Проект Приказа Министерства связи и массовых коммуникаций РФ "Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации" (подготовлен Минкомсвязью России 27.12.2017)

Проект Приказа Министерства связи и массовых коммуникаций РФ "Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации"
(подготовлен Минкомсвязью России 27.12.2017 г.)

Досье на проект

В соответствии со статьей 12 и статьей 26 Федерального закона от 7 июля 2003 г. N 126-ФЗ "О связи" (Собрание законодательства Российской Федерации, 2003, N 28, ст. 2895; N 52, ст. 5038; 2004, N 35, ст. 3607; N 45, ст. 4377; 2005, N 19, ст. 1752; 2006, N 6, ст. 636; N 10, ст. 1069; N 31, ст. 3431, ст. 3452; 2007, N 1, ст. 8; N 7, ст. 835; 2008, N 18, ст. 1941; 2009, N 29, ст. 3625; 2010, N 7, ст. 705; N 15, ст. 1737; N 27, ст. 3408; N 31, ст. 4190; 2011, N 7, ст. 901; N 9, ст. 1205; N 25, ст. 3535; N 27, ст. 3873, ст. 3880; N 29, ст. 4284, ст. 4291; N 30, ст. 4590; N 45, ст. 6333; N 49, ст. 7061; N 50, ст. 7351, ст. 7366; 2012, N 31, ст. 4322, ст. 4328; N 53, ст. 7578; 2013, N 19, ст. 2326; N 27, ст. 3450; N 30, ст. 4062; N 43, ст. 5451; N 44, ст. 5643; N 48, ст. 6162; N 49, ст. 6339, ст. 6347; N 52, ст. 6961; 2014, N 6, ст. 560; N 14, ст. 1552; N 19, ст. 2302; N 26, ст. 3366, ст. 3377; N 30, ст. 4229, ст. 4273; N 49, ст. 6928; 2015, N 29, ст. 4342, ст. 4383, ст. 4389; 2016, N 10, ст. 1316, ст. 1318; N 15, ст. 2066; N 18, ст. 2498; N 26, ст. 3873; N 27, ст. 4213, ст. 4221; N 28, ст. 4558; 2017, N 17, ст. 2457; N 24, ст. 3479),

приказываю:

1. Утвердить прилагаемые требования по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации.

2. Признать не подлежащим применению приказ Министерства информационных технологий и связи Российской Федерации от 09.01.2008 N 1 "Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации" (зарегистрирован Министерством юстиции Российской Федерации 23 января 2008 г., регистрационный N 10993).

3. Направить настоящий Приказ на государственную регистрацию в Министерство юстиции Российской Федерации.

4. Установить, что настоящий приказ вступает в силу с 1 декабря 2019 г.

Министр

Н.А. Никифоров

УТВЕРЖДЕНЫ
приказом Министерства связи и массовых коммуникаций Российской Федерации
от ____________________ N______

Требования
по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации

I. Общие положения

1. Требования по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации (далее - требования) распространяются на сети электросвязи, входящие в состав сети связи общего пользования, за исключением сетей связи для распространения программ телевизионного вещания и радиовещания.

2. В целях защиты от несанкционированного доступа к сетям связи и передаваемой посредством их информации операторы связи принимают организационные и технические меры, направленные на предотвращение доступа к линиям связи, сооружениям связи, средствам связи, находящимся как внутри, так и вне сооружений связи, и передаваемой по сетям связи информации, осуществляемого с нарушением установленного этими операторами связи порядка доступа.

3. Порядок доступа утверждается операторами связи и включает:

а) описание организации пропускного режима на охраняемую территорию, в пределах которой размещаются сооружения связи (далее - охраняемая территория), и порядок охраны этой территории;

б) описание процедур применения на охраняемой территории технических средств защиты, обнаружения и сигнализации;

в) установление перечня и образцов документов, дающих право находиться на охраняемой территории, а также в сооружениях связи и отдельных помещениях, расположенных в пределах охраняемой территории;

г) организационные процедуры оформления допуска к проведению работ со средствами связи и линиями связи, а также работ, связанных с технологической возможностью доступа к информации, передаваемой посредством сети связи, и установление списка лиц, имеющих право на проведение таких работ;

д) описание процедур регистрации событий, связанных с осуществлением доступа к средствам связи, линиям связи и сооружениям связи.

4. Узлы связи сетей связи подразделяются на узлы связи I, II, III категории защищенности. Категорирование узлов связи по защищенности приведено в приложении.

II. Требования по защите от несанкционированного доступа к средствам связи и линиям связи сетей связи и передаваемой посредством их информации

5. Для защиты узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи от доступа со стороны физических лиц, не имеющих на это права, операторы связи обеспечивают:

а) оснащение сооружений связи, в которых размещаются узлы связи, техническими средствами защиты, включая охранную сигнализацию;

б) наличие ограждений, исключающих случайный проход физических лиц и въезд транспорта на охраняемую территорию для узлов связи I и II категории защищенности;

в) организацию охраны узлов связи для узлов связи I и II категории защищенности;

г) организацию контрольно-пропускного режима как на охраняемой территории, так и внутри сооружений связи, в которых размещаются узлы связи для узлов связи I и II категории защищенности;

д) оснащение сооружений связи средствами контроля доступа для узлов связи I категории защищенности;

е) наличие запирающих устройств для помещений, в которых размещены узлы связи III категории защищенности.

7. Для защиты от несанкционированного доступа к программным средствам узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) принятие мер, исключающих возможность доступа к сетям связи лиц, не имеющих на это права, или абонентов и пользователей, нарушающих установленный оператором связи порядок доступа к сети связи;

б) контроль подключения к узлам связи технических и программных средств, используемых в процессе эксплуатации узлов связи;

в) регистрацию и последующий контроль действий обслуживающего персонала в процессе эксплуатации узлов связи в соответствии с установленным порядком доступа к средствам и линиям связи;

г) разграничение прав доступа, в том числе использование обслуживающим персоналом идентификационных и аутентификационных кодов для узлов связи I и II категории защищенности;

д) регистрацию и последующий контроль фактов доступа физических лиц, в том числе обслуживающего персонала, к средствам связи и линиям связи в процессе эксплуатации узлов связи для узлов связи I и II категории защищенности;

е) применение процедуры идентификации пользовательского (оконечного) оборудования в сетях подвижной радиосвязи, сетях подвижной радиотелефонной связи, сетях подвижной спутниковой радиосвязи;

ж) установление процедур аутентификации обслуживающего персонала при удаленном доступе к узлам связи для узлов связи I категории защищенности.

8. Для защиты от несанкционированного доступа к средствам связи, не входящим в состав узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) оснащение контейнеров, в которых размещены средства связи, находящиеся вне сооружений связи, запирающими устройствами, тревожной и охранной сигнализацией;

б) установку распределительных устройств в местах, исключающих или существенно затрудняющих несанкционированный доступ к ним;

в) оборудование распределительных кабельных шкафов запирающими устройствами и датчиками охранной сигнализации о несанкционированном доступе;

г) осмотр антенно-мачтовых сооружений, линейно-кабельных сооружений, в том числе колодцев кабельной канализации, оконечных кабельных устройств, размещенных в распределительных шкафах и коробках в соответствии с порядком, установленным оператором связи, и ведение журнала осмотра.

9. Для защиты от несанкционированного доступа к линиям связи, соединяющим узлы связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) установление охранных зон для линий связи между узлами связи в соответствии с Правилами охраны линий и сооружений связи Российской Федерации, утвержденными Постановлением Правительства РФ от 9 июня 1995 г. N 578 (Собрание законодательства Российской Федерации, 1995, N 25, ст. 2396);

б) осмотр линий связи, проводимый в соответствии с порядком, установленным оператором связи, и ведение журнала осмотра;

в) применение мер организационного и (или) технического характера по обнаружению несанкционированного подключения к проводным линиям связи;

г) кодирование сигналов в радиоканалах при применении радиоэлектронных средств;

д) размещение линий связи, исключающее возможность доступа к ним без использования каких-либо инструментов или механизмов.

10. Для защиты от несанкционированного доступа к абонентским линиям связи сетей фиксированной телефонной связи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) размещение линий связи в специальных коробах и распределительных коробках, оснащенных запирающими устройствами, или внутри стен зданий, строений, или размещение линий связи, исключающее возможность доступа к ним без использования каких-либо инструментов или механизмов;

б) осмотр линий связи, проводимый в соответствии с порядком, установленным оператором связи.

11. Для защиты сетей связи от несанкционированного доступа к программным средствам и аппаратно-программным комплексам средств связи, осуществляемого дистанционно, операторы обеспечивают:

а) использование механизмов разграничения доступа к элементам сетей связи или программным/программно-аппаратным средствам на основе перечня разрешенных для каждого субъекта объектов доступа, допустимого временного интервала доступа, типа подключения и иных признаков.

б) применение специализированных каналов, сетей или сегментов сетей, а также специализированных информационных систем, используемых для удалённого управления или мониторинга, реализующих требования подпункта а) пункта 11 требований.

в) использование для дистанционного доступа коммуникационных протоколов, не позволяющих в случае перехвата трафика получить доступ к передаваемой информации, если такой доступ реализуется с использованием открытых/публичных сетей связи, каналов связи или их фрагментов.

г) предоставление абоненту рекомендаций по обеспечению защиты от несанкционированного доступа в отношении оборудования и/или программного обеспечения, в случае использования для оказания услуг связи оборудования и/или программного обеспечения размещенных, в соответствии с договором, на контролируемой абонентом территории или по поручению оператора;

д) реализация мер по контролю и регистрации событий, связанных с несанкционированным доступом к сетям связи, а также сохранности указанных сведений в электронном или и ином виде, пригодном для последующей обработки и анализа.

12. Защита от несанкционированного доступа к абонентским линиям связи при применении радиоэлектронных средств обеспечивается кодированием информации в радиоканале.

12.1. Для защиты от несанкционированного доступа к информации, передаваемой посредством сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, операторы связи обеспечивают реализацию функций центра аутентификации (AuC) и модуля идентификации абонентов с использованием средств криптографической защиты информации, удостоверенных сертификатами соответствия требованиям федерального органа исполнительной власти в области обеспечения безопасности к шифровальным (криптографическим) средствам класса КА для оборудования коммутации узлов связи и класса КС3 для модуля идентификации абонентов USIM в составе абонентского оборудования.

13. Защита оборудования связи от компьютерных атак, связанных с отказом в обслуживании.

13.1. Оператор связи вправе осуществить временное приостановление обслуживания абонентского устройства до устранения соответствующих обстоятельств, в случае обнаружения факта осуществления с абонентских устройств компьютерной атаки на средства связи оператора связи, оказывающего услуги связи абоненту в соответствии с договором, а так же средства связи иных операторов связи при пропуске трафика,

13.2. Оператор связи, оказывающий услуги связи абоненту в соответствии с договором, представляет указанному абоненту рекомендации по устранению уязвимостей абонентского оборудования.

13.3. Факт обнаружения компьютерной атаки фиксируется средствами мониторинга операторов связи. В журнале регистрации событий средств мониторинга должна быть отражена дата регистрации, признак компьютерной атаки, а так же принятые меры.

III. Требования к контролю и регистрации событий, связанных с несанкционированным доступом к сетям связи и передаваемой посредством их информации

14. События, связанные с несанкционированным доступом к сетям связи и передаваемой посредством их информации (далее - события), регистрируются документально и заверяются подписью должностного лица, зарегистрировавшего это событие.

Регистрационная запись события содержит:

а) указание на средство связи или линию связи к которым был осуществлен несанкционированный доступ и их условное обозначение;

б) описание события;

в) описание последствия события;

г) дату и время события и/или регистрации события;

д) указание на лицо, выявившее событие.

13. Операторами связи проводится анализ выявленных событий, причин и условий их возникновения для предотвращения возникновения событий, связанных с несанкционированным доступом к сети связи и к передаваемой по ней информации, в процессе эксплуатации сети электросвязи.

По результатам указанного анализа составляются заключение и план-график работ, направленных на предотвращение возникновения в дальнейшем событий, связанных с несанкционированным доступом к сети связи.

Результаты работ, проведенных в соответствии с планом-графиком, отражаются в эксплуатационных документах.

Приложение N 1
к требованиям по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации,
утвержденным приказом Министерства связи и массовых коммуникаций Российской Федерации
от _________________ N ____

Категорирование узлов связи по защищенности

Категории	I	II	III
Типы сетей
Сети фиксированной телефонной связи	узлы связи сетей междугородной и международной телефонной связи, сетей зоновой телефонной связи, узлы связи сетей местной телефонной связи с количеством портов более 10000, а также транзитные и оконечно-транзитные узлы связи сетей местной телефонной связи, которые соединяются с узлами обслуживания вызовов экстренных оперативных служб	узлы связи сети местной телефонной связи с количеством портов от 1024 до 10000, за исключением транзитных и оконечно-транзитных узлов связи, которые соединяются с узлами обслуживания вызовов экстренных оперативных служб	узлы связи сети местной телефонной связи с количеством портов до 1024
Сети подвижной радиосвязи, сети подвижной радиотелефонной связи, сети подвижной спутниковой радиосвязи	узлы связи сети подвижной радиосвязи, узлы связи сети подвижной радиотелефонной связи, узлы связи в составе наземных станций сопряжения сети подвижной спутниковой радиосвязи
Сети передачи данных	международные транзитные узлы связи	транзитные узлы связи	оконечные узлы связи, оконечно- транзитные узлы связи
Сети телеграфной связи	международные узлы связи	междугородние узлы связи	зоновые узлы связи

См. Сводный отчет, загруженный при публикации проекта