Приложение

Приложение
к постановлению Правительства
Свердловской области
от 24 января 2019 г. N 40-ПП

Положение
о порядке создания и эксплуатации государственных информационных систем Свердловской области

Глава 1. Общие положения

1. Настоящее положение определяет порядок создания и эксплуатации государственных информационных систем Свердловской области, создаваемых на основании правовых актов Губернатора Свердловской области, Правительства Свердловской области, Аппарата Губернатора Свердловской области и Правительства Свердловской области, областных и территориальных исполнительных органов государственной власти Свердловской области (далее также - государственные органы Свердловской области).

2. Настоящее положение разработано в соответствии со следующими нормативными правовыми актами:

1) Федеральный закон от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

2) Федеральный закон от 5 апреля 2013 года N 44-ФЗ "О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд";

3) постановление Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" (далее - постановление Правительства Российской Федерации от 01.11.2012 N 1119);

4) постановление Правительства Российской Федерации от 06.07.2015 N 675 "О порядке осуществления контроля за соблюдением требований, предусмотренных частью 2.1 статьи 13 и частью 6 статьи 14 Федерального закона "Об информации, информационных технологиях и о защите информации" (далее - постановление Правительства Российской Федерации от 06.07.2015 N 675);

5) постановление Правительства Российской Федерации от 06.07.2015 N 676 "О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации";

6) приказ Федеральной службы по техническому и экспортному контролю от 11.02.2013 N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (далее - приказ Федеральной службы по техническому и экспортному контролю от 11.02.2013 N 17);

7) Закон Свердловской области от 20 октября 2011 года N 94-ОЗ "О государственных информационных системах Свердловской области";

8) постановление Правительства Свердловской области от 11.01.2012 N 4-ПП "Об утверждении Положения о порядке формирования и ведения Реестра государственных информационных систем Свердловской области";

9) постановление Правительства Свердловской области от 06.05.2013 N 578-ПП "Об утверждении Концепции развития единой информационно-коммуникационной инфраструктуры Свердловской области";

10) распоряжение Правительства Свердловской области от 26.11.2015 N 1241-РП "О порядке использования единой информационно-коммуникационной инфраструктуры Свердловской области".

3. В настоящем положении применяются следующие основные термины и понятия:

1) заказчик государственной информационной системы - орган государственной власти Свердловской области или иной государственный орган Свердловской области, заключивший государственный контракт на создание и развитие государственной информационной системы Свердловской области;

2) информационные ресурсы - информация, сведения и документы, содержащиеся в информационных системах;

3) функциональный заказчик - орган государственной власти Свердловской области или иной государственный орган Свердловской области, определяющий функциональные требования к государственной информационной системе Свердловской области.

Иные термины и понятия используются в значениях, установленных законодательством Российской Федерации и законодательством Свердловской области.

4. Государственные информационные системы Свердловской области подлежат размещению в центре обработки данных Правительства Свердловской области в соответствии с требованиями нормативных правовых актов Свердловской области и организационно-распорядительных документов к единой информационно-коммуникационной инфраструктуре Свердловской области.

5. Техническое сопровождение создания и эксплуатации государственных информационных систем Свердловской области осуществляется государственным бюджетным учреждением Свердловской области "Оператор электронного правительства".

Глава 2. Порядок создания государственных информационных систем Свердловской области

6. Основаниями для создания государственной информационной системы Свердловской области являются:

1) обязанность государственных органов Свердловской области по созданию государственной информационной системы Свердловской области, предусмотренная законодательством Российской Федерации и законодательством Свердловской области;

2) решение государственного органа Свердловской области о создании государственной информационной системы Свердловской области с целью обеспечения реализации возложенных на него полномочий.

7. Решение о создании ведомственной государственной информационной системы Свердловской области принимается государственным органом Свердловской области в форме правового акта по согласованию с основным уполномоченным исполнительным органом государственной власти Свердловской области в сфере создания и эксплуатации государственных информационных систем Свердловской области (далее - уполномоченный орган).

8. Решение о создании межведомственной государственной информационной системы Свердловской области утверждается правовым актом Губернатора Свердловской области или Правительства Свердловской области по согласованию с уполномоченным органом, в котором определяется заказчик государственной информационной системы и функциональный заказчик.

9. При принятии решения о создании государственных информационных систем Свердловской области проводится анализ существующих государственных информационных систем Свердловской области в целях исключения создания государственных информационных систем Свердловской области, дублирующих цели и задачи уже существующих.

10. Создание государственной информационной системы Свердловской области осуществляется в соответствии с техническим заданием с учетом модели угроз безопасности информации, предусмотренной в подпункте 4 пункта 40 настоящего положения.

Модель угроз безопасности информации и (или) техническое задание на создание государственной информационной системы Свердловской области согласуются с федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий в части, касающейся выполнения установленных требований о защите информации.

11. Техническое задание на создание государственной информационной системы Свердловской области разрабатывает заказчик государственной информационной системы и согласовывает его с уполномоченным органом.

Техническое задание на создание государственной информационной системы Свердловской области должно включать сформированные в соответствии с подпунктом 1 пункта 39 настоящего положения требования к защите информации, содержащейся в государственной информационной системе Свердловской области.

Техническое задание на создание государственной информационной системы Свердловской области и модель угроз безопасности информации утверждаются должностным лицом государственного органа Свердловской области, на который возложены соответствующие полномочия.

12. Порядок создания государственной информационной системы Свердловской области включает следующие последовательно реализуемые этапы:

1) разработка документации на государственную информационную систему Свердловской области и ее части;

2) разработка рабочей документации на государственную информационную систему Свердловской области и ее части;

3) разработка или адаптация программного обеспечения;

4) пусконаладочные работы;

5) проведение предварительных испытаний государственной информационной системы Свердловской области;

6) проведение опытной эксплуатации государственной информационной системы Свердловской области;

7) проведение приемочных испытаний государственной информационной системы Свердловской области.

13. Этап разработки документации на государственную информационную систему Свердловской области и ее части включает разработку, согласование и утверждение документации в объеме, необходимом для описания полной совокупности проектных решений (в том числе по защите информации) и достаточном для дальнейшего выполнения работ по созданию государственной информационной системы Свердловской области.

14. Этап разработки рабочей документации на государственную информационную систему Свердловской области и ее части включает разработку, согласование и утверждение документации, содержащей сведения, необходимые для выполнения работ по вводу государственной информационной системы Свердловской области в эксплуатацию и ее эксплуатации, и порядка эксплуатации государственной информационной системы Свердловской области, содержащего сведения, необходимые для выполнения работ по поддержанию уровня эксплуатационных характеристик (качества) системы (в том числе по защите информации), установленных в проектных решениях, указанных в пункте 13 настоящего положения, в том числе:

1) перечень действий сотрудников при выполнении задач по эксплуатации государственной информационной системы Свердловской области, включая перечень, виды, объемы и периодичность выполнения работ по обеспечению функционирования государственной информационной системы Свердловской области;

2) контроль работоспособности государственной информационной системы Свердловской области и компонентов, обеспечивающих защиту информации;

3) перечень неисправностей, которые могут возникнуть в процессе эксплуатации государственной информационной системы Свердловской области, и рекомендации в отношении действий при их возникновении;

4) перечень режимов работы государственной информационной системы Свердловской области и их характеристики, а также порядок и правила перевода государственной информационной системы Свердловской области с одного режима работы на другой с указанием необходимого для этого времени.

15. Этап разработки или адаптации программного обеспечения включает разработку программного обеспечения государственной информационной системы Свердловской области, выбор и адаптацию приобретаемого программного обеспечения, а также в установленных случаях и порядке сертификацию разработанного программного обеспечения государственной информационной системы Свердловской области и средств защиты информации по требованиям безопасности информации.

16. Этап пусконаладочных работ включает автономную наладку технических средств и программного обеспечения частей государственной информационной системы Свердловской области, загрузку информации в ее базу данных, комплексную наладку технических средств и программного обеспечения государственной информационной системы Свердловской области, включая средства защиты информации.

17. Этап проведения предварительных испытаний включает:

1) разработку программы и методики предварительных испытаний, в соответствии с которыми осуществляется проверка государственной информационной системы Свердловской области на работоспособность и соответствие техническому заданию на ее создание;

2) проверку государственной информационной системы Свердловской области на работоспособность и соответствие техническому заданию на ее создание;

3) устранение выявленных при проведении таких испытаний неисправностей и внесение изменений в документацию и рабочую документацию на государственную информационную систему Свердловской области;

4) оформление протокола испытаний и акта о приемке государственной информационной системы Свердловской области в опытную эксплуатацию.

18. Этап проведения опытной эксплуатации включает:

1) разработку программы и методики опытной эксплуатации;

2) опытную эксплуатацию государственной информационной системы Свердловской области в соответствии с программой и методикой опытной эксплуатации;

3) доработку программного обеспечения государственной информационной системы Свердловской области и дополнительную наладку технических средств в случае обнаружения недостатков, выявленных при опытной эксплуатации государственной информационной системы Свердловской области;

4) оформление акта о завершении опытной эксплуатации, включающего перечень недостатков, которые необходимо устранить до начала эксплуатации государственной информационной системы Свердловской области.

19. Этап проведения приемочных испытаний включает:

1) испытания государственной информационной системы Свердловской области на соответствие техническому заданию на ее создание в соответствии с программой и методикой приемочных испытаний;

2) анализ результатов устранения недостатков, указанных в акте о завершении опытной эксплуатации;

3) оформление акта о приемке государственной информационной системы Свердловской области в эксплуатацию.

20. Выбор исполнителя на выполнение работ, оказание услуг по созданию государственной информационной системы Свердловской области осуществляется с учетом требований, предусмотренных законодательством Российской Федерации.

21. Ввод государственной информационной системы Свердловской области в эксплуатацию осуществляется в соответствии с требованиями к порядку ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем Свердловской области, указанными в главе 3 настоящего положения.

22. Государственная информационная система Свердловской области подлежит регистрации в Реестре государственных информационных систем Свердловской области в соответствии с порядком формирования и ведения Реестра государственных информационных систем Свердловской области, утвержденным Правительством Свердловской области.

23. Создание межведомственной государственной информационной системы Свердловской области осуществляется в соответствии с пунктами 12-22 настоящего положения.

24. При создании межведомственной государственной информационной системы Свердловской области:

1) заказчик государственной информационной системы:

разрабатывает и согласовывает с функциональным заказчиком и иными заинтересованными органами государственной власти Свердловской области техническое задание на создание и развитие межведомственной государственной информационной системы Свердловской области в соответствии с пунктом 11 настоящего положения;

организует проведение конкурсных процедур на право заключения контракта на создание и развитие межведомственной государственной информационной системы Свердловской области в соответствии с требованиями, предусмотренными законодательством Российской Федерации;

формирует комиссию по приемке работ (услуг) на создание и развитие межведомственной государственной информационной системы Свердловской области с обязательным включением представителя функционального заказчика;

2) функциональный заказчик:

инициирует и согласовывает функциональные требования к межведомственной государственной информационной системе Свердловской области и ее развитию;

участвует в приемочных испытаниях создания и развития межведомственной государственной информационной системы Свердловской области;

готовит проект правового акта Губернатора Свердловской области или Правительства Свердловской области о вводе межведомственной государственной информационной системы Свердловской области в эксплуатацию, утверждении положения о межведомственной государственной информационной системе Свердловской области, определении оператора межведомственной государственной информационной системы Свердловской области и оператора технической поддержки межведомственной государственной информационной системы Свердловской области и согласовывает его с уполномоченным органом;

организует процесс работы в межведомственной государственной информационной системе Свердловской области.

Глава 3. Требования к порядку ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем Свердловской области

25. Основанием для ввода государственной информационной системы Свердловской области в эксплуатацию является правовой акт государственного органа Свердловской области о вводе государственной информационной системы Свердловской области в эксплуатацию, определяющий перечень мероприятий по обеспечению ввода государственной информационной системы Свердловской области в эксплуатацию и устанавливающий срок начала эксплуатации.

26. Правовой акт государственного органа Свердловской области о вводе государственной информационной системы Свердловской области в эксплуатацию включает:

1) мероприятия по разработке и утверждению организационно-распорядительных документов, определяющих мероприятия по защите информации в ходе эксплуатации государственной информационной системы Свердловской области, разработка которых предусмотрена нормативными правовыми актами и методическими документами федерального органа исполнительной власти в области обеспечения безопасности и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, а также национальными стандартами в области защиты информации;

2) мероприятия по аттестации государственной информационной системы Свердловской области по требованиям защиты информации, в результате которых в установленных законодательством Российской Федерации случаях подтверждается соответствие защиты информации, содержащейся в государственной информационной системе Свердловской области, требованиям, предусмотренным законодательством Российской Федерации об информации, информационных технологиях и о защите информации;

3) мероприятия по подготовке государственного органа Свердловской области к эксплуатации государственной информационной системы Свердловской области;

4) мероприятия по подготовке должностных лиц государственного органа Свердловской области к эксплуатации государственной информационной системы Свердловской области, включая лиц, ответственных за обеспечение защиты информации;

5) определение оператора государственной информационной системы Свердловской области и оператора технической поддержки государственной информационной системы Свердловской области;

6) положение о государственной информационной системе Свердловской области.

27. Положение о государственной информационной системе Свердловской области должно содержать следующие разделы:

1) общие положения;

2) предназначение и функциональные задачи государственной информационной системы Свердловской области;

3) основные принципы построения государственной информационной системы Свердловской области;

4) структура государственной информационной системы Свердловской области;

5) участники информационного взаимодействия в рамках государственной информационной системы Свердловской области;

6) техническое сопровождение государственной информационной системы Свердловской области;

7) развитие государственной информационной системы Свердловской области.

28. Ввод государственной информационной системы Свердловской области в эксплуатацию не допускается в следующих случаях:

1) невыполнение установленных законодательством Российской Федерации требований о защите информации, включая отсутствие действующего аттестата соответствия требованиям безопасности информации;

2) отсутствие в реестре территориального размещения объектов контроля, предусмотренном Правилами осуществления контроля за размещением технических средств информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями, на территории Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 06.07.2015 N 675;

3) невыполнение требований настоящей главы, выявленных в ходе осуществления контроля в соответствии с Правилами осуществления контроля за соблюдением требований к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации, утвержденными постановлением Правительства Российской Федерации от 06.07.2015 N 675.

29. Основанием для начала эксплуатации государственной информационной системы Свердловской области является наступление срока, установленного правовым актом государственного органа Свердловской области о вводе государственной информационной системы Свердловской области в эксплуатацию, указанным в пункте 25 настоящего положения.

Срок начала эксплуатации государственной информационной системы Свердловской области не может быть ранее срока окончания последнего мероприятия, предусмотренного правовым актом государственного органа Свердловской области о вводе государственной информационной системы Свердловской области в эксплуатацию.

30. Эксплуатация государственной информационной системы Свердловской области должна осуществляться в соответствии с рабочей документацией, указанной в пункте 14 настоящего положения.

31. Особенности эксплуатации государственных информационных систем Свердловской области устанавливаются в соответствии с техническими регламентами и правовыми актами государственных органов Свердловской области, принимающих решения о создании таких государственных информационных систем Свердловской области.

32. Основаниями для вывода государственной информационной системы Свердловской области из эксплуатации являются:

1) завершение срока эксплуатации государственной информационной системы Свердловской области в случае, если такой срок был установлен правовым актом государственного органа Свердловской области о вводе государственной информационной системы Свердловской области в эксплуатацию;

2) нецелесообразность эксплуатации государственной информационной системы Свердловской области, в том числе низкая эффективность используемых технических средств и программного обеспечения, изменение правового регулирования, принятие управленческих решений, а также наличие иных изменений, препятствующих эксплуатации государственной информационной системы Свердловской области;

3) финансово-экономическая неэффективность эксплуатации государственной информационной системы Свердловской области.

33. При наличии одного или нескольких оснований для вывода государственной информационной системы Свердловской области из эксплуатации, указанных в пункте 32 настоящего положения, государственный орган Свердловской области, принявший решение о ее создании, издает правовой акт о выводе государственной информационной системы Свердловской области из эксплуатации.

34. Правовой акт государственного органа Свердловской области о выводе государственной информационной системы Свердловской области из эксплуатации включает:

1) основание для вывода государственной информационной системы Свердловской области из эксплуатации;

2) перечень и сроки реализации мероприятий по выводу государственной информационной системы Свердловской области из эксплуатации;

3) порядок, сроки, режим хранения и дальнейшего использования информационных ресурсов, включая порядок обеспечения доступа к информационным ресурсам выводимой из эксплуатации государственной информационной системы Свердловской области и обеспечения защиты информации, содержащейся в выводимой из эксплуатации государственной информационной системе Свердловской области;

4) порядок, сроки и способы информирования пользователей о выводе государственной информационной системы Свердловской области из эксплуатации.

35. Перечень мероприятий по выводу государственной информационной системы Свердловской области из эксплуатации включает:

1) подготовку правовых актов государственного органа Свердловской области, связанных с выводом государственной информационной системы Свердловской области из эксплуатации;

2) работы по выводу государственной информационной системы Свердловской области из эксплуатации, в том числе работы по деинсталляции программного обеспечения системы, реализации прав на программное обеспечение системы, демонтажу и списанию технических средств государственной информационной системы Свердловской области, обеспечению хранения и дальнейшего использования информационных ресурсов государственной информационной системы Свердловской области;

3) обеспечение защиты информации в соответствии с документацией на государственную информационную систему Свердловской области и организационно-распорядительными документами по защите информации, в том числе архивирование информации, содержащейся в государственной информационной системе Свердловской области, уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

36. Если законодательством Российской Федерации не установлено иное, то сроки хранения информации, содержащейся в базах данных государственной информационной системы Свердловской области, определяются государственным органом Свердловской области и не могут быть меньше сроков хранения информации, которые установлены для хранения документов в бумажном виде, содержащих такую информацию.

37. Срок вывода государственной информационной системы Свердловской области из эксплуатации не может быть ранее срока окончания последнего мероприятия, предусмотренного правовым актом государственного органа Свердловской области о выводе государственной информационной системы Свердловской области из эксплуатации.

38. Государственная информационная система Свердловской области считается выведенной из эксплуатации с даты отмены регистрации в Реестре государственных информационных систем Свердловской области в соответствии с порядком формирования и ведения Реестра государственных информационных систем Свердловской области, утвержденным Правительством Свердловской области.

Глава 4. Обеспечение защиты информации в государственных информационных системах Свердловской области

39. При реализации государственными органами Свердловской области мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации государственных информационных систем Свердловской области и дальнейшему хранению содержащейся в их базах данных информации должны выполняться:

1) требования о защите информации, содержащейся в государственных информационных системах Свердловской области, устанавливаемые федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий;

2) требования к организации и мерам защиты информации, содержащейся в государственной информационной системе Свердловской области.

40. В целях выполнения требований о защите информации, предусмотренных в пункте 39 настоящего положения (далее - требования о защите информации), государственные органы Свердловской области определяют требования к защите информации, содержащейся в государственной информационной системе Свердловской области государственного органа Свердловской области, для чего осуществляют:

1) определение информации, подлежащей защите от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, представления, распространения, а также иных неправомерных действий в отношении такой информации;

2) анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать государственная информационная система Свердловской области;

3) классификацию государственной информационной системы Свердловской области в соответствии с требованиями о защите информации;

4) определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в государственной информационной системе Свердловской области, и разработку на их основе модели угроз безопасности информации;

5) определение требований к государственной информационной системе Свердловской области (подсистеме) защиты информации, содержащейся в государственной информационной системе Свердловской области.

41. При разработке технических и организационных мер по технической защите информации в государственных информационных системах Свердловской области заказчик государственной информационной системы должен руководствоваться постановлением Правительства Российской Федерации от 01.11.2012 N 1119 и приказом Федеральной службы по техническому и экспортному контролю от 11.02.2013 N 17.

42. Для проведения работ по защите информации в ходе создания и эксплуатации государственных информационных систем Свердловской области обладателем информации и заказчиком государственной информационной системы в случаях, предусмотренных законодательством Российской Федерации и законодательством Свердловской области, привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 года N 99-ФЗ "О лицензировании отдельных видов деятельности".

43. Технические средства, предназначенные для обработки информации, содержащейся в государственных информационных системах Свердловской области, в том числе программно-технические средства и средства защиты информации, должны соответствовать требованиям законодательства Российской Федерации о техническом регулировании.

Глава 5. Развитие государственных информационных систем Свердловской области

44. Мероприятия по развитию государственной информационной системы Свердловской области осуществляются в соответствии с настоящим положением.