Примерная форма положения о защите информации ограниченного доступа о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры (май 2025)

>>

[организационно-правовая форма, наименование организации, предприятия]

Утверждаю [подпись, Ф. И. О., должность лица, утверждающего положение] [число, месяц, год] М. П.

Положение
о защите информации ограниченного доступа о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры
[указать полное наименование организации]

1. Общие положения

1.1. Настоящее Положение о защите информации ограниченного доступа о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры (далее по тексту - Положение) разработано на основе Федерального закона от 09.02.2007 г. N 16-ФЗ "О транспортной безопасности", Федерального закона от 27.07.2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" и других нормативных правовых актов.

1.2. В соответствии с Федеральным законом от 27.07.2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).

1.3. Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.

1.4. В соответствии в с п. 4 ст. 5 Федерального закона от 09.02.2007 г. N 16-ФЗ "О транспортной безопасности" сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры и транспортных средств являются информацией ограниченного доступа (далее по тексту - Информация ограниченного доступа).

1.5. Настоящее Положение определяет комплекс организационных и технических мероприятий в части защиты информации ограниченного доступа, не составляющей государственной тайны, при ее обработке, обращении, хранении и передаче по каналам связи.

1.6. Требования настоящего Положения являются обязательными для всех работников [наименование организации], на которых возлагаются организация, осуществление и контроль мероприятий по защите информации ограниченного доступа.

1.7. Настоящее Положение не распространяется на порядок обращения с документами, содержащими сведения, составляющие государственную тайну.

2. Цели защиты информации

2.1. Основными целями защиты информации ограниченного доступа в [наименование организации] являются:

- предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения работниками;

- предотвращение несанкционированного уничтожения, искажения, подделки, копирования, распространения, блокирования информации в информационной системе [наименование организации];

- предотвращение утрат, уничтожения или сбоев функционирования носителей информации;

- предотвращение неправомерного или случайного доступа к защищаемой информации;

- обеспечение полноты, целостности, достоверности защищаемой информации;

- сохранение возможности управления процессом обработки и пользования защищаемой информацией.

3. Меры, принимаемые для защиты информации ограниченного доступа

3.1. В целях установления режима ограниченного доступа и конфиденциальности сведений о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры [наименование организации] принимает следующие меры:

- осуществляет разработку локальных нормативных актов и инструкций по обеспечению защиты информации ограниченного доступа и регламентации конфиденциального делопроизводства;

- заключает договоры (в том числе трудовые) с условием о сохранении и обеспечении конфиденциальности информации;

- обеспечивает ограничение доступа к защищаемой информации, оформляет допуск к такой информации, а также осуществляет учет лиц, получающих доступ к такой информации;

- организует работу персонала с информацией ограниченного доступа, в том числе с материальными носителями такой информации;

- организует обучение и проверку знаний по обеспечению режима конфиденциальности информации;

- устанавливает степень конфиденциальности информации и регламентирует нанесение соответствующих грифов на носители информации ограниченного доступа;

- принимает необходимые технические меры, направленные на ограничение доступа посторонних лиц к защищаемой информации.

3.2. Допуск к информации ограниченного доступа включает в себя:

- ознакомление работника с законодательством о защите информации, об ответственности за его нарушение и с локальными нормативными актами о защите информации ограниченного доступа [наименование организации];

- принятие работником на себя обязанности по обеспечению конфиденциальности информации, полученной при осуществлении своей трудовой функции в [наименование организации], а также после прекращения трудовых отношений на период действия режима конфиденциальности данной информации;

- прохождение обучения и проверки знаний требований по обеспечению конфиденциальности защищаемой информации.

3.3. Для получения доступа к защищаемой информации необходимо пройти процедуру допуска.

Процедура допуска осуществляется [наименование должности работника организации] до подписания трудового договора.

3.4. В трудовые договоры лиц, принимаемых на работу, связанную с получением, обработкой, хранением, передачей и использованием информации ограниченного доступа, включается условие об обеспечении конфиденциальности таких сведений.

Обязанности работника об обеспечении конфиденциальности оформляются также обязательством о неразглашении профессиональной тайны.

4. Обязанности работников по защите информации ограниченного доступа

4.1. Работники [наименование организации], получившие доступ к защищаемой информации, обязуются обеспечивать конфиденциальность такой информации.

4.2. Обеспечивая конфиденциальность, работник обязуется:

- знать и соблюдать требования по получению, обработке, передаче, хранению, информации ограниченного доступа, предусмотренные нормативными правовыми актами, коллективным договором, соглашениями, должностной инструкцией, локальными нормативными актами [наименование организации] и трудовым договором;

- принимать меры по установлению и сохранению режима конфиденциальности, предусмотренные нормативными правовыми актами, коллективным договором, соглашениями, должностной инструкцией, локальными нормативными актами [наименование организации] и трудовым договором;

- не использовать информацию ограниченного доступа в целях, не связанных с осуществлением трудовой функции;

- не разглашать информацию ограниченного доступа, а также не совершать иных деяний, влекущих уничтожение или утрату такой информации;

- незамедлительно сообщать об утрате или несанкционированном уничтожении информации ограниченного доступа своему непосредственному руководителю, а также об иных обстоятельствах, создающих угрозу сохранения конфиденциальности такой информации.

4.3. Работники обязаны проходить обучение и проверку знаний требований по обеспечению конфиденциальности информации не реже, чем [значение] раз в год.

4.4. При прекращении трудовых отношений с [наименование организации] работник обязан сдать все материальные носители защищаемой информации, а также ключи от помещений и шкафов, в которых они хранятся.

5. Требования по получению, обработке, хранению и использованию информации ограниченного доступа

5.1. Обработка и хранение информации ограниченного доступа осуществляется в таком порядке и таким способом, которые исключают возможность доступа к ней неуполномоченных лиц.

5.2. Не допускается передача и выдача документов, содержащих сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры, неуполномоченным лицам.

5.3. Использование информации ограниченного доступа допускается только в служебных целях.

5.4. Хранение информации ограниченного доступа осуществляется в порядке, исключающем ее утрату, неправомерное использование или получение доступа неуполномоченными лицами.

5.5. Все документы, содержащие сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры, должны храниться в шкафах, оборудованных замками и закрытых помещениях. Все помещения, в которых хранятся материальные носители информации ограниченного доступа, после окончания рабочего дня опечатываются.

6. Организация конфиденциального делопроизводства

6.1. Все документы, содержащие информацию ограниченного доступа, должны сохраняться в режиме конфиденциальности и быть доступными только тем лицам, которые имеют допуск к такой информации в силу исполнения ими своих должностных обязанностей.

6.2. Организация конфиденциального делопроизводства должна исключать ознакомление с информацией иных лиц, не имеющих такого доступа.

6.3. На документах конфиденциального характера в правом верхнем углу первого листа ставится гриф "Для служебного пользования" с указанием номера экземпляра. На обороте листа (обложки) документа с грифом "Для служебного пользования" указывается Список лиц, которые вправе использовать документ при осуществлении своей трудовой деятельности, подписанный [наименование должности].

6.4. Приказом по [наименование организации] назначается лицо, ответственное за учет, хранение и использование информации ограниченного доступа.

6.5. Документы и иные материальные носители, содержащие сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры, хранятся в сейфе или ином закрытом помещении, приспособлении, к которому отсутствует свободный доступ других лиц.

6.6. Движение документов с грифом "Для служебного пользования" должно своевременно отражаться в "Журнале учета движения документов для служебного пользования [наименование организации]".

6.7. При работе с документами, имеющими гриф "Для служебного пользования" запрещено:

- делать выписки в целях, не связанных с осуществлением трудовой функции;

- знакомить с такими документами, в том числе в электронном виде, других лиц, не имеющих соответствующего доступа;

- использовать информацию из таких документов в открытых сообщениях, докладах, переписке, рекламных изданиях (такое использование допускается только при условии обезличивания информации);

- оставлять на рабочем месте документы и иные носители информации с грифом "Для служебного пользования";

- не допускать к компьютерам, содержащим информацию ограниченного доступа, посторонних лиц;

- не оставлять включенными компьютеры, содержащие информацию ограниченного доступа.

6.8. Передача документов с пометкой "Для служебного пользования" от одного работника к другому осуществляется с разрешения соответствующего руководителя.

6.9. При смене работника, ответственного за учет документов с пометкой "Для служебного пользования", составляется акт приема-сдачи этих документов, который утверждается соответствующим руководителем.

6.10. Уничтожение дел, документов с пометкой "Для служебного пользования", утративших свое практическое значение и не имеющих исторической ценности, производится по акту. В учетных формах об этом делается отметка со ссылкой на соответствующий акт.

6.11. Проверка наличия документов с пометкой "Для служебного пользования" проводится не реже [значение] раза в год комиссиями, назначаемыми приказом руководителя [наименование организации]. В состав таких комиссий обязательно включаются работники, ответственные за учет и хранение этих документов. Результаты проверки оформляются актом.

7. Ответственность за нарушение режима конфиденциальности

7.1. К способам нарушения режима конфиденциальности относятся:

- разглашение информации ограниченного доступа;

- неправомерное использование информации ограниченного доступа;

- утрата документов и иных материальных носителей, содержащих сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры;

- неправомерное уничтожение документов, содержащих сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры;

- нарушение требований хранения документов, содержащих сведения о результатах проведенной оценки уязвимости объектов транспортной инфраструктуры;

- другие нарушения требований законодательства и настоящего Положения об обеспечении конфиденциальности информации ограниченного доступа.

7.2. За разглашение служебной информации ограниченного доступа, а также за нарушение порядка обращения с документами, содержащими такую информацию, работник организации несет персональную ответственность и может быть привлечен к дисциплинарной или иной предусмотренной законодательством Российской Федерации ответственности.