Ссылка на файл: >>>>>> http://file-portal.ru/Приказ 11 февраля 2013 г n 17/
Приказ ФСТЭК России от 11.02.2013 N 17 (ред. от 15.02.2017) "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608)
Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (с изменениями на 15 февраля 2017 года)
Акты (приказы, распоряжения и другие акты) ФСТЭК России; сведения о внесении в них изменений, признании их утратившими силу, о государственной регистрации этих актов в случаях, установленных законодательством Российской Федерации
В соответствии с частью 5 статьи 16 Федерального закона от 27 июля г. N Собрание законодательства Российской Федерации, , N 34, ст. Утвердить прилагаемые Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября г. Директор Федеральной службы по техническому и экспортному контролю В. Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля г. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну далее — информация , от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию носители информации в целях ее добывания, уничтожения, искажения или блокирования доступа к ней далее — защита информации при обработке указанной информации в государственных информационных системах. Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля г. В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных криптографических средств защиты информации. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении. Настоящие Требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации, Высшего Арбитражного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы далее — заказчики и операторов государственных информационных систем далее — операторы. Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее — уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября г. N Собрание законодательства Российской Федерации, , N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее — информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания и в ходе эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее — система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:. Формирование требований к защите информации, содержащейся в информационной системе. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется:. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются четыре класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс — четвертый, самый высокий — первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ Комплекс стандартов на автоматизированные системы. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала, оснащенности и мотивации внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. При проектировании системы защиты информации информационной системы: Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются:. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает:. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа г. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы. В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия. Повторная аттестация информационной системы осуществляется в случае окончания срока действия аттестата соответствия или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает:. В ходе управления администрирования системой защиты информации информационной системы осуществляются:. В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:. В ходе контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает: Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора. Уничтожение стирание данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации. Требования к мерам защиты информации, содержащейся в информационной системе. Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать:. Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности информационных систем приведены в приложении N 2 к настоящим Требованиям. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака идентификатора , сравнение предъявляемого субъектом объектом доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту объекту доступа предъявленного им идентификатора подтверждение подлинности. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил. Меры по ограничению программной среды должны обеспечивать установку и или запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и или запуска запрещенного к использованию в информационной системе программного обеспечения. Меры по защите машинных носителей информации средства обработки хранения информации, съемные машинные носители информации должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации. Меры по обнаружению предотвращению вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и или информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия. Меры по контролю анализу защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации. Меры по обеспечению целостности информационной системы и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин гипервизору , системе хранения данных включая систему хранения образов виртуальной инфраструктуры , сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам контейнерам , системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы далее — средства обеспечения функционирования , и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации. Выбор мер защиты информации для их реализации в информационной системе в рамках ее системы защиты информации включает:. Для выбора мер защиты информации для соответствующего класса защищенности информационной системы применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа г. В информационной системе соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 21 настоящих Требований и обеспечивающие блокирование нейтрализацию всех угроз безопасности информации. При этом в информационной системе должен быть, как минимум, реализован адаптированный базовый набор мер защиты информации, соответствующий установленному классу защищенности информационной системы. При невозможности реализации в информационной системе в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные компенсирующие меры защиты информации, обеспечивающие адекватное блокирование нейтрализацию угроз безопасности информации. В этом случае в ходе разработки системы защиты информации информационной системы должно быть проведено обоснование применения компенсирующих мер защиты информации, а при аттестационных испытаниях оценена достаточность и адекватность данных компенсирующих мер для блокирования нейтрализации угроз безопасности информации. Меры защиты информации выбираются и реализуются в информационной системе в рамках ее системы защиты информации с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений. Выбранные и реализованные в информационной системе в рамках ее системы защиты информации меры защиты информации должны обеспечивать:. Потенциал нарушителя определяется в ходе оценки его возможностей, проводимой при определении угроз безопасности информации в соответствии с пунктом Оператором может быть принято решение о применении в информационной системе соответствующего класса защищенности мер защиты информации, обеспечивающих защиту от угроз безопасности информации, реализуемых нарушителем с более высоким потенциалом. Технические меры защиты информации реализуются посредством применения средств защиты информации, имеющих необходимые функции безопасности. В информационных системах 4 класса защищенности применяются: В информационных системах 1 и 2 классов защищенности применяются средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей. В случае обработки в информационной системе информации, содержащей персональные данные, реализуемые в соответствии с пунктами 21 и 22 настоящих Требований меры защиты информации:. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 23 настоящих Требований. Приложение N 1 к Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Класс защищенности информационной системы первый класс К1 , второй класс К2 , третий класс К3 , четвертый класс К4 определяется в зависимости от уровня значимости информации УЗ , обрабатываемой в этой информационной системе, и масштаба информационной системы федеральный, региональный, объектовый. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации заказчика и или оператора от нарушения конфиденциальности неправомерные доступ, копирование, предоставление или распространение , целостности неправомерные уничтожение или модифицирование или доступности неправомерное блокирование информации. Информация имеет высокий уровень значимости УЗ 1 , если хотя бы для одного из свойств безопасности информации конфиденциальности, целостности, доступности определена высокая степень ущерба. Информация имеет средний уровень значимости УЗ 2 , если хотя бы для одного из свойств безопасности информации конфиденциальности, целостности, доступности определена средняя степень ущерба и нет ни одного свойства, для которого определена высокая степень ущерба. Информация имеет низкий уровень значимости УЗ 3 , если для всех свойств безопасности информации конфиденциальности, целостности, доступности определены низкие степени ущерба. Информация имеет минимальный уровень значимости УЗ 4 , если обладателем информации заказчиком и или оператором степень ущерба от нарушения свойств безопасности информации конфиденциальности, целостности, доступности не может быть определена, но при этом информация подлежит защите в соответствии с законодательством Российской Федерации. При обработке в информационной системе двух и более видов информации служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа уровень значимости информации УЗ определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в информационной системе, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации. Информационная система имеет федеральный масштаб, если она функционирует на территории Российской Федерации в пределах федерального округа и имеет сегменты в субъектах Российской Федерации, муниципальных образованиях и или организациях. Информационная система имеет региональный масштаб, если она функционирует на территории субъекта Российской Федерации и имеет сегменты в одном или нескольких муниципальных образованиях и или подведомственных и иных организациях. Информационная система имеет объектовый масштаб, если она функционирует на объектах одного федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, муниципального образования и или организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях. Приложение N 2 к Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы. Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и или компрометации средств аутентификации. Идентификация и аутентификация пользователей, не являющихся работниками оператора внешних пользователей. Идентификация и аутентификация объектов файловой системы, запускаемых и исполняемых модулей, объектов систем управления базами данных, объектов, создаваемых прикладным и специальным программным обеспечением, иных объектов доступа. Управление заведение, активация, блокирование и уничтожение учетными записями пользователей, в том числе внешних пользователей. Реализация необходимых методов дискреционный, мандатный, ролевой или иной метод , типов чтение, запись, выполнение или иной тип и правил разграничения доступа. Управление фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами. Разделение полномочий ролей пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы. Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы. Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры защиты информации, и о необходимости соблюдения им установленных оператором правил обработки информации. Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему. Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы. Блокирование сеанса доступа в информационную систему после установленного времени бездействия неактивности пользователя или по его запросу. Поддержка и сохранение атрибутов безопасности меток безопасности , связанных с информацией в процессе ее хранения и обработки. Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети. Управление взаимодействием с информационными системами сторонних организаций внешние информационные системы. Управление запуском обращениями компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения. Управление установкой инсталляцией компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения. Установка инсталляция только разрешенного к использованию программного обеспечения и или его компонентов. Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов. Исключение возможности несанкционированного ознакомления с содержанием информации, хранящейся на машинных носителях, и или использования носителей информации в иных информационных системах. Уничтожение стирание информации на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения стирания. Сбор, запись и хранение информации о событиях безопасности в течении установленного времени хранения. Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема емкости памяти. Обеспечение возможности просмотра и анализа информации о действиях отдельных пользователей в информационной системе. Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей. Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации. Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации. Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе. Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации. Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций. Контроль содержания информации, передаваемой из информационной системы контейнерный, основанный на свойствах объекта доступа, и контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов , и исключение неправомерной передачи информации из информационной системы. Контроль ошибочных действий пользователей по вводу и или передаче информации и предупреждение пользователей об ошибочных действиях. Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы. Контроль безотказного функционирования технических средств, обнаружение и локализация отказов функционирования, принятие мер по восстановлению отказавших средств и их тестирование. Обеспечение возможности восстановления информации с резервных машинных носителей информации резервных копий в течении установленного временного интервала. Контроль состояния и качества предоставления уполномоченным лицом вычислительных ресурсов мощностей , в том числе по передаче информации. Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации. Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин. Управление фильтрация, маршрутизация, контроль соединения, однонаправленная передача потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры. Доверенная загрузка серверов виртуализации, виртуальной машины контейнера , серверов управления виртуализацией. Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры. Разбиение виртуальной инфраструктуры на сегменты сегментирование виртуальной инфраструктуры для обработки информации отдельным пользователем и или группой пользователей. Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования. Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы и помещения и сооружения, в которых они установлены. Размещение устройств вывода отображения информации, исключающее ее несанкционированный просмотр. Защита от внешних воздействий воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов. Защита информационной системы, ее средств, систем связи и передачи данных ЗИС. Разделение в информационной системе функций по управлению администрированию информационной системой, управлению администрированию системой защиты информации, функций по обработке информации и иных функций информационной системы. Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом. Обеспечение защиты информации от раскрытия, модификации и навязывания ввода ложной информации при ее передаче подготовке к передаче по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи. Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации функциями безопасности средств защиты информации. Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств. Передача и контроль целостности атрибутов безопасности меток безопасности , связанных с информацией, при обмене информацией с иными информационными системами. Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода. Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи. Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации. Подтверждение происхождения источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам. Обеспечение подлинности сетевых соединений сеансов взаимодействия , в том числе для защиты от подмены сетевых устройств и сервисов. Исключение возможности отрицания пользователем факта получения информации от другого пользователя. Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки информации. Выявление, анализ и блокирование в информационной системе скрытых каналов передачи информации в обход реализованных мер защиты информации или внутри разрешенных сетевых протоколов. Разбиение информационной системы на сегменты сегментирование информационной системы и обеспечение защиты периметров сегментов информационной системы. Обеспечение загрузки и исполнения программного обеспечения с машинных носителей информации, доступных только для чтения, и контроль целостности данного программного обеспечения. Исключение доступа пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства и иные общие для пользователей ресурсы информационной системы. Защита информационной системы от угроз безопасности информации, направленных на отказ в обслуживании информационной системы. Защита периметра физических и или логических границ информационной системы при ее взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями. Прекращение сетевых соединений по их завершении или по истечении заданного оператором временного интервала неактивности сетевого соединения. Использование в информационной системе или ее сегментах различных типов общесистемного, прикладного и специального программного обеспечения создание гетерогенной среды. Использование прикладного и специального программного обеспечения, имеющих возможность функционирования в средах различных операционных систем. Создание эмуляция ложных информационных систем или их компонентов, предназначенных для обнаружения, регистрации и анализа действий нарушителей в процессе реализации угроз безопасности информации. Воспроизведение ложных и или скрытие истинных отдельных информационных технологий и или структурно-функциональных характеристик информационной системы или ее сегментов, обеспечивающее навязывание нарушителю ложного представления об истинных информационных технологиях и или структурно-функциональных характеристиках информационной системы. Перевод информационной системы или ее устройств компонентов в заранее определенную конфигурацию, обеспечивающую защиту информации, в случае возникновении отказов сбоев в системе защиты информации информационной системы. Скачать все версии програмы Инфо-Бухгалтер 10, и их обновления можно на странице загрузки Инфо-Бухгалтер При каждом её запуске происходит поиск доступных обновлениий, их скачивание и установка. Вы можете также скачивать и устанавливать обновление самостоятельно. Обновление не следует использовать в целях первоначальной установки программы! Горячие обновления подходят ТОЛЬКО для текущей актуальной версии программы! Скачать все версии програмы Инфо-Бухгалтер 8, и их обновления можно на странице загрузки Инфо-Бухгалтер 8. Отчетность за 9 месяцев г.. Санкт-Петербург 05 октября - Инфо-Право бухучет и налоги России Новинки года:. О нас Новости Работа в компании Программы для бухгалтера Инфо-Бухгалтер 10 Инфо-Бухгалтер 8 Регистрация программ Отчеты через Интернет Прайс-лист Где купить В интернет-магазине В офисе разработчика У региональных дилеров Акции Поддержка Вызов специалиста Законодательство База знаний Багтрекер Форум Все форумы Инфо-Бухгалтер 10 Инфо-Бухгалтер 8 Бухучет и налоги Корзина 0 Личный кабинет Войти Регистрация Забыли пароль? Приказ ФСТЭК России от Федеральная служба по техническому и экспортному контролю ФСТЭК России Приказ от 11 февраля г. N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" Зарегистрирован в Минюсте России Приложение N 1 к Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах Определение класса защищенности информационной системы 1. Класс защищенности информационной системы определяется в соответствии с таблицей: Идентификация и аутентификация субъектов доступа и объектов доступа ИАФ ИАФ. Управление доступом субъектов доступа к объектам доступа УПД УПД. Ограничение программной среды ОПС ОПС. Защита машинных носителей информации ЗНИ ЗНИ. Регистрация событий безопасности РСБ РСБ. Антивирусная защита АВЗ АВЗ. Обнаружение вторжений СОВ СОВ. Контроль анализ защищенности информации АНЗ АНЗ. Обеспечение целостности информационной системы и информации ОЦЛ ОЦЛ. Обеспечение доступности информации ОДТ ОДТ. Защита среды виртуализации ЗСВ ЗСВ. Защита технических средств ЗТС ЗТС. Защита информационной системы, ее средств, систем связи и передачи данных ЗИС ЗИС. Программа для бухгалтера, руководителя, ИП. Скачать бесплатную версию программы: Для индивидуальных предпринимателей УСН ОРН ПСН патент. Скачать обновление платформы и прикладных компонентов программы ВНИМАНИЕ: Обновление платформы Прикладные компоненты. Файл версий Все горячие обновления в одном архиве файле. Скачать демонстрационную версию программы: Для индивидуальных предпринимателей предприниматель на УСН. Для некоммерческих организаций и госучреждений НКО УСН НКО ОРН ГОС ОРН. Скачать обновление программы Инфо-Бухгалтер 8 ВНИМАНИЕ: УСН ОРН ГОС НКО ОРН НКО УСН ИП УСН. Инфо-Право бухучет и налоги России. Новая глава 34 НК РФ Страховые взносы в г. Календари на год: Федеральный закон от Обновлённая форма применяется начиная с отчетности за 9 месяцев г. Приказ ФНС России от Создание сайта — Dillix Media Group. Идентификация и аутентификация субъектов доступа и объектов доступа ИАФ. Идентификация и аутентификация пользователей, являющихся работниками оператора. Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных. Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов. Управление доступом субъектов доступа к объектам доступа УПД. Ограничение неуспешных попыток входа в информационную систему доступа к информационной системе. Разрешение запрет действий пользователей, разрешенных до идентификации и аутентификации. Регламентация и контроль использования в информационной системе технологий беспроводного доступа. Регламентация и контроль использования в информационной системе мобильных технических средств. Защита машинных носителей информации ЗНИ. Контроль перемещения машинных носителей информации за пределы контролируемой зоны. Контроль использования интерфейсов ввода вывода информации на машинные носители информации. Контроль ввода вывода информации на машинные носители информации. Определение событий безопасности, подлежащих регистрации, и сроков их хранения. Определение состава и содержания информации о событиях безопасности, подлежащих регистрации. Мониторинг просмотр, анализ результатов регистрации событий безопасности и реагирование на них. Генерирование временных меток и или синхронизация системного времени в информационной системе. Обновление базы данных признаков вредоносных компьютерных программ вирусов. Контроль анализ защищенности информации АНЗ. Контроль состава технических средств, программного обеспечения и средств защиты информации. Обеспечение целостности информационной системы и информации ОЦЛ. Контроль целостности информации, содержащейся в базах данных информационной системы. Ограничение прав пользователей по вводу информации в информационную систему. Контроль точности, полноты и правильности данных, вводимых в информационную систему. Периодическое резервное копирование информации на резервные машинные носители информации. Управление перемещением виртуальных машин контейнеров и обрабатываемых на них данных. Контроль целостности виртуальной инфраструктуры и ее конфигураций. Реализация и управление антивирусной защитой в виртуальной инфраструктуре. Защита информации, обрабатываемой техническими средствами, от ее утечки по техническим каналам. Исключение возможности отрицания пользователем факта отправки информации другому пользователю. Использование устройств терминального доступа для обработки информации. Изоляция процессов выполнение программ в выделенной области памяти. Защита беспроводных соединений, применяемых в информационной системе. Защита мобильных технических средств, применяемых в информационной системе.
Акции в посуда центре белгород каталог
Виды заболеваний глаз
Наб челны нижнекамск расписание
Приказ Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (с изменениями и дополнениями)
Можно ли подключить бойлер гибкими шлангами
Купил кредитный телефонс рук
Сколько раз менялась конституция россии
Приказ ФСТЭК России от 11.02.2013 N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах"
Играть в игры на 2 волейбол
Геометрическая интерпретация операций над случайными событиями
Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 11 февраля 2013 г. N 17 г. Москва "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах"
Сектор газа сигарета мелькает во тьме текст
Топ из бархата сшить
Схема предохранители на ладе приоре
Ошибка 404
Инструкция индезит плиты