Приказ Росморречфлота от 30.01.2024 № 6

«Об утверждении организационно-распорядительных документов по защите информации»

ПРИКАЗ

В соответствии с подпунктом 9.8 пункта 9 Положения о Федеральном агентстве морского и речного транспорта, утвержденного постановлением Правительства Российской Федерации от 23 июля 2004 г. № 371, а также в целях реализации Политики Федерального агентства морского и речного транспорта в области информационной безопасности, утвержденной приказом Федерального агентства морского и речного транспорта от 26 декабря 2023 г. № 173, приказываю:

1. Утвердить:

• Форму журнала поэкземплярного учета средств криптографической защиты информации (СКЗИ), эксплуатационной и технической документации к ним, ключевых документов согласно приложению № 1 к настоящему приказу;
• Форму журнала учета съемных (электронных) носителей информации согласно приложению № 2 к настоящему приказу;
• Инструкцию по организации антивирусной защиты согласно приложению № 3 к настоящему приказу;
• Форму журнала учета событий и нарушений режима информационной безопасности согласно приложению № 4 к настоящему приказу;
• Инструкцию по организации парольной защиты согласно приложению № 5 к настоящему приказу;
• Форму журнала учета выдачи (смены) паролей согласно приложению № 6 к настоящему приказу;
• Инструкцию администратора безопасности информации согласно приложению № 7 к настоящему приказу;
• Форму журнала учета сотрудников при работе на автоматизированном рабочем месте (АРМ) с документами, содержащими служебную информацию ограниченного распространения (ДСП), согласно приложению № 8 к настоящему приказу.

2. Контроль за исполнением настоящего приказа оставляю за собой.

Приложение № 2 к приказу Федерального

ИНСТРУКЦИЯ ПО ОРГАНИЗАЦИИ АНТИВИРУСНОЙ ЗАЩИТЫ

1 Общие положения

1.1 Назначение документа

1.1.1 Инструкция по организации антивирусной защиты Федерального агентства морского и речного транспорта (далее — Инструкция) разработана в целях организации антивирусной защиты Росморречфлота, включая обнаружение компьютерных программ либо иной компьютерной информации, предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

1.1.2 Инструкция определяет требования к организации антивирусной защиты, устанавливает ответственность за их выполнение, регламентирует порядок проведения антивирусного контроля и предотвращения возникновения фактов заражения компьютерными вирусами в автоматизированной (информационной) системе (далее — АС), а также определяет действия пользователей и обслуживающего персонала АС при работе со средствами антивирусной защиты и при обнаружении компьютерного вируса.

1.1.3 Пользователем АС является работник (служащий), участвующий в рамках своих функциональных обязанностей в процессах автоматизированной и неавтоматизированной обработки информации, имеющий доступ к программно-техническим средствам (далее — ПТС), программному обеспечению (далее — ПО), средствам защиты информации (далее — СрЗИ), средствам криптографической защиты информации (далее — СКЗИ) и данным (информации).

1.1.4 Системный администратор информационной (автоматизированной) системы (далее — Администратор АС) — подготовленный и квалифицированный работник из сотрудников Росморречфлота с соответствующей квалификацией, указанной в Профессиональном стандарте «Системный администратор информационно-коммуникационных систем», утвержденный приказом Министерства труда и социальной защиты Российской Федерации от 29 сентября 2020 года № 680н, или работников привлекаемой организации, имеющий опыт администрирования, технического обслуживания и ремонта компьютеров и оргтехники, знающий основы информационных сетей (стек протоколов TCP/IP, сетевое оборудование), принципы построения АС, осуществляющий обеспечение устойчивой работоспособности элементов АС, администрирования и функционирования АС, в установленном штатном режиме работы.

1.1.5 Администратор информационной безопасности (далее — Администратор ИБ) назначается из числа сотрудников Росморречфлота с квалификацией, соответствующей приказу Минзравсоцразвития Российской Федерации от 22.04.2009 № 205 «Об утверждении Единого квалификационного справочника должностей руководителей, специалистов и служащих, раздел „Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации“, или работников привлекаемой организации, осуществляющий обеспечение устойчивой работоспособности элементов АС, средств защиты при обработке защищаемой информации, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации, правильность использования и нормальное функционирование установленной системы защиты информации (далее — СЗИ).»

1.1.6 Ответственный за обеспечение ИБ (далее — ответственный за защиту информации) — сотрудник, назначенный в каждом структурном подразделении Росморречфлота, осуществляющий обеспечение и контроль защиты информации в структурном подразделении.

1.1.7 Защищаемая информация — информация, являющаяся собственностью Росморречфлота и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми Росморречфлотом.

В более узком понимании: информация ограниченного доступа (распространения), не содержащая сведения, составляющие государственную тайну, — это информация для служебного пользования (ДСП).

1.1.8 Администратор антивирусной защиты информации (далее — Администратор АВЗ) — должностное лицо из числа Администраторов АС, назначенный ответственным за эксплуатацию средств антивирусной защиты информации (далее — САВЗ) и обеспечивающий организацию и эффективное использование системы антивирусной защиты информации.

1.1.9 Требования настоящей Инструкции обязательны для выполнения всеми пользователями и Администраторами АВЗ, а также иными лицами, использующими средства вычислительной техники (далее — СВТ) Росморречфлота для обработки, хранения и передачи информации, независимо от степени ее конфиденциальности.

1.1.10 Общее руководство организацией и проведением мероприятий по обеспечению антивирусной защиты информации (далее — АВЗ) в Росморречфлоте осуществляет Администратор ИБ, ответственный за защиту информации.

1.1.11 Техническое обеспечение и практическое решение задач, связанных с АВЗ и применением САВЗ, а также контроль над действиями пользователей осуществляет Администратор АВЗ.

1.1.12 Обеспечение АВЗ включает:

• регулярные профилактические работы;
• анализ ситуации проявления вредоносных программ и причины их появления;
• уничтожение вредоносных программ на автоматизированных рабочих местах (далее — АРМ) и серверах;
• принятие мер по предотвращению причин появления вредоносных программ.

1.1.13 Обязательной антивирусной защите подлежит любая информация (текстовые файлы любых форматов, файлы данных, исполняемые файлы, архивированные файлы), получаемая и передаваемая по телекоммуникационным каналам, а также с использованием съемных носителей.

1.1.14 К использованию в Росморречфлоте допускается только лицензионное антивирусное ПО, прошедшее оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации, которое соответствует классу защищенности информационной системы (далее — ИС) и уровню защищенности персональных данных.

1.1.15 Основными задачами системы обеспечения АВЗ являются:

• исключение или существенное затруднение противоправных действий в отношении ИС и носителей защищаемой информации;
• обеспечение условий для устойчивой бесперебойной работы объектов, сетей передачи данных.

1.1.16 При возникновении ситуаций, не включенных в положения настоящей Инструкции, решение принимается Администратором АВЗ по согласованию с Администратором ИБ, ответственным за защиту информации.

1.2 Правовые основания

1.2.1 В настоящем документе применяются термины и определения, установленные законодательством Российской Федерации и национальными стандартами в области защиты информации и обеспечения информационной безопасности.

1.2.2 Инструкция разработана в соответствии с Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», приказом Министерства связи и массовых коммуникаций Российской Федерации и Федеральной службы охраны Российской Федерации от 4 декабря 2020 г. № 667/233 «Об утверждении Требований к организационно-техническому взаимодействию государственных органов и государственных организаций», руководящим документом «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», утвержденным решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г., и настоящей Инструкцией.

1.2.3 Требования настоящей Инструкции могут развиваться другими внутренними локальными нормативными актами (далее — ЛНА) и организационно-распорядительными документами по защите информации (далее — ОРД), которые дополняют и уточняют ее.

2 Порядок применения САВЗ

2.1.1 САВЗ должны устанавливаться на всех узлах АС. При технологической необходимости на отдельные узлы САВЗ могут не устанавливаться. Список таких исключений составляется Администратором АВЗ и утверждается приказом Росморречфлота и пересматривается ежегодно.

2.1.2 Порядок применения САВЗ устанавливается с учетом соблюдения следующих требований:

• проверка критических областей защищаемого компьютера, заражение которых вредоносными программами может привести к серьезным последствиям, должна проводиться автоматически при каждой его загрузке;
• обязательный входной контроль за отсутствием программных вирусов во всех поступающих на объект информатизации электронных носителях информации, информационных массивах, программных средствах общего и специального назначения;
• обязательная проверка всех электронных писем на предмет отсутствия программных вирусов;
• периодическая проверка на предмет отсутствия программных вирусов жестких магнитных дисков (не реже одного раза в неделю) и обязательная проверка съемных носителей информации перед началом работы с ними;
• внеплановая проверка жестких магнитных дисков и съемных носителей информации в случае подозрения на наличие программных вирусов;
• восстановление работоспособности программных средств и информационных массивов, поврежденных программными вирусами.

2.1.3 Администратор АВЗ обеспечивает:

• управление конфигурацией и логической структурой ПО системы антивирусной защиты информации;
• управление установкой и обновлением лицензионных ключей САВЗ;
• управление рассылкой и установкой обновлений баз САВЗ;
• ограничение доступа пользователей на АРМ к настройкам установленных САВЗ;
• настройку рассылки сообщений об обнаружении вирусов, о сбоях в работе САВЗ и т.п.

2.1.4 На АРМ и серверы, которые не имеют подключения к АС САВЗ устанавливаются локально в порядке, определенном Администратором АВЗ, с учетом требований настоящей Инструкции.

2.1.5 Инсталляция и настройка САВЗ осуществляются в соответствии с программной и эксплуатационной документацией, поставляемой в комплекте с ними.

2.1.6 Копирование любой информации, переносимой с помощью любых съемных носителей информации, должно производиться только после проведения процедуры полного антивирусного контроля съемного носителя.

2.1.7 Внеочередной антивирусный контроль всех дисков и файлов АРМ или серверов АС должен выполняться:

• непосредственно после установки (изменения) ПО АС. Факт выполнения антивирусной проверки после установки (изменения) ПО должен регистрироваться в специальном журнале за подписью лица, установившего (изменившего) ПО, и лица, его контролировавшего;
• при возникновении подозрения на наличие компьютерного вируса.

2.1.8 Антивирусная профилактика является необходимым элементом защиты информационных ресурсов Росморречфлота от их модификации и уничтожения. Антивирусная профилактика состояния САВЗ на серверах и АРМ должна проводиться по согласованию с Администраторами АВЗ в нерабочее время, за исключением внештатных ситуаций.

3 Порядок обновления баз данных САВЗ

3.1 Обновление баз данных на технических средствах, находящихся в сети

3.1.1 Своевременное обновление баз данных (далее — БД) САВЗ в структурных подразделениях является неотъемлемой частью обеспечения эффективной политики антивирусной защиты информации.

3.1.2 Актуализация антивирусных баз технических средств (далее — ТС), находящихся в сети, в том числе защищаемых компьютеров, АС должна осуществляться ежедневно в автоматическом режиме. Обновления антивирусных баз должны быть получены через доверенный канал получения обновлений САВЗ.

3.1.3 В АС должна обеспечиваться регистрация событий о неуспешном обновлении базы данных признаков вредоносных компьютерных программ (вирусов).

3.1.4 На АРМ Администратора АВЗ должны быть установлены средства, позволяющие управлять компонентами САВЗ, установленными на АРМ и серверах, а также проводить обновления баз САВЗ.

3.2 Обновление БД САВЗ на локальных (автономных) ТС

3.2.1 Обновление БД САВЗ на ТС, в том числе защищаемых компьютерах, установленных локально, должно производиться не реже одного раза в неделю с использованием маркированных съемных носителей информации, в обязательном порядке проверяемых антивирусным ПО перед их использованием, или принудительным подключением к локальной сети.

3.2.2 В случае если АРМ пользователя не подключено к информационно-вычислительной сети (локальной вычислительной сети) (далее — ЛВС), обновление САВЗ производится пользователем через съемные носители информации. Периодичность обновления определяется программными требованиями САВЗ или устанавливается Администратором АВЗ.

4 Обязанности, права и порядок назначения Администраторов АВЗ

4.1.1 Администраторы АВЗ обязаны обеспечивать соблюдение в АС политики антивирусной защиты информации и выявление фактов заражения программными вирусами.

4.1.2 К основным задачам Администратора АВЗ относятся организация процесса установки и обновления САВЗ на АРМ пользователей и обеспечение технического сопровождения действий пользователей в случаях обнаружения программных вирусов, а также осуществление контроля за состоянием системы АВЗ.

4.1.3 Администратор АВЗ несет ответственность:

• за своевременную установку САВЗ;
• за эксплуатацию системы АВЗ;
• за своевременное обновление лицензий на САВЗ;
• за своевременное обновление БД САВЗ.

4.1.4 Администратор АВЗ имеет право:

• принимать участие в разработке организационно-распорядительных документов по обеспечению АВЗ;
• вносить предложения по совершенствованию системы АВЗ в АС;
• принимать участие в планировании и реализации мероприятий по антивирусной защите информации в организации и планировании оснащения САВЗ АС;
• осуществлять контроль состояния САВЗ в АС;
• участвовать в проведении служебных проверок по фактам заражения программными вирусами АС;
• оказывать помощь в решении проблем, возникающих при эксплуатации САВЗ Росморречфлота.

4.1.5 Обязанности Администраторов АВЗ могут совмещать должностные лица, назначенные Администраторами ИБ.

4.1.6 Обязанности Администраторов АВЗ другие лица могут исполнять только на основании приказа Росморречфлота о временном исполнении обязанностей Администратора АВЗ, в котором указан срок исполнения обязанностей Администратора АВЗ.

5 Обязанности пользователей САВЗ

5.1.1 Пользователь обязан изучить настоящую Инструкцию и ознакомиться с необходимостью несения ответственности за выполнение ее требований под личную подпись.

5.1.2 Пользователям запрещается:

• отключать САВЗ во время работы;
• без разрешения Администратора ИБ и Администратора АВЗ копировать любые файлы, устанавливать и использовать любое ПО, не предназначенное для выполнения служебных задач.

5.1.3 Ввод информации с магнитных, оптических, магнитооптических и любых других съемных носителей информации неслужебного характера должен осуществляться пользователем только с разрешения Администраторов ИБ или Администраторов АВЗ.

5.1.4 В случае появления подозрении на наличие программных вирусов в АС пользователи должны немедленно проинформировать об этом Администратора АВЗ. В случае выявления инцидентов (фактов и т.п.), связанных со сбоями в работе САВЗ, пользователь обязан незамедлительно сообщить об этом Администратору ИБ, ответственному за защиту информации.

6 Порядок действий пользователей и Администраторов АВЗ при обнаружении вирусов

6.1.1 Основными путями проникновения вирусов в ЛВС Росморречфлота являются: съемные накопители информации; электронная почта; файлы, получаемые из сети Интернет, апплеты языка JAVA и объекты ActiveX Control; ранее зараженные АРМ и серверы.

6.1.2 Входной контроль внешних носителей информации на предмет заражения программными вирусами должен осуществляться на специально выделенном АРМ, не имеющем подключения к АС. В случае обнаружения программного вируса при входном контроле носителей информации, поступивших от сторонних организаций, Администратор АВЗ не должен открывать и копировать файлы, расположенные на данном носителе на жесткий диск АРМ.

6.1.3 При возникновении подозрения на наличие программного вируса (сообщение об обнаружении вируса, нетипичная работа программ, появление графических и звуковых эффектов, искажения данных, пропадание файлов, частое появление сообщений о системных ошибках, несанкционированное завершение САВЗ и т.п.) пользователь обязан незамедлительно приостановить дальнейшую работу, сообщив о произошедшем начальнику своего структурного подразделения либо лицу, его замещающему, и уведомить Администратора АВЗ.

6.1.4 В случае обнаружения программных вирусов при входном контроле отчуждаемых носителей информации, файлов или почтовых сообщений, поступивших в структурные подразделения, пользователь должен:

• приостановить процесс приема-передачи информации;
• сообщить Администратору АВЗ или Администратору ИБ, ответственному за защиту информации, о факте обнаружения программного вируса;
• принять по согласованию с Администратором АВЗ меры по локализации и удалению программного вируса с использованием САВЗ;
• сообщить о факте обнаружения программного вируса в структурное подразделение, из которого поступили зараженные съемные электронные носители информации, файлы или почтовые сообщения.

6.1.5 При обнаружении программных вирусов в процессе обработки информации пользователь обязан:

• немедленно приостановить все работы;
• сообщить Администратору АВЗ или Администратору ИБ, ответственному за защиту информации, о данном факте;
• принять но согласованию с Администратором АВЗ меры по локализации и удалению программного вируса с использованием САВЗ.

6.1.6 При получении информации о возможном нарушении либо выявлении факта нарушения требований настоящей Инструкции работа на АРМ данного пользователя незамедлительно блокируется по решению Администратора АВЗ.

6.1.7 Программные средства общего и специального назначения, используемые в структурных подразделениях для обработки защищаемой информации в случае обнаружения программных вирусов, подлежат обязательной переустановке с рабочих копий эталона.

6.1.8 При поступлении вызова о подозрении на наличие компьютерного вируса или подозрительных объектов на АРМ и серверах АС Администратор АВЗ обязан:

• оперативно прибыть на место вызова, выяснить причину вызова;
• в случае обнаружения компьютерного вируса, подозрительных объектов и (или) подозрения на зараженность немедленно оповестить об этом сотрудников службы безопасности;
• принять меры по ликвидации угрозы согласно настоящей Инструкции.

6.1.9 При поступлении информации об обнаружении сбоев в работе ПО или САВЗ (в том числе при аварийном завершении работы) Администратор АВЗ обязан:

• оперативно прибыть на место вызова, выяснить причину вызова;
• установить причину сбоев и принять меры к их устранению;
• если сбои в работе ПО или САВЗ носят систематический характер (повторяются периодически или при определенных условиях), то информацию об этом необходимо сообщить организации-разработчику ПО с указанием сообщений об ошибках, выводимых на экран (если таковые имеются), а также указать условия возникновения сбоя.

6.1.10 При ликвидации последствий воздействия компьютерных вирусов или подозрительных объектов на АРМ и серверах АС Администратору ИБ, ответственному за защиту информации, необходимо:

• совместно с владельцем зараженных вирусом файлов провести анализ необходимости дальнейшего их использования;
• выполнить обновление вирусных баз на всех АРМ и серверах АС (в первую очередь на зараженных);
• проверить правильность настроек САВЗ;
• запустить на каждом АРМ и сервере АС проверку содержимого жесткого диска на наличие компьютерных вирусов в фоновом режиме;
• провести лечение или уничтожение зараженных файлов.

6.1.11 При невозможности ликвидации последствий заражения программными вирусами Администратору АВЗ необходимо:

• заархивировать зараженные файлы с внедренными программными вирусами и направить с приложением соответствующего сопроводительного документа в организацию, осуществляющую техническую поддержку эксплуатации САВЗ;
• работа данного АРМ/сервера должна быть прекращена до полного восстановления его штатной работы;
• осуществить форматирование накопителя на жестких магнитных дисках (НЖМД) и полную переустановку ПО на зараженном компьютере.

6.1.12 Все факты модификации и разрушения данных на серверах или АРМ, заражение их вирусами, а также обнаружение других вредоносных программ классифицируются как значимые нарушения информационной безопасности, о чем делаются соответствующие записи в «Журнале учета событий и нарушений режимов информационной безопасности». Администратор АВЗ и Администратор ИБ, ответственный за защиту информации, анализируют причины и обстоятельства произошедшего события, принимают меры по устранению выявленного нарушения (лечение и уничтожение зараженных программным вирусом файлов) и проводят служебное расследование.

При необходимости Администратор АВЗ получает от пользователей письменные объяснения но факту обнаружения программного вируса.

Обстоятельства произошедшего события и результаты предпринятых мер по их устранению докладываются Администратором АВЗ заместителю руководителя Росморречфлота, ответственному за обеспечение информационной безопасности в Росморречфлоте, и Администратору ИБ.

7 Ответственность при организации антивирусной защиты

7.1.1 Пользователи АС должны быть ознакомлены под личную подпись с требованиями настоящей Инструкции и предупреждены об ответственности за нарушение требований данной Инструкции.

7.1.2 За нарушение настоящей Инструкции Администратор АВЗ и пользователи несут ответственность, установленную действующим законодательством Российской Федерации.

7.1.3 Начальники структурных подразделений несут ответственность за выполнение мероприятий по антивирусной защите информации на СВТ, эксплуатируемых подчиненными должностными лицами, и за ознакомление их (под личную подпись) с настоящей Инструкцией в своем структурном подразделении.

7.1.4 Повседневный контроль действий пользователей при работе с САВЗ, в том числе за своевременное обновление антивирусных баз САВЗ и получение новых лицензионных ключей при истечении их срока действия, возлагается на Администратора АВЗ, периодический контроль возлагается на Администратора ИБ, ответственного за защиту информации.

8 Заключительные положения

8.1.1 Настоящая Инструкция пересматривается, изменяется и дополняется по мере необходимости, но не реже одного раза в три года.

8.1.2 Проверка и пересмотр настоящей Инструкции осуществляются в следующих случаях:

• при внедрении новой техники, программных средств и (или) технологий;
• при внедрении новых СрЗИ, существенно изменяющих порядок работы с ними;
• при изменении, внедрении нового антивирусного ПО;
• в случае изменения технологии и процессов обработки и защиты информации в ИС;
• при выявлении новых угроз безопасности информации и определении необходимости реализации дополнительных защитных мер;
• по результатам анализа материалов расследования нарушений требований законодательства об обеспечении безопасности защищаемой информации;
• при изменении уровня (класса) защищенности;
• по требованию представителей ФСБ России и ФСТЭК России.

8.1.3 Инструкция подлежит обязательному пересмотру в случае изменения законодательства Российской Федерации в сфере защиты информации.

8.1.4 Вносимые изменения не должны противоречить другим положениям Инструкции.

8.1.5 Ответственность за своевременную корректировку настоящей Инструкции возлагается на Администратора ИБ, ответственного за защиту информации.

8.1.6 С приказом о внесении изменений (дополнений) в настоящую Инструкцию знакомятся под личную подпись все работники Росморречфлота.

Приложение № 5 к приказу Федерального агентства морского и речного транспорта от 30 января 2024 г. № 6

ИНСТРУКЦИЯ ПО ОРГАНИЗАЦИИ ПАРОЛЬНОЙ ЗАЩИТЫ

1 Общие положения

1.1 Назначение документа

1.1.1 Инструкция по организации парольной защиты Федерального агентства морского и речного транспорта (далее — Инструкция) регламентирует организационно-техническое обеспечение процессов генерации, использования, смены и прекращения действия паролей (удаления учетных записей пользователей) в информационных системах, а также процесса контроля действий пользователей и обслуживающего персонала систем при работе с паролями.

1.1.2 В информационной (автоматизированной) системе (далее — АС) должна обеспечиваться идентификация и аутентификация пользователей. Каждый пользователь АС получает уникальное пользовательское имя (логин) и пароль. Аутентификация пользователя осуществляется с использованием паролей и аппаратных средств.

1.1.3 Пользователем АС является работник (служащий), участвующий в рамках своих функциональных обязанностей в процессах автоматизированной и неавтоматизированной обработки информации, имеющий доступ к программно-техническим средствам (далее — ПТС), программному обеспечению (далее — ПО), средствам защиты информации (далее — СрЗИ), средствам криптографической защиты информации (далее — СКЗИ) и данным (информации).

1.1.4 Системный администратор информационной (автоматизированной) системы (далее — Администратор АС) — подготовленный и квалифицированный работник из сотрудников Росморречфлота с соответствующей квалификацией, указанной в Профессиональном стандарте «Системный администратор информационно-коммуникационных систем», утвержденный приказом Министерства труда и социальной защиты Российской Федерации от 29 сентября 2020 года № 680н, или работников привлекаемой организации, имеющих опыт администрирования, технического обслуживания и ремонта компьютеров и оргтехники, знающих основы информационных сетей (стек протоколов TCP/IP, сетевое оборудование), принципы построения АС, осуществляющий обеспечение устойчивой работоспособности элементов АС, администрирования и функционирования АС, в установленном штатном режиме работы.

1.1.5 Администратор информационной безопасности (далее — Администратор ИБ) назначается из числа сотрудников Росморречфлота с квалификацией, соответствующей приказу Минзравсоцразвития Российской Федерации от 22.04.2009 № 205 «Об утверждении Единого квалификационного справочника должностей руководителей, специалистов и служащих, раздел „Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации“, или работников привлекаемой организации, осуществляющий обеспечение устойчивой работоспособности элементов АС, средств защиты при обработке защищаемой информации, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации, правильность использования и нормальное функционирование установленной системы защиты информации (далее — СЗИ).»

1.1.6 Ответственный за обеспечение ИБ (далее — ответственный за защиту информации) — сотрудник, назначенный в каждом структурном подразделении Росморречфлота, осуществляющий обеспечение и контроль защиты информации в структурном подразделении.

1.1.7 Защищаемая информация — информация, являющаяся собственностью и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

1.1.8 Организационное обеспечение процессов генерации, инициализации, хранения, выдачи, использования, смены, блокирования и прекращения действия паролей в АС осуществляет Администратор ИБ, ответственный за защиту информации.

1.1.9 Техническое обеспечение процессов генерации, хранения, выдачи, использования, смены блокирования и прекращения действия паролей в АС и контроль над действиями пользователей осуществляет Администратор АС.

1.1.10 При возникновении ситуаций, не включенных в положения настоящей Инструкции, решение принимается Администратором ИБ, ответственным за защиту информации.

1.2 Правовые основания

1.2.1 Инструкция разработана в соответствии с Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», приказом Министерства связи и массовых коммуникаций Российской Федерации и Федеральной службы охраны Российской Федерации от 4 декабря 2020 г. № 667/233 «Об утверждении Требований к организационно-техническому взаимодействию государственных органов и государственных организаций», руководящим документом «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», утвержденным решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г., и настоящей Инструкцией.

1.2.2 Требования настоящей Инструкции могут развиваться другими внутренними локальными нормативными актами (далее — ЛНА) и организационно-распорядительными документами по защите информации (далее — ОРД), которые дополняют и уточняют се.

2 Организация парольной защиты

2.1.1 С целью ограничения доступа к информационным ресурсам, содержащим защищаемую информацию, устанавливается единая система паролирования, включающая в себя следующие основные пароли: пароль BIOS и личные пользовательские пароли: входа в операционную систему и прикладное ПО.

2.1.2 Пароль BIOS устанавливается Администратором ИБ, ответственным за защиту информации, с целью пресечения попыток несанкционированного изменения конфигурации загрузки и включения компьютера. Помимо паролирования BIOS применяются программно-аппаратные средства доверенной загрузки.

2.1.3 После 15 минут бездействия (неактивности) пользователя в АС происходит автоматическое блокирование сеанса доступа в АС. Разблокирование учетной записи осуществляется пользователем путем ввода своего пароля.

3 Правила формирования паролей

3.1 Формирование аутентификационной информации

3.1.1 Каждый пользователь АС получает уникальное пользовательское имя (логин) и пароль. Аутентификация пользователя осуществляется с использованием паролей и аппаратных средств.

3.1.2 В АС должно быть обеспечено использование автоматизированных средств для формирования аутентификационной информации (генераторов паролей) с требуемыми характеристиками стойкости (силы) механизма аутентификации и для оценки характеристик этих механизмов.

3.1.3 При регистрации пользователя в информационной системе ему формируется начальная аутентификационная информация с помощью генераторов паролей.

3.1.4 Повторное использование идентификатора (пароля) пользователя исключено в течение одного года.

3.1.5 Резервирование паролей в Росморречфлоте не предусмотрено.

3.1.6 В зависимости от критичности информационно-технологического процесса, повышенного требования к защищаемой информации могут быть установлены более высокие требования к сложности пароля и периодичности смены.

3.1.7 Росморречфлот должен обеспечить получение (запросить) у поставщика технических средств (далее — ТС) и ПО АС аутентификационную информацию, заданную производителем этих ТС и ПО и не указанную в эксплуатационной документации.

3.1.8 Администратором ИБ должны быть установлены и реализованы функции управления средствами аутентификации (паролями) устройств в АС, такие как изменение аутентификационной информации (средств аутентификации), заданной их производителями и (или) используемой при внедрении системы защиты информации (системы защиты персональных данных).

3.2 Правила формирования паролей пользователей АС

3.2.1 Личные пароли должны генерироваться и распределяться централизованно либо выбираться пользователями в АС самостоятельно с учетом следующих требований:

• длина пароля должна быть не менее 6 символов;
• алфавит пароля не менее 60 символов;
• в числе символов пароля должны присутствовать символы трех категорий, а в некоторых случаях и четырех из числа следующих четырех категорий:

прописные буквы английского алфавита от А до Z;

строчные буквы английского алфавита от а до z;

десятичные цифры (от 0 до 9);

неалфавитные символы (например: !, $, @, #, %);

• пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т.д.), а также общепринятые сокращения (например, LAN, USER, и т.п.);
• пароль не должен совпадать с именем учетной записи пользователя или наименованием его персонального компьютера;
• запрещается использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов (например, «1111111», «wwwww» и т.п.);
• запрещается использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре (например, «1234567», «QWERTY», «QAZWSX» и т.п.);
• максимальное количество неуспешных попыток аутентификации (ввода неправильного пароля) до блокировки — 3 попытки;
• блокировка программно-технического средства или учетной записи пользователя в случае достижения установленного максимального количества неуспешных попыток аутентификации составляет 15 минут;
• учетная запись пользователя, не сменившего вовремя пароль, должна автоматически блокироваться. Блокировка должна сниматься «вручную» администратором с одновременной сменой пароля пользователя.

3.3 Правила формирования паролей административных учетных записей

3.3.1 Пароли для административных учетных записей должны соответствовать повышенным требованиям:

• длина пароля должна быть не менее 10 символов;
• пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т.д.), а также общепринятые сокращения (ADMIN, SA, CISCO, PASSWORD и т.п.);
• максимальный срок действия пароля должен быть ограничен одним месяцем;
• запрещается использование более трех подряд идущих символов (на клавиатуре, в алфавите), набранных в одном регистре;
• запрещается регистрировать пользователей в системе под своим паролем;
• пароли на доступ к различным ресурсам должны различаться, не допускается использование универсальных паролей для административных учетных записей.

4 Порядок ввода пароля

4.1.1 В целях обеспечения информационной безопасности и противодействия попыткам подбора пароля в АС определены правила ввода пароля:

• символы вводимого пароля не отображаются на экране в явном виде;
• учет всех попыток (успешных и неудачных) входа в систему.

4.1.2 При первоначальном вводе или смене пароля пользователя действуют следующие правила:

• символы вводимого пароля не должны явно отображаться на экране;
• для подтверждения правильности ввода пароля (с учетом первого правила) — ввод пароля необходимо проводить 2 раза.

4.1.3 Защита обратной связи «система — субъект доступа» в процессе аутентификации обеспечивается исключением отображения для пользователя действительного значения аутентификационной информации и (или) количества вводимых пользователем символов аутентификационной информации. Вводимые символы пароля могут отображаться условными знаками «*», «-» или иными знаками.

4.1.4 Ввод пароля должен осуществляться непосредственно пользователем (владельцем пароля). Пользователю запрещается передавать пароль для ввода другим лицам. Передача пароля для ввода другим лицам является разглашением конфиденциальной информации и влечет за собой ответственность согласно положениям данной Инструкции.

4.1.5 Непосредственно перед вводом пароля для предотвращения возможности неверного ввода пользователь системы должен убедиться в правильности языка ввода (раскладки клавиатуры), проверить, не является ли активной клавиша CAPSLOCK, а также проконтролировать расположение клавиатуры (клавиатура должна располагаться таким образом, чтобы исключить возможность увидеть набираемый текст посторонними лицами) и ТС.

4.1.6 При вводе пароля пользователю запрещается проговаривать вслух вводимые символы.

5 Порядок выдачи (смены) паролей

5.1.1 Новый пароль создается пользователем самостоятельно в соответствии с данной инструкцией без регистрации в «Журнале учета выдачи (смены) паролей» или должен выдаваться Администратором ИБ только после обязательной регистрации в «Журнале учета выдачи (смены) паролей» в соответствии с пунктом 5.1.6 данной Инструкции.

5.1.2 Смена паролей должна проводиться не более чем через 45 дней.

5.1.3 Внеплановая смена личного пароля или удаление учетной записи пользователя в случае прекращения его полномочий (увольнение, перевод в другое структурное подразделение и т.п.) должна производиться Администратором ИБ, ответственным за защиту информации, непосредственно после окончания последнего сеанса работы данного пользователя.

5.1.4 Внеплановая полная смена паролей всех пользователей должна производиться в случае прекращения полномочий (увольнение, перевод в другое структурное подразделение и другие обстоятельства) администраторов и других работников, которым но роду деятельности были предоставлены полномочия по управлению парольной защитой АС.

5.1.5 Смена пароля производится самостоятельно каждым пользователем в соответствии с данной инструкцией. При смене пароля новое значение должно отличаться от предыдущего не менее чем в 3 позициях.

5.1.6 В случае утери пароля пользователь должен:

• сообщить об этом непосредственному начальнику;
• известить Администратора ИБ, ответственного за защиту информации;
• получить у Администратора ИБ, ответственного за защиту информации, временный пароль и самостоятельно его изменить в соответствии с вышеуказанными требованиями.

5.1.7 В случае компрометации <1> пароля (подсматривание его кем-либо, разглашение пароля и др.) или подозрения на компрометацию пароль необходимо сменить как можно скорее в соответствии с вышеуказанными требованиями.

<1> Под компрометацией пароля понимается утрата его секретности.

5.1.8 Учетная запись пользователя, ушедшего в длительный отпуск (более 45 дней), должна блокироваться Администратором ИБ, ответственным за защиту информации, с момента получения письменного уведомления от отдела государственной службы, кадров и профилактики коррупционных и иных правонарушений Росморречфлота.

5.1.9 В Росморречфлоте должно быть обеспечено блокирование идентификатора пользователя в случае неиспользования более 45 дней, а в случае неиспользования более 60 дней — удаление.

5.1.10 Удаление учетных записей пользователей, уволенных, переведенных в другое структурное подразделение должно производиться Администратором ИБ, ответственным за защиту информации, немедленно с момента получения письменного уведомления от отдела государственной службы, кадров и профилактики коррупционных и иных правонарушений Росморречфлота.

5.1.11 Отдел государственной службы, кадров и профилактики коррупционных и иных правонарушений Росморречфлота должен известить Администратора ИБ, ответственного за защиту информации, об издании приказа в течение 24 часов после увольнения, перевода работника в другое структурное подразделение.

6 Хранение паролей

6.1.1 «Журнал учета выдачи (смены) паролей» пользователя должен храниться у Администратора ИБ, ответственного за защиту информации.

6.1.2 Недопустимо хранение пользователем своих паролей в открытом виде на любых видах носителей информации.

6.1.3 При возникновении производственной необходимости в срочном доступе к АС под учетной записью временно отсутствующего пользователя разрешается произвести смену пароля пользователя его непосредственным начальником.

7 Ответственность при организации парольной защиты

7.1.1 Пользователи АС должны быть ознакомлены под личную подпись с требованиями настоящей Инструкции и предупреждены об ответственности за нарушение требований данной Инструкции.

7.1.2 Пользователю запрещается разглашать или передавать свой пароль за исключением случаев, описанных в настоящей Инструкции. За разглашение парольной информации, которая представляет конфиденциальные сведения, работник Росморречфлота привлекается к ответственности в соответствии с действующим законодательством Российской Федерации.

7.1.3 Ответственность в случае несвоевременного уведомления Администратора ИБ, ответственного за защиту информации, о случаях утери, кражи, взлома или компрометации паролей возлагается на владельца взломанной учетной записи.

7.1.4 Администратору ИБ, ответственному за защиту информации, запрещается разглашать все известные ему имена учетных записей пользователей и их пароли или передавать «Журнал учета выдачи (смены) паролей» другому работнику.

7.1.5 Повседневный контроль действий пользователей при работе с паролями, соблюдением порядка их смены, хранения и использования возлагается на Администратора АС, периодический контроль возлагается на Администратора ИБ, ответственного за защиту информации.

8 Заключительные положения

8.1.1 Настоящая Инструкция пересматривается, изменяется и дополняется по мере необходимости, но не реже одного раза в три года.

8.1.2 Проверка и пересмотр настоящей Инструкции осуществляются в следующих случаях:

• при внедрении новой техники, программных средств и (или) технологий;
• при внедрении новых СрЗИ, существенно изменяющих порядок работы с ними;
• в случае изменения технологии и процессов обработки и защиты информации в АС;
• при выявлении новых угроз безопасности информации и определении необходимости реализации дополнительных защитных мер;
• по результатам анализа материалов расследования нарушений требований законодательства об обеспечении безопасности защищаемой информации;
• при изменении уровня (класса) защищенности;
• по требованию представителей ФСБ России и ФСТЭК России.

8.1.3 Инструкция подлежит обязательному пересмотру в случае изменения законодательства Российской Федерации в сфере защиты информации.

8.1.4 Вносимые изменения не должны противоречить другим положениям Инструкции.

8.1.5 Ответственность за своевременную корректировку настоящей Инструкции возлагается на Администратора ИБ, ответственного за защиту информации Росморречфлота.

8.1.6 С приказом о внесении изменений (дополнений) в настоящую Инструкцию знакомятся под личную подпись все работники Росморречфлота.

<1> Операционная система.

1 Общие положения

1.1 Назначение документа

1.1.1 «Инструкция администратора безопасности информации» Федерального агентства морского и речного транспорта (далее — Инструкция) определяет функции, права и обязанности администратора безопасности информации (далее — Администратор ИБ) информационной (автоматизированной) системы (далее — АС) по вопросам обеспечения информационной безопасности (далее — ИБ).

1.1.2 Администратор ИБ назначается из числа сотрудников Росморречфлота с квалификацией, соответствующей приказу Минзравсоцразвития Российской Федерации от 22.04.2009 № 205 «Об утверждении Единого квалификационного справочника должностей руководителей, специалистов и служащих, раздел „Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации“, или работников привлекаемой организации, осуществляющей обеспечение устойчивой работоспособности элементов АС, средств защиты при обработке защищаемой информации и ответственной за защиту автоматизированной системы от несанкционированного доступа к информации, правильность использования и нормальное функционирование установленной системы защиты информации (далее — СЗИ).»

1.1.3 Пользователем АС является работник (служащий), участвующий в рамках своих функциональных обязанностей в процессах автоматизированной и неавтоматизированной обработки информации, имеющий доступ к программно-техническим средствам (далее — ПТС), программному обеспечению (далее — ПО), средствам защиты информации (далее — СрЗИ), средствам криптографической защиты информации (далее — СКЗИ) и данным (информации).

1.1.4 Системный администратор информационной (автоматизированной) системы (далее — Администратор АС) — подготовленный и квалифицированный работник из сотрудников Росморречфлота с соответствующей квалификацией, указанной в Профессиональном стандарте «Системный администратор информационно-коммуникационных систем», утвержденном приказом Министерства труда и социальной защиты Российской Федерации от 29 сентября 2020 года № 680н, или работник привлекаемой организации, имеющий опыт администрирования, технического обслуживания и ремонта компьютеров и оргтехники, знающий основы информационных сетей (стек протоколов TCP/IP, сетевое оборудование), принципы построения АС, осуществляющий обеспечение устойчивой работоспособности элементов АС, администрирования и функционирования АС.

1.1.5 Ответственный за обеспечение ИБ (далее — ответственный за защиту информации) — сотрудник, назначенный в каждом структурном подразделении Росморречфлота, осуществляющий обеспечение и контроль защиты информации в структурном подразделении.

1.1.6 Защищаемая информация — информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

В более узком понимании: информация ограниченного доступа (распространения), не содержащая сведения, составляющие государственную тайну, — это информация для служебного пользования (ДСП).

1.1.7 Требования Администратора ИБ, связанные с выполнением им своих обязанностей, обязательны для исполнения всеми работниками, имеющими санкционированный доступ к процессам автоматизированной и неавтоматизированной обработки информации в АС.

1.2 Правовые основании

1.2.1 В настоящем документе применяются термины и определения, установленные законодательством Российской Федерации и национальными стандартами в области защиты информации и обеспечения ИБ.

1.2.2 Инструкция разработана в соответствии Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи», приказом ФАПСИ от 13 июня 2001 г. № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», руководящим документом «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», утвержденным решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г., а также настоящей Инструкцией.

1.2.3 Администратор ИБ в своей работе должен также руководствоваться технико-эксплуатационными характеристиками оборудования и регламентирующими документами Росморречфлота.

1.2.4 Требования настоящей Инструкции могут развиваться другими внутренними локальными нормативными актами (далее — ЛНА) и организационно-распорядительными документами по защите информации (далее — ОРД), которые дополняют и уточняют ее.

2 Основные функции Администратора ИБ

2.1.1 Контроль за выполнением требований действующих нормативных документов по вопросам защиты информации при проведении работ на АС.

2.1.2 Настройка и сопровождение в процессе эксплуатации подсистемы управления доступом на АС:

• реализация полномочий доступа (чтение, запись) для каждого пользователя к элементам защищаемых информационных ресурсов (файлам, каталогам, принтеру и т.д.);
• ввод описаний пользователей АС в информационную базу установленной в АС СЗИ от несанкционированного доступа (далее — НСД);
• своевременное удаление описаний пользователей из базы данных СЗИ при изменении списка допущенных к работе в АС лиц.

2.1.3 Контроль доступа лиц в помещение, где установлена АС, в соответствии со списком сотрудников, допущенных к работе в АС.

2.1.4 Контроль за периодическим проведением смены паролей для доступа к АС пользователями АС.

2.1.5 Настройка и сопровождение подсистемы регистрации и учета действий пользователей при работе в АС:

• введение описания событий, подлежащих регистрации в Журнале учета событий и нарушений режима ИБ, в базу данных установленной в АС СЗИ от несанкционированного доступа;
• регулярное проведение анализа системного журнала для выявления попыток несанкционированного доступа к защищаемым ресурсам;
• своевременное информирование заместителя руководителя Росморречфлота, ответственного за обеспечение ИБ, о несанкционированных действиях персонала и участие в проведении расследований попыток НСД.

2.1.6 Сопровождение подсистемы обеспечения целостности информации в АС:

• периодическое тестирование функций установленной в АС СЗИ от НСД, особенно при изменении программной среды и полномочий исполнителей;
• восстановление программной среды, программных средств и настроек СЗИ при сбоях;
• ведение двух копий программных средств СЗИ от НСД и контроль их работоспособности;
• поддержание установленного порядка и правил антивирусной защиты информации;
• периодическое обновление антивирусных средств (баз данных), установленных в АС, контроль за соблюдением пользователями порядка и правил проведения антивирусного тестирования АС.

3 Обязанности Администратора ИБ

3.1 Администратор ИБ обязан:

• обеспечивать функционирование и поддерживать работоспособность средств и систем защиты информации в пределах, возложенных на него функций;
• проводить инструктажи пользователей по правилам работы в АС с установленной системой защиты информации от НСД;
• в случае отказа систем защиты информации принимать меры по их восстановлению;
• докладывать заместителю руководителя Росморречфлота, ответственному за обеспечение ИБ, о неправомерных действиях пользователей, приводящих к нарушению требований по защите информации;
• вести документацию на АС в соответствии с требованиями нормативных документов.

3.2 Администратору ИБ запрещается:

• использовать в своих и в чьих-либо личных интересах информационные ресурсы (далее — ИР), предоставлять такую возможность другим;
• допускать к работе с защищаемой информацией лиц, не обладающих для этого соответствующими правами;
• производить действия, приводящие к нарушению технологии обработки защищаемой информации;
• передавать конфиденциальные сведения по незащищенным каналам связи (телетайп, факсимильная связь, электронная почта и т.п.) без использования сертифицированных СКЗИ.

4 Права Администратора ИБ

4.1.1 Для выполнения возложенных задач, функций и обязанностей Администратор ИБ наделяется следующими правами:

• требовать от всех пользователей АС безусловного соблюдения требований нормативно-правовой и организационно-распорядительной документации в сфере защиты информации;
• запрашивать и получать от работников Росморречфлота информацию, необходимую для исполнения своих прав и обязанностей, приведенных в настоящей Инструкции;
• Администратор ИБ должен иметь специальное рабочее место, размещенное на территории контролируемой зоны, установленной приказом Росморречфлота таким образом, чтобы исключить НСД к нему посторонних лиц. Рабочее место Администратора ИБ должно быть оборудовано средствами физической защиты (личный сейф, железный шкаф или другое), подключением к ИС информационным системам (далее — ИС), а также средствами контроля (управления и мониторинга) технических СрЗИ;
• участвовать в разработке мероприятий по совершенствованию СЗИ;
• вносить предложения по совершенствованию правовых и организационных, технологических и технических мер защиты информации;
• инициировать проведение служебных расследований по фактам нарушения установленных требований обеспечения ИБ, НСД, утраты, порчи защищаемой информации и ТС технических средств (далее — ТС) из состава ИС;
• знакомиться с проектными решениями руководства, касающимися его деятельности;
• применять меры по приостановлению или прекращению обработки защищаемой информации, осуществляемой с нарушением требований законодательства Российской Федерации, а также оперативному отстранению от работы пользователя при явной угрозе ИБ в результате несоблюдения установленной технологии обработки информации или нарушения режима конфиденциальности;
• вносить предложения о привлечении к ответственности и наказании отдельных работников, имеющих санкционированный доступ к защищаемой информации, виновных в нарушении законодательства Российской Федерации в области ИБ;
• визировать документы, связанные с обработкой защищаемой информацией;
• участвовать в анализе ситуаций, касающихся функционирования СрЗИ, и в расследованиях по случаям НСД к защищаемой информации и другим случаям нарушения режима обработки информации;
• принимать решения в пределах своей компетенции.

5 Взаимоотношения и связи по должности

5.1.1 Администратор ИБ получает указания непосредственно от заместителя руководителя Росморречфлота, ответственного за обеспечение ИБ, и подотчетен ему.

5.1.2 Администратор ИБ взаимодействует с должностными лицами других организаций всех организационно-правовых форм — по вопросам ИБ; с контрольно-надзорными органами при проведении внешних проверок.

5.1.3 В процессе осуществления своих функций Администратор ИБ взаимодействует со следующими структурными подразделениями:

• Административно-правовым управлением — по правовым вопросам, связанным с подготовкой документов и подготовкой отчетности. Совместно с должностным лицом, обладающим высшим юридическим образованием, осуществляет экспертизу ЛНА и ОРД Росморречфлота и договоров с третьими лицами на предмет соответствия требованиям законодательства в сфере защиты информации;
• Отделом государственной службы, кадров и профилактики коррупционных и иных правонарушений — по вопросам подбора, расстановки и повышения квалификации кадров;
• Управлением финансирования и проектной деятельности — по финансовым вопросам, касающимся деятельности по защите информации;
• с назначенной организацией по вопросам эксплуатации ИС и по вопросам обеспечения защиты информации и предоставления пользователям прав доступа.

6 Порядок утверждения, пересмотра и изменения инструкции

6.1.1 Настоящая Инструкция пересматривается, изменяется и дополняется по мере необходимости, но не реже одного раза в три года.

6.1.2 Инструкция подлежит обязательному пересмотру в случае изменения законодательства Российской Федерации в области защиты информации и обеспечения ИБ.

6.1.3 Инструкция подлежит полному пересмотру при изменении перечня решаемых задач, изменений СЗИ в Росморречфлоте, приводящих к существенным изменениям технологии обработки информации.

6.1.4 Инструкция подлежит частичному пересмотру в остальных случаях.

6.1.5 В зависимости от изменяющихся условий деятельности проводится корректировка обязанностей в Инструкции.

6.1.6 Вносимые изменения не должны противоречить другим положениям Инструкции.