Приказ Службы по контролю в области градостроительной деятельности Красноярского края от 18 февраля 2025 г. N 4/6 "О внесении изменений в приказ службы по контролю в области градостроительной деятельности Красноярского края от 14.08.2018 N 3-01/52 "Об обработке и защите персональных данных в службе по контролю в области градостроительной деятельности Красноярского края"

В соответствии со статьей 87 Трудового кодекса Российской Федерации, Федеральным законом от 27.07.2004 N 79-ФЗ "О государственной гражданской службе Российской Федерации", Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", постановлением Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", постановлением Правительства Красноярского края от 29.08.2008 N 64-п "Об утверждении Положения о службе по контролю в области градостроительной деятельности Красноярского края", учитывая приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 05.09.2013 N 996 "Об утверждении требований и методов по обезличиванию персональных данных", приказываю:

1. Внести в приказ службы по контролю в области градостроительной деятельности Красноярского края от 14.08.2018 N 3-01/52 "Об обработке и защите персональных данных в службе по контролю в области градостроительной деятельности Красноярского края" следующие изменения:

в Перечне информационных систем персональных данных службы по контролю в области градостроительной деятельности Красноярского края:

в графе 2 строки 1 слова "Информационная система персональных данных "1С: Зарплата и кадры государственного учреждения" заменить словами "Информационная система персональных данных "1С: Зарплата и кадры государственного учреждения 8";

в Перечне должностей государственных гражданских служащих службы по контролю в области градостроительной деятельности Красноярского края, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных:

в подпункте 1.1 слова "Заведующий отделом" заменить словами "Начальник отдела";

в Перечне должностей государственных гражданских служащих службы по контролю в области градостроительной деятельности Красноярского края, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным:

в графе "Наименование должности" слова "Заведующий отделом" заменить словами "Начальник отдела";

в Положении об организации обеспечения безопасности информации на объектах информатизации службы по контролю в области градостроительной деятельности по Красноярскому краю:

в наименовании слова "по Красноярскому краю" заменить словами "Красноярского края";

раздел 11 изложить в следующей редакции:

"11. Инструкция по защите от угроз фишинговых и вредоносных писем

11.1. Общие положения

Фишинг - вид интернет-мошенничества, целью которого является получение идентификационных данных пользователей (логин, пароль, номер кредитной карты и другой конфиденциальной информации), а также запуск вредоносного программного обеспечения на компьютере пользователя.

Целью фишинга является выведение человека на эмоции, позволяющие ослабить концентрацию человека, усыпить его бдительность.

Применение различных психологических приемов делает такой вид интернет-мошенничества чрезвычайно эффективным, в том числе в органах государственной власти.

Хакерскими группировками, нацеленными на органы государственной власти и субъекты критической информационной инфраструктуры Российской Федерации, осуществляются фишинговые рассылки электронных писем, замаскированных под нормативные акты и официальные документы. Во вложениях указанных писем содержатся вредоносные архивы.

В целях предотвращения реализации угроз безопасности информации, связанных с деятельностью указанных хакерских группировок по фишинговым рассылкам, необходимо принимать меры защиты по повышению защищенности информационной инфраструктуры Службы.

11.2. Критерии распознавания фишинговых писем

11.2.1. Признаки фишинговых писем:

1) отсутствует имя отправителя и контактные данные;

2) адрес отправителя состоит из бессмысленного набора букв;

3) письмо органа (организации) приходит с электронного адреса, отсутствующего на официальном сайте этого органа (организации);

4) отправитель представляется сотрудником компании, но пишет не с корпоративной почты, а с обычной: gmail.com, mail.ru, inbox.ru и т.п.;

5) в адресе отправителя и адресе ссылки имеются опечатки, грамматические и орфографические ошибки, присутствуют необычные символы, например, "@";

6) в письме используются буквы, похожие на кириллицу;

7) у файлов, вложенных в письмо, неизвестное расширение или непонятное название;

8) ссылки не вставлены в текст, а замаскированы изображениями, кнопками, яркими картинками и QR-кодами.

11.2.2. Темы, по которым можно отличить фишинговые письма:

"Кто-то взломал Вашу почту и узнал пароль";

"Мы обнаружили подозрительные или мошеннические действия в Вашей учётной записи";

"Кто-то изменил настройки безопасности Вашей почты";

"Ваша учётная запись заблокирована или отключена";

"Вы добавлены в чёрный список: мы поняли, что Вы мошенник или бот!";

"Вам важный документ из налоговой, полиции, кредитной организации и т. п.";

"Письмо от Вашего коллеги/партнёра с документами или "важными рабочими" ссылками";

"Вы выиграли приз! Перейдите по ссылке, чтобы узнать условия получения и/или доставки".

11.3. Меры защиты по повышению защищенности информационной инфраструктуры Службы

11.3.1. Администратор информационной безопасности Службы:

в целях проверки почтовых вложений с использованием средств антивирусной защиты настраивает функцию защиты от почтовых угроз для антивирусных средств, установленных на компьютерах сотрудников Службы;

организует получение почтовых вложений только от известных отправителей. Для этого формирует списки адресов электронной почты органов (организаций), с которыми осуществляется взаимодействие;

организует работу сотрудников Службы с электронной почтой под учетными записями пользователей операционной системы с минимальными возможными привилегиями;

обеспечивает незамедлительную реализацию организационных и технических мер по повышению защищенности информационной инфраструктуры Службы, в соответствии с решениями о необходимости осуществления таких мер, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю в пределах их компетенции и направленных в Службу с учетом меняющихся угроз в информационной сфере.

11.4. Действия сотрудника Службы при получении электронного письма

11.4.1. Если сотрудник Службы получил письмо, в котором от него требуют какого-либо взаимодействия, в том числе незамедлительного, или же такое письмо вызывает у сотрудника Службы любопытство, чувство страха или побуждает к действиям, например, "открой", "прочитай", "ознакомься", сотрудник Службы обязан внимательно проанализировать содержимое письма и, при необходимости, связаться для консультации с администратором информационной безопасности Службы.

11.4.2. Следует иметь в виду, что особого внимания требуют письма, которые:

содержат ссылку для перехода на сторонний ресурс (возможно, ссылка ведет на фишинговый поддельный ресурс). При этом еще большего внимания заслуживают письма, содержащие "короткие ссылки", так как невозможно определить, куда ведет такая ссылка;

содержат вложение (возможно, файл содержит вредоносный код для заражения компьютера сотрудника);

составлены на иностранном языке;

имеют большое количество получателей;

содержат орфографические ошибки;

связаны с финансовой, банковской сферой или геополитической обстановкой.

11.4.3. При получении электронного письма следует:

а) проверить имя домена отправителя электронного письма в целях идентификации отправителя. Для этого необходимо обратить внимание на наименование почтового адреса (домена), указанного после символа "@", и сопоставить его с адресами (доменами) органов (организаций), с которыми осуществляется служебная переписка;

б) проверить адрес отправителя, даже в случае совпадения имени с уже известным контактом;

в) проверить полное имя отправителя (для проверки полного имени отправителя, необходимо навести курсор мышки на указанное в письме имя отправителя) и затем проанализировать высветившийся адрес электронной почты в соответствии с информацией из официальных источников;

г) проверить ссылки (при их наличии) даже если письмо получено от другого пользователя информационной системы Службы (следует помнить о том, что сам факт направления сотруднику Службы по электронной почте ссылок, ведущих на сторонний ресурс, является подозрительным):

обратить внимание на название сайта, на который предлагают перейти. В нем может быть изменен порядок букв или, например, некоторые буквы могут быть заменены на цифры (например, www.s0branie.ru).

навести курсор мышки на ссылку (не нажимая на нее, ссылка появится или рядом с курсором, или в левой нижней части окна) и проверить, чтобы URL, указанный в электронном сообщении, и URL, отображаемый при наведении курсора на ссылку, совпадали;

вручную, не копируя ссылку, вбить её в строке поисковой системы (Яндекс, mail.ru и др.). Такой метод позволит заметить возможные "ошибки" в полученной ссылке;

д) проверить наличие вложений. Если отправитель, электронное письмо или причина, по которой сотрудника Службы просят открыть вложение, вызывает даже самое незначительное подозрение - ни при каких обстоятельствах не открывать его;

е) обращать внимание на возможные опечатки, орфографические ошибки, большое количество прописных букв, совпадение названий организации, имени отправителя и содержимого в тексте электронного письма.

ж) если полученное письмо вызывает сомнения, по возможности, связаться с отправителем или со справочной организации, от которой пришло такое электронное письмо, по другому каналу связи. При этом контактные данные нужно брать из авторитетных источников, например, на официальном сайте организации, а не из направленного письма.

11.4.4. Действия при обнаружении фишингового письма:

не переходить по ссылкам, особенно, если они длинные или, наоборот, созданы при помощи сервисов сокращения ссылок (например, bit.ly, tinyurl.com), либо по гиперссылкам, привязанным к тексту;

считать подозрительными письма, у которых в поле "Тема" содержится призыв к действиям (например "открой", "прочитай", "ознакомься"), а также упоминаются финансы, геополитическая обстановка или содержатся угрозы;

не открывать и не загружать почтовые вложения писем с тематикой, не относящейся к деятельности Службы;

не переходить по ссылкам о смене пароля или других учётных записей, чтобы поменять их;

не нажимать на ссылки, если они заменены на слова;

не копировать адрес ссылки;

не открывать и не скачивать вложения, особенно, если в них содержатся документы с макросами, архивы с паролями, а также файлы с расширениями .rtf, .lnk, .chm, .vhd;

не подгружать картинки от незнакомых людей;

не запускать макросы в офисных приложениях (макрос - это набор команд и инструкций, группируемых вместе в виде единой команды для автоматического выполнения задачи);

не пересылать письма коллегам;

проинформировать администратора информационной безопасности Службы, направив ему полученное письмо как вложение;

удалить фишинговое письмо.";

дополнить разделом 12 следующего содержания:

"12. Ответственность за нарушение требований законодательства

Лица, виновные в нарушении норм законодательства в сфере защиты информации, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, предусмотренном законодательством Российской Федерации.".

2. Опубликовать приказ на "Официальном интернет-портале правовой информации Красноярского края" (www.zakon.krskstate.ru).

3. Приказ вступает в силу в день, следующий за днем его официального опубликования.

4. Контроль за исполнением настоящего приказа оставляю за собой.

Руководитель службы

К.Ю. Шумов