Приказ Росреестра от 29.01.2013 № П/31

(ред. от 06.04.2016)

«Об организации и проведении работ по обеспечению безопасности персональных данных при обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии»

МИНИСТЕРСТВО ЭКОНОМИЧЕСКОГО РАЗВИТИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ

ПРИКАЗ

Утверждено Приказом Федеральной службы государственной регистрации, кадастра и картографии от 29 января 2013 г. № П/31

ПОЛОЖЕНИЕ ПО ОРГАНИЗАЦИИ И ПРОВЕДЕНИЮ РАБОТ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ В ФЕДЕРАЛЬНОЙ СЛУЖБЕ ГОСУДАРСТВЕННОЙ РЕГИСТРАЦИИ, КАДАСТРА И КАРТОГРАФИИ

1. Термины и определения

2. Перечень сокращенных наименований

3. Общие положения

Положение регламентирует вопросы обеспечения безопасности ПДн при их обработке в ИСПДн в ЦА/ТО Росреестра и определяет порядок организации работ по созданию и эксплуатации СЗПДн.

Положение разработано на основании следующих основных нормативных правовых актов и документов в области обеспечения безопасности ПДн:

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

постановление Правительства Российской Федерации от 21 марта 2012 г. № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом „О персональных данных“ и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;

Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. № 17;

Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные приказом ФСТЭК России от 18 февраля 2013 г. № 21;

Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К), утвержденные приказом Гостехкомиссии России от 30 августа 2002 г. № 282;

Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные руководством 8 центра ФСБ России от 21 февраля 2008 г. № 149/6/6-622.

Действие Положения не распространяется на вопросы, связанные с обработкой ПДн, осуществляемой без использования средств автоматизации.

Правила обработки ПДн, осуществляемой без использования средств автоматизации, установленные нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами Росреестра, определяются в отдельном документе с учетом требований Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687.

4. Порядок организации и проведения работ по обеспечению безопасности ПДн при их обработке в ИСПДн ЦА/ТО Росреестра

Под организацией работ по обеспечению безопасности ПДн при их обработке в ИСПДн ЦА/ТО Росреестра понимается формирование совокупности мероприятий, осуществляемых на всех стадиях жизненного цикла ИСПДн, согласованных по цели, задачам, месту и времени, направленных на предотвращение (нейтрализацию) и парирование угроз безопасности ПДн в ИСПДн ЦА/ТО Росреестра, восстановление нормального функционирования ИСПДн после нейтрализации угрозы с целью минимизации как непосредственного, так и опосредованного ущерба от возможной реализации таких угроз.

Организация работ по защите ПДн предусматривает:

определение перечня ПДн, обрабатываемых в ИС ЦА/ТО Росреестра;

определение требуемого уровня защищенности ПДн;

формирование порядка разработки, ввода в действие, эксплуатации и последующей аттестации системы защиты ПДн (СЗПДн) в части реализации организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн;

формирование порядка взаимодействия между ответственными за обеспечение безопасности ПДн и эксплуатирующими подразделениями (администраторами) по вопросам обеспечения безопасности ПДн;

разработка порядка привлечения структурных подразделений ЦА/ТО Росреестра и специализированных сторонних организаций к разработке и эксплуатации СЗПДн, их задачи и функции на различных стадиях создания и эксплуатации ИСПДн в соответствии с требованиями руководящих документов по безопасности с учетом механизмов, предусмотренных Федеральным законом от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд»;

определение ответственности должностных лиц за обеспечение безопасности ПДн, своевременность и качество формирования требований по ЗИ, за качество и научно-технический уровень разработки СЗПДн;

определение порядка контроля обеспечения требуемого уровня защищенности ПДн.

Согласование подключений сторонних организаций к сети Росреестра осуществляется после согласования схемы подключения ЦА Росреестра.

Для разработки и осуществления мероприятий по организации и обеспечению безопасности ПДн при их обработке в ИСПДн ответственным за обеспечение безопасности ПДн соответствующим приказом Росреестра/ТО Росреестра назначается специалист по ИБ или структурное подразделение ИБ.

Непосредственно исполнение работ по защите информации ПДн в ИСПДн с использованием средств автоматизации возлагается на начальников соответствующих структурных подразделений ЦА/ТО Росреестра, ответственных за развитие и использование (эксплуатацию) ИСПДн.

Для определения требуемого уровня защищенности ПДн при их обработке в ИСПДн соответствующим приказом Росреестра/ТО Росреестра назначается специальная внутренняя комиссия. В состав этой комиссии включаются представители подразделений ИБ и ИТ, правового и кадрового обеспечения, должностные лица — обладатели ИР ИСПДн.

Для организации деятельности внутренней комиссии должны издаваться соответствующие распоряжения Росреестра/ТО Росреестра, в которых, в частности, даются указания всем начальникам структурных подразделений ЦА/ТО Росреестра об оказании содействия и необходимой помощи в работе внутренней комиссии при проведении работ. Для оказания помощи на время работы внутренней комиссии в подразделениях начальниками этих структурных подразделений выделяются работники, владеющие детальной информацией по вопросам обработки ПДн в данных подразделениях.

Проведение предпроектного обследования ИСПДн, разработка и реализация СЗПДн могут осуществляться как работниками ЦА/ТО Росреестра (специалистами по ИБ и ИТ ЦА/ТО Росреестра), так и на договорной основе с другими специализированными организациями, имеющими соответствующие лицензии на деятельность по технической защите конфиденциальной информации, по согласованию с Росреестром результатов работ данными организациями в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд». Научно-техническое и методическое руководство, непосредственная организация работ по созданию (модернизации) СЗПДн и контроль за эффективностью использования предусмотренных мер возлагаются на специалиста по ИБ (подразделение ИБ) в соответствии с требованиями постановления Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

В случае разработки СЗПДн или ее отдельных компонентов специализированными организациями подразделение ИБ отвечает за организацию и проведение мероприятий по ЗИ. Разработка, внедрение и эксплуатация СЗПДн осуществляются во взаимодействии разработчика с подразделением ИБ.

Контроль за реализацией проектных решений возлагается на заместителя руководителя Росреестра и заместителей руководителя ТО Росреестра, отвечающих за ИТ.

4.1. Порядок определения защищаемой информации и требуемого уровня защищенности ПДн

Внутренней комиссией, образованной приказом Росреестра/ТО Росреестра, для каждой ИСПДн определяется перечень ПДн, уточняются цели и основание обработки ПДн, а также срок хранения и условия прекращения обработки.

Целью классификации ИС Росреестра/территориального органа Росреестра как ИСПДн с последующим определением требуемого уровня защищенности обрабатываемых в ней ПДн является определение по ее результатам перечня обоснованных организационных и технических мероприятий, позволяющих выполнить требования по обеспечению безопасности ПДн с учетом особенностей конкретной ИСПДн. Классификация может проводиться на этапе создания ИС или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) модернизируемых ИС).

Определение требуемого уровня защищенности ПДн осуществляется в соответствии с требованиями постановления Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Определение требуемого уровня защищенности ПДн проводится внутренней комиссией и включает в себя следующие этапы:

сбор и анализ исходных данных по ИС;

определение требуемого уровня защищенности ПДн и его документальное оформление.

При определении требуемого уровня защищенности ПДн при их обработке в ИСПДн внутренней комиссией определяется:

количество обрабатываемых ПДн;

категории обрабатываемых ПДн;

тип угроз безопасности.

Предложения комиссии по установлению определенного требуемого уровня защищенности ПДн согласовываются с оператором ИР ИСПДн.

Результаты определения требуемого уровня защищенности ПДн оформляются актом, утверждаемым руководителем Росреестра/ТО Росреестра. Сформированные материалы являются неотъемлемой частью организационно-распорядительной документации ИСПДн и относятся к информации конфиденциального характера. Оригиналы организационно-распорядительной документации ИСПДн хранятся в подразделении, ответственном за обеспечение безопасности ПДн.

Требуемый уровень защищенности ПДн может быть пересмотрен внутренней комиссией в случае изменения количества, категории или типа угроз ПДн, но не реже чем один раз в три года.

4.2. Порядок разработки, ввода в действие и эксплуатации СЗПДн

Предусматриваются следующие стадии разработки и сопровождения СЗПДн:

предпроектная стадия;

стадия проектирования (разработки проектов) и реализации СЗПДн;

стадия ввода в эксплуатацию СЗПДн.

4.2.1. Предпроектная стадия

На предпроектной стадии проводится предпроектное обследование ИСПДн и разработка технического (частного технического) задания на создание СЗПДн.

Выполнение данных работ может осуществляться на договорной основе специализированной сторонней организацией в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд», имеющей соответствующую лицензию на деятельность по технической защите конфиденциальной информации.

Условия соблюдения конфиденциальности специалистами привлекаемой специализированной сторонней организации при проведении работ оформляются в рамках государственного контракта в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд».

4.2.2. Стадия проектирования и реализации СЗПДн

Проектирование (разработка проектов) и реализация СЗПДн проводится на основании требований, изложенных в техническом (частном техническом) задании на разработку СЗПДн, а также в соответствии с требованиями приказа Росреестра от 14 июня 2011 г. № П/217 «Об утверждении порядка организации процессов жизненного цикла программных средств информационных систем и информационных технологий Федеральной службы государственной регистрации, кадастра и картографии».

При разработке СЗПДн в составе ИСПДн проводятся следующие мероприятия:

разработка задания и проекта на строительные, строительно-монтажные работы (или реконструкцию) ИСПДн в соответствии с требованиями технического (частного технического) задания на разработку СЗПДн;

разработка раздела технического проекта на ИСПДн в части ЗИ;

проведение строительно-монтажных работ в соответствии с проектной документацией;

использование серийно выпускаемых ТС обработки, передачи и хранения информации;

разработка мероприятий по ЗИ в соответствии с предъявляемыми требованиями;

использование сертифицированных технических, программных и программно-технических СрЗИ и их установка;

сертификация по требованиям безопасности информации программных СрЗИ в случае, если на рынке отсутствуют требуемые сертифицированные СрЗИ;

разработка и реализация разрешительной системы доступа пользователей к обрабатываемой в ИСПДн информации;

определение подразделений и назначение лиц, ответственных за эксплуатацию СрЗИ, с их обучением по направлению безопасности ПДн;

определение лиц, ответственных за выявление инцидентов и реагирование на них;

разработка рабочей, эксплуатационной документации на СЗПДн, а также организационно-распорядительной документации по ЗИ (приказов, инструкций и других документов);

выполнение других мероприятий, характерных для конкретных ИСПДн и направлений обеспечения безопасности ПДн.

Проектная документация подлежит согласованию с начальником подразделения ИБ ЦА/ТО Росреестра.

Согласно пункту 20 Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. № 17, и пункту 8 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21, в зависимости от угроз безопасности информации, используемых ИТ и структурно-функциональных характеристик ИСПДн, СЗПДн должна обеспечивать:

идентификацию и аутентификацию субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защиту машинных носителей информации;

регистрацию событий безопасности;

антивирусную защиту;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности информации;

целостность ИС и информации;

доступность информации;

защиту среды виртуализации;

защиту ТС;

защиту ИС, ее средств, систем связи и передачи данных.

Выбор требуемых классов защищенности сертифицированных СрЗИ для реализации в рамках СЗПДн производится на основании пункта 26 Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. № 17, и пункта 12 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21.

4.2.3. Стадия ввода в эксплуатацию СЗПДн

На стадии ввода в эксплуатацию СЗПДн выполняются следующие мероприятия:

опытная эксплуатация СрЗИ в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн и отработки технологического процесса обработки (передачи) информации;

анализ уязвимостей ИС, включающий анализ уязвимостей СЗИ, ТС и программного обеспечения ИС;

принятие мер по устранению уязвимостей;

приемо-сдаточные испытания СЗИ;

организация охраны и физической защиты помещений ИСПДн, исключающих НСД к ТС ИСПДн, их хищение и нарушение работоспособности, хищение носителей информации;

оценка соответствия СЗПДн требованиям безопасности информации в виде обязательной аттестации.

Аттестация ИСПДн проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в ИС.

Ввод в эксплуатацию ИСПДн осуществляется на основании приказа Росреестра/ТО Росреестра, который издается на основании положительных результатов оценки соответствия ИСПДн требованиям безопасности ПДн.

Эксплуатация СЗПДн осуществляется в полном соответствии с утвержденной организационно-распорядительной и эксплуатационной документацией с учетом требований и положений, изложенных в Положении.

При определении порядка проведения технического обслуживания и ремонтных работ в СЗПДн учитывается требование исполнения данных работ только уполномоченными работниками ЦА/ТО Росреестра (или в их присутствии), назначенными ответственными за обслуживание (сопровождение) СЗПДн.

Все процедуры, связанные с изменением конфигурации СЗПДн, проведением технического обслуживания и ремонтных работ на ТС СЗПДн, предусматривают документирование объемов и сроков выполненных работ, а также установление лиц (организаций), проводивших эти работы.

4.3. Порядок привлечения структурных подразделений ЦА/ТО Росреестра и специализированных сторонних организаций к разработке и эксплуатации ИСПДн, их задачи и функции на различных стадиях создания и эксплуатации ИСПДн

Для организации и обеспечения безопасности ПДн при их обработке в ИСПДн ответственным структурным подразделением за обеспечение безопасности ПДн соответствующим приказом Росреестра/ТО Росреестра назначается подразделение ИБ.

Подразделение ИБ обеспечивает методическое руководство, разработку требований к мерам защиты ИСПДн и контроль за эффективностью использования предусмотренных мер ЗИ.

Подразделение ИБ обеспечивает подготовку предложений по совершенствованию и реализации положений Политики безопасности информации (ИБ) и контролирует выполнение установленных требований в структурных подразделениях ЦА/ТО Росреестра.

Подразделение ИБ осуществляет следующие основные функции:

разрабатывает предложения по определению требуемого уровня защищенности ПДн и класса защищенности АС;

участвует в организации работ по выявлению актуальных угроз безопасности ПДн;

осуществляет методическое руководство и участвует в разработке (согласовании) конкретных требований по защите ПДн и разработке технического (частного технического) задания на создание СЗПДн;

согласовывает выбор конкретных средств обработки ПДн, технических и программных СрЗИ;

осуществляет контроль реализации проектных решений на создание СЗПДн;

участвует в организации работ по оценке соответствия ИСПДн предъявляемым требованиям по обеспечению безопасности ПДн;

участвует в организации разработки организационно-распорядительной документации по ЗИ в ИСПДн;

осуществляет контроль требуемого уровня обеспечения защищенности ПДн при эксплуатации СЗПДн, в том числе контроль соблюдения условий использования СЗИ;

участвует в организации обучения должностных лиц ЦА/ТО Росреестра, ответственных за эксплуатацию СрЗИ, по направлению обеспечения безопасности ПДн;

участвует в организации охраны и физической защиты помещений ЦА/ТО Росреестра, в которых размещаются средства обработки ПДн, исключающих НСД к ТС ИСПДн, их хищение и нарушение работоспособности, хищение носителей информации;

оказывает методическую помощь должностным лицам территориально удаленных подразделений ТО Росреестра, назначенным ответственными за обеспечение безопасности ПДн.

Подразделение ИТ разрабатывает правила работы с информацией, ТС и правила использования ПДн в соответствии с возможностями, функциями, предназначением и степенью защищенности этих средств, ресурсов и требованиями к защите и доступности ПДн, осуществляет предоставление ИТ-сервисов всем структурным подразделениям ЦА/ТО Росреестра, отвечает за их целостность и доступность, обеспечивает разграничение доступа к ПДн в процессе их использования, контроль над ходом информационных процессов.

Привлечение для разработки СЗПДн или ее отдельных компонентов сторонних специализированных организаций осуществляется в соответствии с порядком, устанавливаемым нормативными и организационно-распорядительными документами ФСТЭК России и ФСБ России.

В случае привлечения для обеспечения безопасности ПДн сторонних специализированных организаций в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд» необходимо выполнение следующих условий:

наличие у организации лицензии на право проведения работ по технической защите конфиденциальной информации;

оформление соглашения о неразглашении конфиденциальных сведений;

проведение инструктажа исполнителей работ по вопросам ИБ.

Могут устанавливаться и дополнительные условия в соответствии с нормативными и организационно-распорядительными документами по ЗИ.

При привлечении сторонних специализированных организаций работникам ЦА/ТО Росреестра следует учитывать следующие функции в техническом задании:

а) на предпроектной стадии:

• уточнение перечня ПДн, подлежащих защите;
• определение условий расположения ИСПДн относительно границ контролируемой зоны;
• определение конфигурации и топологии ИСПДн в целом и ее отдельных компонент, физические, функциональные и технологические связи как внутри ИСПДн, так и с другими системами различного назначения;
• определение ТС и систем, включаемых в состав ИСПДн, условий их расположения, общесистемных и прикладных программных средств;
• определение режимов обработки ПДн в ИСПДн;
• разработка предложений по уточнению требуемых уровней защищенности ПДн и класса защищенности ИС;

- уточнение степени участия работников в обработке ПДн, характера их взаимодействия между собой;

• определение (уточнение) угроз безопасности ПДн с учетом конкретных условий функционирования ИСПДн, разработка проекта частной модели угроз;
• участие в разработке (согласовании) конкретных требований по защите ПДн и разработке технического (частного технического) задания на создание СЗПДн;

б) на стадии проектирования:

• разработка технического проекта на создание СЗПДн в соответствии с требованиями руководящих документов ФСТЭК России и ФСБ России;
• монтажные работы в соответствии с проектной документацией;
• использование сертифицированных технических, программных и программно-технических СрЗИ и их установка;
• организация сертификации по требованиям безопасности информации программных СрЗИ в случае, когда на рынке отсутствуют требуемые сертифицированные СрЗИ;
• разработка разрешительной системы доступа пользователей к ПДн, обрабатываемым в ИСПДн;
• разработка (в согласованном объеме) эксплуатационной документации на СЗПДн;

в) на стадии ввода СЗПДн в эксплуатацию:

• установка СрЗИ;
• предварительные испытания и опытная эксплуатация СЗИ в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн;
• приемо-сдаточные испытания СЗИ по результатам опытной эксплуатации;
• анализ уязвимостей ИС, включающий анализ уязвимостей СЗИ, ТС и ПО ИС;
• принятие мер по устранению уязвимостей;
• оценка соответствия ИСПДн требованиям безопасности ПДн в форме аттестации.

5. Основные требования и правила по обеспечению безопасности ПДн при их обработке в ИСПДн ЦА/ТО Росреестра

Обеспечение безопасности ПДн при их обработке в ИСПДн ЦА/ТО Росреестра достигается путем применения организационных и технических мер, при этом в интересах обеспечения безопасности в обязательном порядке подлежат защите технические и программные средства, используемые при обработке ПДн, и носители информации.

Основными направлениями ЗИ ПДн являются:

обеспечение ЗИ ПДн от хищения, утраты, утечки, уничтожения, искажения, подделки и блокирования доступа к ней за счет НСД и специальных воздействий;

обеспечение ЗИ ПДн от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи.

Основными мерами ЗИ ПДн являются:

реализация разрешительной системы допуска пользователей (обслуживающего персонала) к ИР, ИС и связанным с ее использованием работам, документам;

ограничение доступа пользователей в помещения, где размещены ТС, позволяющие осуществлять обработку ПДн, а также хранятся носители информации;

разграничение доступа пользователей и обслуживающего персонала к ИР, программным средствам обработки (передачи) и ЗИ;

регистрация действий пользователей и обслуживающего персонала, контроль НСД и действий пользователей, обслуживающего персонала и посторонних лиц;

учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение;

резервирование ТС, дублирование массивов и носителей информации;

использование СрЗИ, прошедших в установленном порядке процедуру оценки соответствия требованиям безопасности информации в виде обязательной сертификации;

использование защищенных каналов связи;

размещение ТС, позволяющих осуществлять обработку ПДн в пределах охраняемой территории;

использование ТС, удовлетворяющих требованиям стандартов по электромагнитной совместимости, безопасности, санитарным нормам, предъявляемым к видеодисплейным терминалам;

размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах охраняемой территории;

обеспечение развязки цепей электропитания ТС с помощью защитных фильтров, блокирующих (подавляющих) информационный сигнал;

обеспечение электромагнитной развязки между линиями связи и другими цепями вспомогательных ТС и систем, выходящими за пределы охраняемой территории, и информационными цепями, по которым циркулирует защищаемая информация;

размещение дисплеев и других средств отображения информации, исключающее ее несанкционированный просмотр;

организация физической защиты помещений и собственно ТС, позволяющих осуществлять обработку ПДн;

предотвращение внедрения в ИС вредоносных программ (программ-вирусов) и программных закладок.

Перечень мер по ЗИ от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи применяется по решению руководителя Росреестра/ТО Росреестра.

Применяемые СрЗИ учитываются в Журнале учета средств защиты информации, используемых в информационной системе персональных данных Росреестра, форма которого приведена в приложении № 1 к Положению. В случае проведения аттестации ИСПДн учет применяемых технических СрЗИ ведется в документе «Технический паспорт ИСПДн» согласно Специальным требованиям и рекомендациям по технической защите конфиденциальной информации (СТР-К), утвержденным приказом Гостехкомиссии России от 30 августа 2002 г. № 282.

5.1. Требования по организации разрешительной системы доступа работников ЦА/ТО Росреестра к обрабатываемой в ИСПДн информации

Данный пункт Положения регламентирует порядок взаимодействия структурных подразделений ЦА и ТО Росреестра по обеспечению безопасности ПДн при организации разрешительной системы доступа к сервисам и ресурсам ИСПДн.

Разрешительная система доступа к обрабатываемой в ИСПДн информации предусматривает установление единого порядка обращения со сведениями, содержащими ПДн граждан и работников ЦА/ТО Росреестра (работники), и их носителями, определяет степень ограничения на доступ к данной информации и степень ответственности за сохранность предоставленной информации.

Организация разрешительной системы доступа относится к основным вопросам управления обеспечением безопасности ПДн и включает:

распределение функций управления доступом к данным и их обработкой между должностными лицами;

определение порядка изменения правил доступа к защищаемой информации;

определение порядка изменения правил доступа к резервируемым информационным и аппаратным ресурсам;

контроль функционирования разрешительной системы доступа и расследование фактов неправомерного доступа лиц к защищаемой информации в случае выявления таковых;

оценку эффективности проводимых мер по исключению утечки информации;

организацию деятельности должностных лиц, ответственных за подготовку предложений о внесении изменений в должностные обязанности и иные документы, определяющие задачи и функции работников ИСПДн;

разработку внутренних организационно-распорядительных документов, определяющих порядок реализации и функционирования разрешительной системы доступа.

Основные условия правомерного доступа работников к обрабатываемой в ИСПДн информации включают в себя:

подписание работником обязательства о неразглашении конфиденциальной информации (обязательства о неразглашении конфиденциальной информации могут быть включены в трудовой договор, который в соответствии со статьей 57 Трудового кодекса Российской Федерации может содержать эти обстоятельства);

наличие у работника оформленного в установленном порядке права допуска к ПДн, обрабатываемым в ИСПДн ЦА/ТО Росреестра;

наличие утвержденных в соответствии с трудовым законодательством Российской Федерации, законодательством о государственной гражданской службе Российской Федерации должностных (функциональных) обязанностей работника, определяющих круг его задач и объем необходимой для их решения информации.

Лица, доступ которых к ПДн, обрабатываемым в ИСПДн, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующим ПДн на основании списка, утвержденного руководителем Росреестра/ЦА Росреестра. Форма списка лиц, допущенных к ПДн, обрабатываемым в ИСПДн, приведена в приложении № 2 к Положению. Права доступа работников к защищаемой информации определяются в Матрице доступа, приведенной в приложении № 3 к Положению.

Для обеспечения персональной ответственности за свои действия каждому работнику ИСПДн, допущенному к работе с защищаемой информацией в ИСПДн, присваивается уникальное имя (учетная запись пользователя), под которым он регистрируется и осуществляет работу в системе. В случае производственной необходимости работнику ИСПДн могут быть присвоены несколько уникальных имен (учетных записей). Использование несколькими работниками при работе в ИСПДн одного и того же имени пользователя («группового имени») запрещается.

При регистрации и назначении прав доступа работников ИСПДн выполняются следующие требования:

каждому работнику присваивается уникальный идентификатор работника, по которому его можно однозначно идентифицировать;

учетные записи всех работников привязываются к конкретным АРМ, за исключением учетных записей технического персонала, обслуживающего компоненты ИСПДн;

при регистрации работников проводится проверка соответствия уровня доступа возложенным на работника задачам (вмененным обязанностям);

назначенные работнику права доступа документируются;

работник знакомится под роспись с предоставленными ему правами доступа и порядком его осуществления;

в ИСПДн предусматривается разрешение доступа к сервисам только аутентифицированным работникам;

при внесении нового работника разрабатывается и обновляется формальный список всех работников, зарегистрированных для работы в ИСПДн;

при изменении должностных обязанностей (увольнении) работника проводится немедленное исправление (аннулирование) прав его доступа;

при убытии работника в командировку/отпуск, производится временное блокирование учетной записи, на время его отсутствия;

администраторами ИСПДн проводится удаление всех неиспользуемых учетных записей.

Контроль выполнения требований разрешительной системы доступа к ПДн возлагается на администратора ИБ. Подробное описание обязанностей администратора ИБ приведены в приложении № 4 к Положению.

Допуск к ИР ИСПДн сторонних организаций (правоохранительных органов, судебных органов, органов статистики, органов исполнительной и законодательной власти субъектов Российской Федерации) регламентируется законодательством Российской Федерации, приказами и распоряжениями министерств и служб, законодательно наделенных полномочиями на получение информации, а также Положением.

Порядок допуска к ИР ИСПДн сторонних организаций, выполняющих работы на договорной основе, определяется в государственном контракте на выполнение работ (оказание услуг) в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд». Обязательным условием договора является заключение соглашения о конфиденциальности.

Подробное описание порядка организации разрешительной системы доступа приведено в приложении № 5 к Положению.

5.2. Требования к проведению мероприятий по размещению, специальному оборудованию, охране и режиму допуска в помещения, где размещены средства ИСПДн

Данный пункт Положения содержит общие требования к проведению мероприятий по размещению, специальному оборудованию, охране и режиму допуска в помещения, где размещены ИСПДн:

Организуется контроль доступа работников и посетителей в помещения ЦА/ТО Росреестра, в которых установлены ТС ИСПДн и осуществляется обработка ПДн, а также хранятся носители ПДн.

Доступ работников в помещения, в которых осуществляется обработка ПДн, организовывается на основании списков, утверждаемых руководителем Росреестра/ТО Росреестра. Доступ других работников и посетителей в эти помещения осуществляется в сопровождении ответственных должностных лиц. При этом время и дата их посещения и выхода протоколируются подразделением по охране объекта в специальном журнале учета посетителей или с применением ТС контроля физического доступа.

Посетители получают доступ только в соответствии с необходимостью и ознакамливаются с инструкциями по безопасности и по действиям в аварийных ситуациях.

Для защиты помещений, в которых расположены ТС ИСПДн, принимаются меры для минимизации воздействий огня, дыма, воды, пыли, взрыва, химических веществ, а также кражи.

ТС ИСПДн и размещенное совместно с ними вспомогательное оборудование подвергаются регулярным осмотрам с целью выявлений изменения конфигурации средств электронно-вычислительной техники (замки на коммутационных шкафах, использование специальных защитных знаков, пломбирование, опечатывание и др.).

Обеспечивается размещение устройств вывода информации СВТ, дисплеев АРМ ИСПДн таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей ПДн.

Работникам запрещается подключать к сети неучтенные информационно-телекоммуникационные средства.

5.3. Правила обеспечения безопасности ПДн при использовании съемных носителей ПДн

5.3.1. Правила обращения со съемными носителями ПДн

При обращении со съемными носителями ПДн выполняются следующие основные правила:

• носители ПДн учитываются и выдаются работникам под роспись;
• носители ПДн, срок эксплуатации которых истек, уничтожаются в установленном порядке;

- для выноса носителей ПДн за пределы объектов ЦА/ТО Росреестра дается специальное разрешение, а факт выноса фиксируется;

- все носители ПДн хранятся в безопасном месте в соответствии с требованиями по их эксплуатации.

Ответственным за хранение, учет и выдачу съемных носителей ПДн является ответственный работник ЦА/ТО Росреестра.

5.3.2. Порядок учета носителей информации

Все находящиеся на хранении и в обращении съемные носители ПДн учитываются в Журнале учета носителей персональных данных, форма которого приведена в приложении № 6 к Положению.

Каждый носитель с записанными на нем ПДн имеет этикетку, на которой указываются метка съемного носителя и гриф.

Работники ИСПДн для выполнения работ получают учтенный съемный носитель от ответственного работника ЦА/ТО Росреестра. При получении делаются соответствующие записи в Журнале учета.

После окончания работ работник ИСПДн сдает съемный носитель в помещение для хранения, о чем делается соответствующая запись в Журнале учета. При наличии личного сейфа у работника ИСПДн допускается хранение учтенных съемных носителей в личных сейфах, опечатанных печатью работника.

5.3.3. Порядок уничтожения носителей ПДн

Носители ПДн, пришедшие в негодность или отслужившие установленный срок, подлежат уничтожению.

Уничтожение носителей ПДн осуществляется комиссией по уничтожению, созданной приказом Росреестра/ТО Росреестра, по представлению руководителя подразделения по ИБ или ответственного за обеспечение безопасности ПДн.

Уничтожение магнитных, оптических, магнитооптических и электронных носителей информации производится путем их физического разрушения. Перед уничтожением носителя информация с него стирается (уничтожается), если это позволяют физические принципы работы носителя.

Перед утилизацией оборудования, участвующего в обработке ПДн, работником подразделения ИТ осуществляется проверка всех его компонентов, включая носители информации (жесткие диски) на отсутствие ПДн и лицензированного ПО.

По результатам уничтожения комиссией составляется акт уничтожения носителей ПДн, который хранится в помещении для хранения носителей ПДн, уничтоженные носители ПДн (утилизированное оборудование) снимаются с материального учета.

5.4. Порядок и правила использования паролей пользователей

Организационное и техническое обеспечение смены, прекращения действия паролей в ИСПДн, процессов генерации и использования возлагается в пределах полномочий на работников подразделения ИТ и администратора ИБ, сопровождающего механизмы идентификации и аутентификации (подтверждения подлинности) работников по значениям паролей.

При использовании паролей в ИСПДн выполняются следующие правила:

пароли обязаны меняться с установленной периодичностью в соответствии с требованиями организационно-распорядительного документа Росреестра, но не реже 1 раза в 3 месяца;

пароль имеет не менее 6 символов и содержит буквенные и цифровые символы;

обязательно применение индивидуальных паролей;

применение групповых паролей не допускается;

при создании пароля работника администратором ИБ предусматривается его автоматическое изменение самим работником после первого же его входа в ИСПДн;

для предотвращения повторного использования паролей ведется их учет (запись) за предыдущие 12 месяцев;

при вводе пароль не выдается на монитор компьютера в явном виде;

пароли могут храниться только на АРМ владельца пароля в зашифрованном виде с использованием стойких алгоритмов шифрования. Файл с паролями хранится отдельно от системных приложений;

рекомендуется использование возможностей ОС по контролю за периодичностью смены (не реже 1 раза в 3 месяца), составом символов и недопущением повторений паролей.

Контроль за действиями работников ИСПДн при работе с паролями возлагается на администратора ИБ в пределах своих полномочий.

При использовании паролей запрещается:

использовать в качестве пароля свои имя, фамилию, дату рождения, имена родственников, кличку собаки и т.п., равно как и обычные слова;

использовать в качестве пароля русское слово, введенное при нахождении клавиатуры в латинском регистре;

использовать в качестве пароля легко вычисляемые сочетания символов (имена, фамилии, наименования АРМ), а также общепринятые сокращения;

использовать в качестве пароля «пустой» пароль, имя входа в систему, а также выбирать пароли, которые уже использовались ранее;

записывать пароль на неучтенных бумажных носителях информации;

разглашать кому бы то ни было свои персональные пароли доступа.

Владельцы паролей ознакамливаются с перечисленными требованиями организации парольной защиты в ЦА/ТО Росреестра с проставлением собственноручно подписи в листе ознакомления с соответствующей документированной процедурой и предупреждаются об ответственности за использование паролей, не соответствующих установленным требованиям, а также за разглашение парольной информации.

5.5. Действия работников ЦА/ТО Росреестра при возникновении инцидентов ИБ

Настоящий пункт регламентирует взаимодействие подразделений ЦА/ТО Росреестра при возникновении нештатных ситуаций.

При возникновении инцидентов ИБ работник, обнаруживший инцидент, немедленно ставит в известность своего непосредственного руководителя и уполномоченного работника подразделения ИБ и в установленном порядке оформляет отчет (служебную записку).

Руководитель подразделения ИБ проводит предварительный анализ ситуации.

По факту возникновения инцидента ИБ в соответствии с ГОСТ Р ИСО/МЭК ТО 18044-2007 «Информационная технология. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности» от 1 июля 2008 г. по решению руководителя подразделения ИБ группой реагирования на инциденты ИБ проводится выяснение причин его возникновения. Результаты расследования фиксируются в акте. К акту прилагаются (при наличии) поясняющие материалы (копии экрана, распечатка журнала событий и др.) и при выявлении виновных результаты расследования докладываются руководителю Росреестра/ТО Росреестра.

Рекомендуемый состав группы реагирования на инциденты ИБ и общие обязанности членов группы реагирования на инциденты ИБ:

работники подразделения ИТ — обеспечение координационной, административной, экспертной и технологической деятельности;

работники подразделения ИБ — обеспечение координационной, административной, экспертной деятельности (в рамках своей компетенции);

работники правового обеспечения — обеспечение экспертной и нормативно-правовой деятельности;

начальники профильных структурных подразделений — поддержка обеспечения административной, экспертной и технологической деятельности;

внешние эксперты (при необходимости) — обеспечение консультативной, экспертной и технологической деятельности.

Инструкция о действиях лиц, допущенных к информации, содержащей персональные данные, в случае нештатных ситуаций приведена в приложении № 7 к Положению.

5.6. Требования к резервированию ИР

Резервное копирование защищаемой информации применяется для оперативного восстановления данных в случае их утери или по иным причинам, установленным нормативными правовыми актами Росреестра.

В состав ИР, подлежащих резервному копированию, в обязательном порядке включаются ИР, являющиеся объектом защиты в ЦА/ТО Росреестра.

При организации резервирования ИР обеспечивается выполнение следующих требований:

резервные копии ИР и инструкции по их восстановлению хранятся в специально выделенном месте, территориально отдаленном от места хранения основной копии информации;

к резервным копиям применяется комплекс физических и организационных мер защиты;

носители, на которые осуществляется резервное копирование, регулярно проверяются на отсутствие сбоев;

применяемая система резервного копирования обеспечивает производительность, достаточную для сохранения информации, в установленные сроки и с заданной периодичностью;

предусмотрены регулярная проверка процедур восстановления и практический тренинг работников по восстановлению данных.

Резервное копирование информации осуществляется работниками подразделения ИТ в пределах своих полномочий в соответствии с графиком резервного копирования. Допускается осуществление резервного копирования в автоматизированном режиме.

График резервного копирования составляется для каждого вида информации, подлежащей периодическому резервному копированию, утверждается руководителем подразделения ИТ и согласовывается с руководителем подразделения ИБ. Периодичность проведения резервного копирования устанавливается графиком резервного копирования не реже одного раза в неделю и может осуществляться ежедневно (в автоматизированном режиме).

Резервное копирование информации производится в соответствии с документацией на используемое ПО.

Программно-аппаратные средства, обеспечивающие проведение резервного копирования, и носители, на которые осуществляется резервное копирование, не реже одного раза в месяц проверяются на отсутствие сбоев работниками подразделения ИТ в соответствии с документацией на программно-аппаратные средства с отметкой в Журнале проверки работоспособности системы резервного копирования.

Резервные копии данных хранятся вместе с инструкцией по восстановлению данных из резервных копий в отдельном помещении от используемых данных.

Восстановление данных из резервной копии производится работниками подразделения ИТ на основании заявки начальника структурного подразделения — обладателя ИР, согласованной с руководителем подразделения ИБ. Заявка может предоставляться в электронной форме.

Восстановление данных из резервных копий осуществляется в соответствии с документацией на используемое ПО в максимально сжатые сроки, ограниченные техническими возможностями системы.

Инструкция по организации резервного копирования приведена в приложении № 8 к Положению.

5.7. Правила защиты ИСПДн от вредоносных программ

При использовании в ИСПДн средств антивирусной защиты и защиты от вредоносных программ выполняются следующие организационные меры:

использование съемных носителей ПДн работника ИСПДн на других компьютерах только с механической защитой от записи;

запрет на использование посторонних съемных носителей ПДн при работе в ИСПДн;

запрет на передачу съемных носителей ПДн посторонним лицам;

запрет на запуск программ с внешних съемных носителей информации при работе в ИСПДн;

запрет на несанкционированное использование отчуждаемых носителей информации (оптических дисков, флэш-карт и т.п.);

использование в ИСПДн только дистрибутивов программных продуктов, приобретенных у официальных дилеров фирм — разработчиков этих продуктов;

обязательная проверка всех программных продуктов;

проверка всех программных файлов и файлов документов, полученных по электронной почте, специальными антивирусными средствами;

систематическая проверка содержимого дисков файловых хранилищ обновленными версиями антивирусных программ;

контроль и обновление списка разрешенных ссылок на веб-ресурсы сети Интернет.

Ответственность за эксплуатацию средств антивирусной защиты и защиты от вредоносных программ возлагается:

на работников подразделения ИТ в части наличия антивирусного ПО на клиентских рабочих станциях и использования данного ПО пользователями;

на работников подразделения ИБ в части централизованного управления СЗИ.

Инструкция по проведению антивирусного контроля приведена в приложении № 9 к Положению.

5.8. Требования по обеспечению безопасности при работе в сети Интернет

Доступ в сеть Интернет и другие глобальные сети работникам предоставляется исключительно в целях повышения эффективности выполнения ими своих служебных обязанностей.

Организация доступа работников ИСПДн к сети Интернет осуществляется работником подразделения ИТ на основании мотивированного запроса руководителя подразделения ЦА/ТО Росреестра, согласованного с подразделением ИБ. Установка дополнительного оборудования и ПО для осуществления доступа работников ИСПДн осуществляется в порядке, установленном Положением, для внесения изменений в ПО и аппаратные средства ЦА/ТО Росреестра. Запрещается использование подключений к сети Интернет и каналов связи, использование которых не согласовано с подразделением ИТ. Подразделениям по защите государственной тайны доступ к ресурсам сети Интернет запрещен.

Работники ИСПДн могут использовать сети Интернет в качестве:

транспортной среды при обмене информацией между несколькими территориально разнесенными элементами ИСПДн или другими ИС (транспортная задача);

средства предоставления открытой общедоступной информации, содержащейся в ИР Росреестра, внешнему абоненту (портальная задача);

средства получения необходимой работникам ИСПДн информации, содержащейся в ИР сети Интернет или других корпоративных сетей (информационная задача).

Подразделение ИТ может ограничивать доступ к ресурсам сети Интернет, содержание которых не имеет отношения к исполнению служебных обязанностей, а также к ресурсам, содержание и направленность которых запрещены международным и российским законодательством, включая материалы, носящие вредоносную, угрожающую, клеветническую, непристойную информацию, а также информацию, оскорбляющую честь и достоинство других лиц, материалы, способствующие разжиганию национальной розни, подстрекающие к насилию, призывающие к совершению противоправной деятельности, в том числе разъясняющие порядок применения взрывчатых веществ и иного оружия, и т.д.

При работе с ресурсами сети Интернет запрещается:

разглашение конфиденциальной информации, ставшей известной работнику по служебной необходимости либо иным путем;

распространение защищаемых авторскими правами материалов, затрагивающих какой-либо патент, торговую марку, коммерческую тайну, копирайт или прочие права собственности и/или авторские и смежные с ним права третьей стороны;

публикация, загрузка и распространение материалов, содержащих вирусы или другие компьютерные коды, файлы или программы, предназначенные для нарушения, уничтожения либо ограничения функциональности любого компьютерного или телекоммуникационного оборудования или программ, для осуществления НСД, а также серийные номера к коммерческим программным продуктам и программы для их генерации, логины, пароли и прочие средства для получения НСД к платным ресурсам в сети Интернет, а также размещение ссылок на вышеуказанную информацию;

загрузка и запуск исполняемых либо иных файлов без предварительной проверки на наличие вирусов установленным антивирусным пакетом;

использование анонимных прокси-серверов;

доступ к ресурсам сети Интернет, содержащим развлекательную (в том числе музыкальные, видео, графические и другие файлы, не связанные с производственной деятельностью), эротическую или порнографическую информацию.

Вся информация о ресурсах, посещаемых работниками, должна протоколироваться.

Уполномоченный работник подразделения ИБ обязан проводить анализ использования ресурсов сети Интернет и в случае необходимости представлять отчет об использовании интернет-ресурсов работниками руководителю подразделения ИБ.

В случае обнаружения значительных отклонений в параметрах работы средств обеспечения доступа к ресурсам сети Интернет от среднестатистических значений об этом немедленно сообщается руководителю подразделения ИБ для принятия последующих решений.

Руководители подразделений вправе запросить от подразделения ИБ отчет об использовании ресурсов сети Интернет работниками своего подразделения.

При нарушении работником правил работы в сети Интернет либо возникновении нештатных ситуаций доступ к ресурсам сети Интернет блокируется уполномоченным работником подразделения ИТ с последующим уведомлением руководителя подразделения ИТ.

Электронная почта в ЦА/ТО Росреестра является средством коммуникации, распределения информации и управления процессами в производственных целях, в том числе повышения эффективности труда работников и экономии ее ресурсов. Корпоративная (внутренняя) электронная почта ЦА/ТО Росреестра предназначена исключительно для использования в служебных целях. Использование личной почты в служебных целях запрещено.

Организацией и обеспечением порядка работы электронной почты в ЦА/ТО Росреестра занимается подразделение ИТ. Ответственность за использование электронной почты возлагается на работников подразделения ИТ в рамках их должностных обязанностей.

При работе с корпоративной электронной почтой Росреестра работник учитывает следующие принципиальные положения:

электронная почта не является средством гарантированной доставки отправленного сообщения до адресата;

внутренняя электронная почта, организованная с применением средств криптографической защиты, является средством передачи информации, обеспечивающим конфиденциальность передаваемой информации. Передача информации ограниченного доступа осуществляется только в зашифрованном виде.

5.9. Правила использования ПО и аппаратных средств ИСПДн

Данный пункт Положения регламентирует взаимодействие подразделений ЦА/ТО Росреестра по обеспечению безопасности информации при проведении модификаций ПО, технического обслуживания и ремонта СВТ. На АРМ и сервера ИС без дополнительного согласования устанавливается ПО, необходимое для оказания государственных услуг заявителю, в частности ПК ЕТРП, ПК ПВД и другое.

5.9.1. Права на внесение изменений в ПО и аппаратные средства ИС

Все изменения конфигурации ТС и программных средств АРМ и серверов ИС, обрабатывающих ПДн, производятся только на основании заявок начальников структурных подразделений, согласованных с подразделением ИБ и подразделением ИТ.

Право внесения изменений в конфигурацию программно-аппаратных средств информационных узлов (АРМ, серверов) и телекоммуникационного оборудования, обрабатывающего ПДн, предоставляется:

в отношении системных и прикладных программных средств, а также в отношении аппаратных средств — уполномоченным работникам подразделения ИТ;

в отношении программно-аппаратных СрЗИ — администратору ИБ и уполномоченным работникам подразделения ИБ;

в отношении программно-аппаратных средств телекоммуникаций — уполномоченным работникам подразделения ИТ.

Изменение конфигурации аппаратно-программных средств защищенных АРМ и серверов кем-либо, кроме уполномоченных работников перечисленных подразделений, запрещено.

Право внесения изменений в конфигурацию программно-аппаратных средств АРМ и серверов локальной вычислительной сети, не обрабатывающих ПДн, предоставляется работникам подразделения ИТ (на основании служебных записок начальников структурных подразделений на имя руководителя подразделения ИТ).

5.9.2. Порядок внесения изменений в ПО и аппаратные средства ИСПДн

Для внесения изменений в конфигурацию аппаратных и программных средств защищенных серверов и АРМ ИСПДн начальником структурного подразделения, в котором вносятся изменения, подается заявка на имя руководителя подразделения ИТ, которая им рассматривается и утверждается по согласованию с руководителем подразделения ИБ.

При необходимости планового проведения изменений (обновлений версий) ПО заявка подготавливается руководителем подразделения ИТ и, после согласования с подразделением ИБ, направляется уполномоченному работнику подразделения ИТ.

В заявке могут быть указаны следующие виды необходимых изменений в составе программных и аппаратных средств АРМ и серверов подразделения:

установка в подразделении нового АРМ или сервера;

замена АРМ или сервера подразделения;

изъятие АРМ или сервера подразделения;

добавление устройства (узла, блока) в состав конкретного АРМ или сервера подразделения;

замена устройства (узла, блока) в составе конкретного АРМ или сервера подразделения;

изъятие устройства (узла, блока) из состава конкретного АРМ или сервера;

установка (развертывание) на конкретном АРМ или сервере программных средств, необходимых для решения определенной задачи (добавление возможности решения данной задачи на данном АРМ или сервере);

обновление (замена) на конкретном АРМ или сервере программных средств, необходимых для решения определенной задачи (обновление версий, используемых для решения определенной задачи программ);

удаление с конкретного АРМ или сервера программных средств, использовавшихся для решения определенной задачи (исключение возможности решения данной задачи на данной рабочей станции).

В заявке указываются условные наименования развернутых АРМ и серверов в соответствии с их паспортами. Программные средства указываются в соответствии с перечнем программных средств фонда алгоритмов и программ, которые используются в ИСПДн.

Подразделение ИБ при согласовании заявки учитывает возможность совмещения решения новых задач (обработки информации) на указанных в заявке АРМ или серверах в соответствии с требованиями по безопасности.

Руководитель подразделения ИТ подписывает заявку после согласования с подразделением ИБ и получения (в устной форме) заключения о технической возможности осуществления затребованных изменений от уполномоченных работников подразделения ИТ.

После этого заявка передается уполномоченному работнику подразделения ИТ для непосредственного исполнения работ по внесению изменений в конфигурацию АРМ или серверов ИСПДн.

Начальник структурного подразделения, в котором установлены аппаратно-программные средства, подлежащие модернизации, допускает уполномоченных исполнителей подразделения ИТ и подразделения ИБ (администратора ИБ) к внесению изменений в состав аппаратных средств и ПО только по предъявлении последними подписанного задания (в заявке) на осуществление данных изменений.

Установка, изменение (обновление) и удаление системных и прикладных программных средств производится уполномоченными работниками подразделения ИТ.

Если АРМ или сервер обрабатывают ПДн, то установка, снятие и внесение необходимых изменений в настройки СрЗИ от НСД и средств контроля целостности файлов на АРМ осуществляются уполномоченным работником подразделения ИТ под контролем администратора ИБ. Работы производятся в присутствии работника данного АРМ.

Подготовка модификаций ПО защищенных серверов и АРМ, тестирование, стендовые испытания и передача исходных текстов, документации и дистрибутивных носителей программ в фонд алгоритмов и программ и другие необходимые действия производятся уполномоченным работником подразделения ИТ.

Установка или обновление подсистем ИСПДн проводится в строгом соответствии с технологией проведения модификаций программных комплексов данных подсистем.

Модификация ПО на сервере осуществляется уполномоченными работниками подразделения ИТ по согласованию с администратором ИБ.

После установки модифицированных модулей на сервер администратор ИБ в присутствии уполномоченных работников подразделения ИТ устанавливает защиту целостности модулей на сервере (производит пересчет контрольных сумм эталонов модулей на файл-сервере с помощью специальных программных средств, прошедших оценку соответствия).

После проведения модификации ПО на АРМ уполномоченный работник подразделения ИТ проводит антивирусный контроль.

Установка и обновление общего ПО (системного, тестового) на АРМ и серверы производится с оригинальных лицензионных дистрибутивных носителей (компакт-дисков и др.), полученных в установленном порядке, а прикладного ПО — с эталонных копий программных средств, полученных из фонда алгоритмов и программ.

Все добавляемые программные и аппаратные компоненты предварительно проверяются на работоспособность и наличие уязвимостей, контроль наличия проверок работоспособности и анализ исходного кода ПО осуществляет подразделение ИБ.

После установки (обновления) ПО уполномоченный работник подразделения ИТ (при использовании специализированных СрЗИ от НСД — администратор ИБ) организует настройку средств управления доступом к данному программному средству и проверяет работоспособность ПО и правильность настройки СрЗИ.

После завершения работ по внесению изменений в состав аппаратных средств АРМ, обрабатывающей ПДн, ее системный блок закрывается уполномоченным работником подразделения ИТ на ключ (при наличии штатных механических замков) и опечатывается (пломбируется, защищается специальной наклейкой) с возможностью постоянного визуального контроля за ее целостностью уполномоченным работником подразделения ИБ.

Уполномоченные исполнители работ производят соответствующую запись в Журнале фактов вскрытия и опечатывания рабочих станций (серверов), выполнения профилактических работ, установки и модификации аппаратных и программных средств рабочих станций (серверов) структурного подразделения.

Уполномоченный работник подразделения ИБ (администратор ИБ) организует периодический контроль за опечатыванием узлов и блоков ИСПДн.

На обратной стороне заявки делается отметка о выполнении, и исполненная заявка передается в подразделение ИТ для хранения вместе с паспортом данного АРМ (сервера).

При изъятии АРМ (сервера), обрабатывающей ПДн, из состава АРМ (серверов) структурного подразделения ее передача на склад, в ремонт или в другое структурное подразделение для решения иных задач осуществляется только после того, как уполномоченный работник подразделения ИБ снимет с данного АРМ (сервера) СрЗИ и предпримет необходимые меры для затирания защищаемой информации, которая хранилась на дисках компьютера. Факт уничтожения данных, находившихся на диске компьютера, оформляется актом о затирании остаточной информации, хранившейся на диске компьютера.

Оригиналы заявок (документов), на основании которых производились изменения в составе ТС или программных средств АРМ с отметками о внесении изменений в состав программно-аппаратных средств, хранятся вместе с оригиналами паспортов АРМ (серверов) и Журналом фактов вскрытия и опечатывания рабочих станций (серверов), выполнения профилактических работ, установки и модификации аппаратных и программных средств АРМ (серверов) в подразделении ИТ. Копии заявок и актов хранятся в подразделении ИБ. Они используются:

для восстановления конфигурации АРМ (серверов) после аварий;

для контроля правомерности установки на конкретном АРМ (сервере) средств для решения соответствующих задач при разборе конфликтных ситуаций;

для проверки правильности установки и настройки СрЗИ АРМ (серверов).

5.10. Требования по обеспечению безопасности при применении СКЗИ

Криптографическая защита в ИСПДн создается на основе сертифицированных СКЗИ, встраивание которых в ИСПДн происходит с выполнением интерфейсных и криптографических протоколов, определенных технической документацией на СКЗИ.

Для организации защищенного информационного взаимодействия удаленно, в центре управления сетью, генерируются и устанавливаются криптографические ключи.

В ЦА/ТО Росреестра выделяются должностные лица, ответственные за разработку и практическое осуществление мероприятий по обеспечению функционирования и безопасности СКЗИ. Вопросы обеспечения функционирования и безопасности СКЗИ отражаются в специально разработанных документах в соответствии с требованиями регуляторов в области ЗИ, утвержденных руководителем Росреестра/ТО Росреестра, с учетом эксплуатационной документации на СКЗИ.

К работе с СКЗИ решением руководства Росреестра/ТО Росреестра допускаются работники, обладающие знаниями о правилах его эксплуатации, правилах пользования, об эксплуатационной документации и прошедшие обучение работе с СКЗИ.

Ответственное должностное лицо, уполномоченное на руководство заявленными видами деятельности со средствами СКЗИ, имеет представление о возможных угрозах информации при ее обработке, передаче, хранении, методах и СрЗИ.

Размещение, специальное оборудование, охрана и режим в помещениях, в которых размещены СКЗИ (далее — Помещения), обеспечивают безопасность информации, СКЗИ и криптоключей, сводят к минимуму возможность неконтролируемого доступа к СКЗИ, просмотра процедур работы с СКЗИ посторонними лицами.

Порядок допуска в Помещения определяется на основании Инструкции об организации пропускного и внутриобъектового режимов на объектах ЦА/ТО Росреестра.

При расположении Помещений на первых и последних этажах зданий, а также при наличии рядом с окнами балконов, пожарных лестниц и т.п. окна помещений оборудуются металлическими решетками, ставнями, охранной сигнализацией или другими средствами, препятствующими НСД в Помещения. Эти Помещения имеют прочные входные двери, на которые устанавливаются надежные замки.

Для хранения криптоключей, нормативной и эксплуатационной документации и инсталлирующих носителей криптосредств Помещения обеспечиваются металлическими шкафами (хранилищами, сейфами), оборудованными внутренними замками с двумя экземплярами ключей. Дубликаты ключей от хранилищ и входных дверей хранятся в сейфе ответственного лица, назначаемого руководством Росреестра/ТО Росреестра. Порядок охраны Помещений должен предусматривать периодический контроль технического состояния средств охранной и пожарной сигнализации и соблюдения режима охраны.

Размещение и установка СКЗИ осуществляется в соответствии с требованиями документации на СКЗИ. Системные блоки АРМ с СКЗИ оборудуются средствами контроля их вскрытия.

6. Порядок организации внутреннего обучения работников правилам и мерам защиты ПДн

Решение основных вопросов обеспечения защиты ПДн предусматривает соответствующую подготовку работников, что позволяет организовать обработку информации в соответствии с требованиями законодательства и нормативно-методических документов в области обеспечения безопасности ПДн при их обработке в ИСПДн и реализовать установленный комплекс организационных и технических мер по защите ПДн.

Систему внутреннего обучения работников в области защиты ПДн составляет:

проведение инструктажа работников ИСПДн;

самостоятельное изучение работниками необходимых для работы документов, средств и продуктов;

проведение под руководством подразделения ИБ ЦА сборов подразделений ИБ ТО и подведомственных организации;

проведение курсов повышения квалификации государственных гражданских служащих Росреестра в области защиты ПДн.

В результате прохождения обучения работники получат необходимые знания и навыки в отношении:

правил использования СрЗИ;

содержания основных нормативных правовых актов, руководящих и нормативно-методических документов в области обеспечения безопасности ПДн при их обработке в ИСПДн;

основных мероприятий по организации и техническому обеспечению безопасности ПДн при их обработке в ИСПДн;

планирования, организации и контроля выполнения мероприятий по обеспечению безопасности ПДн при их обработке в ИСПДн.

6.1. Проведение инструктажа работников ИСПДн

Работники ИСПДн, допущенные к работе с ПДн, обязаны пройти инструктаж по вопросам обеспечения безопасности ПДн с целью подтверждения своих знаний и уяснения своих обязанностей по поддержанию установленного режима защиты ПДн.

Инструктаж представляет собой ознакомление работников, допущенных к работе в ИСПДн, с Положением и действующих нормативных документов по обеспечению безопасности информации при ее обработке в ИСПДн, в том числе и с Инструкцией работника информационной системы персональных данных (приложение № 10 к Положению).

Ознакомление с положениями нормативной документации работник подтверждает своей личной подписью в Журнале инструктажа, что свидетельствует о прохождении инструктажа.

Контроль проведения инструктажа и периодическая проверка знания работниками ИСПДн положений нормативной документации по вопросам обеспечения безопасности ПДн возлагается на администратора ИБ совместно с начальниками структурных подразделений ЦА/ТО Росреестра, использующих ИСПДн. Ответственность за непосредственное проведение инструктажа возлагается на начальников структурных подразделений ЦА/ТО Росреестра.

Работники, не прошедшие инструктаж, к работе в ИСПДн не допускаются. Инструктаж проводится перед началом работы в ИСПДн вновь принятых на государственную гражданскую службу работников ЦА/ТО Росреестра, а также не реже одного раза в год для всех работников ИСПДн.

Проверка знаний работниками ИСПДн положений нормативной документации по вопросам обеспечения безопасности ПДн проводится администратором ИБ не реже одного раза в год в ходе периодического контроля соблюдения режима безопасности информации.

6.2. Самостоятельное изучение

При данном виде подготовки работниками, осуществляющими обработку ПДн, а также работниками подразделения ИТ и подразделения ИБ самостоятельно изучаются (в части касающейся):

руководящие и нормативно-методические документы в области обеспечения безопасности ПДн;

правила (инструкции) по использованию программных и аппаратных СрЗИ;

внутренние положения (локальные акты) Росреестра, устанавливающие порядок обращения с ПДн и их защиты.

Время для самостоятельного изучения определяется начальниками соответствующих структурных подразделений ЦА/ТО Росреестра.

7. Ответственность должностных лиц за обеспечение безопасности ПДн, своевременность и качество формирования требований по ЗИ, за качество и научно-технический уровень разработки СЗПДн

Ответственность за обеспечение безопасности ПДн распределяется между должностными лицами ЦА/ТО Росреестра на основании Положения.

Ответственность за организацию режима безопасности ПДн возлагается на руководителя Росреестра/ТО Росреестра и начальников структурных подразделений ЦА/ТО Росреестра.

Ответственность за своевременность и качество формирования требований по защите ПДн, за качество и научно-технический уровень разработки СЗПДн, а также контроль исполнения правил и требований, направленных на обеспечение безопасности ПДн, возлагается на работников подразделения ИБ.

Ответственность за выполнение обязанностей по обеспечению режима безопасности ПДн, возложенных на структурные подразделения ЦА/ТО Росреестра, эксплуатирующие ИСПДн, несут начальники соответствующих структурных подразделений.

Средства информатизации, входящие в состав ИСПДн, закрепляются за ответственными должностными лицами (владельцами). Владельцем средств информатизации может быть начальник» структурного подразделения или специально назначаемое должностное лицо ЦА/ТО Росреестра. На владельца средств информатизации возлагается ответственность за выполнение установленных мероприятий по защите закрепленных средств информатизации и обрабатываемых ими ПДн.

Руководители и работники ЦА/ТО Росреестра, виновные в нарушении требований действующего законодательства Российской Федерации в сфере защиты информации, несут предусмотренную законодательством Российской Федерации ответственность.

8. Порядок контроля за обеспечением уровня защищенности ПДн и оценки соответствия ИСПДн

Контроль обеспечения требуемого уровня защищенности ПДн заключается в проверке выполнения требований нормативных документов по защите ПДн, а также в оценке обоснованности и эффективности принятых мер. Мероприятия по контролю защищенности ПДн могут проводиться как уполномоченными работниками подразделения ИБ, так и на договорной основе сторонней организацией, имеющей лицензию на деятельность по технической защите конфиденциальной информации. Мероприятия по контролю защищенности ПДн и оценке соответствия ИСПДн включают:

внутренний контроль режима безопасности ПДн (оперативный и периодический);

обследование защищенности ПДн с привлечением сторонней организации;

оценку соответствия ИСПДн требованиям безопасности ПДн.

8.1. Внутренний контроль режима безопасности ПДн и оценки соответствия ИСПДн требованиям безопасности ПДн

Внутренний оперативный контроль соблюдения режима безопасности ПДн проводится специалистом по ИБ (администратором ИБ, администратором СрЗИ) ежедневно в режиме реального времени. Внутренний контроль заключается в анализе защищенности ПДн посредством используемых в составе ИСПДн программных и программно-аппаратных средств (систем) анализа защищенности.

В ходе проведения контроля соблюдения режима безопасности ПДн специалист по ИБ:

осуществляет анализ лог-файлов, производимых средствами защиты и другими элементами ИСПДн (ОС, прикладные программы);

просматривает оповещения средств защиты ИСПДн;

принимает меры по результатам анализа полученных оповещений и лог-файлов.

Внутренний периодический контроль соблюдения режима безопасности ПДн (контрольные обследования защищенности ИСПДн) организуется подразделением ИБ по планам, ежегодно утверждаемым руководителем Росреестра/ТО Росреестра). Форма Плана контроля выполнения требований по обеспечению безопасности персональных данных приведена в приложении № 11 к Положению. По решению руководителя Росреестра/ТО Росреестра внутренний контроль может проводиться во внеочередном порядке в случаях выявления нарушений безопасности ПДн с целью определения причин произошедших нарушений и разработки мер по их устранению.

Внутренний периодический контроль заключается в оценке выполнения требований нормативных документов по обеспечению безопасности ПДн, обрабатываемых в ИСПДн.

В ходе проведения внутреннего периодического контроля проверяются следующие вопросы:

соответствие состава и структуры программно-технических средств, обрабатывающих защищаемую информацию (ПДн), документированному составу и структуре средств, разрешенных для обработки такой информации;

знание персоналом руководящих документов, технологических инструкций, предписаний, актов, заключений и уровень овладения персоналом технологией безопасной обработки информации, описанной в этих инструкциях;

проверка наличия документов, подтверждающих возможность применения технических и программных СВТ для обработки ПДн и применения СрЗИ (сертификатов соответствия и других документов);

8.2. Обследование защищенности ПДн внешней специализированной организацией

Обследование защищенности ПДн внешней специализированной организацией проводится при создании ИСПДн (предпроектное обследование) или при доработке (модернизации) СЗПДн в случае, если:

изменился состав или структура ИСПДн или технические особенности его построения (состав или структура ПО, ТС обработки ПДн, топологии и т.п.);

изменился состав угроз безопасности ПДн;

изменился требуемый уровень защищенности ПДн.

Обследование защищенности ПДн внешней специализированной организацией проводится по решению руководителя Росреестра. Привлекаемая для проведения обследования внешняя специализированная организация обязана иметь действующие лицензии на необходимый вид деятельности.

8.3. Порядок оценки соответствия ИСПДн требованиям безопасности ПДн

Оценка соответствия ИСПДн требованиям безопасности ПДн проводится в форме проверки готовности СЗИ к использованию (аттестации по требованиям безопасности информации).

Проверка готовности СЗИ к использованию осуществляется в ходе приемо-сдаточных испытаний СЗПДн с составлением протоколов проверки и заключений о возможности их эксплуатации.

В качестве организации, проводящей проверку готовности СЗИ к использованию или аттестацию ИСПДн, привлекается организация, имеющая необходимые лицензии для осуществления данных работ.

Проверка готовности СЗИ к использованию проводится в соответствии с разрабатываемой программой и методикой испытаний соответствующих СЗИ, определяющих порядок проверки выполнения СЗИ заявленных функций защиты.

Аттестация по требованиям безопасности информации, проводится в соответствии с действующими нормативными и методическими документами ФСТЭК России.

Журнал начат "__" _________ 20__ г.  Журнал завершен "__" _________ 20__ г.

___________________________________  ______________________________________

___________________________________  ______________________________________
        (должность и Ф.И.О.                   (должность и Ф.И.О.
       ответственного лица)                   ответственного лица)

На ___ листах

Приложение N 2

службе государственной регистрации, кадастра и картографии

                                              УТВЕРЖДАЮ
                               Руководитель Росреестра/территориального
                                          органа Росреестра

                                                 ______________________
                                                       (подпись)
                                                 "__" _________ 201_ г.

СПИСОК лиц, допущенных к персональным данным, обрабатываемым

  в _____________________________________________________________
      (наименование информационной системы персональных данных)

_____________  _______________________

  (подпись)     (расшифровка подписи)

Обладатель информационного ресурса

_____________  _______________________

  (подпись)     (расшифровка подписи)

Приложение № 3

(подпись) (расшифровка подписи) «__» __________ 201_ г.

Приложение № 4 к Положению по организации и проведению работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии

                                              УТВЕРЖДАЮ
                               Руководитель Росреестра/территориального
                                          органа Росреестра

                                                 ______________________
                                                       (подпись)
                                                 "__" _________ 201_ г.

ИНСТРУКЦИЯ АДМИНИСТРАТОРА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ФЕДЕРАЛЬНОЙ СЛУЖБЫ ГОСУДАРСТВЕННОЙ РЕГИСТРАЦИИ, КАДАСТРА И КАРТОГРАФИИ (проект)

1. Общие положения

Инструкция администратора информационной безопасности Федеральной службы государственной регистрации, кадастра и картографии (Инструкция) определяет основные обязанности, права и ответственность администратора информационной безопасности (ИБ) Федеральной службы государственной регистрации, кадастра и картографии (Росреестр).

Администратор ИБ назначается приказом Федеральной службы государственной регистрации, кадастра и картографии и функционально подчиняется ответственному за обеспечение безопасности персональных данных (ПДн).

Администратор ИБ руководствуется требованиями нормативных документов Российской Федерации, ведомственных организационных распорядительных документов, нормативных актов Росреестра, Инструкцией, а также другими распорядительными документами в части, его касающейся.

Администратор ИБ в пределах своих функциональных обязанностей обеспечивает работоспособность системы защиты информации (безопасность информации, обрабатываемой, передаваемой и хранимой при помощи средств вычислительной техники (СВТ) в ИС Росреестра.

Ответственным за внесение изменений в Инструкцию является ответственный за обеспечение безопасности ПДн в Росреестре.

Контроль за выполнением требований Инструкции осуществляет ответственный за обеспечение безопасности ПДн в Росреестре.

2. Обязанности администратора ИБ

Администратор ИБ обязан:

знать перечень установленных в подразделении СВТ и перечень задач, решаемых с их использованием;

осуществлять контроль изменений (в том числе и несанкционированных) аппаратного обеспечения автоматизированных рабочих мест (АРМ) и серверов;

организовывать установку и настройку средства защиты информации (ЗИ);

рассматривать целесообразность применения новых технологий для повышения эффективности функционирования ИС;

организовывать своевременное обновление средств ЗИ по мере появления таких обновлений;

обеспечивать контроль за выполнением пользователями требований «Инструкции пользователя ИС»;

организовывать контроль работы пользователей ИС, выявление попыток несанкционированного доступа (НСД) к защищаемым информационным ресурсам и техническим средствам ИС. При выявлении фактов НСД — фиксировать данные в «Журнале учета нештатных ситуаций»;

осуществлять учет всех защищаемых носителей информации с помощью их любой маркировки и с занесением учетных данных в «Журнале учета носителей конфиденциальной информации, в том числе персональных данных». Учтенные носители информации выдавать пользователям под роспись в «Журнале учета носителей конфиденциальной информации, в том числе персональных данных». Использование неучтенных носителей, равно как их выдача/прием без записи в соответствующем журнале — категорически запрещается;

организовывать текущий и периодический контроль работы систем и средств ЗИ;

организовывать текущий контроль технологического процесса обработки защищаемой информации;

организовывать периодическое тестирование всех функций средств ЗИ с помощью тестовых программ, имитирующих попытки НСД, а также при изменении программной среды и персонала ИС;

участвовать в проведении служебных расследований фактов нарушения или угрозы нарушения безопасности защищаемой информации;

участвовать в проведении работ по восстановлению работоспособности систем и средств ЗИ;

вести «Журнал учета нештатных ситуаций», учитывать факты вскрытия и опечатывания АРМ, выполнения профилактических работ, установки и модификации аппаратных и программных средств АРМ;

проводить проверку регистраций событий безопасности;

проводить обучение персонала и пользователей АРМ правилам работы с СВТ и средствами ЗИ с отметкой в «Журнале учета проведения обучения (инструктажей) по вопросам защиты информации Федеральной службы государственной регистрации, кадастра и картографии» по следующим вопросам:

• обеспечение антивирусной защиты при работе в ИС;
• порядок парольной защиты при работе в ИС;

участвовать в разработке нормативных и методических материалов, связанных с функционированием СВТ и применением средств ЗИ, выполнением мероприятий по обеспечению ЗИ;

в случае возникновения нештатных ситуаций немедленно докладывать ответственному за обеспечение безопасности ПДн;

рассматривать заявки пользователей на доступ к информационным ресурсам ИС пользователей;

осуществлять контроль технологических процессов обработки защищаемой информации;

разрабатывать предложения по изменению нормативных документов, регламентирующих процессы обработки и обеспечения безопасности ПДн;

осуществлять совместно с ответственным за обеспечение безопасности ПДн периодические проверки состояния ЗИ, в соответствии с утвержденным Планом внутренних проверок состояния ЗИ и Инструкцией по порядку проведения проверок состояния защиты ПДн;

участвовать в качестве члена комиссиях по:

• проведению классификации ИС;
• установлению уровней защищенности ПДн в ИСПДн;
• уничтожению конфиденциальной информации;
• контролю защищенности конфиденциальной информации;

вести учет всех средств ЗИ и технической документации к ним, используемых в Росреестре в «Журнале поэкземплярного учета средств защиты информации, эксплуатационной и технической документации к ним»;

оказывать помощь в разработке администратору ИСПДн и согласовывать перечень информационных ресурсов (ИР) ИС, подлежащих резервному копированию, а также осуществлять контроль выполнения резервного копирования ИР администратором ИСПДн;

осуществлять надежное хранение резервных копий;

оказывать помощь ответственному за обеспечение безопасности ПДн в других вопросах, касающихся обеспечения безопасности и обработки конфиденциальной информации Росреестра.

В случае увольнения администратор ИБ обязан передать ответственному за обеспечение безопасности ПДн, все носители защищаемой информации Росреестра, которые находились в его распоряжении в связи с выполнением им служебных обязанностей.

3. Права администратора ИБ

Администратор ИБ имеет право:

отключать любые элементы средств ЗИ при изменении конфигурации, регламентном техническом обслуживании или устранении неисправностей в установленном порядке;

в установленном порядке изменять конфигурацию элементов ИС и средств ЗИ;

требовать от сотрудников Росреестра соблюдения правил работы в ИС, приведенных в Инструкции пользователя ИС;

требовать от пользователей безусловного соблюдения установленной технологии обработки защищаемой информации и выполнения требований внутренних документов Росреестра, регламентирующих вопросы обеспечения безопасности и ЗИ;

обращаться к ответственному за обеспечение безопасности ПДн с требованием о прекращении обработки информации в случаях нарушения установленной технологии обработки защищаемой информации или нарушения функционирования систем и средств ЗИ;

вносить свои предложения по совершенствованию функционирования ИС;

инициировать проведение служебных расследований по фактам нарушения установленных требований обеспечения ИБ в ИС.

4. Ответственность администратора ИБ

Администратор ИБ несет ответственность:

за ненадлежащее исполнение или неисполнение своих должностных обязанностей, предусмотренных Инструкцией, другими инструктивными документами в соответствии с действующим законодательством, за полноту и качество проводимых им работ по обеспечению ЗИ;

за правонарушения, совершенные в процессе своей деятельности, в пределах, определенных действующим административным, уголовным и гражданским законодательством;

за разглашение сведений конфиденциального характера и другой защищаемой информации Росреестра в пределах, определенных действующим административным, уголовным и гражданским законодательством.

по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии

                                                    УТВЕРЖДАЮ
                                          Руководитель территориального
                                                органа Росреестра

                                                      _________________
                                                          (подпись)
                                                   "__" _______ 201_ г.

ПОЛОЖЕНИЕ (Инструкция) о разрешительной системе допуска к информационным ресурсам информационных систем персональных данных территориального органа Росреестра (проект)

   СОГЛАСОВАНО                                     СОГЛАСОВАНО


                              201_ г.

1. Общие положения

1.1. Положение о разрешительной системе допуска к информационным ресурсам (ИР) информационных систем персональных данных (ИСПДн) территориального органа Росреестра (далее — Положение) разработано на основании и в соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и другими руководящими документами ФСТЭК России по вопросам обеспечения безопасности персональных данных (ПДн).

1.2. Разрешительная система доступа к ИР ИСПДн территориального органа Росреестра представляет собой совокупность процедур оформления прав субъектов на доступ к ИР (объектам доступа) Росреестра и прав и обязанностей ответственных лиц, осуществляющих реализацию этих процедур.

1.3. Действие Положения распространяется на структурные подразделения территориального органа Росреестра.

1.4 Объектами доступа являются:

ИР, обрабатываемые в ИСПДн территориального органа Росреестра (в том числе содержащие ПДн), в виде баз данных, библиотек, архивов и на отдельных съемных носителях;

технологическая информация системы защиты информации (ЗИ) ИСПДн территориального органа Росреестра.

1.5 Субъектами доступа являются:

уполномоченные работники территориальных органов Росреестра (пользователи ИСПДн территориального органа Росреестра);

уполномоченные органы государственной власти и юридические лица;

физические лица — субъекты ПДн;

уполномоченные представители субъектов ПДн.

1.6. Субъекты доступа несут персональную ответственность за соблюдение ими установленного порядка обеспечения защиты ИР ИСПДн территориального органа Росреестра.

1.7 Ответственными лицами, осуществляющими реализацию процедур оформления и прав субъектов на доступ к ИР, являются:

руководитель территориального органа Росреестра;

назначенные работники информационной безопасности территориального органа Росреестра (Подразделение ИБ);

руководители управлений и отделов территориальных органов Росреестра;

администраторы ИСПДн территориального органа Росреестра (администраторы ИСПДн);

администратор ИБ территориального органа Росреестра (администратор ИБ).

2. Порядок формирования ИР ИСПДн территориального органа Росреестра

2.1. Порядок формирования и использования ИР ИСПДн территориального органа Росреестра определяется территориальным органом Росреестра, который является собственником ИР ИСПДн территориального органа Росреестра.

2.2. Подлежащие защите ИР ИСПДн территориального органа Росреестра включаются в Перечень информационных ресурсов, подлежащих защите в информационной системе персональных данных территориального органа Росреестра (приложение А).

3. Допуск к ИР ИСПДн территориального органа Росреестра

3.1. Наделение пользователей полномочиями доступа к ИР ИСПДн территориального органа Росреестра.

3.1.1. Лица, доступ которых к ПДн, обрабатываемым в ИСПДн территориального органа Росреестра, необходим для выполнения служебных (трудовых) обязанностей, допускаются к ним на основании списков, утверждаемых руководителем/заместителем руководителя территориального органа Росреестра.

Списки работников оформляются в виде отдельного документа.

3.1.2. Необходимость доступа работника к ИР ИСПДн территориального органа Росреестра определяет начальник структурного подразделения территориального органа Росреестра на основании должностных (трудовых) обязанностей работника. Допуск работников к информации, содержащей ПДн, осуществляется в объеме, необходимом для выполнения ими должностных обязанностей. Права доступа работников к защищаемой информации определяются в Матрице доступа.

3.1.3. Основанием для предоставления (изменения либо прекращения (отзыва) прав доступа работникам к ИСПДн территориального органа Росреестра является заполненная в установленном порядке письменная заявка, подписанная начальником структурного подразделения территориального органа Росреестра и согласованная с начальником соответствующего структурного подразделения — обладателя ИР, а также руководителем подразделения ИБ (уполномоченным лицом в удаленных подразделениях территориального органа Росреестра).

3.1.4. Согласованная заявка является разрешением на допуск и основанием для регистрации пользователя в сети администратором ИСПДн.

Оформленная заявка поступает к администратору ИБ, который ее визирует и направляет администратору ИСПДн, осуществляющему администрирование указанных в заявке ИСПДн территориального органа Росреестра.

После получения заявки администратор ИСПДн в соответствии с документацией на средства ЗИ производит необходимые действия по созданию (изменению, удалению) учетной записи пользователя, присвоению ему начального значения пароля и заявленных прав доступа к сетевым ресурсам ИСПДн территориального органа Росреестра, включению его в соответствующие группы пользователей и другие необходимые действия. Для всех пользователей ИСПДн территориального органа Росреестра устанавливается режим принудительного запроса смены пароля не реже одного раза в квартал.

Уникальное имя (учетная запись пользователя), под которым он регистрируется и осуществляет работу в системе, присваивается каждому пользователю ИСПДн территориального органа Росреестра для обеспечения персональной ответственности за свои действия. В случае производственной необходимости пользователю ИСПДн территориального органа Росреестра могут быть присвоены несколько уникальных имен (учетных записей). Использование несколькими работниками при работе в ИСПДн территориального органа Росреестра одного и того же имени пользователя («группового имени») запрещается.

3.1.5. При изменении должностных обязанностей работника, связанных с переводом в другое подразделение, переводом на другую должность и т.п., учетная запись пользователя на основании заявки начальника соответствующего структурного подразделения подлежит изменению (корректировке), при этом старые полномочия аннулируются.

3.1.6. При необходимости уполномоченный работник в соответствии с назначаемыми правами доступа осуществляет настройку телекоммуникационных средств ИСПДн территориального органа Росреестра в части контроля доступа пользователей.

3.1.7. Администратор ИСПДн проводит регистрацию прав доступа к ресурсам указанных в заявке рабочих станций (АРМ) с отметкой изменений в Матрице доступа и другие необходимые операции.

3.1.8. После внесения изменений в Матрицу доступа администратор ИБ производит настройку (при их наличии) специализированных средств ЗИ АРМ.

3.1.9. По результатам изменений в правах доступа администратор ИБ и администратор ИСПДн делают отметку об исполнении задания на бланке заявки.

3.1.10. Все изменения в правах доступа выполняются администраторами не позднее трех суток с момента получения заявки на внесение изменений.

3.1.11. Работнику, зарегистрированному в качестве нового пользователя системы, под роспись (подпись) доводится имя соответствующего ему пользователя и начальное значение пароля, которое он обязан сменить при первом же входе в систему (при первом подключении к ИСПДн территориального органа Росреестра).

3.1.12. Оригиналы исполненных заявок хранятся в подразделении ИБ (администратора ИБ) и могут впоследствии использоваться в следующих случаях:

для восстановления полномочий пользователей после сбоев в ИСПДн территориального органа Росреестра;

для контроля правомерности наличия у конкретного пользователя прав доступа к тем или иным ресурсам ИСПДн территориального органа Росреестра при разборе конфликтных ситуаций;

для проверки правильности настройки средств разграничения доступа к ИР ИСПДн территориального органа Росреестра.

3.1.13. Блокирование учетных записей на время отсутствия пользователей ИСПДн территориального органа Росреестра (отпуск, командировка, обучение и т.д.) осуществляется администратором ИСПДн по заявке начальника соответствующего структурного подразделения. Учетная запись пользователя ИСПДн территориального органа Росреестра может быть временно разблокирована либо изменены права доступа по заявке начальника структурного подразделения, в котором работает пользователь.

3.2 Отзыв прав доступа.

3.2.1. При увольнении должностных лиц — пользователей ИСПДн территориального органа Росреестра и/или лишения их прав доступа к ИР ИСПДн территориального органа Росреестра начальник структурного подразделения, в котором работает увольняемый работник, подает заявку на имя заместителя руководителя, ответственного за ИТ территориального органа Росреестра. Заместитель руководителя, ответственный за ИТ визирует заявку, утверждая тем самым лишение прав пользователя на доступ к ИР ИСПДн территориального органа Росреестра.

3.2.2. После визирования заявка на бумажном носителе или в электронном виде поступает к соответствующему администратору ИСПДн и администратору ИБ.

3.2.3. Администратор ИСПДн удаляет учетные записи из всех указанных в заявке списков доступа.

Администратор ИБ:

проводит смену (удаление) действующих настроек прав доступа на соответствующих средствах ЗИ в соответствии с изменившимися полномочиями;

производит необходимые отметки в Матрице доступа;

совместно с непосредственным руководителем работника анализирует целостность данных, к которым имел доступ работник.

Удаление или сохранение содержимого почтового ящика, личных локальных и сетевых папок согласовывается с начальником структурного подразделения и администратором ИБ.

Администратор ИБ вместе с администратором ИСПДн анализирует АРМ уволенного работника на наличие закладок, вирусов, после чего все данные на жестком диске работника уничтожаются и операционная система на рабочем месте переустанавливается.

По результатам изменений в правах доступа администратор ИБ и администратор ИСПДн делают отметку об исполнении задания на бланке заявки.

Все изменения в правах доступа, связанные с увольнением пользователя ИСПДн территориального органа Росреестра, выполняются администраторами не позднее трех суток с момента получения заявки на внесение изменений.

3.3 Порядок и периодичность проверки прав пользователей.

Проверка прав пользователей проводится администратором ИБ с периодичностью не реже одного раза в три месяца путем сравнения прав согласно утвержденной Матрице доступа с правами пользователей по доступу к ИР, указанным в Матрице доступа к ИР ИСПДн территориального органа Росреестра.

4. Допуск к ИР ИСПДн территориального органа Росреестра сторонних организаций

4.1. К организациям, деятельность которых не связана с выполнением функций ИСПДн территориального органа Росреестра, относятся в том числе:

правоохранительные органы;

судебные органы;

органы статистики;

органы исполнительной и законодательной власти субъектов Российской Федерации;

средства массовой информации и др.

4.2. Допуск к ИР сторонних организаций, деятельность которых не связана с исполнением функций ИСПДн территориального органа Росреестра, регламентируется законодательством Российской Федерации, приказами и распоряжениями министерств и служб, законодательно наделенных полномочиями на получение такой информации, а также Положением.

4.3. Доступ к ИР ИСПДн территориального органа Росреестра сторонних организаций осуществляется на основании письменных запросов.

В письменном запросе указывается:

основание (с приведением ссылки на нормативный правовой акт), в соответствии с которым предоставляется информация;

для каких целей необходима информация;

конкретное наименование предоставляемой информации и ее объем;

способ доступа (предоставления).

4.4. Основанием для доступа (предоставления) информации служит резолюция уполномоченного руководителя территориального органа Росреестра на соответствующем документе (запросе).

5. Допуск к ИР ИСПДн территориального органа Росреестра сторонних организаций, выполняющих работы на договорной основе

5.1 К организациям, выполняющим работы на договорной основе, могут относиться:

организации, оказывающие услуги связи от имени Росреестра на основании договора по поручению услуг связи третьему лицу;

организации, осуществляющие монтаж и настройку ИСПДн территориального органа Росреестра, сопровождение программно-прикладного обеспечения и технических средств;

организации, оказывающие услуги в области ЗИ (проведение обследований, монтаж и настройка средств ЗИ, контроль эффективности системы ЗИ, аттестация объектов информатизации и т.п.);

другие организации, оказывающие услуги по информационно-техническому обеспечению, и т.п.

5.2. Порядок допуска определяется в договоре на выполнение работ (оказание услуг) в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд». Обязательным условием договора является заключение соглашения о конфиденциальности.

5.3. Решением о допуске является подписанный в установленном порядке договор на выполнение работ или оказание услуг.

5.4 Доступ к ИР ИСПДн территориального органа Росреестра сторонних организаций осуществляется на основании:

письменных запросов;

письменных соглашений (договоров) сторон об обмене информацией.

5.5 В письменном запросе (договоре) указываются:

основание (ссылка на нормативный правовой акт, договор), в соответствии с которым предоставляется информация;

для каких целей необходима информация;

конкретное наименование предоставляемой информации и ее объем;

способ доступа (предоставления).

5.6. Основанием для доступа (предоставления) информации служит резолюция руководителя территориального органа Росреестра на соответствующем документе (запросе).

5.7. При наличии официального соглашения со сторонней организацией о допуске (предоставлении) к информации доступ к ней осуществляется в порядке, указанном в подписанном соглашении (договоре).

5.8. Запрещается передача электронных копий баз данных любым сторонним организациям, за исключением санкционированных случаев передачи электронных файлов, выгружаемых из баз данных в рамках осуществления уставной деятельности территориального органа Росреестра.

5.9. В договор на оказание услуг включается условие о неразглашении сведений, составляющих ПДн, а также иной защищаемой информации, ставшей известной в ходе выполнения работ, если для их выполнения предусмотрено использование таких сведений.

6. Контроль функционирования разрешительной системы допуска к ИР ИСПДн территориального органа Росреестра

6.1. Контроль функционирования разрешительной системы допуска к ИР территориального органа Росреестра организуется в соответствии с:

планом основных мероприятий по ЗИ на текущий год;

функциональными обязанностями должностных лиц;

приказами руководителя Росреестра/территориального органа Росреестра.

6.2. Контроль функционирования разрешительной системы допуска к ИР территориального органа Росреестра осуществляется ответственными должностными лицами территориальных органов Росреестра.

Организация контроля возлагается на руководителей подразделений ИБ, а также на начальников структурных подразделений территориального органа Росреестра, назначенных ответственными за обеспечение безопасности ПДн.

к информационным ресурсам информационных

ИНФОРМАЦИОННЫХ РЕСУРСОВ, ПОДЛЕЖАЩИХ ЗАЩИТЕ

кадастра и картографии

Журнал учета носителей информации, используемых в информационной системе персональных данных Росреестра (форма)

Журнал начат "__" ______ 20__ г.      Журнал завершен "__" ______ 20__ г.
___________________________________   _____________________________________
___________________________________   _____________________________________
        (должность и Ф.И.О.                    (должность и Ф.И.О.
       ответственного лица)                   ответственного лица)

Приложение № 7 к Положению

                                                    УТВЕРЖДАЮ

                                          Руководитель территориального
                                                органа Росреестра

                                                      _________________
                                                          (подпись)
                                                   "__" _______ 201_ г.

ИНСТРУКЦИЯ о действиях лиц, допущенных к информации территориального органа Росреестра, содержащей персональные данные, в случае нештатных ситуаций (проект)

   СОГЛАСОВАНО                                     СОГЛАСОВАНО


                              201_ г.

1. Общие положения

1.1. Инструкция о действиях лиц, допущенных к информации территориального органа Росреестра, содержащей персональные данные, в случае нештатных ситуаций (Инструкция) определяет действия работников территориального органа Росреестра в случае возникновения нештатных ситуаций в процессах обработки персональных данных (ПДн) в информационных системах персональных данных (ИСПДн) Росреестра.

1.2. Положения Инструкции обязательны для исполнения всеми должностными лицами Росреестра.

1.3. Общими требованиями ко всем работникам территориального органа Росреестра в случае возникновения нештатной ситуации являются:

работник, обнаруживший нештатную ситуацию, немедленно ставит в известность своего непосредственного руководителя и администратора информационной безопасности (ИБ);

администратор ИБ обязан проводить анализ ситуации и, в случае невозможности исправить положение, ставит в известность руководство территориального органа Росреестра (территориальных органов Росреестра). Кроме того, администратор ИБ для локализации (блокирования) проявлений угроз ИБ может привлекать пользователей ИСПДн Росреестра, а также уполномоченного работника, ответственного за сопровождение технических средств ИСПДн;

по факту возникновения нештатной ситуации и выяснению причин ее проявления проводится служебное расследование.

2. Действия пользователей ИСПДн при возникновении нештатных ситуаций

2.1. Сбой программного обеспечения

2.1.1. Администратор ИБ совместно с уполномоченным работником подразделения информационных технологий (ИТ) выясняют причину сбоя программного обеспечения (ПО). Если привести систему в работоспособное состояние своими силами (в том числе после консультаций с разработчиками ПО) не удалось, копия акта и сопроводительных материалов (а также файлов, если это необходимо) направляются разработчику ПО для устранения причин, приведших к сбою. О произошедшем инциденте администратор ИБ сообщает руководителю подразделения ИБ для принятия решения по существу.

2.2. Отключение электропитания технических средств ИСПДн

2.2.1. Администратор ИБ совместно с уполномоченным работником подразделения ИТ проводят анализ на наличие потерь и (или) разрушения данных и ПО, а также проверяют работоспособность оборудования. В случае необходимости производится восстановление ПО и данных из последней резервной копии с составлением акта. О произошедшем инциденте администратор ИБ сообщает руководителю подразделения ИБ для принятия решения по существу.

2.3. Выход из строя технических средств ИСПДн (серверов, рабочих станций)

2.3.1. Уполномоченный работник подразделения ИТ совместно с администратором ИБ выполняют мероприятия по немедленному вводу в действие резервного сервера для обеспечения непрерывной работы ИСПДн (замене рабочей станции).

2.3.2. О выходе из строя сервера (рабочей станции) уполномоченный работник подразделения ИТ, ответственный за эксплуатацию сервера (рабочей станции), сообщает руководителю подразделения ИТ.

2.3.3. При необходимости производятся работы по восстановлению ПО и данных из резервных копий с составлением акта. О произошедшем инциденте администратор ИБ сообщает руководителю подразделения ИБ для принятия решения по существу.

2.4. Потеря данных

2.4.1. При обнаружении потери данных уполномоченный работник подразделения ИТ проводит мероприятия по поиску и устранению причин потери данных (антивирусная проверка, целостность и работоспособность ПО, целостность и работоспособность оборудования).

2.4.2. При необходимости уполномоченным работником подразделения ИТ производится восстановление ПО и данных из резервных копий с составлением акта. О произошедшем инциденте уполномоченный работник подразделения ИТ сообщает администратору ИБ. Администратор ИБ сообщает руководителю подразделения ИБ для принятия решения по существу.

2.5. Обнаружение вредоносной программы в программной среде средств автоматизации ИСПДн Росреестра

2.5.1. При обнаружении вредоносной программы (ВП) производится ее локализация с целью предотвращения дальнейшего распространения. При этом зараженная рабочая станция (сервер) физически отсоединяется от локальной вычислительной сети, и уполномоченным работником подразделения ИТ и администратором ИБ проводится анализ состояния рабочей станции (сервера).

2.5.2. В результате анализа может быть предпринята попытка сохранения данных, так как после перезагрузки рабочей станции (сервера) данные могут быть потеряны. После успешной ликвидации ВП сохраненные данные подвергаются повторной проверке на наличие ВП. Кроме того, при обнаружении ВП следует руководствоваться Инструкцией по эксплуатации применяемого антивирусного ПО.

2.5.3. После ликвидации ВП проводится внеочередная проверка на всех средствах локальной вычислительной системы с применением обновленных антивирусных баз. При необходимости производится восстановление ПО и данных из резервных копий с составлением акта.

2.5.4. По факту появления ВП в локальной вычислительной сети группой реагирования на инциденты ИБ проводится служебное расследование. Решение о необходимости проведения служебного расследования принимается руководителем подразделения ИБ.

2.6. Утечка информации

2.6.1. При обнаружении утечки информации ставится в известность администратор ИБ и начальник структурного подразделения по ИБ. По факту инициируется процедура служебного расследования. Если утечка информации произошла по техническим причинам, проводится анализ защищенности процессов ИСПДн Росреестра и, если необходимо, принимаются меры по устранению каналов утечки и предотвращению их возникновения.

2.7. Взлом операционной системы средств автоматизации ИСПДн (несанкционированное получение доступа к ресурсам операционной системы)

2.7.1. При обнаружении взлома сервера ставится в известность руководитель подразделения ИТ и руководитель подразделения ИБ.

2.7.2. По возможности производится временное отключение сервера от локальной вычислительной сети Росреестра (территориального органа Росреестра) для проверки на наличие ВП. Возможен временный переход на резервный сервер.

2.7.3. Уполномоченным работником подразделения ИТ проверяется целостность исполняемых файлов в соответствии с хэш-функциями эталонного ПО. Уполномоченным работником подразделения ИТ проводится анализ состояния файлов-скриптов и журналов сервера, производится смена всех паролей, которые имели отношение к данному серверу.

2.7.4. В случае необходимости уполномоченным работником подразделения ИТ производится восстановление ПО и восстановление данных из эталонного архива и резервных копий с составлением акта.

2.7.5. По результатам анализа ситуации проверяется вероятность проникновения несанкционированных программ в локальную вычислительную сеть, после чего проводятся аналогичные работы по проверке и восстановлению ПО и данных на других информационных узлах ИСПДн.

2.8. Попытка несанкционированного доступа (НСД)

2.8.1. При попытке НСД уполномоченным работником подразделения ИТ и администратором ИБ проводится анализ ситуации на основе информации журналов регистрации попыток НСД и предыдущих попыток НСД. По результатам анализа, в случае необходимости (есть реальная угроза НСД), принимаются меры по предотвращению НСД.

2.8.2. Проводится внеплановая смена паролей. В случае появления обновлений ПО, устраняющих уязвимости системы безопасности, уполномоченным работником подразделения ИТ устанавливаются такие обновления.

2.8.3. По факту попытки НСД группой реагирования на инциденты ИБ проводится служебное расследование. Решение о необходимости проведения служебного расследования принимается руководителем подразделения ИБ.

2.8.4. В случае установления в ходе служебного расследования факта осуществления попытки НСД со стороны внешних по отношению к ИСПДн субъектов лицами, уполномоченными на проведение такого расследования, принимаются меры по фиксации и документированию факта инцидента и готовятся материалы для передачи в компетентные органы дознания для проведения предварительного расследования, установления субъекта-нарушителя, определения наличия состава преступления и принятия решения о возбуждении уголовного дела.

2.9. Компрометация ключевой информации (паролей доступа и (или) ключей пользователя)

2.9.1. При компрометации ключевой информации (пароля доступа и (или) ключей пользователя) администратором ИБ проводится смена пароля и (или) перевыпуск ключей пользователя, анализируется ситуация на наличие последствий компрометации и принимаются необходимые меры по минимизации возможного (или нанесенного) ущерба.

2.9.2. О произошедшем инциденте администратор ИБ сообщает руководителю подразделения ИБ для принятия решения по существу.

2.10. Физическое повреждение или хищение оборудования технических средств ИСПДн

2.10.1. Работником, обнаружившим физическое повреждение элементов ИСПДн, ставятся в известность непосредственный руководитель, руководители подразделений ИБ и ИТ.

2.10.2. Уполномоченным работником подразделения ИТ совместно с администратором ИБ проводится анализ с целью оценки возможности утечки или повреждения информации. Определяется причина повреждения элементов ИСПДн и возможные угрозы ИБ.

2.10.3. О факте повреждения элементов ИСПДн работник подразделения ИТ докладывает руководителю подразделения ИТ.

2.10.4. В случае возникновения подозрения на целенаправленный вывод оборудования из строя группой реагирования на инциденты ИБ проводится служебное расследование.

2.10.5. Уполномоченным работником подразделения ИТ проводится проверка ПО на целостность и на наличие ВП, а также проверка целостности данных и анализ электронных журналов.

2.10.6. При необходимости уполномоченным работником подразделений ИТ проводятся мероприятия по восстановлению ПО и данных из резервных копий с составлением акта.

2.11. Невыполнение установленных правил ИБ (правил работы в ИСПДн), использование ИСПДн с нарушением требований, установленных в нормативно-технической и (или) конструкторской документации

2.11.1. Работником, обнаружившим невыполнение установленных правил ИБ, использование ИСПДн с нарушением требований, установленных в нормативно-технической и (или) конструкторской документации, ставятся об этом в известность непосредственный руководитель и руководитель подразделения ИБ.

2.11.2. Администратором ИБ проводится анализ с целью оценки возможности утечки или повреждения информации. Определяются возможные угрозы ИБ в результате инцидента.

2.11.3. Об обнаруженном факте администратор ИБ докладывает руководителю подразделения ИБ.

2.11.4. При необходимости по решению руководителя подразделения ИБ по фактам выявленных нарушений группой реагирования на инциденты ИБ проводится служебное расследование.

2.12. Ошибки работников

2.12.1. В случае возникновения сбоя, связанного с ошибками работников, руководитель подразделения Росреестра (территориального органа Росреестра), в котором произошел инцидент, ставит в известность уполномоченного работника подразделения ИТ и руководителя подразделения ИБ.

2.12.2. Администратором ИБ и уполномоченным работником подразделения ИТ проводится анализ с целью оценки возможности утечки или повреждения информации. Определяются возможные угрозы ИБ в результате инцидента и необходимость восстановления ПО и данных.

2.12.3. При необходимости уполномоченным работником подразделения ИТ проводятся мероприятия по восстановлению ПО и данных из резервных копий с составлением акта.

2.12.4. В случае нанесения Росреестру (территориальному органу Росреестра) значительного ущерба вследствие ошибок работников группой реагирования на инциденты ИБ проводится служебное расследование.

2.13. Отказ в обслуживании

2.13.1. Работником, обнаружившим отказ в обслуживании, ставятся в известность непосредственный руководитель и руководители подразделений ИТ и ИБ.

2.13.2. Уполномоченным работником подразделения ИТ и администратором ИБ проводится анализ с целью определения причин, вызвавших отказ в обслуживании.

2.13.3. Уполномоченным работником подразделения ИТ проводится проверка ПО на целостность и на наличие ВП, а также проверка целостности данных и анализ электронных журналов.

2.13.4. При необходимости уполномоченным работником подразделения ИТ проводятся мероприятия по восстановлению ПО и данных из резервных копий с составлением акта.

2.13.5. О причинах инцидента и принятых мерах уполномоченный работник подразделения ИТ информирует руководителя подразделения ИБ.

2.14. Несанкционированные изменения состава программных и аппаратных средств (конфигурации) ИСПДн

2.14.1. В случае обнаружения несанкционированного изменения состава программных и аппаратных средств (конфигурации) ИСПДн администратором ИБ проводится анализ с целью оценки возможности утечки или повреждения информации. Определяются возможные угрозы ИБ в результате инцидента.

2.14.2. Уполномоченным работником подразделения ИТ проводятся мероприятия по восстановлению ПО и данных из резервных копий с составлением акта, а также (при необходимости) проверка на наличие компьютерных ВП.

2.14.3. Об инциденте администратор ИБ докладывает руководителю подразделения ИБ.

2.15. Техногенные и природные проявления нештатных ситуаций

2.15.1. При стихийном бедствии, пожаре или наводнении, грозящем уничтожению или повреждению информации (данных), работнику, обнаружившему факт возникновения нештатной ситуации, необходимо:

немедленно оповестить других работников и принять все меры для самостоятельной оперативной защиты помещения;

немедленно позвонить в соответствующие службы помощи (пожарная охрана, служба спасения и т.д.);

немедленно сообщить своему непосредственному руководителю и администратору ИБ.

2.15.2. После оперативной ликвидации причин, вызвавших пожар или наводнение, назначается внутренняя комиссия по устранению последствий инцидента.

2.15.3. Внутренняя комиссия определяет ущерб (состав и объем уничтоженных оборудования и информации) и причины, по которым произошло происшествие, а также выявляет виновных.

Приложение № 8 к Положению

                                                    УТВЕРЖДАЮ

                                          Руководитель территориального
                                                органа Росреестра

                                                        _______________
                                                           (подпись)
                                                  "__" _______ 201__ г.

ИНСТРУКЦИЯ по организации резервного копирования в информационных системах персональных данных территориального органа Росреестра (проект)

СОГЛАСОВАНО                                        СОГЛАСОВАНО


                              201_ г.

1. Общие положения

1.1. Инструкция по организации резервного копирования в информационных системах персональных данных территориального органа Росреестра (Инструкция) устанавливает основные требования к организации резервного копирования (восстановления) программ и данных, хранящихся в базах данных на серверах Росреестра (территориального органа Росреестра), а также к резервированию аппаратных средств.

1.2 Инструкция разработана с целью:

определения категории информации, подлежащей обязательному резервному копированию;

определения процедуры резервирования данных для последующего восстановления работоспособности информационных систем персональных данных (ИСПДн) при полной или частичной потере информации, вызванной сбоями или отказами аппаратного или программного обеспечения (ПО), ошибками пользователей, чрезвычайными обстоятельствами (пожаром, стихийными бедствиями и т.д.);

определения порядка восстановления информации в случае возникновения такой необходимости;

упорядочения работы и определения ответственности должностных лиц, связанной с резервным копированием и восстановлением информации.

1.3. Под резервным копированием информации понимается создание избыточных копий защищаемой информации в электронном виде для быстрого восстановления работоспособности ИСПДн в случае возникновения аварийной ситуации, повлекшей за собой повреждение или утрату данных.

1.4 Резервному копированию подлежит информация следующих основных категорий:

персональная информация пользователей (личные каталоги) и групповая информация (общие каталоги подразделений) на файловых серверах;

информация, обрабатываемая пользователями в ИСПДн, а также информация, необходимая для восстановления работоспособности ИСПДн, в т.ч. систем управления базами данных (СУБД) общего пользования и справочно-информационных систем общего использования;

рабочие копии установочных компонент ПО общего назначения и специализированного ПО ИСПДн, СУБД, серверов и рабочих станций;

информация, необходимая для восстановления серверов и СУБД ИСПДн, локальной вычислительной сети, системы электронного документооборота;

регистрационная информация системы информационной безопасности (ИБ) ИСПДн;

другая информация ИСПДн, по мнению пользователей и администратора ИБ, являющаяся критичной для работоспособности ИСПДн.

1.5 Для каждой ИСПДн разрабатывается отдельный регламент резервного копирования в зависимости от следующих требований:

к составу и объему копируемых данных, необходимой периодичности проведения резервного копирования (по форме, приведенной в приложении А к Инструкции);

к максимальному сроку хранения резервных копий;

к надежности и защищенности хранения резервных копий;

к резервируемым аппаратным средствам ИСПДн (при необходимости, в случае предъявления высоких требований к обеспечению доступности данных, обрабатываемых в ИСПДн, и значительного ущерба Росреестра при нарушении заданных характеристик безопасности ПДн).

Допускается составление одного регламента для нескольких ИСПДн в случае идентичности требований к их резервированию.

1.6. Машинным носителям информации, содержащим резервную копию, присваивается гриф конфиденциальности по наивысшему грифу содержащихся на них сведений.

1.7. Резервные копии хранятся вне пределов серверного помещения, доступ к резервным копиям ограничен. К носителям информации, содержащим резервные копии, а также к резервируемым программным и аппаратным средствам допускаются только работники Росреестра, указанные в списке лиц, имеющих доступ к резервируемым программным и аппаратным средствам ИСПДн (форма списка лиц приведена в приложении Б к Инструкции). Список лиц формируется на основании письменной заявки руководителя подразделения информационных технологий (ИТ), согласованной с руководителем подразделения ИБ. Изменение прав доступа к резервируемым техническим средствам, массивам и носителям информации производится на основании заявки руководителя подразделения ИТ, согласованной с руководителем подразделения ИБ. О выявленных попытках несанкционированного доступа к резервируемой информации и аппаратным средствам, а также иных нарушениях ИБ, произошедших в процессе резервного копирования, сообщается в подразделение ИБ служебной запиской в течение рабочего дня после обнаружения указанного события.

2. Общие требования к резервному копированию

2.1 В регламенте резервного копирования описываются действия при выполнении следующих мероприятий:

резервное копирование с указанием конкретных резервируемых данных и аппаратных средств (в случае необходимости);

контроль резервного копирования;

хранение резервных копий;

полное или частичное восстановление данных.

2.2. Архивное копирование резервируемой информации производится при помощи специализированных программно-аппаратных систем резервного копирования, программный и аппаратный состав которых обеспечивает выполнение требований к резервному копированию, приведенных в п. 1.5 Инструкции. Система резервного копирования обеспечивает производительность, достаточную для сохранения информации, указанной в п. 1.4 Инструкции, в установленные сроки и с заданной периодичностью.

2.3 Требования к техническому обеспечению систем резервного копирования:

система резервного копирования должна представлять комплекс взаимосвязанных технических средств, обеспечивающих процессы сбора, передачи, обработки и хранения информации, основывающийся на единой технологической платформе;

иметь возможность расширения (замены) состава технических средств, входящих в комплекс, для улучшения их эксплуатационно-технических характеристик по мере возрастания объемов обрабатываемой информации;

возможность обеспечивать выполнение функций, перечисленных в п. 2.1 Инструкции;

средства вычислительной техники должны отвечать действующим на момент сертификации российским и международным стандартам и рекомендациям.

2.4 Требования к ПО систем резервного копирования:

наличие лицензионного системного ПО и ПО резервного копирования;

возможность ПО резервного копирования обеспечивать простоту процесса инсталляции, конфигурирования и сопровождения.

2.5. Сопровождение системы резервного копирования возлагается на уполномоченных работников подразделения ИТ, которые обязаны следить за работоспособностью программных и аппаратных средств, осуществляющих архивное копирование, в соответствии с их инструкциями по эксплуатации.

2.6. Предварительный учет магнитных носителей архивных копий производится в отдельном Журнале учета магнитных носителей для архивного копирования, который находится в подразделении ИТ (форма Журнала приведена в приложении В к Инструкции). Все магнитные носители с архивными копиями маркируются, на них указывается предназначение носителя.

В случае неотделимости носителей архивной информации от системы резервного копирования допускается их не маркировать и учитывать всю систему как одно целое.

2.7. Хранение отдельных магнитных носителей архивных копий организуется в отдельном от используемых данных помещении. Физический доступ к архивным копиям строго ограничен. Контроль за физическим доступом возлагается на администратора ИБ.

2.8. Доступ к носителям архивных копий имеют только уполномоченные работники подразделений ИТ и ИБ, которые несут персональную ответственность за сохранность архивных копий и невозможность ознакомления с ними лиц, не имеющих на то права.

2.9. Магнитные носители для архивных копий изымаются для работы только работником, непосредственно осуществляющим резервное копирование, под роспись в журнале учета магнитных носителей архивных копий. Передача магнитных носителей с архивными копиями кому бы то ни было без документального оформления не допускается.

2.10. Уничтожение отделяемых магнитных носителей архивных копий производится в установленном порядке в случае прихода их в негодность или замены типа носителя с обязательной записью в журнале их учета.

3. Ответственность за состояние резервного копирования

3.1. Ответственность за периодичность и полноту резервного копирования, а также состояние системы резервного копирования возлагается на уполномоченных работников подразделения ИТ, осуществляющих резервное копирование.

3.2. Ответственность за контроль над своевременным осуществлением резервного копирования и соблюдением соответствующего регламента, а также за выполнением требований по хранению архивных копий и предотвращению несанкционированного доступа к ним возлагается на администратора ИБ.

3.3. В случае обнаружения попыток несанкционированного доступа к носителям архивной информации, а также иных нарушениях ИБ, произошедших в процессе резервного копирования, сообщается в подразделение ИБ служебной запиской в течение рабочего дня после обнаружения указанного события.

4. Периодичность резервного копирования

4.1. Резервное копирование специализированного ПО производится при его получении (если это предусмотрено инструкцией по его применению и не противоречит условиям его распространения), а также при его обновлении и получении исправленных и обновленных версий.

4.2. Резервное копирование открытой информации делается не позднее чем через сутки после ее изменения, но не реже одного раза в месяц.

4.3. Информация (ПДн), содержащаяся в постоянно изменяемых базах данных Росреестра, сохраняется в соответствии со следующим графиком:

ежедневно проводится копирование измененной и дополненной информации. Носители с ежедневной информацией должны храниться в течение недели;

еженедельно проводится резервное копирование всей базы данных. Носители с еженедельными копиями хранятся в течение месяца;

ежемесячно производится резервное копирование на специально выделенный носитель длительного хранения, информация на котором хранится постоянно.

4.4. Не реже одного раза в год на носители длительного хранения записывается информация, не относящаяся к постоянно изменяемым базам данных (приказы, распоряжения, открытые издания и т.д.).

5. Контроль результатов резервного копирования

5.1. Контроль результатов всех процедур резервного копирования осуществляется ответственными должностными лицами, указанными в приложении Б к Инструкции, в срок до 17 часов рабочего дня, следующего за установленной датой выполнения этих процедур. В случае обнаружения ошибки лицо, ответственное за контроль результатов, сообщает руководителю подразделения ИТ до 18 часов текущего рабочего дня.

5.2. На протяжении периода времени, когда система резервного копирования находится в аварийном состоянии, осуществляется ежедневное копирование информации, подлежащей резервированию, с использованием средств файловых систем серверов, располагающих необходимыми объемами дискового пространства для ее хранения.

6. Ротация носителей резервной копии

6.1. Система резервного копирования обеспечивает возможность периодической замены (выгрузки) резервных носителей без потерь информации на них, а также обеспечивает восстановление текущей информации ИСПДн в случае отказа любого из устройств резервного копирования.

6.2. Все процедуры по загрузке, выгрузке носителей из системы резервного копирования осуществляются ответственным работником подразделения ИТ, указанным в приложении Б к Инструкции. В качестве новых носителей допускается повторно использовать те, у которых срок хранения содержащейся информации истек.

Информация ограниченного доступа с носителей, которые перестают использоваться в системе резервного копирования, уничтожается.

7. Восстановление информации из резервных копий

7.1. В случае необходимости восстановление данных из резервных копий производится ответственным работником подразделения ИТ, указанным в приложении Б к Инструкции.

7.2. Восстановление данных из резервных копий происходит в случае их исчезновения или нарушения вследствие несанкционированного доступа в систему, воздействия вирусов, программных ошибок, ошибок работников и аппаратных сбоев.

7.3. Восстановление системного ПО и ПО общего назначения производится с их носителей в соответствии с инструкциями производителя.

7.4. Восстановление специализированного ПО производится с дистрибутивных носителей или их резервных копий в соответствии с инструкциями по установке или восстановлению данного ПО.

7.5. Восстановление информации, не относящейся к постоянно изменяемым базам данных, производится с резервных носителей. При этом используется последняя копия информации.

7.6. При частичном нарушении или исчезновении записей баз данных восстановление производится с последней ненарушенной ежедневной копии. Полностью информация восстанавливается с последней еженедельной копии, которая затем дополняется ежедневными частичными резервными копиями.

Приложение А к Инструкции по организации резервного копирования в информационных системах персональных

данных территориального органа Росреестра

средствам информационных систем персональных данных

данных территориального органа Росреестра

копирования информации

по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии

                                                    УТВЕРЖДАЮ
                                          Руководитель территориального
                                                органа Росреестра

                                                    ___________________
                                                         (подпись)
                                                "__" __________ 201_ г.

ИНСТРУКЦИЯ по проведению антивирусного контроля в информационных системах персональных данных территориального органа Росреестра (проект)

       СОГЛАСОВАНО                              СОГЛАСОВАНО


                              201_ г.

1. Общие положения

1.1. Инструкция по проведению антивирусного контроля в информационных системах персональных данных территориального органа Росреестра (Инструкция) определяет требования к организации антивирусной защиты информационных систем персональных данных (ИСПДн) территориального органа Росреестра.

1.2. Инструкция предназначена для уполномоченных работников территориального органа Росреестра, подразделения информационных технологий (ИТ), а также должностного лица, выполняющего функции администратора информационной безопасности (ИБ), и пользователей, осуществляющих обработку персональных данных (ПДн) в ИСПДн Росреестра.

1.3. Действие Инструкции распространяется на структурные подразделения территориального органа Росреестра.

1.4. В целях обеспечения защиты от деструктивных воздействий компьютерных вредоносных программ производится антивирусный контроль. Обязательному антивирусному контролю подлежит любая информация, поступающая на средства вычислительной техники, в том числе получаемая на внешних носителях из сторонних организаций.

1.5. Вредоносная программа — программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на ресурсы ИС.

Вредоносная программа способна выполнять ряд функций, в том числе:

скрывать признаки своего присутствия в программной среде рабочей станции (сервера);

обладать способностью к самодублированию, ассоциированию себя с другими программами и/или переносу своих фрагментов в иные области оперативной или внешней памяти;

разрушать (искажать произвольным образом) код программ в оперативной памяти;

сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);

искажать произвольным образом, блокировать и/или подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.

1.6 Основными задачами системы обеспечения антивирусной защиты являются:

исключение или существенное затруднение противоправных действий в отношении ИСПДн Росреестра как носителей защищаемой информации;

обеспечение условий для устойчивой бесперебойной работы объектов, сетей передачи данных.

1.7. Объектом защиты от воздействия вредоносных программ являются вычислительные структуры и транспортная среда передачи данных ИСПДн Росреестра.

1.8 Обеспечение антивирусной защиты включает:

регулярные профилактические работы;

анализ ситуации проявления вредоносных программ и причины их появления;

уничтожение вредоносных программ на автоматизированных рабочих местах (АРМ) (серверах);

принятие мер по предотвращению причин появления вредоносных программ.

1.9. Для выполнения требований по антивирусной защите информационных структур ИСПДн Росреестра используется специализированное программное обеспечение (ПО), обеспечивающее надежную ежедневную автоматическую антивирусную защиту и контроль чистоты информационных массивов данных от вредоносных программ.

1.10. Организация работ по антивирусной защите и ответственность за сопровождение системы антивирусной защиты возлагается на подразделение ИТ.

1.11. Ответственность за контроль установленного порядка антивирусной защиты возлагается на администратора ИБ.

1.12. Периодический контроль состояния антивирусной защиты ИСПДн Росреестра возлагается на работников подразделения ИТ и администратора ИБ.

1.13. Работники, на которых возлагается ответственность по антивирусной защите, имеют полноправный доступ ко всем АРМ, серверам и другому оборудованию ИСПДн Росреестра.

1.14. Все процессы производятся в автоматическом режиме без участия пользователей и без помех для работы основного и специального ПО.

Процесс плановой полной проверки файловой системы АРМ и серверов ИСПДн Росреестра проводится во время наименьшей нагрузки оборудования пользовательскими задачами.

1.15. Работник, отвечающий за ежедневное сопровождение антивирусной защиты, обладает необходимыми практическими навыками и теоретическими знаниями по данному вопросу. В основные обязанности по антивирусной защите входят:

проведение периодического анализа и оценки ситуации по обеспечению антивирусной безопасности для контроля степени защищенности ИСПДн Росреестра и выработки предложений по изменению и улучшению состояния дел;

проверка соблюдения порядка обновления средств и баз данных антивирусной защиты;

осуществление контроля за состоянием средств антивирусной защиты на серверах, АРМ пользователей;

осуществление контроля за соблюдением работниками требований по обеспечению антивирусной защиты;

обеспечение контроля за соблюдением требований при работе с сетью Интернет, а также за характером и объемом трафика, получаемого из сети Интернет, и его соответствием служебной необходимости;

передача еженедельного отчета по состоянию антивирусной защиты администратору ИБ.

Администратор ИБ осуществляет следующие действия:

контроль и анализ еженедельных отчетов по состоянию антивирусной защиты;

проведение служебных расследований по фактам обнаружения вредоносных программ, повлекших неустойчивую работу и (или) разрушение технологического оборудования, локально-вычислительной сети и информационных массивов Росреестра;

организацию мероприятий по улучшению антивирусной защиты Росреестра.

1.16. Устанавливаемое (изменяемое) ПО в ИСПДн Росреестра предварительно проверяется представителем эксплуатирующего подразделения на отсутствие вредоносных программ. Непосредственно после установки (изменения) ПО администратор ИБ либо уполномоченный работник подразделения ИТ выполняет антивирусную проверку на АРМ и серверах ИСПДн Росреестра.

1.17. При возникновении подозрения на наличие вредоносных программ (нетипичная работа программ, появление графических и звуковых эффектов, искажений данных, пропадание файлов, частое появление сообщений о системных ошибках и т.п.) администратор ИБ либо уполномоченный работник подразделения ИТ проводит внеочередной антивирусный контроль АРМ (серверов) ИСПДн Росреестра.

1.18. Для пользователей АРМ ИСПДн Росреестра запрещена возможность изменения настроек и параметров защиты антивирусных средств на своем АРМ, эти действия производит администратор ИБ или уполномоченный работник подразделения ИТ с помощью средств централизованного управления или вручную.

1.19. По факту появления и проникновения вредоносных программ, повлекших неустойчивую работу и (или) вывод из строя технологического оборудования, локально-вычислительной сети и информационных массивов Росреестра, проводится служебное расследование группой реагирования на инциденты ИБ.

1.20. Результаты расследования причин появления и последствий воздействия вредоносных программ на АРМ (сервер) докладываются руководителю отдела ИБ территориального органа Росреестра с предложениями по принятию мер, предотвращающих в будущем повторение подобных фактов.

2. Требования к антивирусному ПО

2.1 Применение только лицензионного антивирусного ПО.

2.2. Возможность обнаружения как можно большего числа известных вредоносных программ, в том числе вирусов, деструктивного кода (макровирусов, объектов ActiveX, апплетов языка Java и т.п.), а также максимальная готовность быстрого реагирования на появление новых видов вирусных угроз.

2.3. Исчерпывающий список защищаемых точек (почтовые серверы, файловые серверы, автоматизированные рабочие места и т.д.) возможного проникновения вредоносных программ.

2.4. Обеспечение обновлений, консультаций и других форм сопровождения эксплуатации поставщиком антивирусного ПО.

2.5. Возможность автоматического распространения обновлений антивирусных баз на каждый АРМ (сервер) в ИСПДн Росреестра.

2.6. Соответствие системных требований антивирусного ПО платформам, характеристикам и комплектации применяемой вычислительной техники.

2.7. Надежность и работоспособность антивирусного ПО в любом из предусмотренных режимов работы, по возможности в русскоязычной среде.

2.8. Наличие документации, необходимой для практического применения и освоения антивирусного ПО, на русском языке.

3. Мероприятия по штатному управлению средствами антивирусного контроля

3.1. В штатном режиме работы системы антивирусной защиты администратор ИБ либо уполномоченный работник подразделения ИТ выполняет:

установку средств антивирусной защиты на все объекты антивирусной защиты, добавляемые в средства защиты ИСПДн Росреестра, в порядке, описанном в эксплуатационной документации;

контроль наличия связи между сервером администрирования и защищаемыми объектами;

необходимые обновления версий средств антивирусной защиты на объектах антивирусной защиты;

контроль над выполнением задач постоянной защиты;

настройку автоматических проверок объектов антивирусной защиты не реже одного раза в неделю с целью профилактики;

контроль актуальности версий антивирусных баз и модулей сканирования ПО сервера администрирования;

непрерывный мониторинг информационного обмена в средствах защиты ИСПДн Росреестра с целью выявления проявлений программно математических воздействий;

обработку сведений, поступающих от средств антивирусной защиты;

формирование сводных отчетов о работе средств антивирусной защиты, инцидентах и проч.;

обработку отчетов о состоянии логических сетей;

формирование отчетов о работе средств антивирусной защиты логической сети.

3.2. Процесс управления системой антивирусной защиты включает в себя следующие действия администратора ИБ либо уполномоченного работника подразделения ИТ:

внесение изменений в политику антивирусной защиты;

управление средствами антивирусной защиты, входящими в состав системы антивирусной защиты;

мониторинг событий, информация о которых поступает от средств антивирусной защиты с объектов защиты.

3.3. В обязанности администратора ИБ либо уполномоченного работника подразделения ИТ входит проведение мероприятий, обеспечивающих возможность анализа результатов работы средств системы антивирусной защиты:

разработка отчетов о работе средств антивирусной защиты;

разработка сводных отчетов о работе средств антивирусной защиты, инцидентах за месяц.

В отчетах о состоянии системы антивирусной защиты отражается следующая информация:

количество обнаруженных вредоносных программ за данный период;

наиболее активные обнаруженные вредоносные программы;

объекты, где наблюдается наибольшая частота обнаружения вредоносных программ;

список зараженных объектов.

4. Мероприятия по нештатному управлению средствами антивирусного контроля

4.1 В случае заражения АРМ (серверов) вредоносными программами администратор ИБ выполняет следующие действия:

централизованно обновляет антивирусные базы сервера администрирования и всех объектов антивирусной защиты;

проверяет состояние всех объектов антивирусной защиты, наличие зараженных АРМ в случае обнаружения пораженных узлов;

оперативно принимает меры по предотвращению распространения заражения вредоносными программами и при необходимости отключает от сети зараженный АРМ (сервер);

проводит действия, направленные на устранение вредоносной программы на всех пораженных узлах ИСПДн Росреестра;

по завершении мероприятий по устранению последствий заражения восстанавливает работоспособность рабочей станции и передает ее ответственному пользователю.

4.2. Все или часть вышеперечисленных мероприятий может быть делегирована уполномоченному работнику подразделения ИТ.

5. Уничтожение вредоносных программ

5.1. Уничтожение вредоносных программ выполняется администратором ИБ либо уполномоченным работником подразделения ИТ.

5.2. Если вредоносная программа поразила какие-либо программы, то уничтожение вредоносной программы выполняется путем уничтожения программы на жестком диске либо на ином магнитном носителе. После уничтожения зараженной программы восстанавливают программу, используя ее резервную копию.

5.3. Если вредоносная программа поразила файлы, то вредоносная программа уничтожается либо путем стирания этих файлов, либо путем использования специального «лечащего режима антивирусного ПО. Использование „лечащего“ режима не дает полной гарантии восстановления файла, поэтому после „лечения“ необходима проверка восстановления данного файла. „Лечащие“ программы используются лишь в тех случаях, когда отсутствует резервная копия зараженной программы или файла с данными либо восстановление уничтоженного файла с помощью резервной копии очень трудоемко.»

5.4. В любом случае после уничтожения вредоносных программ и восстановления зараженных программ и файлов с данными еще раз выполняется проверка наличия вредоносных программ, используя антивирусную программу с установленными последними обновлениями. Перед повторной проверкой производится перезагрузка сервера или АРМ через выключение и последующее их включение. Если повторная проверка не выявила вредоносных программ, то можно быть уверенным в их отсутствии.

6. Ответственность пользователей

6.1. Организация мероприятий по централизованной антивирусной защите ИСПДн Росреестра возлагается на администратора ИБ.

6.2. Администратор ИБ несет ответственность за формирование политики антивирусной защиты, организацию своевременной инсталляции средств антивирусной защиты информации и централизованное обновление баз данных вирусных описаний на комплексе программно-технических средств ИСПДн Росреестра.

6.3. Выполнение технических мероприятий по централизованной антивирусной защите в ИСПДн Росреестра производится непосредственно администратором ИБ либо делегируется уполномоченному работнику подразделения ИТ.

6.4. Непосредственную ответственность за соблюдение в повседневной деятельности установленных норм обеспечения антивирусной защиты информации и требований Инструкции в части защиты ИСПДн Росреестра несут пользователи, за которыми закреплены соответствующие АРМ ИСПДн Росреестра.

по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии

                                                    УТВЕРЖДАЮ
                                          Руководитель территориального
                                                органа Росреестра

                                                    ___________________
                                                         (подпись)
                                                "__" __________ 201_ г.

ИНСТРУКЦИЯ работника информационных систем персональных данных территориального органа Росреестра по обеспечению безопасности (проект)

       СОГЛАСОВАНО                              СОГЛАСОВАНО


                              201_ г.

1. Общие требования по обеспечению безопасности обработки информации в информационной системе персональных данных

1.1. К защищаемой информации, обрабатываемой в информационных системах персональных данных (ИСПДн) Росреестра, относятся персональные данные (ПДн), служебная (технологическая) информация системы защиты, другая информация конфиденциального характера в соответствии с Перечнем защищаемых информационных ресурсов информационных систем персональных данных Росреестра.

1.2. Действие Инструкции работника информационных систем персональных данных территориального органа Росреестра (Инструкция) по обеспечению безопасности распространяется на структурные подразделения территориального органа Росреестра.

1.3. Обработка защищаемой информации в ИСПДн Росреестра разрешается на основании приказа руководителя территориального органа Росреестра.

1.4. Ответственность за организацию защиты информации в ИСПДн Росреестра и выполнение установленных условий ее функционирования возлагается на администратора информационной безопасности (ИБ) территориального органа Росреестра. Ответственность за выполнение мероприятий по обеспечению безопасности информации возлагается на лицо, производящее ее обработку (пользователя ИСПДн Росреестра).

1.5. Допуск пользователей к работе в ИСПДн Росреестра осуществляется в соответствии со списком лиц, доступ которых к ПДн, обрабатываемым в ИС, необходим для выполнения служебных (трудовых) обязанностей, утверждаемым руководителем Росреестра/территориального органа Росреестра.

1.6. К самостоятельной работе на автоматизированных рабочих местах (АРМ), входящих в состав ИСПДн Росреестра, допускаются лица, изучившие требования Инструкции и освоившие правила эксплуатации АРМ и технических средств защиты. Допуск производится после проверки знания Инструкции и практических навыков в работе.

1.7. Помещения, в которых размещены технические средства ИСПДн Росреестра, отвечают режимным требованиям и в нерабочее время сдаются под охрану в установленном порядке.

1.8. Вход в помещения, в которых производится автоматизированная обработка защищаемой информации, разрешается постоянно работающим в них работникам, а также лицам, привлекаемым к проведению ремонтных, наладочных и других работ, и посетителям в сопровождении работников Росреестра и территориальных органов Росреестра.

1.9. Техническое обслуживание АРМ, уборка помещения и т.п. проводятся только под контролем уполномоченного лица Росреестра/территориального органа Росреестра. При проведении этих работ обработка защищаемой информации (ПДн) запрещается.

1.10. По фактам и попыткам несанкционированного доступа к защищаемой информации, а также в случаях ее утечки и (или) модификации (уничтожения) проводятся служебные расследования.

2. Обязанности пользователя

2.1. При первичном допуске к работе в ИСПДн Росреестра пользователь знакомится с требованиями руководящих, нормативно-методических и организационно-распорядительных (регламентирующих) документов по вопросам безопасности при автоматизированной обработке информации, изучает Инструкцию, получает личный текущий пароль у должностного лица, выполняющего функции администратора ИБ в ИСПДн Росреестра.

2.2. Каждый работник Росреестра/территориального органа Росреестра, участвующий в рамках своих функциональных обязанностей в процессах автоматизированной обработки информации и имеющий доступ к аппаратным средствам, программному обеспечению и данным ИСПДн Росреестра, несет персональную ответственность за свои действия и обязан:

строго соблюдать установленные правила обеспечения безопасности информации при работе с программными и техническими средствами ИСПДн Росреестра;

знать и строго выполнять правила работы со средствами защиты информации, установленными в ИСПДн Росреестра;

хранить в тайне свой пароль;

передавать для хранения в установленном порядке при необходимости свои реквизиты разграничения доступа только администратору ИБ Росреестра/территориального органа Росреестра;

выполнять требования по антивирусной защите в части, касающейся действий пользователей;

немедленно ставить в известность администратора ИБ в следующих случаях:

• при подозрении компрометации личного пароля;
• обнаружения нарушения целостности пломб (наклеек) на аппаратных средствах АРМ или иных фактов совершения в отсутствие пользователя попыток несанкционированного доступа (НСД) к ресурсам ИСПДн Росреестра;
• несанкционированных (произведенных с нарушением установленного порядка) изменений в конфигурации программных или аппаратных средств ИСПДн Росреестра;
• отклонений в нормальной работе системных и прикладных программных средств, затрудняющих эксплуатацию ИСПДн Росреестра, выхода из строя или неустойчивого функционирования узлов или периферийных устройств (дисководов, принтера и т.п.), а также перебоев в системе электроснабжения;
• некорректного функционирования установленных средств защиты;
• обнаружения непредусмотренных отводов кабелей и подключенных устройств;
• обнаружения фактов и попыток НСД и случаев нарушения установленного порядка обработки защищаемой информации.

2.3 Пользователю категорически запрещается:

использовать компоненты программного и аппаратного обеспечения ИСПДн Росреестра в неслужебных целях;

самовольно вносить какие-либо изменения в конфигурацию аппаратно-программных средств ИСПДн Росреестра или устанавливать дополнительно любые программные и аппаратные средства;

осуществлять обработку защищаемой информации в присутствии посторонних (не допущенных к данной информации) лиц;

записывать и хранить защищаемую информацию на неучтенных носителях информации (гибких магнитных дисках и т.п.);

оставлять включенным без присмотра АРМ, не активизировав средства защиты от НСД;

оставлять без личного присмотра на АРМ или где бы то ни было свои персональные реквизиты доступа, машинные носители и распечатки, содержащие защищаемую информацию;

умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты, которые могут привести к ознакомлению с защищаемой информацией посторонних лиц. Об обнаружении такого рода ошибок ставить в известность администратора ИБ;

производить перемещения технических средств АРМ без согласования с администратором ИБ;

вскрывать корпуса технических средств АРМ и вносить изменения в схему и конструкцию устройств, производить техническое обслуживание (ремонт) средств вычислительной техники без согласования с администратором ИБ и без оформления соответствующего акта;

подключать к АРМ нештатные устройства и самостоятельно вносить изменения в состав и конфигурацию;

осуществлять ввод пароля в присутствии посторонних лиц;

оставлять без контроля АРМ в процессе обработки конфиденциальной информации.

по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных в Федеральной службе государственной регистрации, кадастра и картографии

                                                    УТВЕРЖДАЮ
                                          Руководитель территориального
                                                органа Росреестра

                                                    ___________________
                                                         (подпись)
                                                "__" __________ 201_ г.

ПЛАН контроля выполнения требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных территориального органа Росреестра (форма)

       СОГЛАСОВАНО                              СОГЛАСОВАНО

                              201_ г.