Приложение. Положение об обеспечении безопасности информации в АС ВПН-2010

1.1. Положение об обеспечении безопасности информации в АС ВПН-2010 (далее - Положение) разработано с целью определения единого порядка организации работы по обеспечению безопасности информации при ее обработке АС ВПН-2010.

1.2. Положение является обязательным для организаций, разрабатывающих, эксплуатирующих и обслуживающих АС ВПН-2010, и распространяется на все режимы ее использования.

1.3. В целях обеспечения безопасности информации в АС ВПН-2010 настоящим Положением устанавливается комплекс организационных, технических и правовых мер защиты информации. Правовые меры защиты реализуются в соответствии с действующим законодательством Российской Федерации и нормативными правовыми актами Росстата.

1.4. Правовой основой настоящего Положения являются Конституция Российской Федерации, федеральные законы:

- от 29 ноября 2007 года N 282-ФЗ "Об официальном статистическом учете и системе государственной статистики в Российской Федерации" (принят Государственной Думой 9 ноября 2007 года, одобрен Советом Федерации 16 ноября 2007 года);

- от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения" (принят Государственной Думой 27 декабря 2001 года, одобрен Советом Федерации 16 января 2002 года);

- от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (принят Государственной Думой 8 июля 2006 года, одобрен Советом Федерации 14 июля 2006 года);

- от 27 июля 2006 года N 152-ФЗ "О персональных данных" (принят Государственной Думой 8 июля 2006 года, одобрен Советом Федерации 14 июля 2006 года);

- постановление от 15 сентября 2008 года N 687 "Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации" (принято Правительством Российской Федерации 15 сентября 2008 года),

а также международные договоры Российской Федерации и другие нормативные правовые акты, которые определяют права и обязанности граждан, общества и государства в сфере информационных отношений.

1.5. Росстат организует работу по обеспечению безопасности информации и осуществляет контроль за соблюдением требований безопасности информации в АС ВПН-2010.

Реализацию комплекса организационных и технических мер обеспечения безопасности информации в АС ВПН-2010 осуществляет центр обработки данных на федеральном уровне (ЦОДФУ), на региональном уровне - территориальные органы государственной статистики (ТОГС), в которых будет проводиться автоматизированная обработка данных ВПН-2010.

1.6. Развитие комплекса организационных и технических мер обеспечения безопасности информации в АС ВПН-2010 осуществляется в соответствии с Концепцией по подготовке и проведению Всероссийской переписи населения 2010 года, утвержденной приказом Росстата N 122 от 30.07.2007.

1.7. Информационные ресурсы АС ВПН-2010, содержащие конфиденциальную информацию, независимо от уровня и способа их формирования являются государственными информационными ресурсами. Такие ресурсы собираются, обрабатываются, накапливаются, хранятся и передаются в условиях соблюдения конфиденциальности.

1.8. Порядок обработки конфиденциальной информации в АС ВПН-2010 устанавливается в соответствии с нормативными правовыми актами Российской Федерации, приведенными в пункте 1.4. настоящего Положения.

3.1. Целями обеспечения безопасности информации в АС ВПН-2010 являются:

- защита информации в АС ВПН-2010 организационными, программными и техническими средствами от несанкционированного доступа, в том числе и по каналам связи, а также от воздействия в целях уничтожения, искажения или блокирования доступа к содержащимся в АС ВПН-2010 сведениям;

- обеспечение достоверности информации, передаваемой по каналам связи в АС ВПН-2010;

- сочетание защищенности информации в АС ВПН-2010 с открытостью системы и доступностью информации, содержащейся в информационных ресурсах АС ВПН-2010, в соответствии с нормативными правовыми актами Российской Федерации.

3.2. Безопасность информации в АС ВПН-2010 обеспечивается средствами защиты информации и комплексом организационных и правовых мер.

К организационным мерам относятся:

- назначение должностных лиц, ответственных за организацию работы по обеспечению безопасности информации на объектах комплекса средств автоматизации (КСА) АС ВПН-2010;

- планирование мероприятий, проводимых с целью обеспечения безопасности информации в АС ВПН-2010;

- сертификация АС ВПН-2010 и средств ее защиты в порядке, установленном федеральным законодательством;

- исключение несанкционированного доступа к АС ВПН-2010;

- проверка готовности АС ВПН-2010 и ее фрагментов перед проведением переписи;

- применение утвержденной в установленном порядке эксплуатационной документации;

- организация и проведение работ по обеспечению сохранности и работоспособности комплексов средств автоматизации;

- соблюдение установленных правил обеспечения безопасности информации при работе с программными и техническими средствами, в том числе со средствами защиты информации и антивирусной защиты в АС ВПН-2010, а также контроль за их функционированием;

- подготовка работников, подтвержденная сертификатом о праве эксплуатации комплекса средств автоматизации;

- установление ответственности за нарушение правил использования и эксплуатации АС ВПН-2010.

К техническим мерам относятся:

- применение сертифицированных специальных программных средств и лицензионных программных средств общего назначения, а также сертифицированных технических средств и средств связи;

- обеспечение подлинности и целостности информации в АС ВПН-2010;

- защита информации при ее передаче по сетям связи.

3.3. Средства защиты информации используются в АС ВПН-2010 с соблюдением следующих условий:

- специалисты АС ВПН-2010 наделяются полномочиями по доступу к ресурсам АС ВПН-2010 в соответствии со своими функциональными обязанностями;

- использование программного обеспечения осуществляется и контролируется в соответствии с документацией на КСА по установленному регламенту;

- исключается возможность использования КСА для работ, не предусмотренных документацией на КСА;

- не допускается подключение КСА АС ВПН-2010 к сети Интернет;

- изменение конфигурации КСА производится только на основании решения Росстата, принятого в установленном порядке.

4.1. Для реализации комплекса мер по обеспечению безопасности информации предусматриваются следующие мероприятия.

4.2. Контроль за обеспечением подлинности и целостности информации в АС ВПН-2010.

4.3. Особенности организации обработки конфиденциальной информации, осуществляемой без использования средств автоматизации.

4.4. Организация и проведение работ по обеспечению сохранности оборудования и информационных ресурсов АС ВПН-2010.

4.5. Защита информации при ее передаче по сетям связи.

4.6. Является обязательным наличие у работников, осуществляющих ввод информации в АС ВПН-2010, сертификатов на право эксплуатации КСА АС ВПН-2010, выданных в соответствии с утверждаемым Росстатом удостоверением на право эксплуатации КСА АС ВПН-2010.

4.7. Специальная всесторонняя проверка готовности АС ВПН-2010 и ее фрагментов перед проведением переписи осуществляется в ходе общесистемных тренировок. Организация и проведение общесистемных тренировок возлагается на ЦОДФУ.

4.8. Сертификация АС ВПН-2010 и средств ее защиты осуществляется в порядке, установленном федеральным законодательством.

5.1. Доступ к информационным ресурсам АС ВПН-2010, содержащим конфиденциальную информацию, специалистами АС ВПН-2010 осуществляется в объеме, необходимом для исполнения служебных обязанностей, определенных должностным регламентом.

5.2. Порядок доступа специалистов КСА ТОГС к информационным ресурсам АС ВПН-2010, содержащим конфиденциальную информацию, устанавливается переписной комиссией субъекта Российской Федерации в соответствии с нормативными правовыми актами, приведенными в пункте 1.4. настоящего Положения.

5.3. Право доступа к информационным ресурсам АС ВПН-2010 всех уровней, не содержащим конфиденциальной информации, имеют специалисты АС ВПН-2010.

5.4. Порядок рассмотрения письменных мотивированных запросов, полученных от должностных лиц органов государственной власти, государственных органов, органов местного самоуправления о предоставлении конфиденциальной информации, а также порядок ее предоставления указанным лицам устанавливается в соответствии с нормативными правовыми актами, приведенными в пункте 1.4. настоящего Положения.

6.1. Каждый специалист АС ВПН-2010 имеет право на обработку информационных ресурсов АС ВПН-2010 в соответствии с его полномочиями, определенными должностным регламентом.

7.1. ЦОДФУ организует работу по обеспечению безопасности информации и осуществляет контроль за соблюдением требований обеспечения защиты информации в КСА всех уровней при проведении переписи.

Работники ЦОДФУ (соответствующих структурных подразделений), работники подразделений автоматизированной обработки, системные администраторы КСА АС ВПН-2010, а также работники ТОГС, осуществляют эксплуатацию средств защиты информации и практическую реализацию мероприятий по обеспечению безопасности информации в АС ВПН-2010.

7.2. Специалисты АС ВПН-2010 обязаны обеспечить своевременный и точный ввод данных в АС ВПН-2010.

7.3. Специалисты АС ВПН-2010 обязаны соблюдать требования действующих нормативных правовых актов, организационных, нормативно-технических и методических документов, регламентирующих защиту информации при работе на КСА.

7.4. Специалисты АС ВПН-2010 обязаны использовать в своей работе программно-технические средства, указанные в утвержденных руководителем Росстата конфигурациях программно-технических средств (ПТС) КСА Росстата, ТОГС регионального и районного уровней, не допускать установки программно-технических средств, не предусмотренных документацией на указанные КСА.

7.5. Специалисты АС ВПН-2010 обязаны не разглашать известные им конфиденциальную информацию.

7.6. Руководитель ТОГС и начальник технологического отдела осуществляют контроль за соблюдением требований по обеспечению безопасности информации в соответствующих региональных фрагментах АС ВПН-2010, в том числе требований, предусмотренных настоящим Положением.

7.7. Специалисты АС ВПН-2010, в чьи должностные обязанности входит работа с информационными ресурсами АС ВПН-2010, обязаны:

- знать конфигурацию, состав и назначение программно-технических средств АС ВПН-2010, используемых в работе;

- соблюдать предписанные эксплуатационной документацией правила работы на автоматизированном рабочем месте;

- использовать аппаратные и программные средства только в служебных целях;

- иметь представление о видах угроз безопасности информации, технических и программных средствах, которые находятся под его контролем или к которым он имеет доступ, а также о возможностях применяющихся на его автоматизированном рабочем месте средств защиты информации;

- не допускать нарушения требований обеспечения безопасности информации, дополнительной установки каких-либо программных и аппаратных средств, не предусмотренных для его автоматизированного рабочего места.

7.8. Все специалисты АС ВПН-2010, обрабатывающие информационные ресурсы системы, должны знать и обязаны выполнять требования обеспечения безопасности информации и настоящего Положения.

8.1. В территориальных органах Росстата ответственность за организацию и выполнение работ по защите информации в соответствующих региональных фрагментах АС ВПН-2010 несут руководитель ТОГС и начальник технологического отдела, а ответственность за обеспечение защиты информации - системный администратор.

8.2. Специалисты АС ВПН-2010, имеющие доступ к информационным ресурсам АС ВПН-2010, содержащим конфиденциальную информацию, должны быть ознакомлены с обязанностями по обеспечению безопасности информации и ответственностью за их нарушение.

8.3. Ответственность за утрату документов или машиночитаемых носителей с конфиденциальной информацией или разглашение сведений, содержащихся в них, персонально несет работник, допустивший их утрату (разглашение).

8.4. Федеральные органы государственной власти, государственные органы, наделенные в соответствии с действующим законодательством Российской Федерации правом контроля и проверки обеспечения защиты конфиденциальной информации, могут осуществлять соответствующие проверки при наличии у уполномоченных лиц этих органов официальных письменных разрешений, предписаний или других соответствующих актов. Форма и сроки проверки определяются по предварительному согласованию с Росстатом.

8.5. Разглашение конфиденциальной информации или утрата документов, машиночитаемых носителей информации, содержащих конфиденциальную информацию, влечет за собой последствия, предусмотренные действующим законодательством Российской Федерации, а также договорными обязательствами между работодателем и принятым на работу работником, закрепленными служебным контрактом (трудовым договором либо гражданско-правовым договором).

8.6. По факту разглашения сведений или утраты документов, указанных в пункте 8.4, руководитель ТОГС или директор ЦОДФУ соответственно незамедлительно назначают комиссию для проведения служебного расследования, в состав которой обязательно включают представителя Росстата или уполномоченное лицо ЦОДФУ.

По факту разглашения сведений или утраты документов Росстат и ЦОДФУ извещаются немедленно.

8.7. Комиссия, проводившая служебное расследование, принимает меры по локализации нежелательных последствий разглашения конфиденциальной информации, устанавливает обстоятельства происшествия и виновных в утрате (разглашении), а также причины и условия, способствовавшие этому.

8.8. Служебное расследование должно проводиться в течение четырнадцати суток со дня обнаружения факта разглашения (утраты). По результатам расследования руководителем Росстата принимается решение о привлечении виновных к ответственности, предусмотренной законодательством Российской Федерации. Результаты проведенного расследования представляются в Росстат в трехдневный срок после его завершения.

8.9. Законодательством Российской Федерации за нарушение правил защиты информационных ресурсов АС ВПН-2010 при их использовании предусмотрена уголовная, административная и дисциплинарная ответственность.

Уголовная ответственность предусмотрена за неправомерное вмешательство в работу АС ВПН-2010 и за неправомерный доступ к компьютерной информации (ст. 141 и 272 УК РФ соответственно), за создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК РФ), за нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК РФ).

Административная ответственность установлена за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах, за нарушение правил защиты информации, за незаконную деятельность в области защиты информации, за разглашение информации с ограниченным доступом (ст. 13.11, 13.12, 13.13, 13.14 КоАП РФ).

Дисциплинарная ответственность применяется к лицу, в должностные (трудовые) обязанности которого входило соблюдение или обеспечение соблюдения правил работы с конфиденциальной информацией. Виды дисциплинарных взысканий предусмотрены статьей 192 Трудового кодекса Российской Федерации, статьей 57 Федерального закона от 27 июля 2004 года N 79-ФЗ "О государственной гражданской службе Российской Федерации".