Приложение N 4. Общие требования и правила защиты конфиденциальной информации и данных с особым режимом доступа, содержащейся в муниципальных базах и банках данных и порядок доступа к ней

Приложение N 4

к Положению о муниципальных базах данных

от 30 сентября 1997 г. N 031-06-1577/7

Общие требования и правила
защиты конфиденциальной информации и данных с особым
режимом доступа, содержащейся в муниципальных базах
и банках данных и порядок доступа к ней
(утв. Постановлением мэра города Иркутска
от 30 сентября 1997 г. N 031-06-1577/7)

1. Разработка муниципальных баз и банков данных

1.1. Разработка муниципальных баз и банков данных, содержащих конфиденциальную информацию и данные с особым режимом доступа, (далее по тексту информация с ограниченным доступом) осуществляется по письменному указанию мэра города, его заместителей.

1.2. При проектировании и внедрении информационных технологий должны быть учтены и реализованы правила и требования к организационному и программно-математическому обеспечению информации с ограниченным доступом, изложенные в разделах 2 и 3 настоящих общих требований и правил.

1.3. В случаях использования информации с ограниченным доступом в процессе разработки муниципальных баз и банков данных организация-исполнитель должна обеспечить уровень защиты информации в соответствии с п. 6.10. настоящего Положения.

2. Организация меры защиты информации с ограниченным
доступом

2.1. Право граждан и организаций на доступ к муниципальным базам и банкам данных, содержащим информацию с ограниченным доступом и условия ее предоставления, устанавливаются письменным разрешением собственника или владельца этих баз и банков данных в пределах его полномочий.

2.2. Условиями предоставления информации с ограниченным доступом, содержащейся в муниципальных базах и банках данных, должны оговариваться право и порядок ее включения пользователем в создаваемую им производную информацию.

2.3. Ответственность за обеспечение уровня защиты информации несет руководитель организации, которая осуществляет обработку информации с ограниченным доступом, являющейся муниципальной собственностью. Для организации работ по обеспечению защиты информации с ограниченным доступом назначается ответственный. В случае применения при обработке информации с ограниченным доступом, содержащейся в муниципальных базах данных, с применением средств программно-математической защиты в организации должен быть назначен ответственный за их эксплуатацию.

2.4. В организации, осуществляющей обработку информации с ограниченным доступом должен быть составлен список исполнителей, имеющих право использовать в своей работе информацию с ограниченным доступом, либо список лиц, участвующих в процессе обработке информации с ограниченным доступом. Список исполнителей утверждается руководителем организации. Исполнители, имеющие право использовать в своей работе, либо участвующие в процессе обработки информации с ограниченным доступом должны быть проинструктированы и ознакомлены под роспись с требованиями и правилами защиты информации и ответственностью за нарушение режима защиты информации.

2.5. Для регистрации и учета деятельности по обработке информации с ограниченным доступом, содержащейся в муниципальных базах и банках данных в организации, независимо от того применяются ли при обработке информации cредства программно-математической защиты,ведется соответствующий журнал.

2.5.1. Журнал регистрации и учета должен отвечать следующим требованиям: страницы пронумерованы; журнал прошит, опечатан и скреплен подписью ответственного за обеспечение режима защиты информации: записи в журнал заносятся исполнителями под роспись одновременно с проведением работ; проверка журнала ответственным производится ежедневно в конце рабочего дня, результаты проверки оформляются письменно под роспись; проверка журнала руководителем организации осуществляется ежемесячно, результаты проверки оформляются письменно под роспись; журнал предоставляется собственнику информации или уполномоченным им лицам для осуществления контроля по первому их требованию.

2.5.2. В состав сведений, характеризующих процесс обработки информации, должны входить: дата и время проведения операций по обработки информации: Ф.И.О. исполнителя; цель, основание для проведения и результат операций по обработке информации; применение в процессе обработки информации средств вычислительной и копировально-множительной техники; реквизиты получателя информации; количество экземпляров и носитель (регистрационный номер машиночитаемого носителя) на котором передается информация.

Кроме того, в журнале могут содержаться и другие сведения, позволяющие определить кто и в каких целях используется информацию с ограниченным доступом.

2.6. Для регистрации и учета машиночитаемых носителей информации применяемых при обработке информации с ограниченным доступом, содержащейся в муниципальных базах и баках данных в организации ведется соответствующий журнал, в котором фиксируются факты регистрации носителей с указанием даты, типа носителя и присваиваемого ему регистрационного номера.

2.7. В случае одновременной обработки на электронных вычислительных машинах муниципальных баз и банков данных, содержащих информацию с ограниченным доступом, и прочей открытой информации данные работы должны производится только исполнителями, определяемыми в соответствии с п.2.4. настоящих общих требований и правил. Исключение составляют случаи, предусмотренные п. 3.2.2..

2.8. Порядок предоставления пользователям информации с ограниченным доступом, содержащейся в муниципальных базах и банках данных, должен предусмотреть: указание места; ответственных должностных лиц; времени и периодичности; вид носителей, на которых предоставляется информация, а также необходимых процедур оформления передачи информации.

2.9. При осуществлении контроля за выполнением требований по защите информации владелец информации, собственник муниципальных баз и банков данных или уполномоченные им лица должны соблюдать условия конфиденциальности самой информации и результатов проверки

2.10. В случае выявления нарушений выполнения требований по защите информации, при проверке собственником муниципальных баз и банков данных или уполномоченными им лицами, пользователь или владелец муниципальных баз данных обязан приостановить обработку конфиденциальной информации до особого разрешения.

3. Программно-математическое обеспечение защиты
информации с ограниченным доступом

3.1. Программно-математическое обеспечение защиты информации с ограниченным доступом применяется при формировании и использовании муниципальных баз и банков данных с помощью электронных вычислительных машин.

3.2. При формировании и использовании муниципальных баз и банков данных программно-математическое обеспечение должно реализовывать следующие требования защиты информации от несанкционированного доступа:

3.2.1. Парольный доступ, реализующий идентификацию прав исполнителя при интерактивном (диалоговом) режиме обработки информации с ограниченным доступом.

3.2.2. При обработке информации с ограниченным доступом в реальном масштабе времени реализуются следующие функции: регистрация пользователей с присвоением индивидуальных кодов (паролей) с установлением прав их доступа к информации; идентификация и разграничение прав пользователей по их индивидуальным кодам; возможность отслеживания попыток несанкционированного доступа к информации; кодирование информации при передаче по незащищенным каналам связи; ведение системного журнала обработки конфиденциальной информации с регистрацией (даты, времени, характера и результата операции; индивидуального кода пользователя; количества экземпляров и носителя, на который выводится информация) и других сведений, позволяющих определить кто и в каких целях использует конфиденциальную информацию; периодическое либо по требования представление информации системного журнала в машинописном виде.

3.3. По требованию собственника информации с ограниченным доступом при ее передаче по линиям связи могут применяться криптографические методы защиты.

3.4. Применения программно-математических средств и мер защиты не отменяет необходимости организационных мер защиты информации с ограниченным доступом.

Начальник управления информатизации

А.Ю. Губов