Astra Linux Special Edition релиз «Смоленск».

1.6. В соответствии с возможностями актуального нарушителя, определенными в частной модели угроз безопасности информации ИС ГЖС, и, руководствуясь требованиями Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации (далее — СКЗИ), необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, утвержденных приказом Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. № 378, средства криптографической защиты информации в случае использования для защиты каналов связи ИС ГЖС, должны соответствовать требованиям Федеральной службы безопасности Российской Федерации к защищенности СКЗИ по классу не ниже КС1.

1.7 Для организации защищенных каналов связи ИС ГЖС применяются следующие сертифицированные средства защиты информации:

II. Организация защищенных каналов связи

2.1 Защищенный доступ к ресурсам ИС ГЖС (защита каналов связи) организован посредством сервера доступа АПКШ «Континент».

2.2. Для защищенного доступа к ресурсам ИС ГЖС с использованием каналов связи сетей общего пользования (ИТКС Интернет) органу, осуществляющему выдачу ГЖС, необходимо:

а) установить и настроить на автоматизированном рабочем месте (далее — АРМ) пользователя ИС ГЖС программу-клиент СКЗИ «Континент-АП» 3.7 КС1 или выше;

б) направить в адрес Оператора:

проект соглашения об информационном взаимодействии по форме согласно приложению № 2 к настоящему приказу;

декларацию о соответствии требованиям безопасности информации по форме согласно приложению № 3 к настоящему приказу;

заявку на предоставление доступа к ресурсам ИС ГЖС (организацию защищенного канала связи) по форме согласно приложению № 1 к настоящему Регламенту.

2.3. В случае положительного решения о предоставлении доступа к ресурсам ИС ГЖС администратор СКЗИ Оператора с использованием средств центра управления сетью (ЦУС) АПКШ «Континент» генерирует ключевую информацию (сертификат) в электронном виде и направляет администратору СКЗИ органа, осуществляющего выдачу ГЖС (далее — локальный администратор СКЗИ), или пользователю ИС ГЖС способом, исключающим ее компрометацию, указанным в заявке о предоставлении доступа к ресурсам ИС ГЖС.

При выборе способа направления ключевой информации (сертификата) на CD-R или DVD-R диске либо на флэш-карте одновременно с заявкой о предоставлении доступа Оператору направляется соответствующий носитель электронной информации для записи на нем ключевой информации (сертификата).

Допускается направление заархивированной ключевой информации (сертификата), защищенной паролем, по электронной почте, указанной в заявке на предоставление доступа к ресурсам ИС ГЖС. В данном случае пароль к архиву направляется способом, отличным от передачи ключевой информации (сертификата).

В случае, если в заявке о предоставлении доступа к ресурсам ИС ГЖС не указан способ направления ключевой информации (сертификата), указанный способ определяет Оператор.

2.4. Пароль, необходимый для настройки СКЗИ, сообщается локальному администратору СКЗИ или пользователю ИС ГЖС способом, отличным от передачи ключевой информации (сертификата).

Пароль, необходимый для настройки СКЗИ, меняется не реже одного раза в год. При назначении нового пароля уполномоченный сотрудник Оператора сообщает его локальному администратору СКЗИ или пользователю ИС ГЖС способом, исключающим ее компрометацию, указанным в заявке о предоставлении доступа к ресурсам ИС ГЖС.

2.5. В случае утери пароля орган, осуществляющий выдачу ГЖС, направляет в адрес Оператора заявку на восстановление парольной фразы по форме согласно приложению № 2 к настоящему Регламенту.

Администратор СКЗИ Оператора производит генерацию новой парольной фразы и сообщает его пользователю ИС ГЖС способом, исключающим ее компрометацию, указанным в заявке на восстановление парольной фразы.

К событиям, связанным с компрометацией ключевой информации (сертификата), относятся (включая, но не ограничиваясь) следующие ситуации:

потеря ключевых носителей;

потеря ключевых носителей с их последующим обнаружением;

увольнение сотрудников, имевших доступ к ключевой информации;

нарушение правил хранения и уничтожения ключей;

возникновение подозрений на утечку информации или ее искажение в системе конфиденциальной связи;

нарушение печати на сейфе с ключевыми носителями;

случаи, когда нельзя достоверно установить, что произошло с ключевыми носителями (в том числе случаи, когда ключевой носитель вышел из строя и доказательно не опровергнута возможность того, что данный факт произошел в результате несанкционированных действий злоумышленника).

2.7. В случае компрометации ключей к СКЗИ орган, осуществляющий выдачу ГЖС, направляет в адрес Оператора заявку на перевыпуск ключевой информации (сертификата) по форме согласно приложению № 3 к настоящему Регламенту.

Администратор СКЗИ Оператора производит генерацию новой ключевой информации (сертификата) и направляет пользователю ИС ГЖС способом, исключающим ее компрометацию, указанным в заявке на перевыпуск криптографических ключей.

III. Уполномоченные сотрудники оператора

3.1. В компетенцию уполномоченных сотрудников Оператора (администраторов ИС ГЖС и СКЗИ) входит решение следующих вопросов, возникающих при использовании защищенной сети передачи данных:

а) в рамках администрирования защищенной сети передачи данных:

создает и удаляет абонентские пункты сети;

обеспечивает работоспособность сети в зоне его ответственности;

ведет учет и обеспечивает хранение полученных заявок;

оказывает консультации уполномоченным представителям органов, осуществляющих выдачу ГЖС, при возникновении неисправностей, таких как блокировка рабочей станции вследствие нарушения режима безопасности, потеря связи между узлами сети;

оказывает консультации уполномоченных представителей органов, осуществляющих выдачу ГЖС, по организационным и техническим вопросам эксплуатации ИС ГЖС и СКЗИ;

3.2 Актуализация информации СКЗИ.

В целях настоящего Регламента под актуализацией информации СКЗИ понимается:

добавление или удаление доступа к другому узлу СКЗИ (изменение СКЗИ-связей узла);

изменение имени пользователя или имени абонентского пункта СКЗИ.

Изменение имени пользователя или имени абонентского пункта СКЗИ допускается только в рамках одной органа, осуществляющего выдачу ГЖС.

Для осуществления вышеуказанных действий орган, осуществляющий выдачу ГЖС, направляет заявку в адрес Оператора. В заявке указывается:

наименование органа, осуществляющего выдачу ГЖС, фамилия, имя и отчество администратора (пользователя) СКЗИ, телефон и электронная почта для обратной связи;

идентификаторы сетевых узлов либо идентификаторы пользователей СКЗИ, подлежащих изменению.

IV. Обязанности органа, осуществляющего выдачу ГЖС

4.1. Орган, осуществляющий выдачу ГЖС, подключаемый к ИС ГЖС, назначает уполномоченных лиц (локальных администраторов СКЗИ), ответственных за организацию связи и обеспечение безопасности при взаимодействии с ИС ГЖС, определяет перечень сотрудников, которым необходим доступ к ресурсам ИС ГЖС (пользователей СКЗИ).

4.2. Локальный администратор СКЗИ в своей работе руководствуется требованиями законодательства РФ и внутренними локальными нормативными актами, регламентирующими работу в ИС ГЖС, требованиями федеральных законов в области защиты информации, руководящими и нормативными документами уполномоченных органов (ФСТЭК России, ФСБ России, Роскомнадзор), документацией ИС ГЖС и настоящим Регламентом.

4.3 Локальный администратор СКЗИ обязан:

осуществлять установку, настройку и поддержку в надлежащем работоспособном состоянии аппаратных и программных СКЗИ, включая определение категорий пользователей и назначение им прав, настройку политики контроля событий безопасности на серверах и рабочих станциях организации, взаимодействующих с ИС;

осуществлять настройку и управление средствами межсетевого экранирования и коммуникационного оборудования, находящиеся в зоне ответственности организации-участника;

вести поэкземплярный учет используемых в своей организации СКЗИ, эксплуатационной и технической документации, ключевых документов;

контролировать соблюдение пользователями СКЗИ правил эксплуатации СКЗИ, ограничивает доступ к СКЗИ посторонних лиц;

контролировать неизменность состояния средств защиты, их параметров и режимов защиты, физическую сохранность СКЗИ и ключевых документов, соблюдение режима безопасности, а также установленных правил работы с СКЗИ;

своевременно анализировать журнал учета событий, регистрируемых средствами защиты, с целью выявления возможных нарушений;

не допускать установку, использование, хранение и тиражирование на технических средствах, на которых установлены СКЗИ программных средств, не связанных с выполнением функциональных задач;

оказывать помощь пользователям в части применения СКЗИ и консультирует по вопросам введенного режима защиты;

в случае отказа работоспособности технических средств с установленными СКЗИ, в том числе средств защиты информации, принимать меры по их своевременному восстановлению и выявлению причин, приведших к отказу работоспособности.

4.4. В случае невозможности самостоятельного устранения сбоев в работе, локальный администратор СКЗИ взаимодействует с уполномоченными специалистами Оператора и (или) Организаций-Лицензиатов.

4.5. Пользователь СКЗИ несет персональную ответственность за свои действия. В своей работе Пользователь СКЗИ руководствуется требованиями законодательства РФ и внутренними локальными нормативными актами, регламентирующими работу с СКЗИ.

4.6 Пользователь СКЗИ обязан:

выполнять требования настоящего регламента, действующих нормативных документов и внутренних инструкций и распоряжений, регламентирующих порядок работы с СКЗИ;

4.7 При возникновении неполадок, связанных с работой СКЗИ, пользователь СКЗИ обязан:

В случае невозможности устранить неисправность своими силами, орган, осуществляющий выдачу ГЖС, обращается за технической поддержкой к специалистам Оператора и (или) Организаций-Лицензиатов.

к Регламенту доступа

| Для следующих сотрудников: | | | --- | --- |

|  | (должность, фамилия, имя и отчество (при наличии) в именительном падеже, телефон, электронная почта) |
|  | (должность, фамилия, имя и отчество (при наличии) в именительном падеже, телефон, электронная почта) |

Инструктаж пользователей средств криптографической защиты информации проведен, ведется учет используемых средств криптографической защиты информации, требования по работе средств криптографической защиты информации, утвержденные приказом ФСБ России от 10 июля 2014 г. № 378 и приказом ФАПСИ от 13 июня 2001 г. № 152, соблюдаются.

| Пароль (пароли) прошу сообщить: | | | --- | --- | | | (указывается способ, отличный от способа доставки сертификата: электронная почта; СМС по телефону) |

к Регламенту доступа

Министерства строительства

Российской Федерации от 7 июня 2019 г. N 56

СОГЛАШЕНИЕ N _______ об информационном взаимодействии

                                               "__" ___________ 202_ г.

_________________________________________________________________________, (наименование оператора информационной системы ведения единого реестра граждан, состоящих на учете в органах исполнительной власти субъектов Российской Федерации и органах местного самоуправления в качестве нуждающихся в жилых помещениях (в качестве имеющих право на оказание государственной финансовой поддержки в приобретении (строительстве) жилых помещений), обеспечиваемых жильем в рамках государственной программы Российской Федерации «Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации») именуемое в дальнейшем «Оператор», в лице ________________________________, (должность, фамилия, имя, отчество (при наличии)) действующего(ей) на основании ____________________________________________, (реквизиты документа, предусматривающего полномочия лица на подписание соглашения) с одной стороны, и _______________________________________________________, (наименование органа исполнительной власти субъекта Российской Федерации) именуемый в дальнейшем «Организация-участник», в лице _____________________ ____________________________________________, действующего(ей) на основании (должность, фамилия, имя, отчество (при наличии)) ________________________________________________________, с другой стороны, (реквизиты документа, предусматривающего полномочия лица на подписание соглашения) вместе именуемые «Стороны» и каждый в отдельности «Сторона», руководствуясь

требованиями  законодательства  Российской Федерации в области персональных
данных,  информации,  информационных  технологиях  и  о  защите информации,

заключили настоящее Соглашение о нижеследующем:

1. Стороны осуществляют защищенное информационное взаимодействие в рамках функционирования информационной системы ведения единого реестра граждан, состоящих на учете в органах исполнительной власти субъектов Российской Федерации и органах местного самоуправления в качестве нуждающихся в жилых помещениях (в качестве имеющих право на оказание государственной финансовой поддержки в приобретении (строительстве) жилых помещений), обеспечиваемых жильем в рамках государственной программы Российской Федерации «Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации» (далее — информационная система).

2. При осуществлении информационного взаимодействия Стороны обязуются руководствоваться Регламентом предоставления доступа к ресурсам информационной системы, установленным оператором (далее — Регламент).

3. Условия получения доступа к ресурсам информационной системы и размещения (публикации) в ней информации устанавливаются Регламентом.

4. Обязанности сторон

4.1 Оператор:

а) обеспечивает доступ к ресурсам информационной системы;

б) обеспечивает размещение (публикацию) в информационной системе информации Организации-участника.

4.2 Организация-участник:

а) выполняет требования информационной безопасности при осуществлении доступа к ресурсам информационной системы с использованием каналов связи сетей общего пользования, установленные Регламентом;

б) отвечает за правомочность и достоверность информации, размещенной (опубликованной) в информационной системе в соответствии с законодательством Российской Федерации.

5. В случае нарушения Организацией-участником пункта 4.2 настоящего Соглашения Оператор вправе приостановить доступ Организации-участника к ресурсам информационной системы до устранения нарушения.

6. Стороны соглашаются считать информацию, полученную при информационном взаимодействии в рамках настоящего Соглашения, конфиденциальной и не подлежащей разглашению.

7. Стороны имеют право прекратить действие настоящего Соглашения в одностороннем порядке путем письменного уведомления об этом другой Стороны.

8. По взаимному согласию Сторон в настоящее Соглашение могут вноситься изменения и дополнения, оформляемые дополнительными соглашениями.

9. Спорные вопросы, возникающие между Сторонами, связанные с толкованием и (или) реализацией настоящего Соглашения, решаются путем проведения консультаций и переговоров.

10. Настоящее Соглашение не налагает на Стороны никаких финансовых обязательств.

11. Настоящее Соглашение вступает в силу с даты его подписания Сторонами и заключается на неопределенный срок.

12. Настоящее Соглашение составлено в двух экземплярах, имеющих одинаковую юридическую силу, один экземпляр для Оператора, второй экземпляр для Организации-участника.

13. Место нахождения, адреса сторон:

Оператор

Место нахождения: ______________________________________________________.

Организация-участник

Место нахождения: ______________________________________________________.

Министерства строительства

Российской Федерации

1. Сведения об организации (наименование, местонахождение, ИНН).

2. Настоящей Декларацией подтверждается соответствие информационной системы (автоматизированных рабочих мест пользователей) Организации, подключаемых к информационной системе учета выданных и оплаченных государственных жилищных сертификатов в рамках государственной программы Российской Федерации «Обеспечение доступным и комфортным жильем и коммунальными услугами граждан Российской Федерации» (ИС ГЖС) требованиям законодательства Российской Федерации в области персональных данных, включая применение правовых, организационных и технических мер по обеспечению безопасности персональных данных, определенных статьями 18.1 и 19 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», в соответствии с:

приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

приказом Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».

3. Принятые меры по обеспечению безопасности персональных данных обеспечивает 3-й уровень защищенности и нейтрализацию актуальных угроз безопасности информации.

4. Номер организации в Реестре операторов, осуществляющих обработку персональных данных ____________.