Приложение N 6. Регламент контроля доступа к техническим ресурсам и информации в информационных системах единой мультисервисной телекоммуникационной сети Правительства Астраханской области

Приложение N 6
к постановлению министерства
государственного управления,
информационных технологий и
связи Астраханской области
от 20.04.2021 N 4-П

Регламент
контроля доступа к техническим ресурсам и информации в информационных системах единой мультисервисной телекоммуникационной сети Правительства Астраханской области

1. Общие положения

1.1. Регламент контроля доступа к техническим ресурсам и информации в информационных системах единой мультисервисной телекоммуникационной сети правительства Астраханской области (далее - Регламент) разработан в соответствии с законодательством Российской Федерации в целях повышения эффективности контроля и упорядочивания доступа к информационным системам (далее - ИС) и техническим ресурсам (далее - ТР) единой мультисервисной телекоммуникационной сети Правительства Астраханской области (далее - ЕМТС), порядка их использования, повышения уровня информационной безопасности.

1.2. Регламент определяет требования для выполнения процедур по предоставлению и прекращению доступа к ИС и ТР ЕМТС.

1.3. В Регламенте под доступом к информации, содержащейся в ИС, и под доступом к ТР ЕМТС понимается возможность получения и использования информации, содержащейся в ИС и ресурсах ЕМТС, в порядке, установленном Регламентом и в соответствии с законодательством Российской Федерации, а также положениями об этих ИС или ТР.

1.4. Регламент предназначен для использования в исполнительных органах государственной власти Астраханской области (далее - ИОГВ АО) и подведомственных им государственных учреждениях, органах местного самоуправления муниципальных образований Астраханской области (далее - ОМСУ АО) и подведомственных им муниципальных учреждениях.

1.5. Для целей Регламента используются понятия, определенные в Положении о единой мультисервисной телекоммуникационной сети Правительства Астраханской области, утвержденном распоряжением Правительства Астраханской области от 18.09.2013 N 424-Пр "О единой мультисервисной телекоммуникационной сети Правительства Астраханской области".

2. Основные определения и сокращения

авторизация - предоставление определенному лицу прав на выполнение определенных действий, а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий;

администрирование (административные механизмы) - процедуры управления информационными ресурсами, регламентирующие некоторые процессы или их часть;

администратор ИС - специалист (организация), обеспечивающий надлежащую работоспособность ИС и выполняющий следующие функции:

- управление учетными записями пользователей (включает в себя регистрацию пользователей в ИС (создание учетных записей), контроль использования учетных записей, задание ограничений на использование учетных записей, блокирование временно не использующихся учетных записей, удаление учетных записей);

- управление доступом к ресурсам ИС (включает в себя создание логических и регистрацию физических ресурсов ИС, обеспечение управляемого доступа к ресурсам с помощью списков управления доступом, контроль использования ресурсов);

- обеспечение сохранности, конфиденциальности и актуальности данных (включает в себя создание и поддержание нужного количества резервных копий, восстановление при необходимости данных, защиту данных от несанкционированного доступа путем установки соответствующих прав доступа, своевременное обновление данных);

- установка и сопровождение программного и аппаратного обеспечения (включая, в том числе, установку операционных систем на серверах и рабочих станциях ИС, установку серверного и клиентского программного обеспечения (далее - ПО), установку дополнительного аппаратного обеспечения; настройку и контроль работоспособности программного и аппаратного обеспечения);

административный пароль - комбинация символов (буквы, цифры, знаки препинания, специальные символы), известная администратору ЕМТС и/или администратору сегмента ЕМТС, используемая при настройке служебных учетных записей, учетных записей служб и сервисов, а также специальных учетных записей;

актуализация данных - приведение данных в соответствие с состоянием отображаемых объектов предметной области. Актуализация данных реализуется посредством операций добавления, исключения и редактирования записей;

временное прекращение полномочий - временное прекращение пользователем исполнения должностных обязанностей при длительном отсутствии пользователя на рабочем месте;

доступ к информационной системе - возможность ознакомления, поиска и обработки информации, находящейся в ИС, а также возможность использования информационных технологий и технических средств, необходимых для функционирования ИС;

компрометация пароля - нарушение конфиденциальности пароля;

контроль доступа - функция системы, обеспечивающая технологию безопасности, которая разрешает или запрещает доступ к определенным типам данных, основанную на идентификации субъекта, которому нужен доступ, и объекта данных, являющегося целью доступа;

локальная вычислительная сеть (далее - ЛВС) - это совокупность аппаратного и программного обеспечения, позволяющего объединить компьютеры в единую распределенную систему обработки и хранения информации;

несанкционированный доступ - доступ, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами;

одноразовый пароль - пароль, действительный только для одного сеанса аутентификации и в течение определенного промежутка времени;

пароль - комбинация символов (буквы, цифры, знаки препинания, специальные символы), используемая для подтверждения подлинности владельца учетной записи;

первичный пароль - средство аутентификации пользователя при первом входе, представляющее собой последовательность символов (буквы латинского алфавита и/или цифры);

прекращение полномочий пользователя - отстранение пользователя от исполнения должностных обязанностей;

рабочая станция - комплекс технических и программных средств, предназначенных для выполнения пользователем его функциональных обязанностей. Рабочая станция как автоматизированное рабочее место (далее - АРМ) пользователя представляет собой компьютер с соответствующим программным обеспечением;

система электронного документооборота ИОГВ АО (далее - СЭД) - организационно-техническая система, обеспечивающая автоматизированный процесс документооборота и делопроизводства в ИОГВ АО;

технический ресурс (ТР) - аппаратный или программно-аппаратный комплекс, предназначенный для обеспечения функционирования информационной инфраструктуры ЕМТС или обеспечения связанности сегмента ЕМТС с центральным коммутационным узлом ЕМТС;

центральный коммутационный узел ЕМТС - комплекс программных и технических средств, расположенных в серверном помещении и необходимых для функционирования ЕМТС и ее сервисов.

3. Порядок организации доступа к ТР и информации в ИС ЕМТС

3.1. Ответственный исполнитель.

3.1.1. В ИОГВ АО и ОМСУ АО назначается лицо, ответственное за представление актуальной информации о сотрудниках ИОГВ АО и ОМСУ АО в рамках реализации Регламента (далее - ответственный исполнитель). Ответственный исполнитель назначается из числа сотрудников ИОГВ АО или ОМСУ АО, обладающих необходимыми полномочиями контроля личного состава (руководитель кадрового подразделения организации).

3.1.2. Приказом или иным правовым актом организации назначается ответственный исполнитель, а также лицо, на которое возлагается временное исполнение обязанностей по актуализации данных во исполнение Регламента при отсутствии на рабочем месте ответственного исполнителя на срок более 1 рабочего дня (отпуск, командировка, временная нетрудоспособность и т.д.). Копия данного приказа или иного правового акта направляется администратору ИС посредством СЭД.

3.1.3. Ответственный исполнитель направляет актуальную информацию о сотрудниках ИОГВ АО или ОМСУ АО путем оформления заявки по форме в соответствии с Приложением 1 Регламента в адрес администратора ИС посредством СЭД ежеквартально в период с 10 по 20 число последнего месяца квартала.

3.1.4. Ответственный исполнитель в срок не более 2 рабочих дней с момента вступления в силу кадровых изменений предоставляет информацию об увольнении, приеме и ином кадровом перемещении в рамках своей организации администратору ИС в виде заявки (Приложение 2), направленной в адрес администратора ИС посредством СЭД.

3.1.5. В целях обеспечения эффективности предоставления информации ОМСУ АО рекомендуется назначить исполнителя, ответственного за сбор сведений с ОМСУ АО, находящихся на территории района, городского округа (при наличии) и дальнейшую передачу сводной информации в адрес администратора ИС.

3.1.6. Во исполнение пунктом 3.1.2. настоящего Регламента в приказе о назначении ответственного исполнителя районной администрации, необходимо перечислить ОМСУ АО, находящихся на территории района, городского округа (при наличии).

3.1.7. Ответственный исполнитель передает учетные данные, полученные от администратора ЕМТС/ИС соответствующему владельцу, соблюдая целостность и конфиденциальность данной информации во избежание несанкционированного доступа к информации или компрометации пароля.

3.1.8. Ответственный исполнитель несет ответственность за достоверность и актуальность информации, направляемой администратору ЕМТС/ИС в рамках реализации настоящего Регламента.

3.1.9. Ответственный исполнитель обязан знать и выполнять требования настоящего Регламента.

3.2. Администратор сегмента ЕМТС.

3.2.1. Администратор сегмента ЕМТС назначается приказом или иным правовым актом организации. Копия данного приказа или иного правового акта в течение 3 рабочих дней направляется администратору ЕМТС.

3.2.2. Администратор сегмента ЕМТС может производить администрирование учетных записей пользователей в пределах сегмента в соответствии с инструкцией администратора сегмента ЕМТС и документацией ИС при наличии технической возможности по согласованию с администратором ЕМТС и администратором ИС.

3.2.3. Администратор сегмента ЕМТС обеспечивает смену паролей пользователей в ИС и ресурсах ЕМТС в соответствии с требованиями инструкции по организации парольной защиты пользователей ЕМТС или иной документацией ИС в пределах обслуживаемого сегмента.

3.2.4. Учетные записи пользователей, не входящие в единую службу каталогов, создаются администратором сегмента ЕМТС самостоятельно.

3.2.5. При прекращении полномочий пользователя его учетная запись блокируется администратором сегмента ЕМТС в соответствии с инструкцией администратора сегмента ЕМТС и документацией ИС в пределах обслуживаемого сегмента при наличии технической возможности по согласованию с администратором ИС.

3.2.6. Администратор сегмента ЕМТС обязан знать и выполнять требования настоящего Регламента.

3.2.7. Администратор сегмента ЕМТС несет ответственность за контроль доступа к ТР ЕМТС в соответствии с требованиями Регламента в пределах обслуживаемого сегмента ЕМТС.

3.3. Организация доступа.

3.3.1. Предоставление, прекращение, ограничение доступа к информации в ИС при наделении или прекращении полномочий пользователя, осуществляется на основании заявки (Приложение 2), направленной ответственным исполнителем в адрес администратора ИС.

3.3.2. Предоставление, прекращение, ограничение доступа пользователей к ТР ЕМТС при наделении или прекращении полномочий пользователя осуществляется на основании заявки (Приложение 2), направленной ответственным исполнителем в адрес администратора сегмента ЕМТС или администратора ЕМТС (по сфере обслуживания).

3.3.3. При длительном отсутствии пользователя на рабочем месте на срок более 1 месяца (отпуск, временная нетрудоспособность и т.д.), доступ к информации в ИС и ТР ЕМТС временно приостанавливается.

3.3.4. Восстановление