Зарегистрировано в Минюсте России 31 мая 2013 г. N 28608 ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 11 февраля 2013 г. N 17 ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ.
Институт МОИБ
- Правительство Саратовской области
- Основная навигация
- В центре внимания
- Сертификация средств защиты информации от несанкционированного доступа
Приказ ФСТЭК России от 11.02.2013 № 17
IT-блогосфера буквально взорвалась от комментариев касательно этого законодательного акта. Рассмотрим самые на наш взгляд важные и полезные посты, которые помогут разобраться в Приказе, действие положений которого вступит в силу с 1 сентября 2013 года. Подробное описание всех!
Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных.
Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы абзац исключен. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы 16.
Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: установку и настройку средств защиты информации в информационной системе; разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее - организационно-распорядительные документы по защите информации ; внедрение организационных мер защиты информации; предварительные испытания системы защиты информации информационной системы; опытную эксплуатацию системы защиты информации информационной системы; анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Средства защиты информации, устанавливаемые в информационной системе, функционирующей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны быть совместимы между собой, а также со средствами защиты информации, установленными в информационно-телекоммуникационной инфраструктуре центра обработки данных.
Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем" далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34.
Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно.
Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами работниками , осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.
Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По решению заказчика оператора аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы.
При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях этапах ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации в информационной системе, в рамках системы подсистемы защиты информации информационной системы далее - система защиты информации информационной системы. Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение: неправомерных доступа, копирования, предоставления или распространения информации обеспечение конфиденциальности информации ; неправомерных уничтожения или модифицирования информации обеспечение целостности информации ; неправомерного блокирования информации обеспечение доступности информации. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия: формирование требований к защите информации, содержащейся в информационной системе; разработка системы защиты информации информационной системы; внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации далее - аттестация информационной системы и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы; обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации. Формирование требований к защите информации, содержащейся в информационной системе 14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации заказчиком. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования» далее - ГОСТ Р 51624 и в том числе включает: принятие решения о необходимости защиты информации, содержащейся в информационной системе; классификацию информационной системы по требованиям защиты информации далее - классификация информационной системы ; определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты информации информационной системы. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется: анализ целей создания информационной системы и задач, решаемых этой информационной системой; определение информации, подлежащей обработке в информационной системе; анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система; принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации заказчика , оператора и уполномоченных лиц. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов составных частей. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала, оснащенности и мотивации внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности.
Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы далее - заказчики и операторов государственных информационных систем далее - операторы. Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее - уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных , утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119 Собрание законодательства Российской Федерации, 2012, N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации заказчиком и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 года N 99-ФЗ "О лицензировании отдельных видов деятельности" Собрание законодательства Российской Федерации, 2011, N 19, ст.
Приказ ФСТЭК РФ от 11.02.2013 № 17
Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных,1 не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.
При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных. В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика.
Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания» далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию. При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34.
Виды, комплектность и обозначение документов при создании автоматизированных систем» далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы.
Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы 16. Внедрение системы защиты информации информационной системы организуется обладателем информации заказчиком. Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает: установку и настройку средств защиты информации в информационной системе; разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации далее - организационно-распорядительные документы по защите информации ; внедрение организационных мер защиты информации; предварительные испытания системы защиты информации информационной системы; опытную эксплуатацию системы защиты информации информационной системы; анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению; приемочные испытания системы защиты информации информационной системы. К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации. Средства защиты информации, устанавливаемые в информационной системе, функционирующей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны быть совместимы между собой, а также со средствами защиты информации, установленными в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры: управления администрирования системой защиты информации информационной системы; выявления инцидентов одного события или группы событий , которые могут привести к сбоям или нарушению функционирования информационной системы и или к возникновению угроз безопасности информации далее - инциденты , и реагирования на них; управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы; контроля мониторинга за обеспечением уровня защищенности информации, содержащейся в информационной системе; защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации. При внедрении организационных мер защиты информации осуществляются: реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации; отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем» далее - ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование эксплуатация нарушителем невозможно. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям. Проведение аттестационных испытаний информационной системы должностными лицами работниками , осуществляющими проектирование и или внедрение системы защиты информации информационной системы, не допускается. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. По решению заказчика оператора аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. При проведении аттестационных испытаний должны применяться следующие методы проверок испытаний : экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы; анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой конфигурированием программного обеспечения и средств защиты информации; испытания системы защиты информации путем осуществления попыток несанкционированного доступа воздействия к информационной системе в обход ее системы защиты информации. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации.
IT-блогосфера буквально взорвалась от комментариев касательно этого законодательного акта. Рассмотрим самые на наш взгляд важные и полезные посты, которые помогут разобраться в Приказе, действие положений которого вступит в силу с 1 сентября 2013 года. Подробное описание всех!
Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы федеральный, региональный, объектовый. Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. Требование к классу защищенности включается в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации. Результаты классификации информационной системы оформляются актом классификации. Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности.
Правительство Саратовской области
экспертные оценки аудиторов, комментарии специалистов в области бухгалтерского учета и налогообложения, рекомендации финансового и налогового ведомств, арбитражные решения. применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г. Директор Федеральной службы по техническому и экспортному контролю УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 11 февраля 2013 года № 17 Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных. "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (Зарегистрировано в Минюсте России 31.05.2013 N 28608) (с изм. и доп.
Приказ ФСТЭК № 17: комментарии экспертов
| ФСТЭК. Приказ 17. Требования о защите информации, не составляющей государственную тайну | УТВЕРЖДЕНЫ приказом ФСТЭК России. от 2 июня 2020 г. № 76. |
| Сертификация средств защиты информации от несанкционированного доступа | Приказ ФСТЭК №17 о защите ГИС претерпел довольно большое количество изменений. Всего их 14. Разберемся с каждым из изменений далее. |
| Приказ ФСТЭК № 17: комментарии экспертов | СудАкт: Судебные и нормативные акты РФ Судебные и нормативные акты РФ. |
| Приказ ФСТЭК России от 11.02.2013 N 17 (ред. от 28.05.2019) | Директор федеральной службы по техническому и экспортному контролю. В. Селин. Зарегистрировано в Минюсте РФ 31 мая 2013 г. Регистрационный № 28608. УТВЕРЖДЕНЫ приказом ФСТЭК России от «11» февраля 2013 г. № 17. |
| Приказ ФСТЭК России от 11 февраля 2013 г. N 17 - ИСПДн.инфо - защита персональных данных | В частности указаны следующие требования: Класс ГИС, которая переезжает в облачный ЦОД не должен быть выше класса самого ЦОД, а это значит, что сам ЦОД должен пройти классификацию (новый абзац в пункте 14.2 17-го приказа). |
Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17
третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. (в ред. Приказа ФСТЭК РФ от 15.02.2017 N 27). Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. I. Общие положения. ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 11 февраля 2013 года № 17 Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных. Если определенный уровень защищенности ПДн выше, чем класс защищенности ГИС, то осуществляется повышение класса защищенности ГИС в соответствии с пунктом 27 Требований, утвержденных Приказом ФСТЭК России №17. 13 сентября 2019 г. в Минюсте были зарегистрированы изменения в приказ ФСТЭК России №17 "Требования о защите информации, не составляющей государственную тайн.
Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17
Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем» далее — ГОСТ 34. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением. В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34. Аттестация информационной системы и ввод ее в действие 17. Аттестация информационной системы организуется обладателем информации заказчиком или оператором и включает проведение комплекса организационных и технических мероприятий аттестационных испытаний , в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.
В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации. В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания. Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации. Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы.
В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации. Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия. Повторная аттестация информационной системы осуществляется в случае окончания срока действия аттестата соответствия или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы 18. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает: управление администрирование системой защиты информации информационной системы; выявление инцидентов и реагирование на них; управление конфигурацией аттестованной информационной системы и ее системы защиты информации; контроль мониторинг за обеспечением уровня защищенности информации, содержащейся в информационной системе. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации 19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает: архивирование информации, содержащейся в информационной системе; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации.
Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах с изменениями на 27 апреля 2020 года I. Общие положения 1. Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" Собрание законодательства Российской Федерации, 2006, N 31, ст. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну далее - информация , от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию носители информации в целях ее добывания, уничтожения, искажения или блокирования доступа к ней далее - защита информации при обработке указанной информации в государственных информационных системах. Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации". В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных криптографических средств защиты информации. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы далее - заказчики и операторов государственных информационных систем далее - операторы. Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации заказчика или оператора и или предоставляющее им вычислительные ресурсы мощности для обработки информации на основании заключенного договора далее - уполномоченное лицо , обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации.
В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119 Собрание законодательства Российской Федерации, 2012, N 45, ст. По решению обладателя информации заказчика или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах. Защита информации, содержащейся в государственной информационной системе далее - информационная система , обеспечивается путем выполнения обладателем информации заказчиком и или оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе. Требования к организации защиты информации, содержащейся в информационной системе 8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации , общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.
Результаты классификации информационной системы оформляются актом классификации. Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных.
Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. Всего их 14. Разберемся с каждым из изменений далее. Приемочные испытания и аттестационные испытания можно совместить по решению заказчика п. Новое определение — ЦОД Центр обработки данных далее — ЦОД — технологически и территориально обособленные серверные комплексы, включая рабочие станции, предназначенные для обслуживающего персонала, и технологическое оборудование, обеспечивающие функционирование серверов стойки, источники бесперебойного питания, коммутационное оборудование и кабельные системы. Дополнительные обязательные требования к СрЗИ Согласно п. Данный пункт вступает в силу 1 июня 2020 года. УД должен указываться в сертификате соответствия СрЗИ.
Следовательно, необходимо ждать обновленные сертификаты на СрЗИ к 01. Пункт 26. Комплекс мероприятий по планированию мер по защите информации в ГИС включает: определение лиц, ответственных за планирование и контроль мероприятий по защите информации в ГИС; определение лиц, ответственных, за выявление инцидентов и реагирование на них; разработка, утверждение и актуализация плана мероприятий по защите информации в ГИС; определение порядка контроля выполнения мероприятий по обеспечению защиты информации в ГИС, предусмотренных утвержденным планом. Для выполнения данных мероприятий оператор должен подготовить следующие организационно-распорядительные документы ОРД : перечень лиц, ответственных за планирование и контроль мероприятий по защите информации в ГИС; перечень лиц, ответственных за выявление инцидентов и реагирование на них; план мероприятий по защите информации, в котором будет указан порядок контроля выполнения мероприятий. Комплекс мероприятий по проведению периодического анализа угроз и уязвимостей безопасности информации в ГИС включает: выявление, анализ и устранение уязвимостей информационной системы; анализ изменения угроз безопасности информации в информационной системе; оценка возможных последствий реализации угроз безопасности в информационной системе.
Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации.
Результаты классификации информационной системы оформляются актом классификации. N 127 зарегистрирован Минюстом России 5 ноября 2013 г. N 266 зарегистрирован Минюстом России 14 июля 2016 г. Угрозы безопасности информации определяются по результатам оценки возможностей потенциала внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации конфиденциальности, целостности, доступности. В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации bdu. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.
При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных. По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и или техническое задание частное техническое задание на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34. При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации заказчика , а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации заказчика.
В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разработка системы защиты информации информационной системы 15. Разработка системы защиты информации информационной системы организуется обладателем информации заказчиком. Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.
При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов мощностей , предоставляемых уполномоченным лицом для обработки информации. Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на информационную систему систему защиты информации информационной системы , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Проектная документация на информационную систему и или ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка доработка средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и или ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и или техническим заданием частным техническим заданием на создание системы защиты информации информационной системы.
Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются: проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами; проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы; корректировка проектных решений, разработанных при создании информационной системы и или системы защиты информации информационной системы; абзац исключен. Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации. Внедрение системы защиты информации информационной системы 16.
Защита документов
| Федеральная служба по техническому и экспортному контролю: Приказ № 17 от 11.02.2013 | 13 сентября 2019 г. в Минюсте были зарегистрированы изменения в приказ ФСТЭК России №17 "Требования о защите информации, не составляющей государственную тайн. |
| Приказ ФСТЭК России от 11.02.2013 N 17 (ред. от 28.05.2019) | Требования о защите информации, не составляющей государственную тайну, содержащейся в. государственных информационных системах (утв. приказом Федеральной службы по техническому и экспортному контролю. от 11 февраля 2013 г. N 17). |
| Приказ ФСТЭК России от 11.02.2013 № 17 | Редакция действует с 1 января 2021 | Юрист компании | Приказ Министерства строительства и жилищно-коммунального хозяйства Российской Федерации (Минстрой России) от 5 мая 2014 г. № 223/пр г. Москва "Об утверждении условий отнесения жилых помещений к жилью экономического класса". |
| Приказ ФСТЭК России от 11 февраля 2013 г. N 17 - ФСТЭК России | Утверждены приказом ФСТЭК России от 11 февраля 2013 г. № 17. Требования о защите информации, не составляющей государственную тайну, Содержащейся в государственных информационных системах. |
Создание СЗИ ИС в соответствии с требованиями Приказа ФСТЭК России от 11.02.2013 г. № 17
Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 11 февраля 2013 г. N 17 г. Москва "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных. 17 Приказ ФСТЭК – утверждает требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения. Утверждены приказом ФСТЭК России от 11 февраля 2013 г. N 17 ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ. Контроль соответствия требованиям Приказа ФСТЭК России № 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям. (в ред. Приказа ФСТЭК РФ от 15.02.2017 N 27).
17 приказ фстэк кратко
| Приказ ФСТЭК России от 11.02.2013 № 17 | Редакция действует с 1 января 2021 | Главбух | Если в рассматриваемых информационных системах обрабатываются ПДн, то требования Приказа 17 применяются "наряду с требованиями Постановления Правительства РФ №1119 " (п.5.). А вот, например, Приказ 21 нигде в документе не упоминается. |
| Защита документов | ПРИКАЗ. от 11 февраля 2013 г. N 17. Об утверждении требований. |
Обзор изменений приказа ФСТЭК №17 утверждённых 28.05.2019
ПРИКАЗ от 11 февраля 2013 г. N 17. Об утверждении требований о защите информации, не составляющей государственную тайну, Содержащейся в государственных информационных системах. УТВЕРЖДЕНЫ приказом ФСТЭК России от 11 февраля 2013 г. N 17. 45. Приказ ФСТЭК России от 21 декабря 2017 г. № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».