Распоряжение Министерства экономики и финансов Московской области от 30 апреля 2019 г. N 25РВ-85 "Об утверждении Регламента управления учетными записями в государственной информационной системе "Региональный электронный бюджет Московской области"

1. В соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", приказом ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах", Положением о государственной информационной системе "Региональный электронный бюджет Московской области", утвержденным постановлением Правительства Московской области от 23 декабря 2015 г. N 1314/47:

ГАРАНТ:

Нумерация пунктов приводится в соответствии с источником

1. Утвердить прилагаемый Регламент управления учетными записями в государственной информационной системе "Региональный электронный бюджет Московской области".

2. Организационно-аналитическому управлению в течение трех рабочих дней с даты подписания настоящего распоряжения обеспечить его размещение на официальном сайте Министерства экономики и финансов Московской области в информационно-телекоммуникационной сети Интернет.

3. Контроль за выполнением настоящего распоряжения возложить на заместителя министра экономики и финансов Московской области Мыльцеву Е.С.

Министр экономики и финансов Московской области

Е.В. Мухтиярова

Утвержден
распоряжением Министерства
экономики и финансов
Московской области
от 30.04.2019 N 25РВ-85

Регламент
управления учетными записями в государственной информационной системе "Региональный электронный бюджет Московской области"

I. Общие положения

1. Регламент управления учетными записями в государственной информационной системе "Региональный электронный бюджет Московской области" (далее - Регламент) разработан в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", приказом ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах", Положением о государственной информационной системе "Региональный электронный бюджет Московской области", утвержденным постановлением Правительства Московской области от 23 декабря 2015 г. N 1314/47.

2. Регламент определяет процессы, связанные с управлением учетными записями пользователей в государственной информационной системе "Региональный электронный бюджет Московской области" (далее - ГИС РЭБ).

3. Требования Регламента должны учитываться при организации подключения сотрудников центральных исполнительных органов государственной власти Московской области и государственных органов Московской области, подведомственных им учреждений, органов местного самоуправления муниципальных образований Московской области и других организаций к ГИС РЭБ.

4. Участники информационного взаимодействия, указанные в Регламенте, несут ответственность за возложенные на них функции, в том числе за свои действия в ГИС РЭБ, в соответствии с законодательством Российской Федерации.

II. Сокращения, термины и определения

5. В Регламенте используются следующие сокращения, термины и определения:

оператор - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных;

оператор ГИС РЭБ - Министерство экономики и финансов Московской области;

ведомства - центральные исполнительные органы государственной власти Московской области и государственные органы Московской области, органы местного самоуправления муниципальных образований Московской области;

учреждения - учреждения, подведомственные ведомству;

пользователь ГИС РЭБ - сотрудник ведомства или учреждения, использующий программное обеспечение ГИС РЭБ для выполнения своих должностных обязанностей;

учетная запись - набор сведений о пользователе ГИС РЭБ, хранящихся в ГИС РЭБ в электронном виде;

логин - уникальное имя (идентификатор) учетной записи пользователя ГИС РЭБ;

авторизация - предоставление определенному пользователю ГИС РЭБ прав на выполнение определенных действий;

аутентификация - проверка подлинности пользователя путем сравнения введенного им пароля с паролем, хранящимся в ГИС РЭБ;

ЕТВ - единая точка входа, стартовая страница сайта ГИС РЭБ на которой пользователь ГИС РЭБ посредством своей учетной записи ГИС РЭБ может получить доступ к подсистемам ГИС РЭБ;

регистрация учетной записи - процесс по созданию учетной записи в ГИС РЭБ;

владелец учетной записи - лицо, указанное в заявке на регистрацию учетной записи в ГИС РЭБ;

компрометация - факт доступа постороннего лица к защищаемой информации, а также подозрение на него;

блокировка учетной записи - действие с учетной записью, которое временно запрещает использование учетной записи;

активация учетной записи - действие с учетной записью, которое разрешает использование учетной записи;

управление учетной записью - действия с учетной записью (создание, изменение, блокировка, активация и так далее);

уполномоченное лицо - сотрудник ведомства или учреждения, обладающий полномочиями по управлению учетными записями ГИС РЭБ на основании распорядительного документа;

ЛАП - локальный администратор пользователей ГИС РЭБ, уполномоченное лицо обладающее полномочиями по управлению учетными записями своего учреждения;

ВАП - ведомственный администратор пользователей ГИС РЭБ, уполномоченное лицо обладающее полномочиями по управлению учетными записями своего ведомства, учреждений и ЛАП;

ГАП - глобальный администратор пользователей ГИС РЭБ, уполномоченное лицо обладающее полномочиями по управлению учетными записями ВАП;

участники информационного взаимодействия - ГАП, ВАП, ЛАП и пользователи ГИС РЭБ;

НСД - несанкционированный доступ;

заявка - типовая форма, направляемая ведомством и (или) учреждением на управление учетными записями;

функциональные роли по умолчанию - минимальный набор прав, предоставляемый пользователю ГИС РЭБ в соответствующей подсистеме ГИС РЭБ при регистрации учетной записи;

МСЭД - межведомственная система электронного документооборота Московской области.

III. Подсистемы ГИС РЭБ

6. Архитектура ГИС РЭБ состоит из следующих подсистем:

портал "Открытый бюджет Московской области";

подсистема "Анализ и планирование доходов";

"Web-Исполнение" - подсистема исполнения на муниципальном уровне;

"Web-Планирования" - прогноз и планирование бюджета;

"Web-Консолидация" - подсистема отчетности;

"Web-НСИ" - "Региональный Электронный бюджет. Интеграционная платформа";

"ФКЗ" - решение "Финансовый контроль закупок" подсистемы исполнения;

"Учет соглашений" - заключение соглашений между органами государственной власти (ОМСУ) и получателями субсидий в электронном виде;

АС "Бюджет" - подсистема исполнения на региональном уровне.

IV. Порядок подключения к ГИС РЭБ

7. Подключение к ГИС РЭБ осуществляется в целях выполнения сотрудниками ведомств и учреждений своих должностных обязанностей.

8. Доступ к ГИС РЭБ осуществляется через ЕТВ, с использованием персональной учетной записи ГИС РЭБ.

9. Для получения доступа к ГИС РЭБ сотруднику ведомства или учреждения необходимо пройти процедуру регистрации с целью получения персональной учетной записи ГИС РЭБ.

10. Регистрация новой учетной записи ГИС РЭБ осуществляется В АП своего ведомства или ЛАП своего учреждения (при наличии), в соответствии с разделом VI Регламента.

11. При регистрации новой учетной записи ГИС РЭБ ей назначаются функциональные роли по умолчанию, перечень которых впоследствии может быть изменен ВАП или ЛАП (при наличии) по заявке пользователя ГИС РЭБ.

12. В случае проблем с подключением к ГИС РЭБ сотруднику ведомства или учреждения необходимо обратиться к ВАП или ЛАП (при наличии).

V. Порядок управления учетными записями ГИС РЭБ

13. Порядок управления учетными записями ГИС РЭБ регламентирует действия оператора ГИС РЭБ, ГАП, ВАП и ЛАП (при наличии) по управлению учетными записями ГИС РЭБ, а также разграничивает зоны ответственности участников информационного взаимодействия за те или иные действия в отношении учетных записей ГИС РЭБ.

14. Учетные записи ГИС РЭБ создаются индивидуально для каждого пользователя ГИС РЭБ, без права передачи третьим лицам. В случае обнаружения оператором ГИС РЭБ, ГАП, ВАП или ЛАП (при наличии) факта передачи учетной записи третьим лицам, учетная запись должна быть немедленно блокирована и находиться в таком состоянии до выяснения причин неправомерного использования соответствующей учетной записи, а владельцу учетной записи направляется уведомление на адрес электронной почты, указанный при регистрации учетной записи, с указанием причины блокировки.

15. Управление учетными записями ГИС РЭБ осуществляется посредством программного обеспечения ГИС РЭБ силами оператора ГИС РЭБ, ГАП, ВАП или ЛАП (при наличии), обладающих полномочиями по управлению учетными записями ГИС РЭБ в соответствии с распорядительными документами (далее - приказы).

16. Удаление учетных записей из ГИС РЭБ не допускается, вместо этого учетная запись блокируется на неопределенный срок, а повторная активация таких учетных записей выполняется через ГАП, ВАП, ЛАП (при наличии).

17. В ГИС РЭБ существует четыре уровня административной иерархии по управлению учетными записями ГИС РЭБ:

1) на первом уровне административной иерархии управления учетными записями ГИС РЭБ находиться оператор ГИС РЭБ. Функции оператора ГИС РЭБ по управлению учетными записями ГИС РЭБ следующие:

назначение уполномоченных лиц оператора ГИС РЭБ по исполнению функций ГАП, если иное не определено соответствующим приказом;

регистрация учетных записей для ГАП;

управление учетными записями ГАП;

контроль за учетными записями ГАП;

2) на втором уровне административной иерархии управления учетными записями ГИС РЭБ находиться ГАП. Функции ГАП по управлению учетными записями ГИС РЭБ следующие:

регистрация учетных записей для ВАП;

управление учетными записями ВАП;

контроль за учетными записями ВАП;

3) на третьем уровне административной иерархии управления учетными записями ГИС РЭБ находиться ВАП. Функции ВАП по управлению учетными записями ГИС РЭБ следующие:

регистрация учетных записей для сотрудников своего ведомства;

регистрация учетных записей ЛАП для своих учреждений (при необходимости);

управления учетными записями своих учреждений;

управление учетными записями ЛАП своих учреждений (при наличии);

контроль за учетными записями своего ведомства и своих учреждений;

4) на четвертом уровне административной иерархии управления учетными записями ГИС РЭБ находиться ЛАП. Функции ЛАП по управлению учетными записями ГИС РЭБ следующие:

регистрация учетных записей для своего учреждения;

управления учетными записями своего учреждения;

контроль за учетными записями своего учреждения.

18. Контроль за соблюдением требований Регламента осуществляет непосредственно оператор ГИС РЭБ через ГАП, ВАП и ЛАП (при наличии).

VI. Порядок регистрации учетных записей в ГИС РЭБ

19. Регистрация учетных записей ГИС РЭБ осуществляется оператором ГИС РЭБ, ГАП, ВАП и ЛАП (при наличии).

20. Регистрация учетных записей по исполнению функций ГАП из числа сотрудников оператора ГИС РЭБ осуществляется оператором ГИС РЭБ на основании соответствующего приказа. Для регистрации учетной записи ГАП необходимо:

принять приказ о назначении уполномоченных лиц оператора ГИС РЭБ, ответственных за исполнение функций ГАП;

направить приказ в адрес оператора ГИС РЭБ во МСЭД и заполненную типовую форму заявки, приведенную в приложении 1 к Регламенту.

21. Оператор ГИС РЭБ в течение двух рабочих дней рассматривает заявку и принимает решение о регистрации соответствующей учетной записи ГАП.

22. В случае положительного решения на адрес электронной почты, указанный в заявке на регистрацию учетной записи ГАП, оператор ГИС РЭБ направляет уведомление с инструкциями по активации учетной записи ГАП.

23. В случае отказа в регистрации учетной записи ГАП оператор ГИС РЭБ направляет аргументированный ответ ГАП на адрес электронной почты, указанный в заявке на регистрацию учетной записи ГАП. Причинами отказа в регистрации учетной записи ГАП могут быть:

отсутствие оснований на регистрацию учетной записи ГАП;

внесение несанкционированных изменений в типовую форму заявки;

отсутствие или не корректное заполнение заявки на управление учетными записями ГАП.

24. В случае получения аргументированного отказа в регистрации учетной записи ГАП лицо, направившее заявку на регистрацию учетной записи ГАП, должно устранить указанные замечания и повторно направить заявку оператору ГИС РЭБ.

25. Регистрация учетных записей по исполнению функций ВАП из числа сотрудников ведомства осуществляется ГАП по согласованию с оператором ГИС РЭБ. Для регистрации учетной записи ВАП ведомству необходимо:

направить сопроводительное письмо в адрес оператора ГИС РЭБ во МСЭД;

к сопроводительному письму приложить копию приказа о назначении уполномоченных лиц ведомства, ответственных за исполнение функций ВАП, и заполненную типовую форму заявки, приведенную в приложении N 1 к Регламенту.

26. Оператор ГИС РЭБ после получения сопроводительного письма направляет заявку ГАП.

27. ГАП в течение пяти рабочих дней после получения заявки рассматривает ее и принимает решение о регистрации соответствующей учетной записи ВАП.

28. В случае положительного решения на адрес электронной почты, указанный в заявке на регистрацию учетной записи ВАП, ГАП направляет уведомление с инструкциями по активации учетной записи ВАП.

29. В случае отказа в регистрации учетной записи ГАП направляет аргументированный ответ ВАП на адрес электронной почты, указанный в заявке на регистрацию учетной записи ВАП. Причинами отказа в регистрации учетной записи ВАП могут быть:

отсутствие оснований на регистрацию учетной записи ВАП;

внесение несанкционированных изменений в типовую форму заявки;

отсутствие заявки на управление учетными записями ВАП или ее некорректное заполнение.

30. В случае получения аргументированного отказа в регистрации учетной записи ВАП, ведомство, направившее заявку на регистрацию учетной записи ВАП, должно устранить указанные замечания и повторно направить заявку ГАП.

31. Регистрация учетных записей для сотрудников учреждения на исполнение функций ЛАП осуществляется ВАП. Для регистрации учетной записи ЛАП учреждению необходимо:

направить заявку на адрес электронной почты ВАП;

к заявке необходимо приложить копию приказа о назначении уполномоченных лиц учреждения, ответственных за исполнение функций ЛАП, и заполненную типовую форму заявки, приведенную в приложении 1 к Регламенту.

32. ВАП в течение трех рабочих дней после получения заявки рассматривает ее и принимает решение о регистрации соответствующей учетной записи ЛАП.

33. В случае положительного решения на адрес электронной почты, указанный в заявке на регистрацию учетной записи ЛАП, ВАП направляет уведомление с инструкциями по активации учетной записи ЛАП.

34. В случае отказа в регистрации учетной записи, ВАП направляет аргументированный ответ ЛАП на адрес электронной почты, указанный в заявке на регистрацию учетной записи ЛАП. Причинами отказа в регистрации учетной записи ЛАП могут быть:

отсутствие оснований на регистрацию учетной записи ЛАП;

внесение несанкционированных изменений в типовую форму заявки;

отсутствие заявки на управление учетными записями ЛАП или ее некорректное заполнение.

35. В случае получения аргументированного отказа в регистрации учетной записи ЛАП учреждение, направившее заявку на регистрацию учетной записи ЛАП должно устранить указанные замечания и повторно направить заявку ВАП.

36. Регистрация учетных записей пользователей ГИС РЭБ для ведомства или учреждения осуществляется ВАП или ЛАП (при наличии) соответственно.

37. В случае отсутствия в учреждении ЛАП, все заявки должны направляться в адрес ВАП. Для регистрации учетной записи пользователя ГИС РЭБ ведомству или учреждению необходимо направить заявку на адрес электронной почты ВАП или ЛАП (при наличии).

38. ВАП или ЛАП (при наличии) в течение трех рабочих дней после получения заявки рассматривает ее и принимает решение о регистрации соответствующей учетной записи.

39. В случае положительного решения на адрес электронной почты, указанный в заявке на регистрацию учетной записи пользователя ГИС РЭБ, ВАП или ЛАП (при наличии) направляет уведомление с инструкциями по активации учетной записи пользователя ГИС РЭБ.

40. В случае отказа в регистрации соответствующей учетной записи ВАП или ЛАП (при наличии) направляет аргументированный ответ пользователю ГИС РЭБ на адрес электронной почты, указанный в заявке на регистрацию соответствующей учетной записи. Причинами отказа в регистрации учетной записи пользователя ГИС РЭБ могут быть:

отсутствие оснований на регистрацию учетной записи пользователя ГИС

внесение несанкционированных изменений в типовую форму заявки;

отсутствие заявки на управление учетными записями пользователя ГИС РЭБ или ее некорректное заполнение.

41. В случае получения аргументированного отказа в регистрации учетной записи пользователя ГИС РЭБ, сотрудник ведомства или учреждения, направивший заявку на регистрацию соответствующей учетной записи, должен устранить указанные замечания и повторно направить заявку ВАП или ЛАП (при наличии).

VII. Порядок блокировки и активации учетных записей в ГИС РЭБ

42. Решение о необходимости блокировки или активации учетных записей ГИС РЭБ принимается ГАП, ВАП, ЛАП (при наличии).

43. Блокировка учетных записей ГИС РЭБ по решению оператора ГИС РЭБ осуществляется в случае прекращения (полного либо временного) полномочий ГАП соответствующей учетной записи.

44. Блокировка учетных записей ГИС РЭБ по решению ГАП осуществляется в случаях:

наличия у ГАП сведений о компрометации паролей учетных записей ГИС РЭБ либо о факте передачи парольной информации соответствующей учетной записи третьим лицам;

наличия у ГАП информации о попытках НСД со стороны пользователя соответствующей учетной записи ГИС РЭБ к подсистемам ГИС РЭБ, доступ к которым для данного пользователя запрещен;

наличия у ГАП информации о том, что авторизация под соответствующей учетной записью выполнялась более трех месяцев назад с момента последнего входа в ГИС РЭБ;

прекращения (полного либо временного) полномочий ВАП соответствующей учетной записи.

45. Блокировка учетных записей ГИС РЭБ по решению ВАП осуществляется в случаях:

наличия у ВАП сведений о компрометации паролей учетных записей ГИС РЭБ своего ведомства и учреждения либо о факте передачи парольной информации соответствующей учетной записи третьим лицам;

прекращения (полного либо временного) полномочий ЛАП соответствующей учетной записи либо пользователя ГИС РЭБ своего ведомства или учреждения.

46. Блокировка учетных записей ГИС РЭБ по решению ЛАП осуществляется в случаях:

наличия у ЛАП сведений о компрометации паролей учетных записей ГИС РЭБ своего учреждения либо о факте передачи парольной информации соответствующей учетной записи третьим лицам;

прекращения (полного либо временного) полномочий пользователя ГИС РЭБ своего учреждения.

47. После блокирования учетной записи ГИС РЭБ в случаях, указанных в пунктах 44 - 46, ГАП, ВАП, ЛАП в течение одного рабочего дня уведомляет владельца учетной записи о причине блокировки путем направления ему информационного письма на адрес электронной почты, указанный при регистрации учетной записи.

48. Учетная запись ГИС РЭБ может быть блокирована политикой парольной защиты ГИС РЭБ.

VIII. Требования политики парольной защиты ГИС РЭБ

51. Требования к паролям учетной записи ГИС РЭБ:

минимальная длина пароля должна быть не менее восьми символов;

пароль должен содержать буквы верхнего и нижнего регистра, цифры 0 - 9 и не менее одного специального символа, указанного в скобках (!@#$%^&), например b2Ee!wU8;

пароль не должен включать в себя легко вычисляемые сочетания символов, а также общепринятые сокращения и любые другие данные, которые можно определить исходя из информации о пользователе (например, имена, фамилии, даты рождения родственников, клички домашних животных и подобное);

пароль не должен содержать последовательности из более чем четырех символов, расположенных рядом на клавиатуре (например, 1234, qwer и другие);

пароль не должен содержать одни и те же повторяющиеся символы либо повторяющиеся комбинации из нескольких символов (например, 222999, qwqw и так далее);

при смене пароля новое значение должно отличаться от предыдущего не менее чем на три символа;

при смене пароля новое значение не должно совпадать с пятью предыдущими значениями паролей для данной учетной записи (история паролей).

52. Порядок генерации и смены паролей:

генерация паролей осуществляется при регистрации учетной записи ГИС РЭБ оператором ГИС РЭБ, ГАП, ВАП, ЛАП либо при необходимости плановой или внеплановой смены пароля самим пользователем ГИС РЭБ;

пользователь ГИС РЭБ должен менять свой пароль не реже одного раза в три месяца;

в информационных системах, аттестованных по требованиям безопасности информации, плановая смена паролей пользователей должна проводиться в соответствии с требованиями, указанными в аттестационной и распорядительной документации на информационные системы, но не реже одного раза в 90 дней;

в случае, если пользователь ГИС РЭБ не успел сменить свой пароль в срок, установленный политикой парольной защитой ГИС РЭБ либо пренебрег требованиями Регламента, то учетная запись пользователя автоматически блокируется. Активация таких учетных записей возможна через ГАП, ВАП, ЛАП;

запрещается использование паролей, заданных по умолчанию оператором ГИС РЭБ, ГАП, ВАП, ЛАП. Пользователь ГИС РЭБ обязан сменить такой пароль при первой возможности.

53. Правила использования паролей:

при использовании паролей пользователь ГИС РЭБ обязан соблюдать положения должностных инструкций, методических документов по защите информации и политики парольной защиты, приведенной в Регламенте;

ввод пароля должен осуществляться с учетом регистра, в котором пароль был задан;

при вводе пароля в окне ввода пароля, пароль не должен отображаться, а вместо символов должен отображаться какой-либо другой символ, например "*";

при вводе паролей необходимо исключить возможность его просмотра посторонними лицами или техническими средствами (фото-, видеокамеры);

пользователь ГИС РЭБ не имеет права сообщать свой пароль другим пользователям ГИС РЭБ и иным лицам, и допускать их к работе со своей учетной записью в ГИС РЭБ;

при утере, компрометации, несанкционированном изменении пароля дальнейшее использование соответствующей учетной записи ГИС РЭБ не допускается, а владелец соответствующей записи обязан незамедлительно сообщить об этом ГАП, ВАП, ЛАП либо сотруднику, ответственному за защиту информации в ведомстве или учреждении.

54. Правила хранения паролей:

при хранении паролей пользователем ГИС РЭБ должны быть приняты все возможные меры по минимизации возможности компрометации либо утери пароля;

запрещается записывать пароли на любых электронных носителях информации;

указывать пароли на бумажных и других материальных носителях информации, в том числе и на предметах;

пароли в ГИС РЭБ не должны храниться в открытом виде;

хранение пользователем ГИС РЭБ паролей на материальном либо электронном носителе допускается только в личном сейфе владельца пароля, либо в сейфе у руководителя подразделения. При этом должны быть приняты меры, препятствующие компрометации пароля другими лицами (например, хранение в пенале, опечатанном личной печатью пользователя).

55. Правила прекращения действия паролей:

прекращение действия пароля возможно при истечении срока его действия, внеплановой смене, утере или компрометации;

в случае прекращения полномочий пользователя, в том числе увольнения или перехода на другую работу, в обязательном порядке производится блокировка его учетной записи, а пароль меняется на произвольный;

запрещается разглашение паролей даже после прекращения их действия;

параметры изменения политики парольной защиты, приведенные в разделе VIII Регламента должны быть доступны исключительно для оператора ГИС РЭБ.

Приложение 1
к Регламенту управления учетными записями
в государственной информационной системе
"Региональный электронный бюджет
Московской области"
утвержденному распоряжением
Министерства экономики и финансов
Московской области
от 30.04.2019 N 25РВ-85

Заявка
на управление учетными записями в государственной информационной системе "Региональный электронный бюджет Московской области"

"

N п/п	Полное название организации 1	ИНН организации	Ф.И.О. полностью	Должность	Логин	Адрес электронной почты	Действие 2	Комментарий
1	2	3	4	5	6	7	8	9
1
2
3

- графы 2 - 9 обязательны для заполнения

___________________________________

1 в соответствии с ЕГРЮЛ

2 регистрация, изменение, блокировка