Приложение

Приложение
к постановлению Правительства
Приморского края
от 17.02.2023 N 110-пп

"УТВЕРЖДЕН
постановлением
Правительства Приморского края
от 14 сентября 2020 года N 808-пп

Порядок
создания, ввода в эксплуатацию, эксплуатации, развития, вывода из эксплуатации информационных систем Правительства Приморского края, органов исполнительной власти Приморского края

I. Общие положения

1.1. Настоящий Порядок создания, ввода в эксплуатацию, эксплуатации, развития, вывода из эксплуатации информационных систем Приморского края (далее - Порядок) разработан в соответствии с Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации", постановлением Правительства Приморского края от 14 сентября 2020 года N 808-пп "О координации мероприятий, направленных на использование информационно-коммуникационных технологий, создание, эксплуатацию и модернизацию информационных систем и информационно-телекоммуникационной инфраструктуры, осуществляемых органами исполнительной власти Приморского края, подразделениями аппарата Губернатора Приморского края и Правительства Приморского края" и устанавливает механизм взаимодействия органов исполнительной власти Приморского края при создании, вводе в эксплуатацию, эксплуатации, развитии, выводе из эксплуатации информационных систем Правительства Приморского края, органов исполнительной власти Приморского края (далее - информационные системы).

1.2. Создание, ввод в эксплуатацию, эксплуатация, развитие, вывод из эксплуатации информационных систем и дальнейшее хранение содержащейся в их базах данных информации осуществляется в соответствии с Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации", приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 года N 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных", а также настоящим Порядком.

1.3. Для целей настоящего Порядка используются следующие понятия:

уполномоченный орган - министерство цифрового развития и связи Приморского края;

оператор информационной системы - орган исполнительной власти Приморского края или юридическое лицо, осуществляющие на основании распорядительного акта органа исполнительной власти Приморского края либо гражданско-правового договора деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных;

обладатель информационной системы - орган исполнительной власти Приморского края, осуществляющий деятельность по управлению информационной системой и ее использованию в своих целях и являющийся обладателем информации, содержащейся в информационной системе (далее - обладатель);

заказчик информационной системы - орган исполнительной власти Приморского края, подведомственное ему краевое государственное учреждение, осуществляющий мероприятия по созданию, вводу в эксплуатацию, развитию и выводу из эксплуатации информационной системы (далее - заказчик).

1.4. Иные понятия и термины, используемые в Порядке, применяются в значениях, определенных действующим законодательством Российской Федерации и Приморского края.

1.5. При реализации органами исполнительной власти Приморского края мероприятий по созданию, вводу в эксплуатацию, эксплуатации, развитию, выводу из эксплуатации информационных систем и дальнейшему хранению содержащейся в их базах данных информации, в случае наличия в них персональных данных, должно обеспечиваться выполнение требований законодательства Российской Федерации о безопасности персональных данных.

II. Создание информационных систем

2.1. Основанием для создания информационной системы является решение заказчика о создании информационной системы Приморского края.

2.2. В целях принятия решения о создании информационной системы заказчик формирует и направляет в уполномоченный орган техническое задание на создание информационной системы, разработанное в соответствии с комплексом действующих государственных стандартов в области информационных технологий на автоматизированные системы, и проект положения об информационной системе (далее - положение) с использованием государственной информационной системы "Региональная система межведомственного электронного документооборота".

2.3. Проект положения должен содержать:

наименование органа исполнительной власти Приморского края или краевого государственного учреждения, являющегося заказчиком информационной системы;

наименование органа исполнительной власти Приморского края, являющегося обладателем информационной системы;

наименование оператора;

наименование информационной системы;

цель (цели) создания информационной системы;

сведения о наличии (отсутствии) персональных данных в информационной системе;

назначение и функциональные задачи информационной системы;

основные принципы построения информационной системы;

структуру информации, содержащейся в информационной системе;

категории участников информационного обмена в рамках информационной системы;

порядок подключения (отключения) к информационной системе участников информационного обмена;

порядок эксплуатации информационной системы, включающий зоны ответственности сторон, их права и обязанности;

порядок соблюдения требований информационной безопасности участниками информационной системы.

2.4. Уполномоченный орган в течение 30 календарных дней со дня поступления технического задания, разработанного в соответствии с комплексом действующих государственных стандартов в области информационных технологий на автоматизированные системы, и проекта положения рассматривает представленные техническое задание и проект положения и направляет заказчику уведомление о согласовании решения о создания информационной системы либо мотивированное заключение о необходимости корректировки указанных документов в случае их несоответствия требованиям пунктов 1.5, 2.3 настоящего Порядка.

2.5. Создание информационной системы осуществляется заказчиком информационной системы посредством принятия решения о создании информационной системы в форме правового акта органа исполнительной власти Приморского края либо Правительства Приморского края, согласованного с уполномоченным органом и обладателем информационной системы (далее - решение о создании информационной системы), с учетом уровней защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных и требований Порядка.

III. Ввод информационных систем в эксплуатацию

3.1. Основанием для ввода информационной системы в эксплуатацию является правовой акт органа исполнительной власти Приморского края либо Правительства Приморского края о вводе информационной системы в эксплуатацию, устанавливающий срок начала эксплуатации информационной системы и определяющий (при необходимости) перечень мероприятий по обеспечению ее ввода в эксплуатацию:

мероприятия по разработке и утверждению организационно-распорядительных документов, определяющих мероприятия по защите персональных данных в ходе эксплуатации информационной системы, подготовка которых предусмотрена нормативными правовыми актами и методическими документами федерального органа исполнительной власти в области обеспечения безопасности и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, а также национальными стандартами в области защиты информации;

мероприятия по подготовке должностных лиц органа исполнительной власти Приморского края к эксплуатации информационной системы, включая лиц, ответственных за обеспечение защиты персональных данных.

3.2. Ввод информационной системы в эксплуатацию не допускается в случае отсутствия в реестре территориального размещения объектов контроля, предусмотренном Правилами осуществления контроля за размещением технических средств информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями, на территории Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 6 июля 2015 года N 675 "О порядке осуществления контроля за соблюдением требований, предусмотренных частью 2.1 статьи 13 и частью 6 статьи 14 Федерального закона "Об информации, информационных технологиях и о защите информации", сведений о размещении технических средств информационной системы на территории Российской Федерации.

3.3. Срок начала эксплуатации информационной системы не может быть ранее срока окончания мероприятий, предусмотренных правовыми актами о вводе информационной системы в эксплуатацию, указанных в пункте 3.1 настоящего Порядка (в случае наличия в правовых актах таких мероприятий).

IV. Эксплуатация информационных систем

4.1. Основанием для начала эксплуатации информационной системы является наступление срока, установленного правовым актом о вводе информационной системы в эксплуатацию.

4.2. Орган исполнительной власти Приморского края осуществляет эксплуатацию информационной системы в соответствии с требованиями, технической документацией, установленными для создания системы.

V. Развитие информационных систем

5.1. Мероприятия по развитию системы осуществляются заказчиком, указанным в решении о создании информационной системы, в соответствии с положением об информационной системе по согласованию с уполномоченным органом и обладателем информационной системы.

5.2. При подготовке мероприятий по развитию информационной системы заказчик проводит оценку актуальности определенных при создании информационной системы типа угроз безопасности персональных данных и требований по защите информации. Сведения о проведенной оценке и установленных требованиях по защите информации с учетом изменений либо без них включаются в техническое задание на развитие информационной системы.

5.3. В случае когда в результате развития информационной системы возникает необходимость внесения изменений в решение о создании информационной системы и (или) в положение об информационной системе, подготовка и обеспечение принятия проекта правового акта о внесении соответствующих изменений осуществляется заказчиком в течение 60 календарных дней со дня окончания работ по развитию информационной системы.

VI. Организация защиты информации, содержащейся в информационных системах

6.1. Заказчик в целях выполнения требований о защите персональных данных, предусмотренных пунктом 1.5 настоящего Порядка, определяет требования к защите персональных данных, содержащихся в информационной системе, для чего осуществляет:

определение информации, подлежащей защите от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий в отношении такой информации;

анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

классификацию информационной системы в соответствии с требованиями о защите информации;

определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;

формирование требований к подсистеме защиты информации и информационной системе в целом с учетом реализации данных требований, в том числе к механизмам, встроенным в прикладное программное обеспечение.

6.2. Защита информации осуществляется обладателем, оператором, участниками информационного обмена и пользователями информационной системы в соответствии с пределами их полномочий, определяемыми положением об информационной системе, на всех этапах эксплуатации информационной системы, включая ввод в эксплуатацию, эксплуатацию, развитие и вывод из эксплуатации.

6.3. В случае если в информационной системе не осуществляется обработка персональных данных, требования к необходимым и достаточным мерам по защите информации, направленным на обеспечение целостности и доступности системы, устанавливаются заказчиком по согласованию с уполномоченным органом при создании (развитии) соответствующей информационной системы.

VII. Вывод из эксплуатации информационных систем

7.1. Основанием для вывода информационной системы из эксплуатации является:

завершение срока эксплуатации информационной системы (в случае если такой срок был установлен решением о создании информационной системы);

нецелесообразность эксплуатации информационной системы, в том числе низкая эффективность используемых технических средств и программного обеспечения, изменение правового регулирования, принятие управленческих решений, а также наличие иных изменений, препятствующих эксплуатации информационной системы;

финансово-экономическая неэффективность эксплуатации информационной системы.

7.2. При наличии одного или нескольких оснований для вывода информационной системы из эксплуатации, указанных в пункте 7.1 настоящего Порядка, заказчик, указанный в решении о создании информационной системы, осуществляет подготовку проекта правового акта органа исполнительной власти либо Правительства Приморского края о выводе из эксплуатации информационной системы, который должен содержать следующую информацию:

основание для вывода информационной системы из эксплуатации;

перечень и сроки реализации мероприятий по выводу информационной системы из эксплуатации;

порядок, сроки, режим хранения и дальнейшего использования информационных ресурсов, включая порядок обеспечения доступа к информационным ресурсам выводимой из эксплуатации информационной системы и обеспечения защиты персональных данных, содержащихся в выводимой из эксплуатации информационной системе (при наличии);

порядок, сроки и способы информирования пользователей о выводе информационной системы из эксплуатации.

7.3. Проект правового акта органа исполнительной власти либо Правительства Приморского края о выводе из эксплуатации информационной системы подлежит согласованию с уполномоченным органом и обладателем информационной системы.".