Вопрос: СБ ЗОКИИ: в каких случаях допускается использовать для обеспечения безопасности объектов КИИ 31 приказ ФСТЭК России?
Ответ: Ответ: исполнение приказа ФСТЭК России от 14.03.2014 № 31 «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» (далее – Приказ № 31) имеет декларативный характер. Это означает, что при принятии решения об исполнении Приказа № 31, субъект должен исполнить его в полном объёме, соответствующем профилю определенного класса защиты автоматизированной системы управления (далее – АСУ).
  
  	 При этом абзацем 2 пункта 1 Приказа № 31 установлено, что для обеспечения безопасности значимых объектов критической информационной инфраструктуры (далее – КИИ) должны использоваться требования приказов ФСТЭК России от 21.12.2017 № 235 и от 25.12.2017 № 239.
  
  	 Таким образом, требования Приказа № 31 допускается использовать для обеспечения безопасности объектов КИИ при соблюдении следующих условий:
  
  	 1.     Объекты КИИ не имеют установленных категорий значимости.
  
  	 2.     Владельцем АСУ и (или) уполномоченным лицом принято решение об обеспечении защиты информации, обработка которой осуществляется этой системой и нарушение безопасности которой может привести к нарушению функционирования АСУ.
  
  	 Однако определение класса защищенности АСУ осуществляется в контексте негативных последствий в социальной, политической, экономической, военной или иных областях деятельности субъекта для критически важных, потенциально опасных объектов, а также объектов, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды. Сценарии таких последствий в большинстве случаев могут рассматриваться только для значимых объектов КИИ.
  
  	 Исходя из вышеизложенного, можно сделать вывод о нежелательности применения Приказа № 31 в отношении объектов КИИ. В случае, если требования Приказа № 31 предъявляются контрагентом или субъектом, эксплуатирующим смежную с объектом КИИ инфраструктуру (АСУ, сети связи и пр.), рекомендуется запросить у предъявителя требований оценку степени возможного ущерба от нарушения или прекращения функционирования объекта КИИ и автоматизируемого им процесса и предоставить такую оценку на рассмотрение комиссии по категорированию.
Цитаты из НПА: {"14.03.2014 № 31": ["Уровень значимости (критичности) информации (УЗ) определяется степенью возможного ущерба от нарушения ее целостности (неправомерные уничтожение или модифицирование), доступности (неправомерное блокирование) или конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), в результате которого возможно нарушение штатного режима функционирования автоматизированной системы управления или незаконное вмешательство в процессы функционирования автоматизированной системы управления.", "Утвердить прилагаемые Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды.", "При анализе уязвимостей автоматизированной системы управления проверяется отсутствие уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления при их взаимодействии.", "Обеспечение безопасности автоматизированных систем управления, являющихся значимыми объектами критической информационной инфраструктуры Российской Федерации, осуществляется в соответствии с Требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденными приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239, а также Требованиями к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования, утвержденными приказом Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. N 235 (зарегистрирован Минюстом России 22 февраля 2018 г., регистрационный N 50118).", "Обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты и организационно-распорядительными документами по защите информации и включает следующие процедуры: планирование мероприятий по обеспечению защиты информации в автоматизированной системе управления; обеспечение действий в нештатных (непредвиденных) ситуациях в ходе эксплуатации автоматизированной системы управления; информирование и обучение персонала автоматизированной системы управления; периодический анализ угроз безопасности информации в автоматизированной системе управления и рисков от их реализации; управление (администрирование) системой защиты автоматизированной системы управления; выявление инцидентов в ходе эксплуатации автоматизированной системы управления и реагирование на них; управление конфигурацией автоматизированной системы управления и ее системы защиты; контроль (мониторинг) за обеспечением уровня защищенности автоматизированной системы управления.", "Для выбора мер защиты информации для соответствующего класса защищенности автоматизированной системы управления применяются методические документы ФСТЭК России.", "Классификация автоматизированной системы управления проводится заказчиком или оператором в зависимости от уровня значимости (критичности) информации, обработка которой осуществляется в автоматизированной системе управления.", "Защита информации в автоматизированной системе управления достигается путем принятия в рамках системы защиты автоматизированной системы управления совокупности организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления и управляемого (контролируемого) объекта и (или) процесса.", "Информация, обрабатываемая в автоматизированной системе управления, имеет низкий уровень значимости (критичности) (УЗ 3), если для всех свойств безопасности информации (целостности, доступности, конфиденциальности) определены низкие степени ущерба.", "Настоящие Требования применяются в случае принятия владельцем автоматизированной системы управления решения об обеспечении защиты информации, обработка которой осуществляется этой системой и нарушение безопасности которой может привести к нарушению функционирования автоматизированной системы управления.", "Класс защищенности автоматизированной системы управления (первый класс (К1), второй класс (К2), третий класс (К3)) определяется в зависимости от уровня значимости (критичности) обрабатываемой в ней информации (УЗ).", "Настоящие Требования направлены на обеспечение функционирования автоматизированной системы управления в штатном режиме, при котором обеспечивается соблюдение проектных пределов значений параметров выполнения целевых функций автоматизированной системы управления в условиях воздействия угроз безопасности информации, а также на снижение рисков незаконного вмешательства в процессы функционирования автоматизированных систем управления критически важных объектов, потенциально опасных объектов, объектов, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды.", "Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание (модернизацию) автоматизированной системы управления и (или) техническое задание (частное техническое задание) на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583, ГОСТ Р 51624 и стандартов организации, которые должны в том числе содержать: цель и задачи обеспечения защиты информации в автоматизированной системе управления; класс защищенности автоматизированной системы управления; перечень нормативных правовых актов, локальных правовых актов, методических документов, национальных стандартов и стандартов организаций, которым должна соответствовать автоматизированная система управления.", "Информация, обрабатываемая в автоматизированной системе управления, имеет высокий уровень значимости (критичности) (УЗ 1), если хотя бы для одного из свойств безопасности информации (целостности, доступности, конфиденциальности) определена высокая степень ущерба.", "16.2. В ходе обеспечения действий в нештатных (непредвиденных) ситуациях при эксплуатации автоматизированной системы управления осуществляются: планирование мероприятий по обеспечению защиты информации в автоматизированной системе управления на случай возникновения нештатных (непредвиденных) ситуаций; обучение и отработка действий персонала по обеспечению защиты информации в автоматизированной системе управления в случае возникновения нештатных (непредвиденных) ситуаций; создание альтернативных мест хранения и обработки информации на случай возникновения нештатных (непредвиденных) ситуаций; резервирование программного обеспечения, технических средств, каналов передачи данных автоматизированной системы управления на случай возникновения нештатных (непредвиденных) ситуаций; обеспечение возможности восстановления автоматизированной системы управления и (или) ее компонентов в случае возникновения нештатных (непредвиденных) ситуаций.", "При этом в ходе разработки системы защиты автоматизированной системы управления должно быть проведено обоснование достаточности применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации."], "21.12.2017 № 235": ["Субъектом критической информационной инфраструктуры в рамках функционирования системы безопасности должны быть утверждены организационно-распорядительные документы по безопасности значимых объектов, в том числе значимых объектов, которые эксплуатируются в подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры, определяющие порядок и правила функционирования системы безопасности значимых объектов, а также порядок и правила обеспечения безопасности значимых объектов критической информационной инфраструктуры.", "25. Организационно-распорядительные документы по безопасности значимых объектов должны определять: а) цели и задачи обеспечения безопасности значимых объектов критической информационной инфраструктуры, основные угрозы безопасности информации и категории нарушителей, основные организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, проводимые субъектом критической информационной инфраструктуры, состав и структуру системы безопасности и функции ее участников, порядок применения, формы оценки соответствия значимых объектов критической информационной инфраструктуры и средств защиты информации требованиям по безопасности;", "Создание и функционирование систем безопасности должно быть направлено на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры при проведении в отношении них компьютерных атак.", "Порядок применения средств защиты информации определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом особенностей деятельности субъекта критической информационной инфраструктуры.", "Не допускается возложение на структурное подразделение по безопасности, специалистов по безопасности функций, не связанных с обеспечением безопасности значимых объектов критической информационной инфраструктуры или обеспечением информационной безопасности субъекта критической информационной инфраструктуры в целом.", "Утвердить прилагаемые Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования.", "Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г.", "В рамках функционирования системы безопасности субъектом критической информационной инфраструктуры должны быть внедрены следующие процессы: планирование и разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры; реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры; контроль состояния безопасности значимых объектов критической информационной инфраструктуры; совершенствование безопасности значимых объектов критической информационной инфраструктуры.", "Сертифицированные средства защиты информации применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры.", "В состав комиссии включаются работники структурного подразделения по безопасности, специалисты по безопасности, работники подразделений, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры.", "наличие у руководителя структурного подразделения по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе профессиональной переподготовки по направлению \"Информационная безопасность\", наличие стажа работы в сфере информационной безопасности не менее 3 лет; наличие у штатных работников структурного подразделения по безопасности, штатных специалистов по безопасности профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования с прохождением обучения по программе повышения квалификации по направлению \"Информационная безопасность\"; прохождение не реже одного раза в 3 года обучения по программам повышения квалификации по направлению \"Информационная безопасность\".", "Контроль проводится комиссией, назначаемой субъектом критической информационной инфраструктуры.", "Создаваемая система безопасности должна включать силы обеспечения безопасности значимых объектов критической информационной инфраструктуры обособленных подразделений (филиалов, представительств) субъектов критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры.", "12.1. На работников со средним профессиональным образованием по специальности в области информационной безопасности (при наличии должности в штатном расписании у субъекта критической информационной инфраструктуры) возлагаются отдельные функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры в соответствии с полученной такими работниками специальностью.", "По решению субъекта критической информационной инфраструктуры в состав комиссии могут включаться работники иных подразделений субъекта критической информационной инфраструктуры. Контроль проводится не реже, чем раз в 3 года. Периодичность контроля определяется руководителем субъекта критической информационной инфраструктуры. Для оценки эффективности принятых организационных и технических мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут применяться средства контроля (анализа) защищенности.", "Руководитель субъекта критической информационной инфраструктуры определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов критической информационной инфраструктуры в зависимости от количества значимых объектов критической информационной инфраструктуры, а также особенностей деятельности субъекта критической информационной инфраструктуры.", "До работников должны быть доведены положения организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся. Субъект критической информационной инфраструктуры должен проводить не реже одного раза в год организационные мероприятия, направленные на повышение уровня знаний работников по вопросам обеспечения безопасности критической информационной инфраструктуры и о возможных угрозах безопасности информации.", "33. Мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут включаться в общий план деятельности субъекта критической информационной инфраструктуры (в случае его разработки) отдельным разделом. Порядок разработки, утверждения и внесения изменений в план мероприятий определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов."], "25.12.2017 № 239": ["Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта.", "Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.", "Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией.", "Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).", "Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются: а) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций; б) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций; в) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций; г) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций; д) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций; е) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения.", "Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами.", "Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\".", "Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта.", "Описание каждой угрозы безопасности информации должно включать: а) источник угрозы безопасности информации; б) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации; в) возможные способы (сценарии) реализации угрозы безопасности информации; г) возможные последствия от реализации (возникновения) угрозы безопасности информации.", "Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г.", "Утвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации.", "Анализ угроз безопасности информации должен включать: а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей; б) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств; в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации; г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации.", "3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам.", "Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия.", "Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности).", "В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются: а) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации; б) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации; в) оценка возможных последствий реализации угроз безопасности информации в значимом объекте.", "Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются: а) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования; б) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта; в) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта; г) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности.", "Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта.", "Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г.", "Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.", "В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\".", "Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объект"]}
full_text: {"14.03.2014 № 31": "Приказ Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. N 31 \"Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды\"\nС изменениями и дополнениями от:\n23 марта 2017 г., 9 августа 2018 г., 15 марта 2021 г. В соответствии с Положением о Федеральной службе по техническому и\nэкспортному контролю, утвержденным Указом Президента Российской\nФедерации от 16 августа 2004 г. N 1085 (Собрание законодательства\nРоссийской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192;\n2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26,\nст. 3314; N 52, ст. 7137), приказываю:\nУтвердить прилагаемые Требования к обеспечению защиты информации в\nавтоматизированных системах управления производственными и\nтехнологическими процессами на критически важных объектах,\nпотенциально опасных объектах, а также объектах, представляющих\nповышенную опасность для жизни и здоровья людей и для окружающей\nприродной среды. +--------------------------------------------------------+------------+\n|   Директор Федеральной службы по техническому и        |   В. Селин |\n|   экспортному контролю                                 |            |\n+--------------------------------------------------------+------------+\nЗарегистрировано в Минюсте РФ 30 июня 2014 г. Регистрационный N 32919\nТребования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (утв. приказом Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. N 31)\nС изменениями и дополнениями от:\n23 марта 2017 г., 9 августа 2018 г., 15 марта 2021 г. I. Общие положения\nИнформация об изменениях:\nПункт 1 изменен с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nСм. предыдущую редакцию\n1. В настоящем документе устанавливаются требования к обеспечению\nзащиты информации, обработка которой осуществляется\nавтоматизированными системами управления производственными и\nтехнологическими процессами на критически важных объектах,\nпотенциально опасных объектах, объектах, представляющих повышенную\nопасность для жизни и здоровья людей и для окружающей природной среды\n(далее - автоматизированные системы управления), от неправомерного\nдоступа, уничтожения, модифицирования, блокирования, копирования,\nпредоставления, распространения, а также иных неправомерных действий в\nотношении такой информации, в том числе от деструктивных\nинформационных воздействий (компьютерных атак), следствием которых\nможет стать нарушение функционирования автоматизированной системы\nуправления. Обеспечение безопасности автоматизированных систем управления,\nявляющихся значимыми объектами критической информационной\nинфраструктуры Российской Федерации, осуществляется в соответствии с\nТребованиями по обеспечению безопасности значимых объектов критической\nинформационной инфраструктуры Российской Федерации, утвержденными\nприказом Федеральной службы по техническому и экспортному контролю от\n25 декабря 2017 г. N 239, а также Требованиями к созданию систем\nбезопасности значимых объектов критической информационной\nинфраструктуры Российской Федерации и обеспечению их функционирования,\nутвержденными приказом Федеральной службы по техническому и\nэкспортному контролю от 21 декабря 2017 г. N 235 (зарегистрирован\nМинюстом России 22 февраля 2018 г., регистрационный N 50118). Настоящие Требования применяются в случае принятия владельцем\nавтоматизированной системы управления решения об обеспечении защиты\nинформации, обработка которой осуществляется этой системой и нарушение\nбезопасности которой может привести к нарушению функционирования\nавтоматизированной системы управления. В случае необходимости применение криптографических методов защиты\nинформации и шифровальных (криптографических) средств защиты\nинформации осуществляется в соответствии с законодательством\nРоссийской Федерации. 2. Настоящие Требования направлены на обеспечение функционирования\nавтоматизированной системы управления в штатном режиме, при котором\nобеспечивается соблюдение проектных пределов значений параметров\nвыполнения целевых функций автоматизированной системы управления в\nусловиях воздействия угроз безопасности информации, а также на\nснижение рисков незаконного вмешательства в процессы функционирования\nавтоматизированных систем управления критически важных объектов,\nпотенциально опасных объектов, объектов, представляющих повышенную\nопасность для жизни и здоровья людей и для окружающей природной среды,\nв том числе опасных производственных объектов (далее - управляемые\n(контролируемые) объекты), безопасность которых обеспечивается в\nсоответствии с законодательством Российской Федерации о безопасности\nобъектов топливно-энергетического комплекса, о транспортной\nбезопасности, об использовании атомной энергии, о промышленной\nбезопасности опасных производственных объектов, о безопасности\nгидротехнических сооружений и иных законодательных актов Российской\nФедерации. 3. Действие настоящих требований распространяется на\nавтоматизированные системы управления, обеспечивающие контроль и\nуправление технологическим и (или) производственным оборудованием\n(исполнительными устройствами) и реализованными на нем\nтехнологическими и (или) производственными процессами (в том числе\nсистемы диспетчерского управления, системы сбора (передачи) данных,\nсистемы, построенные на основе программируемых логических\nконтроллеров, распределенные системы управления, системы управления\nстанками с числовым программным управлением). 4. Настоящие Требования предназначены для лиц, устанавливающих\nтребования к защите информации в автоматизированных системах\nуправления (далее - заказчик), лиц, обеспечивающих эксплуатацию\nавтоматизированных систем управления (далее - оператор), а также лиц,\nпривлекаемых в соответствии с законодательством Российской Федерации к\nпроведению работ по созданию (проектированию) автоматизированных\nсистем управления и (или) их систем защиты (далее - разработчик). 5. При обработке в автоматизированной системе управления информации,\nсоставляющей государственную тайну, ее защита обеспечивается в\nсоответствии с законодательством Российской Федерации о\nгосударственной тайне. 6. Защита информации в автоматизированной системе управления\nобеспечивается путем выполнения заказчиком, оператором и разработчиком\nтребований к организации защиты информации в автоматизированной\nсистеме управления и требований к мерам защиты информации в\nавтоматизированной системе управления. II. Требования к организации защиты информации в автоматизированной системе управления\n7. Автоматизированная система управления, как правило, имеет\nмногоуровневую структуру:\nуровень операторского (диспетчерского) управления (верхний уровень);\nуровень автоматического управления (средний уровень);\nуровень ввода (вывода) данных, исполнительных устройств (нижний\n(полевой) уровень). Автоматизированная система управления может включать:\nа) на уровне операторского (диспетчерского) управления:\nоператорские (диспетчерские), инженерные автоматизированные рабочие\nместа, промышленные серверы (SCADA-серверы) с установленным на них\nобщесистемным и прикладным программным обеспечением,\nтелекоммуникационное оборудование (коммутаторы, маршрутизаторы,\nмежсетевые экраны, иное оборудование), а также каналы связи;\nб) на уровне автоматического управления:\nпрограммируемые логические контроллеры, иные технические средства с\nустановленным программным обеспечением, получающие данные с нижнего\n(полевого) уровня, передающие данные на верхний уровень для принятия\nрешения по управлению объектом и (или) процессом и формирующие\nуправляющие команды (управляющую (командную) информацию) для\nисполнительных устройств, а также промышленная сеть передачи данных;\nв) на уровне ввода (вывода) данных (исполнительных устройств):\nдатчики, исполнительные механизмы, иные аппаратные устройства с\nустановленными в них микропрограммами и машинными контроллерами. Количество уровней автоматизированной системы управления и ее состав\nна каждом из уровней зависит от назначения автоматизированной системы\nуправления и выполняемых ею целевых функций. На каждом уровне\nавтоматизированной системы управления по функциональным,\nтерриториальным или иным признакам могут выделяться дополнительные\nсегменты. В автоматизированной системе управления объектами защиты являются:\nинформация (данные) о параметрах (состоянии) управляемого\n(контролируемого) объекта или процесса (входная (выходная) информация,\nуправляющая (командная) информация, контрольно-измерительная\nинформация, иная критически важная (технологическая) информация);\nпрограммно-технический комплекс, включающий технические средства (в\nтом числе автоматизированные рабочие места, промышленные серверы,\nтелекоммуникационное оборудование, каналы связи, программируемые\nлогические контроллеры, исполнительные устройства), программное\nобеспечение (в том числе микропрограммное, общесистемное, прикладное),\nа также средства защиты информации. 8. Защита информации в автоматизированной системе управления является\nсоставной частью работ по созданию (модернизации) и эксплуатации\nавтоматизированной системы управления и обеспечивается на всех стадиях\n(этапах) ее создания и в ходе эксплуатации. Защита информации в автоматизированной системе управления достигается\nпутем принятия в рамках системы защиты автоматизированной системы\nуправления совокупности организационных и технических мер защиты\nинформации, направленных на блокирование (нейтрализацию) угроз\nбезопасности информации, реализация которых может привести к нарушению\nштатного режима функционирования автоматизированной системы управления\nи управляемого (контролируемого) объекта и (или) процесса, на\nлокализацию и минимизацию последствий от возможной реализации угроз\nбезопасности информации, восстановление штатного режима\nфункционирования автоматизированной системы управления в случае\nреализации угроз безопасности информации. Принимаемые организационные и технические меры защиты информации:\nдолжны обеспечивать доступность обрабатываемой в автоматизированной\nсистеме управления информации (исключение неправомерного блокирования\nинформации), ее целостность (исключение неправомерного уничтожения,\nмодифицирования информации), а также, при необходимости,\nконфиденциальность (исключение неправомерного доступа, копирования,\nпредоставления или распространения информации);\nдолжны соотноситься с мерами по промышленной, физической, пожарной,\nэкологической, радиационной безопасности, иными мерами по обеспечению\nбезопасности автоматизированной системы управления и управляемого\n(контролируемого) объекта и (или) процесса;\nне должны оказывать отрицательного влияния на штатный режим\nфункционирования автоматизированной системы управления. 9. Проведение работ по защите информации в соответствии с настоящими\nТребованиями в ходе создания (модернизации) и эксплуатации\nавтоматизированной системы управления осуществляется заказчиком,\nоператором и (или) разработчиком самостоятельно и (или) при\nнеобходимости с привлечением в соответствии с законодательством\nРоссийской Федерации организаций, имеющих лицензию на деятельность по\nтехнической защите конфиденциальной информации в соответствии с\nФедеральным законом от 4 мая 2011 г. N 99-ФЗ \"О лицензировании\nотдельных видов деятельности\" (Собрание законодательства Российской\nФедерации, 2011, N 19, ст. 2716; N 30, ст. 4590; N 43, ст. 5971; N 48,\nст. 6728; 2012, N 26, ст. 3446; N 31, ст. 4322; 2013, N 9, ст. 874;\nN 27, ст. 3477). 10. Для обеспечения защиты информации в автоматизированной системе\nуправления оператором назначается структурное подразделение или\nдолжностное лицо (работник), ответственные за защиту информации. 11. В автоматизированной системе управления применяются средства\nзащиты информации, прошедшие оценку соответствия в соответствии с\nзаконодательством Российской Федерации о техническом регулировании. 12. Для обеспечения защиты информации в автоматизированной системе\nуправления проводятся следующие мероприятия:\nформирование требований к защите информации в автоматизированной\nсистеме управления;\nразработка системы защиты автоматизированной системы управления;\nвнедрение системы защиты автоматизированной системы управления и ввод\nее в действие;\nобеспечение защиты информации в ходе эксплуатации автоматизированной\nсистемы управления;\nобеспечение защиты информации при выводе из эксплуатации\nавтоматизированной системы управления. Формирование требований к защите информации в автоматизированной системе управления\n13. Формирование требований к защите информации в автоматизированной\nсистеме управления осуществляется заказчиком. Формирование требований к защите информации в автоматизированной\nсистеме управления осуществляется с учетом ГОСТ Р 51583 \"Защита\nинформации. Порядок создания автоматизированных систем в защищенном\nисполнении. Общие положения\" (далее - ГОСТ Р 51583), ГОСТ Р 51624\n\"Защита информации. Автоматизированные системы в защищенном\nисполнении. Общие требования\" (далее - ГОСТ Р 51624) и стандартов\nорганизации и в том числе включает:\nпринятие решения о необходимости защиты информации в\nавтоматизированной системе управления;\nклассификацию автоматизированной системы управления по требованиям\nзащиты информации (далее - классификация автоматизированной системы\nуправления);\nопределение угроз безопасности информации, реализация которых может\nпривести к нарушению штатного режима функционирования\nавтоматизированной системы управления, и разработку на их основе\nмодели угроз безопасности информации;\nопределение требований к системе защиты автоматизированной системы\nуправления. 13.1. При принятии решения о необходимости защиты информации в\nавтоматизированной системе управления осуществляются:\nанализ целей создания автоматизированной системы управления и задач,\nрешаемых этой автоматизированной системой управления;\nопределение информации, нарушение доступности, целостности или\nконфиденциальности которой может привести к нарушению штатного режима\nфункционирования автоматизированной системы управления (определение\nкритически важной информации), и оценка возможных последствий такого\nнарушения;\nанализ нормативных правовых актов, локальных правовых актов,\nметодических документов, национальных стандартов и стандартов\nорганизаций, которым должна соответствовать автоматизированная система\nуправления;\nпринятие решения о необходимости создания системы защиты\nавтоматизированной системы управления и определение целей и задач\nзащиты информации в автоматизированной системе управления. 13.2. Классификация автоматизированной системы управления проводится\nзаказчиком или оператором в зависимости от уровня значимости\n(критичности) информации, обработка которой осуществляется в\nавтоматизированной системе управления. Устанавливаются три класса защищенности автоматизированной системы\nуправления, определяющие уровни защищенности автоматизированной\nсистемы управления. Самый низкий класс - третий, самый высокий -\nпервый. Класс защищенности автоматизированной системы управления\nопределяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности может быть установлен отдельно для каждого из\nуровней автоматизированной системы управления или иных сегментов при\nих наличии. Результаты классификации автоматизированной системы управления\nоформляются актом классификации. Требование к классу защищенности включается в техническое задание на\nсоздание автоматизированной системы управления и (или) техническое\nзадание (частное техническое задание) на создание системы защиты\nавтоматизированной системы управления, разрабатываемые с учетом ГОСТ\n34.602 \"Информационная технология. Комплекс стандартов на\nавтоматизированные системы. Техническое задание на создание\nавтоматизированной системы\" (далее - ГОСТ 34.602), ГОСТ Р 51583, ГОСТ\nР 51624 и стандартов организации. Класс защищенности автоматизированной системы управления (сегмента)\nподлежит пересмотру только в случае ее модернизации, в результате\nкоторой изменился уровень значимости (критичности) информации,\nобрабатываемой в автоматизированной системе управления (сегменте). Информация об изменениях:\nПодпункт 13.3 изменен с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nСм. предыдущую редакцию\n13.3. Определение угроз безопасности информации осуществляется на\nкаждом из уровней автоматизированной системы управления и должно\nвключать:\nа) выявление источников угроз безопасности информации и оценку\nвозможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей автоматизированной системы и входящих\nв ее состав программных и программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации\n(возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз\nбезопасности информации, нарушения отдельных свойств безопасности\nинформации (целостности, доступности, конфиденциальности) и\nавтоматизированной системы управления в целом. В качестве исходных данных при определении угроз безопасности\nинформации используется банк данных угроз безопасности информации,\nведение которого осуществляется ФСТЭК России в соответствии с\nподпунктом 21 пункта 8 Положения о Федеральной службе по техническому\nи экспортному контролю, утвержденного Указом Президента Российской\nФедерации от 16 августа 2004 г. N 1085 (Собрание законодательства\nРоссийской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192;\n2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26,\nст. 3314; N 52, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; N 4,\nст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198; 2018, N 20,\nст. 2818), а также иные источники, содержащие сведения об уязвимостях\nи угрозах безопасности информации. При определении угроз безопасности информации учитываются\nструктурно-функциональные характеристики автоматизированной системы\nуправления, включающие наличие уровней (сегментов) автоматизированной\nсистемы управления, состав автоматизированной системы управления,\nфизические, логические, функциональные и технологические взаимосвязи в\nавтоматизированной системе управления, взаимодействие с иными\nавтоматизированными (информационными) системами и\nинформационно-телекоммуникационными сетями, режимы функционирования\nавтоматизированной системы управления, а также иные особенности ее\nпостроения и функционирования. По результатам определения угроз безопасности информации могут\nразрабатываться рекомендации по корректировке\nструктурно-функциональных характеристик автоматизированной системы\nуправления, направленные на блокирование (нейтрализацию) отдельных\nугроз безопасности информации. Модель угроз безопасности информации должна содержать описание\nавтоматизированной системы управления и угроз безопасности информации\nдля каждого из уровней автоматизированной системы управления,\nвключающее описание возможностей нарушителей (модель нарушителя),\nвозможных уязвимостей автоматизированной системы управления, способов\n(сценариев) реализации угроз безопасности информации и последствий от\nнарушения свойств безопасности информации (доступности, целостности,\nконфиденциальности) и штатного режима функционирования\nавтоматизированной системы управления*. Для определения угроз безопасности информации и разработки модели\nугроз безопасности информации применяются методические документы ФСТЭК\nРоссии*. 13.4. Требования к системе защиты автоматизированной системы\nуправления определяются в зависимости от класса защищенности\nавтоматизированной системы управления и угроз безопасности информации,\nвключенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления\nвключаются в техническое задание на создание (модернизацию)\nавтоматизированной системы управления и (или) техническое задание\n(частное техническое задание) на создание системы защиты\nавтоматизированной системы управления, разрабатываемые с учетом ГОСТ\n34.602, ГОСТ Р 51583, ГОСТ Р 51624 и стандартов организации, которые\nдолжны в том числе содержать:\nцель и задачи обеспечения защиты информации в автоматизированной\nсистеме управления;\nкласс защищенности автоматизированной системы управления;\nперечень нормативных правовых актов, локальных правовых актов,\nметодических документов, национальных стандартов и стандартов\nорганизаций, которым должна соответствовать автоматизированная система\nуправления;\nобъекты защиты автоматизированной системы управления на каждом из ее\nуровней;\nтребования к мерам и средствам защиты информации, применяемым в\nавтоматизированной системе управления;\nтребования к защите информации при информационном взаимодействии с\nиными автоматизированными (информационными) системами и\nинформационно-телекоммуникационными сетями;\nтребования к поставляемым техническим средствам, программному\nобеспечению, средствам защиты информации;\nфункции заказчика и оператора по обеспечению защиты информации в\nавтоматизированной системе управления;\nстадии (этапы работ) создания системы защиты автоматизированной\nсистемы управления. При определении требований к системе защиты автоматизированной системы\nуправления учитываются положения политик обеспечения информационной\nбезопасности заказчика в случае их разработки по ГОСТ Р ИСО/МЭК 27001\n\"Информационная технология. Методы и средства обеспечения\nбезопасности. Системы менеджмента информационной безопасности. Требования\", а также политик обеспечения информационной безопасности\nоператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления\n14. Разработка системы защиты автоматизированной системы управления\nорганизуется заказчиком и осуществляется разработчиком и (или)\nоператором. Разработка системы защиты автоматизированной системы управления\nосуществляется в соответствии с техническим заданием на создание\n(модернизацию) автоматизированной системы управления и (или)\nтехническим заданием (частным техническим заданием) на создание\nсистемы защиты автоматизированной системы управления с учетом ГОСТ\n34.601 \"Информационная технология. Комплекс стандартов на\nавтоматизированные системы. Автоматизированные системы. Стадии\nсоздания\" (далее - ГОСТ 34.601), ГОСТ Р 51583, ГОСТ Р 51624 и\nстандартов организации и в том числе включает:\nпроектирование системы защиты автоматизированной системы управления;\nразработку эксплуатационной документации на систему защиты\nавтоматизированной системы управления. Система защиты автоматизированной системы управления не должна\nпрепятствовать штатному режиму функционирования автоматизированной\nсистемы управления при выполнении ее функций в соответствии с\nназначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления\nучитывается ее информационное взаимодействие с иными\nавтоматизированными (информационными) системами и\nинформационно-телекоммуникационными сетями. 14.1. При проектировании системы защиты автоматизированной системы\nуправления:\nопределяются типы субъектов доступа (пользователи, процессы и иные\nсубъекты доступа) и объектов доступа, являющихся объектами защиты\n(автоматизированные рабочие места, промышленные серверы,\nтелекоммуникационное оборудование, программируемые логические\nконтроллеры, исполнительные устройства, иные объекты доступа);\nопределяются методы управления доступом (дискреционный, мандатный,\nролевой или иные методы), типы доступа (чтение, запись, выполнение или\nиные типы доступа) и правила разграничения доступа субъектов доступа к\nобъектам доступа (на основе списков, меток безопасности, ролей и иных\nправил), подлежащие реализации в автоматизированной системе\nуправления;\nвыбираются меры защиты информации, подлежащие реализации в рамках\nсистемы защиты автоматизированной системы управления;\nопределяются параметры программирования и настройки программного\nобеспечения, включая программное обеспечение средств защиты\nинформации, обеспечивающие реализацию мер защиты информации, а также\nустранение возможных уязвимостей автоматизированной системы\nуправления;\nопределяются виды и типы средств защиты информации, обеспечивающие\nреализацию технических мер защиты информации;\nопределяется структура системы защиты автоматизированной системы\nуправления, включая состав (количество) и места размещения ее\nэлементов;\nосуществляется при необходимости выбор средств защиты информации с\nучетом их стоимости, совместимости с программным обеспечением и\nтехническими средствами, функций безопасности этих средств и\nособенностей их реализации, а также класса защищенности\nавтоматизированной системы управления;\nопределяются меры защиты информации при информационном взаимодействии\nс иными автоматизированными (информационными) системами и\nинформационно-телекоммуникационными сетями;\nосуществляется проверка, в том числе при необходимости с\nиспользованием макетов или тестовой зоны, корректности\nфункционирования автоматизированной системы управления с системой\nзащиты и совместимости выбранных средств защиты информации с\nпрограммным обеспечением и техническими средствами автоматизированной\nсистемы управления. При проектировании системы защиты автоматизированной системы\nуправления должны учитываться особенности функционирования\nпрограммного обеспечения и технических средств на каждом из уровней\nавтоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы\nуправления отражаются в проектной документации (эскизном (техническом)\nпроекте и (или) в рабочей документации) на автоматизированную систему\nуправления (систему защиты автоматизированной системы управления),\nразрабатываемых с учетом ГОСТ 34.201 \"Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность\nи обозначение документов при создании автоматизированных систем\"\n(далее - ГОСТ 34.201) и стандартов организации. 14.2. Разработка эксплуатационной документации на систему защиты\nавтоматизированной системы управления осуществляется по результатам\nпроектирования в соответствии с техническим заданием на создание\n(модернизацию) автоматизированной системы управления и (или)\nтехническим заданием (частным техническим заданием) на создание\nсистемы защиты автоматизированной системы управления. Эксплуатационная документация на систему защиты автоматизированной\nсистемы управления разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201,\nГОСТ Р 51624 и стандартов организации и должна в том числе содержать\nописание:\nструктуры системы защиты автоматизированной системы управления;\nсостава, мест установки, параметров и порядка настройки средств защиты\nинформации, программного обеспечения и технических средств;\nправил эксплуатации системы защиты автоматизированной системы\nуправления. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие\n15. Внедрение системы защиты автоматизированной системы управления\nорганизуется заказчиком и осуществляется разработчиком и (или)\nоператором. Внедрение системы защиты автоматизированной системы управления\nосуществляется в соответствии с проектной и эксплуатационной\nдокументацией на систему защиты информации автоматизированной системы\nуправления и в том числе включает:\nнастройку (задание параметров программирования) программного\nобеспечения автоматизированной системы управления;\nразработку документов, определяющих правила и процедуры (политики),\nреализуемые оператором для обеспечения защиты информации в\nавтоматизированной системе управления в ходе ее эксплуатации (далее -\nорганизационно-распорядительные документы по защите информации);\nвнедрение организационных мер защиты информации;\nустановку и настройку средств защиты информации в автоматизированной\nсистеме управления;\nпредварительные испытания системы защиты автоматизированной системы\nуправления;\nопытную эксплуатацию системы защиты автоматизированной системы\nуправления;\nанализ уязвимостей автоматизированной системы управления и принятие\nмер по их устранению;\nприемочные испытания системы защиты автоматизированной системы\nуправления. 15.1. Настройка (задание параметров программирования) программного\nобеспечения автоматизированной системы управления должна\nосуществляться в соответствии с проектной и эксплуатационной\nдокументацией на автоматизированную систему управления и обеспечивать\nконфигурацию программного обеспечения и автоматизированной системы в\nцелом, при которой минимизируются риски возникновения уязвимостей и\nвозможности реализации угроз безопасности информации. 15.2. Разрабатываемые организационно-распорядительные документы по\nзащите информации должны определять правила и процедуры (политики):\nреализаций отдельных мер защиты информации в автоматизированной\nсистеме управления в рамках ее системы защиты;\nпланирования мероприятий по обеспечению защиты информации в\nавтоматизированной системе управления;\nобеспечения действий в нештатных (непредвиденных) ситуациях в ходе\nэксплуатации автоматизированной системы управления;\nинформирования и обучения персонала автоматизированной системы\nуправления;\nанализа угроз безопасности информации в автоматизированной системе\nуправления и рисков от их реализации;\nуправления (администрирования) системой защиты информации\nавтоматизированной системы управления;\nвыявления инцидентов (одного события или группы событий), которые\nмогут привести к сбоям или нарушению функционирования\nавтоматизированной системы управления и (или) к возникновению угроз\nбезопасности информации (далее - инциденты), и реагирования на них;\nуправления конфигурацией автоматизированной системы управления и ее\nсистемы защиты;\nконтроля (мониторинга) за обеспечением уровня защищенности\nавтоматизированной системы управления;\nзащиты информации при выводе из эксплуатации автоматизированной\nсистемы управления. Организационно-распорядительные документы по защите информации могут\nразрабатываться в виде отдельных документов оператора или в рамках\nобщей политики обеспечения информационной безопасности в случае ее\nразработки по ГОСТ Р ИСО/МЭК 27001 \"Информационная технология. Методы\nи средства обеспечения безопасности. Системы менеджмента\nинформационной безопасности. Требования\". Информация об изменениях:\nПодпункт 15.3 изменен с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nСм. предыдущую редакцию\n15.3. При внедрении организационных мер защиты информации\nосуществляются:\nвведение ограничений на действия персонала (пользователей\n(операторского персонала), администраторов, обеспечивающего\nперсонала), а также на условия эксплуатации, изменение состава и\nконфигурации технических средств и программного обеспечения;\nопределение администратора безопасности информации;\nреализация правил разграничения доступа, регламентирующих права\nдоступа субъектов доступа к объектам доступа;\nпроверка полноты и детальности описания в\nорганизационно-распорядительных документах по защите информации\nдействий персонала автоматизированной системы управления и\nадминистратора безопасности информации, направленных на обеспечение\nзащиты информации;\nотработка практических действий должностных лиц и подразделений,\nобеспечивающих эксплуатацию автоматизированной системы управления и\nзащиту информации. 15.4. Установка и настройка средств защиты информации осуществляется в\nслучаях, если такие средства необходимы для блокирования\n(нейтрализации) угроз безопасности информации, которые невозможно\nисключить настройкой (заданием параметров) программного обеспечения\nавтоматизированной системы управления и (или) реализацией\nорганизационных мер защиты информации. Установка и настройка средств защиты информации в автоматизированной\nсистеме управления должна проводиться в соответствии с\nэксплуатационной документацией на систему защиты автоматизированной\nсистемы управления и документацией на средства защиты информации. При этом установка и настройка средств защиты информации должна\nобеспечивать корректность функционирования автоматизированной системы\nуправления и совместимость выбранных средств защиты информации с\nпрограммным обеспечением и техническими средствами автоматизированной\nсистемы управления. Установленные и настроенные средства защиты\nинформации не должны оказывать отрицательного влияния на штатный режим\nфункционирования автоматизированной системы управления. 15.5. Предварительные испытания системы защиты автоматизированной\nсистемы управления проводятся с учетом ГОСТ 34.603 \"Информационная\nтехнология. Виды испытаний автоматизированных систем\" (далее - ГОСТ\n34.603) и стандартов организации и включают проверку работоспособности\nсистемы защиты автоматизированной системы управления, а также принятие\nрешения о возможности опытной эксплуатации системы защиты\nавтоматизированной системы управления. По результатам предварительных испытаний системы защиты\nавтоматизированной системы управления могут разрабатываться\nпредложения по корректировке проектных решений по автоматизированной\nсистеме управления и (или) ее системе защиты. 15.6. Опытная эксплуатация системы защиты автоматизированной системы\nуправления проводится с учетом ГОСТ 34.603 и стандартов организации и\nвключает проверку функционирования системы защиты автоматизированной\nсистемы управления, в том числе реализованных мер защиты информации, а\nтакже готовность персонала автоматизированной системы управления к\nэксплуатации системы защиты автоматизированной системы управления. По результатам опытной эксплуатации системы защиты автоматизированной\nсистемы управления могут разрабатываться предложения по корректировке\nпроектных решений по автоматизированной системе управления и (или) ее\nсистеме защиты. 15.7. Анализ уязвимостей автоматизированной системы управления\nпроводится в целях оценки возможности преодоления нарушителем системы\nзащиты автоматизированной системы управления и нарушения безопасного\nфункционирования автоматизированной системы управления за счет\nреализации угроз безопасности информации. Анализ уязвимостей автоматизированной системы управления включает\nанализ уязвимостей средств защиты информации, технических средств и\nпрограммного обеспечения автоматизированной системы управления. При анализе уязвимостей автоматизированной системы управления\nпроверяется отсутствие уязвимостей средств защиты информации,\nтехнических средств и программного обеспечения, в том числе с учетом\nинформации, имеющейся у разработчиков и полученной из других\nобщедоступных источников, правильность установки и настройки средств\nзащиты информации, технических средств и программного обеспечения, а\nтакже корректность работы средств защиты информации, технических\nсредств и программного обеспечения автоматизированной системы\nуправления при их взаимодействии. По решению заказчика для подтверждения выявленных уязвимостей может\nпроводиться тестирование автоматизированной системы управления на\nпроникновение. Указанное тестирование проводится, как правило, на\nмакете (в тестовой зоне) автоматизированной системы управления. В случае выявления уязвимостей в автоматизированной системе\nуправления, приводящих к возникновению дополнительных угроз\nбезопасности информации, проводится уточнение модели угроз\nбезопасности информации и при необходимости принимаются дополнительные\nмеры защиты информации, направленные на устранение выявленных\nуязвимостей или исключающие возможность эксплуатации нарушителем\nвыявленных уязвимостей. Анализ уязвимостей автоматизированной системы управления проводится до\nввода автоматизированной системы управления в промышленную\nэксплуатацию на этапах, определяемых заказчиком. 15.8. Приемочные испытания системы защиты автоматизированной системы\nуправления проводятся, как правило, в рамках приемочных испытаний\nавтоматизированной системы управления в целом с учетом ГОСТ 34.603 и\nстандартов организации. В ходе приемочных испытаний должен быть проведен комплекс\nорганизационных и технических мероприятий (испытаний), в результате\nкоторых подтверждается соответствие системы защиты автоматизированной\nсистемы управления техническому заданию на создание (модернизацию)\nавтоматизированной системы управления и (или) техническому заданию\n(частному техническому заданию) на создание системы защиты\nавтоматизированной системы управления, а также настоящим Требованиям. В качестве исходных данных при приемочных испытаниях используются\nмодель угроз безопасности информации, акт классификации\nавтоматизированной системы управления, техническое задание на создание\n(модернизацию) автоматизированной системы управления и (или)\nтехническое задание (частное техническое задание) на создание системы\nзащиты автоматизированной системы управления, проектная и\nэксплуатационная документация на систему защиты автоматизированной\nсистемы управления, организационно-распорядительные документы по\nзащите информации, результаты анализа уязвимостей автоматизированной\nсистемы управления, материалы предварительных и приемочных испытаний\nсистемы защиты автоматизированной системы управления, а также иные\nдокументы, разрабатываемые в соответствии с настоящими Требованиями и\nтребованиями стандартов организации. Приемочные испытания системы защиты автоматизированной системы\nуправления проводятся в соответствии с программой и методикой\nприемочных испытаний. Результаты приемочных испытаний системы защиты\nавтоматизированной системы управления с выводом о ее соответствии\nустановленным требованиям включаются в акт приемки автоматизированной\nсистемы управления в эксплуатацию. По решению заказчика подтверждение соответствия системы защиты\nавтоматизированной системы управления техническому заданию на создание\n(модернизацию) автоматизированной системы управления и (или)\nтехническому заданию (частному техническому заданию) на создание\nсистемы защиты автоматизированной системы управления, а также\nнастоящим Требованиям может проводиться в форме аттестации\nавтоматизированной системы управления на соответствие требованиям по\nзащите информации. В этом случае для проведения аттестации применяются\nнациональные стандарты, а также методические документы ФСТЭК России**. Ввод в действие автоматизированной системы управления осуществляется с\nучетом ГОСТ 34.601, стандартов организации и при положительном\nзаключении (выводе) в акте приемки о соответствии ее системы защиты\nустановленным требованиям к защите информации (или при наличии\nаттестата соответствия). Обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления\n16. Обеспечение защиты информации в ходе эксплуатации\nавтоматизированной системы управления осуществляется оператором в\nсоответствии с эксплуатационной документацией на систему защиты и\nорганизационно-распорядительными документами по защите информации и\nвключает следующие процедуры:\nпланирование мероприятий по обеспечению защиты информации в\nавтоматизированной системе управления;\nобеспечение действий в нештатных (непредвиденных) ситуациях в ходе\nэксплуатации автоматизированной системы управления;\nинформирование и обучение персонала автоматизированной системы\nуправления;\nпериодический анализ угроз безопасности информации в\nавтоматизированной системе управления и рисков от их реализации;\nуправление (администрирование) системой защиты автоматизированной\nсистемы управления;\nвыявление инцидентов в ходе эксплуатации автоматизированной системы\nуправления и реагирование на них;\nуправление конфигурацией автоматизированной системы управления и ее\nсистемы защиты;\nконтроль (мониторинг) за обеспечением уровня защищенности\nавтоматизированной системы управления. 16.1. В ходе планирования мероприятий по обеспечению защиты информации\nв автоматизированной системе управления осуществляются:\nопределение лиц, ответственных за планирование и контроль мероприятий\nпо обеспечению защиты информации в автоматизированной системе\nуправления;\nразработка, утверждение и актуализация плана мероприятий по\nобеспечению защиты информации в автоматизированной системе управления;\nконтроль выполнения мероприятий по обеспечению защиты информации в\nавтоматизированной системе управления, предусмотренных утвержденным\nпланом. 16.2. В ходе обеспечения действий в нештатных (непредвиденных)\nситуациях при эксплуатации автоматизированной системы управления\nосуществляются:\nпланирование мероприятий по обеспечению защиты информации в\nавтоматизированной системе управления на случай возникновения\nнештатных (непредвиденных) ситуаций;\nобучение и отработка действий персонала по обеспечению защиты\nинформации в автоматизированной системе управления в случае\nвозникновения нештатных (непредвиденных) ситуаций;\nсоздание альтернативных мест хранения и обработки информации на случай\nвозникновения нештатных (непредвиденных) ситуаций;\nрезервирование программного обеспечения, технических средств, каналов\nпередачи данных автоматизированной системы управления на случай\nвозникновения нештатных (непредвиденных) ситуаций;\nобеспечение возможности восстановления автоматизированной системы\nуправления и (или) ее компонентов в случае возникновения нештатных\n(непредвиденных) ситуаций. 16.3. В ходе информирования и обучения персонала автоматизированной\nсистемы управления осуществляются:\nпериодическое информирование персонала об угрозах безопасности\nинформации, о правилах эксплуатации системы защиты автоматизированной\nсистемы управления и отдельных средств защиты информации;\nпериодическое обучение персонала правилам эксплуатации системы защиты\nавтоматизированной системы управления и отдельных средств защиты\nинформации, включая проведение практических занятий с персоналом на\nмакетах или в тестовой зоне. 16.4. В ходе анализа угроз безопасности информации в\nавтоматизированной системе управления и возможных рисков от их\nреализации осуществляются:\nпериодический анализ уязвимостей автоматизированной системы\nуправления, возникающих в ходе ее эксплуатации;\nпериодический анализ изменения угроз безопасности информации в\nавтоматизированной системе управления, возникающих в ходе ее\nэксплуатации;\nпериодическая оценка последствий от реализации угроз безопасности\nинформации в автоматизированной системе управления (анализ риска). 16.5. В ходе управления (администрирования) системой защиты\nавтоматизированной системы управления осуществляются:\nопределение лиц, ответственных за управление (администрирование)\nсистемой защиты автоматизированной системы управления;\nуправление учетными записями пользователей и поддержание правил\nразграничения доступа в автоматизированной системе управления в\nактуальном состоянии;\nуправление средствами защиты информации в автоматизированной системе\nуправления, в том числе параметрами настройки программного\nобеспечения, включая восстановление работоспособности средств защиты\nинформации, генерацию, смену и восстановление паролей;\nуправление обновлениями программного обеспечения, включая программное\nобеспечение средств защиты информации, с учетом особенностей\nфункционирования автоматизированной системы управления;\nцентрализованное управление системой защиты автоматизированной системы\nуправления (при необходимости);\nанализ зарегистрированных событий в автоматизированной системе\nуправления, связанных с безопасностью информации (далее - события\nбезопасности);\nсопровождение функционирования системы защиты автоматизированной\nсистемы управления в ходе ее эксплуатации, включая ведение\nэксплуатационной документации и организационно-распорядительных\nдокументов по защите информации. 16.6. Для выявления инцидентов и реагирования на них осуществляются:\nопределение лиц, ответственных за выявление инцидентов и реагирование\nна них;\nобнаружение и идентификация инцидентов, в том числе отказов в\nобслуживании, сбоев (перезагрузок) в работе технических средств,\nпрограммного обеспечения и средств защиты информации, нарушений правил\nразграничения доступа, неправомерных действий по сбору информации,\nвнедрения вредоносных компьютерных программ (вирусов) и иных событий,\nприводящих к возникновению инцидентов;\nсвоевременное информирование лиц, ответственных за выявление\nинцидентов и реагирование на них, о возникновении инцидентов в\nавтоматизированной системе управления персоналом;\nанализ инцидентов, в том числе определение источников и причин\nвозникновения инцидентов, а также оценка их последствий;\nпланирование и принятие мер по устранению инцидентов, в том числе по\nвосстановлению автоматизированной системы управления в случае отказа в\nобслуживании или после сбоев, устранению последствий нарушения правил\nразграничения доступа, неправомерных действий по сбору информации,\nвнедрения вредоносных компьютерных программ (вирусов) и иных событий,\nприводящих к возникновению инцидентов;\nпланирование и принятие мер по предотвращению повторного возникновения\nинцидентов. 16.7. В ходе управления конфигурацией автоматизированной системы\nуправления и ее системы защиты осуществляются:\nподдержание конфигурации автоматизированной системы управления и ее\nсистемы защиты (структуры системы защиты автоматизированной системы\nуправления, состава, мест установки и параметров настройки средств\nзащиты информации, программного обеспечения и технических средств) в\nсоответствии с эксплуатационной документацией на систему защиты\n(поддержание базовой конфигурации автоматизированной системы\nуправления и ее системы защиты);\nопределение лиц, которым разрешены действия по внесению изменений в\nбазовую конфигурацию автоматизированной системы управления и ее\nсистемы защиты;\nрегламентация и контроль технического обслуживания, в том числе\nдистанционного (удаленного), технических средств и программного\nобеспечения автоматизированной системы управления;\nуправление изменениями базовой конфигурации автоматизированной системы\nуправления и ее системы защиты, в том числе определение типов\nвозможных изменений базовой конфигурации автоматизированной системы\nуправления и ее системы защиты, санкционирование внесения изменений в\nбазовую конфигурацию автоматизированной системы управления и ее\nсистемы защиты, документирование действий по внесению изменений в\nбазовую конфигурацию автоматизированной системы управления и ее\nсистемы защиты, сохранение данных об изменениях базовой конфигурации\nавтоматизированной системы управления и ее системы защиты, контроль\nдействий по внесению изменений в базовую конфигурацию\nавтоматизированной системы управления и ее системы защиты;\nанализ потенциального воздействия планируемых изменений в базовой\nконфигурации автоматизированной системы управления и ее системы защиты\nна обеспечение ее безопасности, возникновение дополнительных угроз\nбезопасности информации и работоспособность автоматизированной системы\nуправления;\nопределение параметров настройки программного обеспечения, включая\nпрограммное обеспечение средств защиты информации, состава и\nконфигурации технических средств и программного обеспечения до\nвнесения изменений в базовую конфигурацию автоматизированной системы\nуправления и ее системы защиты;\nвнесение информации (данных) об изменениях в базовой конфигурации\nавтоматизированной системы управления и ее системы защиты в\nэксплуатационную документацию на систему защиты информации\nавтоматизированной системы управления. 16.8. В ходе контроля (мониторинга) за обеспечением уровня\nзащищенности автоматизированной системы управления осуществляются:\nконтроль за событиями безопасности и действиями персонала в\nавтоматизированной системе управления;\nконтроль (анализ) защищенности информации, обрабатываемой в\nавтоматизированной системе управления, с учетом особенностей ее\nфункционирования;\nанализ и оценка функционирования системы защиты автоматизированной\nсистемы управления, включая выявление, анализ и устранение недостатков\nв функционировании системы защиты автоматизированной системы\nуправления;\nдокументирование процедур и результатов контроля (мониторинга) за\nобеспечением уровня защищенности автоматизированной системы\nуправления;\nпринятие решения по результатам контроля (мониторинга) за обеспечением\nуровня защищенности автоматизированной системы управления о\nнеобходимости пересмотра требований к защите информации в\nавтоматизированной системе управления и доработке (модернизации) ее\nсистемы защиты. Обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления\n17. Обеспечение защиты информации при выводе из эксплуатации\nавтоматизированной системы управления осуществляется оператором в\nсоответствии с эксплуатационной документацией на систему защиты\nавтоматизированной системы управления и\nорганизационно-распорядительными документами по защите информации и в\nтом числе включает:\nархивирование информации, содержащейся в автоматизированной системе\nуправления;\nуничтожение (стирание) данных и остаточной информации с машинных\nносителей информации и (или) уничтожение машинных носителей\nинформации. 17.1. Архивирование информации, содержащейся в автоматизированной\nсистеме управления, должно осуществляться при необходимости\nдальнейшего использования информации в деятельности оператора. 17.2. Уничтожение (стирание) данных и остаточной информации с машинных\nносителей информации производится при необходимости передачи машинного\nносителя информации другому пользователю автоматизированной системы\nуправления или в сторонние организации для ремонта, технического\nобслуживания или дальнейшего уничтожения. При выводе автоматизированной системы управления из эксплуатации\nпроизводится уничтожение машинных носителей информации, содержащих\nэнергонезависимую память. III. Требования к мерам защиты информации в автоматизированной системе управления\nИнформация об изменениях:\nПункт 18 изменен с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nСм. предыдущую редакцию\n18. Организационные и технические меры защиты информации, реализуемые\nв автоматизированной системе управления в рамках ее системы защиты, в\nзависимости от класса защищенности, угроз безопасности информации,\nиспользуемых технологий и структурно-функциональных характеристик\nавтоматизированной системы управления и особенностей ее\nфункционирования должны обеспечивать:\nидентификацию и аутентификацию (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащиту машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусную защиту (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащиту технических средств и систем (ЗТС);\nзащиту информационной (автоматизированной) системы и ее компонентов\n(ЗИС);\nреагирование на компьютерные инциденты (ИНЦ);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер защиты информации и их базовые наборы для соответствующих\nклассов защищенности автоматизированных систем управления приведены в\nприложении N 2 к настоящим Требованиям. Содержание мер и правила их реализации устанавливаются методическим\nдокументом, разработанным ФСТЭК России в соответствии с пунктом 5 и\nподпунктом 4 пункта 8 Положения о Федеральной службе по техническому и\nэкспортному контролю, утвержденного Указом Президента Российской\nФедерации от 16 августа 2004 г. N 1085. 18.1. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.2. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.3. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.4. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.5. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.6. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.7. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.8. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.9. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.10. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.11. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.12. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.13. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.14. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.15. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.16. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.17. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.18. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.19. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.20. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n18.21. Утратил силу с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nИнформация об изменениях:\nСм. предыдущую редакцию\n19. Выбор мер защиты информации для их реализации в автоматизированной\nсистеме управления в рамках ее системы защиты включает:\nопределение базового набора мер защиты информации для установленного\nкласса защищенности автоматизированной системы управления в\nсоответствии с базовыми наборами мер защиты информации, приведенными в\nприложении N 2 к настоящим Требованиям;\nадаптацию базового набора мер защиты информации применительно к\nкаждому уровню автоматизированной системы управления, иным\nструктурно-функциональным характеристикам и особенностям\nфункционирования автоматизированной системы управления (в том числе\nпредусматривающую исключение из базового набора мер защиты информации\nмер, непосредственно связанных с технологиями, не используемыми в\nавтоматизированной системе управления или ее уровнях, или\nструктурно-функциональными характеристиками, не свойственными\nавтоматизированной системе управления);\nуточнение адаптированного базового набора мер защиты информации с\nучетом не выбранных ранее мер защиты информации, приведенных в\nприложении N 2 к настоящим Требованиям, в результате чего определяются\nмеры защиты информации, обеспечивающие блокирование (нейтрализацию)\nвсех угроз безопасности информации на каждом из уровней\nавтоматизированной системы управления;\nдополнение уточненного адаптированного базового набора мер защиты\nинформации мерами, обеспечивающими выполнение требований к защите\nинформации, установленными иными нормативными правовыми актами,\nлокальными правовыми актами, национальными стандартами и стандартами\nорганизации в области защиты информации. Для выбора мер защиты информации для соответствующего класса\nзащищенности автоматизированной системы управления применяются\nметодические документы ФСТЭК России**. 20. В автоматизированной системе управления соответствующего класса\nзащищенности в рамках ее системы защиты должны быть реализованы меры\nзащиты информации, выбранные в соответствии с пунктами 18 и 19\nнастоящих Требований и обеспечивающие блокирование (нейтрализацию)\nвсех угроз безопасности информации на каждом из уровней\nавтоматизированной системы управления. Выбранные меры защиты информации рассматриваются для каждого уровня\nавтоматизированной системы управления отдельно и подлежат реализации с\nучетом особенностей функционирования каждого из уровней. При этом в автоматизированной системе управления должен быть, как\nминимум, реализован адаптированный для каждого уровня базовый набор\nмер защиты информации, соответствующий установленному классу\nзащищенности автоматизированной системы управления. 21. В целях исключения избыточности в реализации мер защиты информации\nи в случае, если принятые в автоматизированной системе управления меры\nпо обеспечению промышленной безопасности и (или) физической\nбезопасности достаточны для блокирования (нейтрализации) отдельных\nугроз безопасности информации, дополнительные меры защиты информации,\nвыбранные в соответствии с пунктами 18 и 19 настоящих Требований,\nмогут не применяться. При этом в ходе разработки системы защиты\nавтоматизированной системы управления должно быть проведено\nобоснование достаточности применения мер по обеспечению промышленной\nбезопасности или физической безопасности для блокирования\n(нейтрализации) соответствующих угроз безопасности информации. 22. При отсутствии возможности реализации отдельных мер защиты\nинформации на каком-либо из уровней автоматизированной системы\nуправления и (или) невозможности их применения к отдельным объектам и\nсубъектам доступа, в том числе вследствие их негативного влияния на\nштатный режим функционирования автоматизированной системы управления,\nна этапах адаптации базового набора мер защиты информации или\nуточнения адаптированного базового набора мер защиты информации\nразрабатываются иные (компенсирующие) меры, обеспечивающие адекватное\nблокирование (нейтрализацию) угроз безопасности информации и\nнеобходимый уровень защищенности автоматизированной системы\nуправления. В качестве компенсирующих мер, в первую очередь, рассматриваются меры\nпо обеспечению промышленной и (или) физической безопасности\nавтоматизированной системы управления, поддерживающие необходимый\nуровень защищенности автоматизированной системы управления. В этом случае в ходе разработки системы защиты автоматизированной\nсистемы управления должно быть проведено обоснование применения\nкомпенсирующих мер, а при приемочных испытаниях оценена достаточность\nи адекватность данных компенсирующих мер для блокирования\n(нейтрализации) угроз безопасности информации. 23. Выбранные и реализованные в автоматизированной системе управления\nв рамках ее системы защиты меры защиты информации, как минимум, должны\nобеспечивать:\nв автоматизированных системах управления 1 класса защищенности -\nнейтрализацию (блокирование) угроз безопасности информации, связанных\nс действиями нарушителя с высоким потенциалом;\nв автоматизированных системах управления 2 класса защищенности -\nнейтрализацию (блокирование) угроз безопасности информации, связанных\nс действиями нарушителя с потенциалом не ниже среднего;\nв автоматизированных системах управления 3 класса защищенности -\nнейтрализацию (блокирование) угроз безопасности информации, связанных\nс действиями нарушителя с низким потенциалом. Потенциал нарушителя определяется в ходе оценки его возможностей и\nмотивации, проводимой при анализе угроз безопасности информации в\nсоответствии с пунктом 13.3 настоящих Требований. Оператором может быть принято решение о применении в\nавтоматизированной системе управления соответствующего класса\nзащищенности мер защиты информации, обеспечивающих защиту от угроз\nбезопасности информации, реализуемых нарушителем с более высоким\nпотенциалом. Информация об изменениях:\nПункт 24 изменен с 12 июля 2021 г. - Приказ ФСТЭК России от 15 марта\n2021 г. N 46\nСм. предыдущую редакцию\n24. Технические меры защиты информации реализуются посредством\nприменения средств защиты информации, в том числе программных\n(программно-аппаратных) средств, в которых они реализованы, имеющих\nнеобходимые функции безопасности. В качестве средств защиты информации\nв первую очередь подлежат рассмотрению механизмы защиты (параметры\nнастройки) штатного программного обеспечения автоматизированной\nсистемы управления при их наличии. В случае использования в автоматизированных системах управления\nсертифицированных по требованиям безопасности информации средств\nзащиты информации применяются:\nв автоматизированных системах управления 1 класса защищенности\nприменяются средства защиты информации не ниже 4 класса,\nсоответствующие 4 или более высокому уровню доверия, а также средства\nвычислительной техники не ниже 5 класса, соответствующие 4 или более\nвысокому уровню доверия;\nв автоматизированных системах управления 2 класса защищенности\nприменяются средства защиты информации не ниже 5 класса,\nсоответствующие 5 или более высокому уровню доверия, а также средства\nвычислительной техники не ниже 5 класса, соответствующие 5 или более\nвысокому уровню доверия;\nв автоматизированных системах управления 3 класса защищенности\nприменяются средства защиты информации не ниже 6 класса,\nсоответствующие 6 или более высокому уровню доверия, а также средства\nвычислительной техники не ниже 5 класса, соответствующие 6 или более\nвысокому уровню доверия. Классы защиты определяются в соответствии с нормативными правовыми\nактами, изданными в соответствии с подпунктом 13.1 пункта 8 Положения\nо Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085. Уровни доверия определяются в соответствии с\nТребованиями, утвержденными приказом ФСТЭК России от 2 июня 2020 г. N 76 (зарегистрирован Минюстом России 11 сентября 2020 г.,\nрегистрационный N 59772). В случае использования в автоматизированных системах управления\nсредств защиты информации, сертифицированных по требованиям\nбезопасности информации, указанные средства должны быть\nсертифицированы на соответствие обязательным требованиям по\nбезопасности информации, установленным нормативными правовыми актами,\nили требованиям, указанным в технических условиях (заданиях по\nбезопасности). Функции безопасности средств защиты информации должны обеспечивать\nвыполнение настоящих Требований. Абзац утратил силу с 12 июля 2021 г. - Приказ ФСТЭК России от 15 марта\n2021 г. N 46\nИнформация об изменениях:\nСм. предыдущую редакцию\nАбзац утратил силу с 12 июля 2021 г. - Приказ ФСТЭК России от 15 марта\n2021 г. N 46\nИнформация об изменениях:\nСм. предыдущую редакцию\n25. При использовании в автоматизированных системах управления новых\nтехнологий и выявлении дополнительных угроз безопасности информации,\nдля которых не определены меры защиты информации, должны\nразрабатываться компенсирующие меры в соответствии с пунктом 22\nнастоящих Требований. ______________________________\n* Разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8\nПоложения о Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004,\nN 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47,\nст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 52, ст. 7137). ** Разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8\nПоложения о Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085. Приложение N 1 к Требованиям к обеспечению защиты информации в\nавтоматизированных системах управления производственными и\nтехнологическими процессами на критически важных объектах,\nпотенциально опасных объектах, а также объектах, представляющих\nповышенную опасность для жизни и здоровья людей и для окружающей\nприродной среды\nОпределение класса защищенности автоматизированной системы управления\n1. Класс защищенности автоматизированной системы управления (первый\nкласс (К1), второй класс (К2), третий класс (К3)) определяется в\nзависимости от уровня значимости (критичности) обрабатываемой в ней\nинформации (УЗ). 2. Уровень значимости (критичности) информации (УЗ) определяется\nстепенью возможного ущерба от нарушения ее целостности (неправомерные\nуничтожение или модифицирование), доступности (неправомерное\nблокирование) или конфиденциальности (неправомерные доступ,\nкопирование, предоставление или распространение), в результате\nкоторого возможно нарушение штатного режима функционирования\nавтоматизированной системы управления или незаконное вмешательство в\nпроцессы функционирования автоматизированной системы управления. УЗ = [(целостность, степень ущерба) (доступность, степень ущерба)\n(конфиденциальность, степень ущерба)],\nгде степень возможного ущерба определяется заказчиком или оператором\nэкспертным или иным методом и может быть:\nвысокой, если в результате нарушения одного из свойств безопасности\nинформации (целостности, доступности, конфиденциальности), повлекшего\nнарушение штатного режима функционирования автоматизированной системы\nуправления, возможно возникновение чрезвычайной ситуации федерального\nили межрегионального характера* или иные существенные негативные\nпоследствия в социальной, политической, экономической, военной или\nиных областях деятельности;\nсредней, если в результате нарушения одного из свойств безопасности\nинформации (целостности, доступности, конфиденциальности), повлекшего\nнарушение штатного режима функционирования автоматизированной системы\nуправления, возможно возникновение чрезвычайной ситуации регионального\nили межмуниципального характера* или иные умеренные негативные\nпоследствия в социальной, политической, экономической, военной или\nиных областях деятельности;\nнизкой, если в результате нарушения одного из свойств безопасности\nинформации (целостности, доступности, конфиденциальности), повлекшего\nнарушение штатного режима функционирования автоматизированной системы\nуправления, возможно возникновение чрезвычайной ситуации\nмуниципального (локального)* характера или возможны иные\nнезначительные негативные последствия в социальной, политической,\nэкономической, военной или иных областях деятельности. В случае, если для информации, обрабатываемой в автоматизированной\nсистеме управления, не требуется обеспечение одного из свойств\nбезопасности информации (в частности конфиденциальности) уровень\nзначимости (критичности) определятся для двух других свойств\nбезопасности информации (целостности, доступности). В этом случае:\nУЗ = [(целостность, степень ущерба) (доступность, степень ущерба)\n(конфиденциальность, не применяется)]. Информация, обрабатываемая в автоматизированной системе управления,\nимеет высокий уровень значимости (критичности) (УЗ 1), если хотя бы\nдля одного из свойств безопасности информации (целостности,\nдоступности, конфиденциальности) определена высокая степень ущерба. Информация, обрабатываемая в автоматизированной системе управления,\nимеет средний уровень значимости (критичности) (УЗ 2), если хотя бы\nдля одного из свойств безопасности информации (целостности,\nдоступности, конфиденциальности) определена средняя степень ущерба и\nнет ни одного свойства, для которого определена высокая степень\nущерба. Информация, обрабатываемая в автоматизированной системе\nуправления, имеет низкий уровень значимости (критичности) (УЗ 3), если\nдля всех свойств безопасности информации (целостности, доступности,\nконфиденциальности) определены низкие степени ущерба. При обработке в автоматизированной системе управления двух и более\nвидов информации (измерительная информация, информация о состоянии\nпроцесса) уровень значимости (критичности) информации (УЗ)\nопределяется отдельно для каждого вида информации. Итоговый уровень\nзначимости (критичности) устанавливается по наивысшим значениям\nстепени возможного ущерба, определенным для целостности, доступности,\nконфиденциальности каждого вида информации. 3. Класс защищенности автоматизированной системы управления\nопределяется в соответствии с таблицей:\n+----------------------------------+----------------------------------+\n|   Уровень значимости             |   Класс защищенности             |\n|   (критичности) информации       |   автоматизированной системы     |\n|                                  |   управления                     |\n+----------------------------------+----------------------------------+\n|   УЗ 1                           |   К1                             |\n+----------------------------------+----------------------------------+\n|   УЗ 2                           |   К2                             |\n+----------------------------------+----------------------------------+\n|   УЗ 3                           |   К3                             |\n+----------------------------------+----------------------------------+\n______________________________\n* Устанавливается в соответствии с постановлением Правительства\nРоссийской Федерации от 21 мая 2007 г. N 304 \"О классификации\nчрезвычайных ситуаций природного и техногенного характера\" (Собрание\nзаконодательства Российской Федерации, 2007, N 22, ст. 2640; 2011,\nN 21, ст. 2971). Информация об изменениях:\nПриложение 2 изменено с 17 сентября 2018 г. - Приказ ФСТЭК России от 9\nавгуста 2018 г. N 138\nСм. предыдущую редакцию\nПриложение N 2 к Требованиям к обеспечению защиты информации в\nавтоматизированных системах управления производственными и\nтехнологическими процессами на критически важных объектах,\nпотенциально опасных объектах, а также объектах, представляющих\nповышенную опасность для жизни и здоровья людей и для окружающей\nприродной среды\nСостав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления\nС изменениями и дополнениями от:\n9 августа 2018 г. +------------------+------------------+------------------+-----+-----+\n|   Условное       |   Меры защиты    |   Классы         |     |     |\n|   обозначение и  |   информации в   |   защищенности   |     |     |\n|   номер меры     |   ав             |   ав             |     |     |\n|                  | томатизированных | томатизированной |     |     |\n|                  |   системах       |   системы        |     |     |\n|                  |   управления     |   управления     |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   3              |   2              |   1              |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   идентификации  |                  |     |     |\n|                  |   и              |                  |     |     |\n|                  |   аутентификации |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.1          |   Идентификация  |   +              |   + |   + |\n|                  |   и              |                  |     |     |\n|                  |   аутентификация |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n|                  |   и инициируемых |                  |     |     |\n|                  |   ими процессов  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.2          |   Идентификация  |   +              |   + |   + |\n|                  |   и              |                  |     |     |\n|                  |   аутентификация |                  |     |     |\n|                  |   устройств      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.3          |   Управление     |   +              |   + |   + |\n|                  |                  |                  |     |     |\n|                  | идентификаторами |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.4          |   Управление     |   +              |   + |   + |\n|                  |   средствами     |                  |     |     |\n|                  |   аутентификации |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.5          |   Идентификация  |   +              |   + |   + |\n|                  |   и              |                  |     |     |\n|                  |   аутентификация |                  |     |     |\n|                  |   внешних        |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.6          |   Двусторонняя   |                  |     |     |\n|                  |   аутентификация |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИАФ.7          |   Защита         |   +              |   + |   + |\n|                  |   ау             |                  |     |     |\n|                  | тентификационной |                  |     |     |\n|                  |   информации при |                  |     |     |\n|                  |   передаче       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   управления     |                  |     |     |\n|                  |   доступом       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.1          |   Управление     |   +              |   + |   + |\n|                  |   учетными       |                  |     |     |\n|                  |   записями       |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.2          |   Реализация     |   +              |   + |   + |\n|                  |   политик        |                  |     |     |\n|                  |   управления     |                  |     |     |\n|                  |   доступа        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.3          |   Доверенная     |                  |   + |   + |\n|                  |   загрузка       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.4          |   Разделение     |   +              |   + |   + |\n|                  |   полномочий     |                  |     |     |\n|                  |   (ролей)        |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.5          |   Назначение     |   +              |   + |   + |\n|                  |   минимально     |                  |     |     |\n|                  |   необходимых    |                  |     |     |\n|                  |   прав и         |                  |     |     |\n|                  |   привилегий     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.6          |   Ограничение    |   +              |   + |   + |\n|                  |   неуспешных     |                  |     |     |\n|                  |   попыток        |                  |     |     |\n|                  |   доступа в      |                  |     |     |\n|                  |   информационную |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированную) |                  |     |     |\n|                  |   систему        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.7          |   Предупреждение |                  |     |     |\n|                  |   пользователя   |                  |     |     |\n|                  |   при его        |                  |     |     |\n|                  |   доступе к      |                  |     |     |\n|                  |   информационным |                  |     |     |\n|                  |   ресурсам       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.8          |   Оповещение     |                  |     |   + |\n|                  |   пользователя   |                  |     |     |\n|                  |   при успешном   |                  |     |     |\n|                  |   входе          |                  |     |     |\n|                  |   предыдущем     |                  |     |     |\n|                  |   доступе к      |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системе        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.9          |   Ограничение    |                  |     |   + |\n|                  |   числа          |                  |     |     |\n|                  |   параллельных   |                  |     |     |\n|                  |   сеансов        |                  |     |     |\n|                  |   доступа        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.10         |   Блокирование   |   +              |   + |   + |\n|                  |   сеанса доступа |                  |     |     |\n|                  |   пользователя   |                  |     |     |\n|                  |   при            |                  |     |     |\n|                  |   неактивности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.11         |   Управление     |   +              |   + |   + |\n|                  |   действиями     |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n|                  |   до             |                  |     |     |\n|                  |   идентификации  |                  |     |     |\n|                  |   и              |                  |     |     |\n|                  |   аутентификации |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.12         |   Управление     |                  |     |     |\n|                  |   атрибутами     |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.13         |   Реализация     |   +              |   + |   + |\n|                  |   защищенного    |                  |     |     |\n|                  |   удаленного     |                  |     |     |\n|                  |   доступа        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УПД.14         |   Контроль       |   +              |   + |   + |\n|                  |   доступа из     |                  |     |     |\n|                  |   внешних        |                  |     |     |\n|                  |   информационных |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированных) |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПС.0          |   Разработка     |                  |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   ограничения    |                  |     |     |\n|                  |   программной    |                  |     |     |\n|                  |   среды          |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПС.1          |   Управление     |                  |     |   + |\n|                  |   запуском       |                  |     |     |\n|                  |   (обращениями)  |                  |     |     |\n|                  |   компонентов    |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПС.2          |   Управление     |                  |   + |   + |\n|                  |   установкой     |                  |     |     |\n|                  |   (инсталляцией) |                  |     |     |\n|                  |   компонентов    |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПС.3          |   Управление     |                  |     |     |\n|                  |   временными     |                  |     |     |\n|                  |   файлами        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителей      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.1          |   Учет машинных  |   +              |   + |   + |\n|                  |   носителей      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.2          |   Управление     |   +              |   + |   + |\n|                  |   физическим     |                  |     |     |\n|                  |   доступом к     |                  |     |     |\n|                  |   машинным       |                  |     |     |\n|                  |   носителям      |                  |     |     |\n|                  |                  |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.3          |   Контроль       |                  |     |     |\n|                  |   перемещения    |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителей      |                  |     |     |\n|                  |   информации за  |                  |     |     |\n|                  |   пределы        |                  |     |     |\n|                  |   контролируемой |                  |     |     |\n|                  |   зоны           |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.4          |   Исключение     |                  |     |     |\n|                  |   возможности    |                  |     |     |\n|                  |   неса           |                  |     |     |\n|                  | нкционированного |                  |     |     |\n|                  |   чтения         |                  |     |     |\n|                  |   информации на  |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителях      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.5          |   Контроль       |   +              |   + |   + |\n|                  |   использования  |                  |     |     |\n|                  |   интерфейсов    |                  |     |     |\n|                  |   ввода (вывода) |                  |     |     |\n|                  |   информации на  |                  |     |     |\n|                  |   машинные       |                  |     |     |\n|                  |   носители       |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.6          |   Контроль ввода |                  |     |   + |\n|                  |   (вывода)       |                  |     |     |\n|                  |   информации на  |                  |     |     |\n|                  |   машинные       |                  |     |     |\n|                  |   носители       |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.7          |   Контроль       |   +              |   + |   + |\n|                  |   подключения    |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителей      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗНИ.8          |   Уничтожение    |   +              |   + |   + |\n|                  |   (стирание)     |                  |     |     |\n|                  |   информации на  |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителях      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   аудита         |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.1          |   Инвентаризация |   +              |   + |   + |\n|                  |   информационных |                  |     |     |\n|                  |   ресурсов       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.2          |   Анализ         |   +              |   + |   + |\n|                  |   уязвимостей и  |                  |     |     |\n|                  |   их устранение  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.3          |   Генерирование  |   +              |   + |   + |\n|                  |   временных      |                  |     |     |\n|                  |   меток и (или)  |                  |     |     |\n|                  |   синхронизация  |                  |     |     |\n|                  |   системного     |                  |     |     |\n|                  |   времени        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.4          |   Регистрация    |   +              |   + |   + |\n|                  |   событий        |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.5          |   Контроль и     |                  |     |   + |\n|                  |   анализ         |                  |     |     |\n|                  |   сетевого       |                  |     |     |\n|                  |   трафика        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.6          |   Защита         |   +              |   + |   + |\n|                  |   информации о   |                  |     |     |\n|                  |   событиях       |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.7          |   Мониторинг     |   +              |   + |   + |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.8          |   Реагирование   |   +              |   + |   + |\n|                  |   на сбои при    |                  |     |     |\n|                  |   регистрации    |                  |     |     |\n|                  |   событий        |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.9          |   Анализ         |                  |     |   + |\n|                  |   действий       |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.10         |   Проведение     |   +              |   + |   + |\n|                  |   внутренних     |                  |     |     |\n|                  |   аудитов        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АУД.11         |   Проведение     |                  |     |   + |\n|                  |   внешних        |                  |     |     |\n|                  |   аудитов        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   антивирусной   |                  |     |     |\n|                  |   защиты         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.1          |   Реализация     |   +              |   + |   + |\n|                  |   антивирусной   |                  |     |     |\n|                  |   защиты         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.2          |   Антивирусная   |   +              |   + |   + |\n|                  |   защита         |                  |     |     |\n|                  |   электронной    |                  |     |     |\n|                  |   почты и иных   |                  |     |     |\n|                  |   сервисов       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.3          |   Контроль       |                  |     |   + |\n|                  |   использования  |                  |     |     |\n|                  |   архивных,      |                  |     |     |\n|                  |   исполняемых и  |                  |     |     |\n|                  |   зашифрованных  |                  |     |     |\n|                  |   файлов         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.4          |   Обновление     |   +              |   + |   + |\n|                  |   базы данных    |                  |     |     |\n|                  |   признаков      |                  |     |     |\n|                  |   вредоносных    |                  |     |     |\n|                  |   компьютерных   |                  |     |     |\n|                  |   программ       |                  |     |     |\n|                  |   (вирусов)      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   АВЗ.5          |   Использование  |                  |     |   + |\n|                  |   средств        |                  |     |     |\n|                  |   антивирусной   |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   различных      |                  |     |     |\n|                  |   производителей |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   СОВ.0          |   Разработка     |                  |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   предотвращения |                  |     |     |\n|                  |   вторжений      |                  |     |     |\n|                  |   (компьютерных  |                  |     |     |\n|                  |   атак)          |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   СОВ.1          |   Обнаружение и  |                  |   + |   + |\n|                  |   предотвращение |                  |     |     |\n|                  |   компьютерных   |                  |     |     |\n|                  |   атак           |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   СОВ.2          |   Обновление     |                  |   + |   + |\n|                  |   базы решающих  |                  |     |     |\n|                  |   правил         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n|                  |   целостности    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.1          |   Контроль       |   +              |   + |   + |\n|                  |   целостности    |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.2          |   Контроль       |                  |     |     |\n|                  |   целостности    |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.3          |   Ограничения по |                  |     |   + |\n|                  |   вводу          |                  |     |     |\n|                  |   информации в   |                  |     |     |\n|                  |   информационную |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированную) |                  |     |     |\n|                  |   систему        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.4          |   Контроль       |                  |   + |   + |\n|                  |   данных,        |                  |     |     |\n|                  |   вводимых в     |                  |     |     |\n|                  |   информационную |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированную) |                  |     |     |\n|                  |   систему        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.5          |   Контроль       |                  |   + |   + |\n|                  |   ошибочных      |                  |     |     |\n|                  |   действий       |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n|                  |   по вводу и     |                  |     |     |\n|                  |   (или) передаче |                  |     |     |\n|                  |   информации и   |                  |     |     |\n|                  |   предупреждение |                  |     |     |\n|                  |   пользователей  |                  |     |     |\n|                  |   об ошибочных   |                  |     |     |\n|                  |   действиях      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОЦЛ.6          |   Обезличивание  |                  |     |     |\n|                  |   и (или)        |                  |     |     |\n|                  |                  |                  |     |     |\n|                  |  деидентификация |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n|                  |   доступности    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.1          |   Использование  |                  |   + |   + |\n|                  |                  |                  |     |     |\n|                  | отказоустойчивых |                  |     |     |\n|                  |   технических    |                  |     |     |\n|                  |   средств        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.2          |   Резервирование |                  |   + |   + |\n|                  |   средств и      |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.3          |   Контроль       |                  |   + |   + |\n|                  |   безотказного   |                  |     |     |\n|                  |                  |                  |     |     |\n|                  | функционирования |                  |     |     |\n|                  |   средств и      |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.4          |   Резервное      |   +              |   + |   + |\n|                  |   копирование    |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.5          |   Обеспечение    |   +              |   + |   + |\n|                  |   возможности    |                  |     |     |\n|                  |   восстановления |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.6          |   Обеспечение    |   +              |   + |   + |\n|                  |   возможности    |                  |     |     |\n|                  |   восстановления |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n|                  |   при нештатных  |                  |     |     |\n|                  |   ситуациях      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.7          |   Кластеризация  |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОДТ.8          |   Контроль       |   +              |   + |   + |\n|                  |                  |                  |     |     |\n|                  |  предоставляемых |                  |     |     |\n|                  |   вычислительных |                  |     |     |\n|                  |   ресурсов и     |                  |     |     |\n|                  |   каналов связи  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   технических    |                  |     |     |\n|                  |   средств и      |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.1          |   Защита         |                  |     |     |\n|                  |   информации от  |                  |     |     |\n|                  |   утечки по      |                  |     |     |\n|                  |   техническим    |                  |     |     |\n|                  |   каналам        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.2          |   Организация    |   +              |   + |   + |\n|                  |   контролируемой |                  |     |     |\n|                  |   зоны           |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.3          |   Управление     |   +              |   + |   + |\n|                  |   физическим     |                  |     |     |\n|                  |   доступом       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.4          |   Размещение     |   +              |   + |   + |\n|                  |   устройств      |                  |     |     |\n|                  |   вывода         |                  |     |     |\n|                  |   (отображения)  |                  |     |     |\n|                  |   информации,    |                  |     |     |\n|                  |   исключающее ее |                  |     |     |\n|                  |   нес            |                  |     |     |\n|                  | анкционированный |                  |     |     |\n|                  |   просмотр       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.5          |   Защита от      |   +              |   + |   + |\n|                  |   внешних        |                  |     |     |\n|                  |   воздействий    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗТС.6          |   Маркирование   |                  |     |     |\n|                  |   аппаратных     |                  |     |     |\n|                  |   компонентов    |                  |     |     |\n|                  |   системы        |                  |     |     |\n|                  |   относительно   |                  |     |     |\n|                  |   разрешенной к  |                  |     |     |\n|                  |   обработке      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы и ее   |                  |     |     |\n|                  |   компонентов    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.1          |   Разделение     |   +              |   + |   + |\n|                  |   функций по     |                  |     |     |\n|                  |   управлению     |                  |     |     |\n|                  |   (ад            |                  |     |     |\n|                  | министрированию) |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системой с     |                  |     |     |\n|                  |   иными          |                  |     |     |\n|                  |   функциями      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.2          |   Защита         |   +              |   + |   + |\n|                  |   периметра      |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |                  |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.3          |                  |   +              |   + |   + |\n|                  |  Эшелонированная |                  |     |     |\n|                  |   защита         |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.4          |                  |                  |   + |   + |\n|                  |  Сегментирование |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.5          |   Организация    |   +              |   + |   + |\n|                  |   де             |                  |     |     |\n|                  | милитаризованной |                  |     |     |\n|                  |   зоны           |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.6          |   Управление     |                  |     |     |\n|                  |   сетевыми       |                  |     |     |\n|                  |   потоками       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.7          |   Использование  |                  |     |     |\n|                  |   эмулятора      |                  |     |     |\n|                  |   среды          |                  |     |     |\n|                  |                  |                  |     |     |\n|                  | функционирования |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n|                  |   (\"песочница\")  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.8          |   Сокрытие       |   +              |   + |   + |\n|                  |   архитектуры и  |                  |     |     |\n|                  |   конфигурации   |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.9          |   Создание       |                  |     |     |\n|                  |   гетерогенной   |                  |     |     |\n|                  |   среды          |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.10         |   Использование  |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения,   |                  |     |     |\n|                  |                  |                  |     |     |\n|                  | функционирующего |                  |     |     |\n|                  |   в средах       |                  |     |     |\n|                  |   различных      |                  |     |     |\n|                  |   операционных   |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.11         |   Предотвращение |                  |     |     |\n|                  |   задержки или   |                  |     |     |\n|                  |   прерывания     |                  |     |     |\n|                  |   выполнения     |                  |     |     |\n|                  |   процессов с    |                  |     |     |\n|                  |   высоким        |                  |     |     |\n|                  |   приоритетом со |                  |     |     |\n|                  |   стороны        |                  |     |     |\n|                  |   процессов с    |                  |     |     |\n|                  |   низким         |                  |     |     |\n|                  |   приоритетом    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.12         |   Изоляция       |                  |     |     |\n|                  |   процессов      |                  |     |     |\n|                  |   (выполнение    |                  |     |     |\n|                  |   программ) в    |                  |     |     |\n|                  |   выделенной     |                  |     |     |\n|                  |   области памяти |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.13         |   Защита         |                  |   + |   + |\n|                  |   неизменяемых   |                  |     |     |\n|                  |   данных         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.14         |   Использование  |                  |     |     |\n|                  |   не             |                  |     |     |\n|                  | перезаписываемых |                  |     |     |\n|                  |   машинных       |                  |     |     |\n|                  |   носителей      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.15         |   Реализация     |                  |     |     |\n|                  |   электронного   |                  |     |     |\n|                  |   почтового      |                  |     |     |\n|                  |   обмена с       |                  |     |     |\n|                  |   внешними       |                  |     |     |\n|                  |   сетями через   |                  |     |     |\n|                  |   ограниченное   |                  |     |     |\n|                  |   количество     |                  |     |     |\n|                  |   контролируемых |                  |     |     |\n|                  |   точек          |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.16         |   Защита от      |                  |   + |   + |\n|                  |   спама          |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.17         |   Защита         |                  |     |     |\n|                  |   информации от  |                  |     |     |\n|                  |   утечек         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.18         |   Блокировка     |                  |     |     |\n|                  |   доступа к      |                  |     |     |\n|                  |   сайтам или     |                  |     |     |\n|                  |   типам сайтов,  |                  |     |     |\n|                  |   запрещенных к  |                  |     |     |\n|                  |   использованию  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.19         |   Защита         |   +              |   + |   + |\n|                  |   информации при |                  |     |     |\n|                  |   ее передаче по |                  |     |     |\n|                  |   каналам связи  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.20         |   Обеспечение    |   +              |   + |   + |\n|                  |   доверенных     |                  |     |     |\n|                  |   канала,        |                  |     |     |\n|                  |   маршрута       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.21         |   Запрет         |   +              |   + |   + |\n|                  |   нес            |                  |     |     |\n|                  | анкционированной |                  |     |     |\n|                  |   удаленной      |                  |     |     |\n|                  |   активации      |                  |     |     |\n|                  |   периферийных   |                  |     |     |\n|                  |   устройств      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.22         |   Управление     |                  |     |     |\n|                  |   атрибутами     |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n|                  |   при            |                  |     |     |\n|                  |   взаимодействии |                  |     |     |\n|                  |   с иными        |                  |     |     |\n|                  |                  |                  |     |     |\n|                  |  информационными |                  |     |     |\n|                  |   (авто          |                  |     |     |\n|                  | матизированными) |                  |     |     |\n|                  |   системами      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.23         |   Контроль       |                  |   + |   + |\n|                  |   использования  |                  |     |     |\n|                  |   мобильного     |                  |     |     |\n|                  |   кода           |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.24         |   Контроль       |                  |   + |   + |\n|                  |   передачи       |                  |     |     |\n|                  |   речевой        |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.25         |   Контроль       |                  |   + |   + |\n|                  |   передачи       |                  |     |     |\n|                  |                  |                  |     |     |\n|                  |  видеоинформации |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.26         |   Подтверждение  |                  |     |     |\n|                  |   происхождения  |                  |     |     |\n|                  |   источника      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.27         |   Обеспечение    |                  |   + |   + |\n|                  |   подлинности    |                  |     |     |\n|                  |   сетевых        |                  |     |     |\n|                  |   соединений     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.28         |   Исключение     |                  |   + |   + |\n|                  |   возможности    |                  |     |     |\n|                  |   отрицания      |                  |     |     |\n|                  |   отправки       |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.29         |   Исключение     |                  |   + |   + |\n|                  |   возможности    |                  |     |     |\n|                  |   отрицания      |                  |     |     |\n|                  |   получения      |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.30         |   Использование  |                  |     |     |\n|                  |   устройств      |                  |     |     |\n|                  |   терминального  |                  |     |     |\n|                  |   доступа        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.31         |   Защита от      |                  |     |   + |\n|                  |   скрытых        |                  |     |     |\n|                  |   каналов        |                  |     |     |\n|                  |   передачи       |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.32         |   Защита         |   +              |   + |   + |\n|                  |   беспроводных   |                  |     |     |\n|                  |   соединений     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.33         |   Исключение     |                  |     |   + |\n|                  |   доступа через  |                  |     |     |\n|                  |   общие ресурсы  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.34         |   Защита от      |   +              |   + |   + |\n|                  |   угроз отказа в |                  |     |     |\n|                  |   обслуживании   |                  |     |     |\n|                  |   (DOS,          |                  |     |     |\n|                  |   DDOS-атак)     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.35         |   Управление     |                  |   + |   + |\n|                  |   сетевыми       |                  |     |     |\n|                  |   соединениями   |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.36         |   Создание       |                  |     |     |\n|                  |   (эмуляция)     |                  |     |     |\n|                  |   ложных         |                  |     |     |\n|                  |   компонентов    |                  |     |     |\n|                  |   информационных |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированных) |                  |     |     |\n|                  |   систем         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.37         |   Перевод        |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы в      |                  |     |     |\n|                  |   безопасное     |                  |     |     |\n|                  |   состояние при  |                  |     |     |\n|                  |   возникновении  |                  |     |     |\n|                  |   отказов        |                  |     |     |\n|                  |   (сбоев)        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.38         |   Защита         |   +              |   + |   + |\n|                  |   информации при |                  |     |     |\n|                  |   использовании  |                  |     |     |\n|                  |   мобильных      |                  |     |     |\n|                  |   устройств      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ЗИС.39         |   Управление     |   +              |   + |   + |\n|                  |   перемещением   |                  |     |     |\n|                  |   виртуальных    |                  |     |     |\n|                  |   машин          |                  |     |     |\n|                  |   (контейнеров)  |                  |     |     |\n|                  |   и              |                  |     |     |\n|                  |   обрабатываемых |                  |     |     |\n|                  |   на них данных  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   реагирования   |                  |     |     |\n|                  |   на             |                  |     |     |\n|                  |   компьютерные   |                  |     |     |\n|                  |   инциденты      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.1          |   Выявление      |   +              |   + |   + |\n|                  |   компьютерных   |                  |     |     |\n|                  |   инцидентов     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.2          |   Информирование |   +              |   + |   + |\n|                  |   о компьютерных |                  |     |     |\n|                  |   инцидентах     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.3          |   Анализ         |   +              |   + |   + |\n|                  |   компьютерных   |                  |     |     |\n|                  |   инцидентов     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.4          |   Устранение     |   +              |   + |   + |\n|                  |   последствий    |                  |     |     |\n|                  |   компьютерных   |                  |     |     |\n|                  |   инцидентов     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.5          |   Принятие мер   |   +              |   + |   + |\n|                  |   по             |                  |     |     |\n|                  |   предотвращению |                  |     |     |\n|                  |   повторного     |                  |     |     |\n|                  |   возникновения  |                  |     |     |\n|                  |   компьютерных   |                  |     |     |\n|                  |   инцидентов     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИНЦ.6          |   Хранение и     |                  |     |   + |\n|                  |   защита         |                  |     |     |\n|                  |   информации о   |                  |     |     |\n|                  |   компьютерных   |                  |     |     |\n|                  |   инцидентах     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УКФ.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   управления     |                  |     |     |\n|                  |   конфигурацией  |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы        |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УКФ.1          |   Идентификация  |                  |     |     |\n|                  |   объектов       |                  |     |     |\n|                  |   управления     |                  |     |     |\n|                  |   конфигурацией  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УКФ.2          |   Управление     |   +              |   + |   + |\n|                  |   изменениями    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УКФ.3          |   Установка      |   +              |   + |   + |\n|                  |   (инсталляция)  |                  |     |     |\n|                  |   только         |                  |     |     |\n|                  |   разрешенного к |                  |     |     |\n|                  |   использованию  |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   УКФ.4          |   Контроль       |                  |     |     |\n|                  |   действий по    |                  |     |     |\n|                  |   внесению       |                  |     |     |\n|                  |   изменений      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПО.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   управления     |                  |     |     |\n|                  |   обновлениями   |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПО.1          |   Поиск,         |   +              |   + |   + |\n|                  |   получение      |                  |     |     |\n|                  |   обновлений     |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения от |                  |     |     |\n|                  |   доверенного    |                  |     |     |\n|                  |   источника      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПО.2          |   Контроль       |   +              |   + |   + |\n|                  |   целостности    |                  |     |     |\n|                  |   обновлений     |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПО.3          |   Тестирование   |   +              |   + |   + |\n|                  |   обновлений     |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ОПО.4          |   Установка      |   +              |   + |   + |\n|                  |   обновлений     |                  |     |     |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ПЛН.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   планирования   |                  |     |     |\n|                  |   мероприятий по |                  |     |     |\n|                  |   обеспечению    |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ПЛН.1          |   Разработка,    |   +              |   + |   + |\n|                  |   утверждение и  |                  |     |     |\n|                  |   актуализация   |                  |     |     |\n|                  |   плана          |                  |     |     |\n|                  |   мероприятий по |                  |     |     |\n|                  |   обеспечению    |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ПЛН.2          |   Контроль       |   +              |   + |   + |\n|                  |   выполнения     |                  |     |     |\n|                  |   мероприятий по |                  |     |     |\n|                  |   обеспечению    |                  |     |     |\n|                  |   защиты         |                  |     |     |\n|                  |   информации     |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   обеспечения    |                  |     |     |\n|                  |   действий в     |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуациях      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.1          |   Разработка     |   +              |   + |   + |\n|                  |   плана действий |                  |     |     |\n|                  |   в нештатных    |                  |     |     |\n|                  |   ситуациях      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.2          |   Обучение и     |   +              |   + |   + |\n|                  |   отработка      |                  |     |     |\n|                  |   действий       |                  |     |     |\n|                  |   персонала в    |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуациях      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.3          |   Создание       |                  |   + |   + |\n|                  |   альтернативных |                  |     |     |\n|                  |   мест хранения  |                  |     |     |\n|                  |   и обработки    |                  |     |     |\n|                  |   информации на  |                  |     |     |\n|                  |   случай         |                  |     |     |\n|                  |   возникновения  |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуаций       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.4          |   Резервирование |                  |   + |   + |\n|                  |   программного   |                  |     |     |\n|                  |   обеспечения,   |                  |     |     |\n|                  |   технических    |                  |     |     |\n|                  |   средств,       |                  |     |     |\n|                  |   каналов связи  |                  |     |     |\n|                  |   на случай      |                  |     |     |\n|                  |   возникновения  |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуаций       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.5          |   Обеспечение    |   +              |   + |   + |\n|                  |   возможности    |                  |     |     |\n|                  |   восстановления |                  |     |     |\n|                  |   информационной |                  |     |     |\n|                  |   (авт           |                  |     |     |\n|                  | оматизированной) |                  |     |     |\n|                  |   системы в      |                  |     |     |\n|                  |   случае         |                  |     |     |\n|                  |   возникновения  |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуаций       |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ДНС.6          |   Анализ         |   +              |   + |   + |\n|                  |   возникших      |                  |     |     |\n|                  |   нештатных      |                  |     |     |\n|                  |   ситуаций и     |                  |     |     |\n|                  |   принятие мер   |                  |     |     |\n|                  |   по недопущению |                  |     |     |\n|                  |   их повторного  |                  |     |     |\n|                  |   возникновения  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|                  |                  |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИПО.0          |   Разработка     |   +              |   + |   + |\n|                  |   политики       |                  |     |     |\n|                  |   информирования |                  |     |     |\n|                  |   и обучения     |                  |     |     |\n|                  |   персонала      |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИПО.1          |   Информирование |   +              |   + |   + |\n|                  |   персонала об   |                  |     |     |\n|                  |   угрозах        |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n|                  |   информации и о |                  |     |     |\n|                  |   правилах       |                  |     |     |\n|                  |   безопасной     |                  |     |     |\n|                  |   работы         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИПО.2          |   Обучение       |   +              |   + |   + |\n|                  |   персонала      |                  |     |     |\n|                  |   правилам       |                  |     |     |\n|                  |   безопасной     |                  |     |     |\n|                  |   работы         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИПО.3          |   Проведение     |                  |   + |   + |\n|                  |   практических   |                  |     |     |\n|                  |   занятий с      |                  |     |     |\n|                  |   персоналом по  |                  |     |     |\n|                  |   правилам       |                  |     |     |\n|                  |   безопасной     |                  |     |     |\n|                  |   работы         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n|   ИПО.4          |   Контроль       |   +              |   + |   + |\n|                  |                  |                  |     |     |\n|                  |  осведомленности |                  |     |     |\n|                  |   персонала об   |                  |     |     |\n|                  |   угрозах        |                  |     |     |\n|                  |   безопасности   |                  |     |     |\n|                  |   информации и о |                  |     |     |\n|                  |   правилах       |                  |     |     |\n|                  |   безопасной     |                  |     |     |\n|                  |   работы         |                  |     |     |\n+------------------+------------------+------------------+-----+-----+\n\"+\" - мера защиты информации включена в базовый набор мер для\nсоответствующего класса защищенности автоматизированной системы\nуправления. Меры защиты информации, не обозначенные знаком \"+\", применяются при\nадаптации и дополнении базового набора мер, а также при разработке\nкомпенсирующих мер защиты информации в автоматизированной системе\nуправления соответствующего класса защищенности.", "21.12.2017 № 235": "Приказ Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. N 235 \"Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования. Зарегистрировано в Минюсте РФ 22 февраля 2018 г. Регистрационный N 50118\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 21 декабря 2017 г. N 235\nТребования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и устанавливают требования к созданию субъектами критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) систем безопасности значимых объектов критической информационной инфраструктуры (далее - системы безопасности) и по обеспечению их функционирования. 2. Системы безопасности создаются субъектами критической информационной инфраструктуры и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение информационной безопасности (защиты информации) субъектов критической информационной инфраструктуры. 3. Создание и функционирование систем безопасности должно быть направлено на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры при проведении в отношении них компьютерных атак. Системы безопасности создаются в отношении всех значимых объектов критической информационной инфраструктуры субъекта критической информационной инфраструктуры с учетом значимых объектов критической информационной инфраструктуры, эксплуатируемых в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры. По решению субъекта критической информационной инфраструктуры для одного или группы значимых объектов критической информационной инфраструктуры могут создаваться отдельные системы безопасности. 4. Системы безопасности включают силы обеспечения безопасности значимых объектов критической информационной инфраструктуры и используемые ими средства обеспечения безопасности значимых объектов критической информационной инфраструктуры. К силам обеспечения безопасности значимых объектов критической информационной инфраструктуры относятся:\nподразделения (работники) субъекта критической информационной инфраструктуры, ответственные за обеспечение безопасности значимых объектов критической информационной инфраструктуры;\nподразделения (работники), эксплуатирующие значимые объекты критической информационной инфраструктуры;\nподразделения (работники), обеспечивающие функционирование (сопровождение, обслуживание, ремонт) значимых объектов критической информационной инфраструктуры;\nиные подразделения (работники), участвующие в обеспечении безопасности значимых объектов критической информационной инфраструктуры. К средствам обеспечения безопасности значимых объектов критической информационной инфраструктуры относятся программные и программно-аппаратные средства, применяемые для обеспечения безопасности значимых объектов критической информационной инфраструктуры. 5. Системы безопасности должны функционировать в соответствии с организационно-распорядительными документами по обеспечению безопасности значимых объектов критической информационной инфраструктуры, разрабатываемыми субъектами критической информационной инфраструктуры в соответствии с настоящими Требованиями (далее - организационно-распорядительные документы по безопасности значимых объектов). 6. Системы безопасности должны обеспечивать:\nпредотвращение неправомерного доступа к информации, обрабатываемой значимыми объектами критической информационной инфраструктуры, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nнедопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимых объектов критической информационной инфраструктуры;\nвосстановление функционирования значимых объектов критической информационной инфраструктуры, в том числе за счет создания и хранения резервных копий необходимой для этого информации;\nнепрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, которое осуществляется в соответствии со статьей 5 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\". 7. Создаваемые системы безопасности должны соответствовать требованиям, предъявляемым к:\nсилам обеспечения безопасности значимых объектов критической информационной инфраструктуры;\nпрограммным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры;\nорганизационно-распорядительным документам по безопасности значимых объектов;\nфункционированию системы безопасности в части организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры. II. Требования к силам обеспечения безопасности значимых объектов критической информационной инфраструктуры\n8. Руководитель субъекта критической информационной инфраструктуры или заместитель руководителя субъекта критической информационной инфраструктуры, на которого возложены полномочия по обеспечению информационной безопасности в соответствии с Указом Президента Российской Федерации от 1 мая 2022 г. N 250 \"О дополнительных мерах по обеспечению информационной безопасности Российской Федерации\" (далее - ответственное лицо), создает систему безопасности, организует и контролирует ее функционирование. 9. Руководитель субъекта критической информационной инфраструктуры определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов критической информационной инфраструктуры в зависимости от количества значимых объектов критической информационной инфраструктуры, а также особенностей деятельности субъекта критической информационной инфраструктуры. Создаваемая система безопасности должна включать силы обеспечения безопасности значимых объектов критической информационной инфраструктуры обособленных подразделений (филиалов, представительств) субъектов критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры. 10. Руководитель субъекта критической информационной инфраструктуры создает или определяет структурное подразделение, ответственное за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - структурное подразделение по безопасности), или назначает отдельных работников, ответственных за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - специалисты по безопасности). Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции:\nразрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта критической информационной инфраструктуры (ответственному лицу);\nпроводить анализ угроз безопасности информации в отношении значимых объектов критической информационной инфраструктуры и выявлять уязвимости в них;\nобеспечивать реализацию требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленных в соответствии со статьей 11 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - требования по безопасности);\nобеспечивать в соответствии с требованиями по безопасности реализацию организационных мер и применение средств защиты информации, эксплуатацию средств защиты информации;\nосуществлять реагирование на компьютерные инциденты в порядке, установленном в соответствии  пунктом 6 части 4 статьи 6 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\";\nорганизовывать проведение оценки соответствия значимых объектов критической информационной инфраструктуры требованиям по безопасности;\nготовить предложения по совершенствованию функционирования систем безопасности, а также по повышению уровня безопасности значимых объектов критической информационной инфраструктуры. Структурное подразделение по безопасности, специалисты по безопасности реализуют указанные функции во взаимодействии с подразделениями (работниками), эксплуатирующими значимые объекты критической информационной инфраструктуры, и подразделениями (работниками), обеспечивающими функционирование значимых объектов критической информационной инфраструктуры. 10.1. По решению руководителя субъекта критической информационной инфраструктуры (ответственного лица) в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры, создаются (определяются) структурные подразделения по безопасности или назначаются специалисты по безопасности. Координацию и контроль выполнения функций структурными подразделениями по безопасности, специалистами по безопасности обособленных подразделений (филиалов, представительств) осуществляют ответственное лицо и (или) структурные подразделения по безопасности, специалисты по безопасности субъекта критической информационной инфраструктуры. Порядок взаимодействия структурных подразделений по безопасности, специалистов по безопасности субъекта критической информационной инфраструктуры и структурных подразделений по безопасности, специалистов по безопасности обособленных подразделений (филиалов, представительств) определяется организационно-распорядительными документами субъекта критической информационной инфраструктуры. 10.2. В случае если субъект критической информационной инфраструктуры является хозяйственным обществом (товариществом), имеющим дочерние общества, также являющиеся субъектами критической информационной инфраструктуры, или некоммерческой организацией, участвующей в организациях, являющихся субъектами критической информационной инфраструктуры, в которых некоммерческая организация имеет возможность определять принимаемые этими организациями решения, то структурные подразделения по безопасности, специалисты по безопасности основного хозяйственного общества (товарищества), некоммерческой организации должны осуществлять координацию структурных подразделений по безопасности, специалистов по безопасности дочерних обществ, организаций, в которых участвует некоммерческая организация. 11. Для выполнения функций, предусмотренных пунктом 10 настоящих Требований, субъектами критической информационной инфраструктуры могут привлекаться организации, имеющие в зависимости от информации, обрабатываемой значимым объектом критической информационной инфраструктуры, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации (далее - лицензии в области защиты информации). 12. Работники структурного подразделения по безопасности, специалисты по безопасности должны соответствовать следующим требованиям:\nналичие у руководителя структурного подразделения по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе профессиональной переподготовки по направлению \"Информационная безопасность\", наличие стажа работы в сфере информационной безопасности не менее 3 лет;\nналичие у штатных работников структурного подразделения по безопасности, штатных специалистов по безопасности профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования с прохождением обучения по программе повышения квалификации по направлению \"Информационная безопасность\";\nпрохождение не реже одного раза в 3 года обучения по программам повышения квалификации по направлению \"Информационная безопасность\". 12.1. На работников со средним профессиональным образованием по специальности в области информационной безопасности (при наличии должности в штатном расписании у субъекта критической информационной инфраструктуры) возлагаются отдельные функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры в соответствии с полученной такими работниками специальностью. 13. Не допускается возложение на структурное подразделение по безопасности, специалистов по безопасности функций, не связанных с обеспечением безопасности значимых объектов критической информационной инфраструктуры или обеспечением информационной безопасности субъекта критической информационной инфраструктуры в целом. Обязанности, возлагаемые на работников структурного подразделения по безопасности, специалистов по безопасности, должны быть определены в их должностных регламентах (инструкциях). 14. Подразделения, эксплуатирующие значимые объекты критической информационной инфраструктуры, должны обеспечивать безопасность эксплуатируемых ими значимых объектов критической информационной инфраструктуры. Объем возлагаемых на подразделения задач определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. По решению субъекта критической информационной инфраструктуры в подразделениях, эксплуатирующих значимые объекты критической информационной инфраструктуры, могут также назначаться работники, на которых возлагаются отдельные функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры. Обязанности, возлагаемые на работников, должны быть определены в их должностных регламентах (инструкциях). Координацию и контроль деятельности указанных работников по вопросам обеспечения безопасности значимых объектов критической информационной инфраструктуры должны осуществлять структурное подразделение по безопасности, специалисты по безопасности. 15. Работники, эксплуатирующие значимые объекты критической информационной инфраструктуры (пользователи), а также работники, обеспечивающие функционирование значимых объектов критической информационной инфраструктуры, должны выполнять свои обязанности на значимых объектах критической информационной инфраструктуры в соответствии с правилами безопасности, установленными организационно-распорядительными документами по безопасности значимых объектов (инструкциями, руководствами). До работников должны быть доведены положения организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся. Субъект критической информационной инфраструктуры должен проводить не реже одного раза в год организационные мероприятия, направленные на повышение уровня знаний работников по вопросам обеспечения безопасности критической информационной инфраструктуры и о возможных угрозах безопасности информации. 16. Представители организаций, привлекаемых субъектом критической информационной инфраструктуры для эксплуатации, обеспечения функционирования значимых объектов критической информационной инфраструктуры и (или) для обеспечения их безопасности, должны быть ознакомлены с организационно-распорядительными документами по безопасности значимых объектов. III. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры\n17. К программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры, относятся средства защиты информации, в том числе средства защиты информации от несанкционированного доступа (включая встроенные в общесистемное, прикладное программное обеспечение), межсетевые экраны, средства обнаружения (предотвращения) вторжений (компьютерных атак), средства антивирусной защиты, средства (системы) контроля (анализа) защищенности, средства управления событиями безопасности, средства защиты каналов передачи данных. 18. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться сертифицированные на соответствие требованиям по безопасности средства защиты информации или средства, прошедшие оценку соответствия в форме испытаний или приемки в соответствии с Федеральным законом от 27 декабря 2002 г. N 184-ФЗ \"О техническом регулировании\" (Собрание законодательства Российской Федерации, 2002, N 52, ст. 5140; 2005, N 19, ст. 1752; 2007, N 19, ст. 2293; N 49, ст. 6070; 2008, N 30, ст. 3616; 2009, N 29, ст. 3626; N 48, ст. 5711; 2010, N 1, ст. 5, 6; N 40, ст. 4969; 2011, N 30, ст. 4603; N 49, ст. 7025; N 50, ст. 7351; 2012, N 31, ст. 4322; N 50, ст. 6959; 2013, N 27, ст. 3477; N 30, ст. 4071; N 52, ст. 6961; 2014, N 26, ст. 3366; 2015, N 17, ст. 2477; N 27, ст. 3951; N 29, ст. 4342; N 48, ст. 6724; 2016, N 15, ст. 2066). Сертифицированные средства защиты информации применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. 19. Параметры и характеристики применяемых средств защиты информации должны обеспечивать реализацию технических мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры, принимаемыми в соответствии с требованиями по безопасности. В качестве средств защиты информации в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов критической информационной инфраструктуры (при их наличии). 20. Средства защиты информации должны применяться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией на средства защиты информации. 21. Применяемые средства защиты информации должны быть обеспечены технической поддержкой со стороны разработчиков (производителей). При выборе средств защиты информации должно учитываться возможное наличие ограничений со стороны разработчиков (производителей) или иных лиц на применение этих средств на любом из принадлежащих субъекту критической информационной инфраструктуры значимых объектов критической информационной инфраструктуры. В случае невозможности обеспечения средств защиты информации технической поддержкой со стороны разработчиков (производителей), субъектом критической информационной инфраструктуры должны быть реализованы организационные и технические меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта, в соответствии с Требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденными приказом ФСТЭК России от 25 декабря 2017 г. N 239 1. ──────────────────────────────\n1 Зарегистрирован Минюстом России 26 марта 2018 г., регистрационный N 50524, с изменениями, внесенными приказами ФСТЭК России от 9 августа 2018 г. N 138 (зарегистрирован Минюстом России 5 сентября 2018 г., регистрационный N 52071), от 26 марта 2019 г. N 60 (зарегистрирован Минюстом России 18 апреля 2019 г., регистрационный N 54443) и от 20 февраля 2020 г. N 35 (зарегистрирован Минюстом России 11 сентября 2020 г., регистрационный N 59793). ──────────────────────────────\n22. Порядок применения средств защиты информации определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом особенностей деятельности субъекта критической информационной инфраструктуры. IV. Требования к организационно-распорядительным документам по безопасности значимых объектов\n23. Субъектом критической информационной инфраструктуры в рамках функционирования системы безопасности должны быть утверждены организационно-распорядительные документы по безопасности значимых объектов, в том числе значимых объектов, которые эксплуатируются в подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры, определяющие порядок и правила функционирования системы безопасности значимых объектов, а также порядок и правила обеспечения безопасности значимых объектов критической информационной инфраструктуры. В случае если субъект критической информационной инфраструктуры является дочерним обществом хозяйственного общества (товарищества), являющегося субъектом критической информационной инфраструктуры, организационно-распорядительные документы дочернего общества должны разрабатываться с учетом положений организационно-распорядительных документов основного хозяйственного общества (товарищества) и не противоречить им. В случае если субъект критической информационной инфраструктуры является организацией, в которой участвует являющаяся субъектом критической информационной инфраструктуры некоммерческая организация, имеющая возможность определять принимаемые организацией решения, организационно-распорядительные документы организации должны разрабатываться с учетом положений организационно-распорядительных документов некоммерческой организации и не противоречить им. Организационно-распорядительные документы по безопасности значимых объектов являются частью документов по вопросам обеспечения информационной безопасности (защиты информации) субъекта критической информационной инфраструктуры. При этом положения, определяющие порядок и правила обеспечения безопасности значимых объектов критической информационной инфраструктуры, могут быть включены в общие документы по вопросам обеспечения информационной безопасности (защиты информации), а также могут являться частью документов по вопросам функционирования значимого объекта критической информационной инфраструктуры. 24. Организационно-распорядительные документы по безопасности значимых объектов разрабатываются исходя из особенностей деятельности субъекта критической информационной инфраструктуры на основе настоящих Требований, требований по безопасности, иных нормативных правовых актов в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. 25. Организационно-распорядительные документы по безопасности значимых объектов должны определять:\nа) цели и задачи обеспечения безопасности значимых объектов критической информационной инфраструктуры, основные угрозы безопасности информации и категории нарушителей, основные организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, проводимые субъектом критической информационной инфраструктуры, состав и структуру системы безопасности и функции ее участников, порядок применения, формы оценки соответствия значимых объектов критической информационной инфраструктуры и средств защиты информации требованиям по безопасности;\nб) планы мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры, модели угроз безопасности информации в отношении значимых объектов критической информационной инфраструктуры, порядок реализации отдельных мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры, порядок проведения испытаний или приемки средств защиты информации, порядок реагирования на компьютерные инциденты, порядок информирования и обучения работников, порядок взаимодействия подразделений (работников) субъекта критической информационной инфраструктуры при решении задач обеспечения безопасности значимых объектов критической информационной инфраструктуры, порядок взаимодействия субъекта критической информационной инфраструктуры с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;\nв) правила безопасной работы работников субъекта критической информационной инфраструктуры на значимых объектах критической информационной инфраструктуры, действия работников субъекта критической информационной инфраструктуры при возникновении компьютерных инцидентов и иных нештатных ситуаций. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 26. Организационно-распорядительные документы по безопасности значимых объектов утверждаются руководителем субъекта критической информационной инфраструктуры (ответственным лицом). По решению руководителя субъекта критической информационной инфраструктуры отдельные организационно-распорядительные документы по безопасности значимых объектов могут утверждаться иными уполномоченными на это лицами субъекта критической информационной инфраструктуры. 27. Организационно-распорядительные документы по безопасности значимых объектов должны быть доведены до руководства субъекта критической информационной инфраструктуры, ответственного лица, подразделения по безопасности, специалистов по безопасности, а также до иных подразделений (работников), участвующих в обеспечении безопасности значимых объектов критической информационной инфраструктуры, в части, их касающейся. V. Требования к функционированию системы безопасности в части организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры\n28. В рамках функционирования системы безопасности субъектом критической информационной инфраструктуры должны быть внедрены следующие процессы:\nпланирование и разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\nреализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\nконтроль состояния безопасности значимых объектов критической информационной инфраструктуры;\nсовершенствование безопасности значимых объектов критической информационной инфраструктуры. 29. В рамках планирования мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры осуществляются разработка и утверждение ежегодного плана мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры (далее - план мероприятий). По решению субъекта критической информационной инфраструктуры план мероприятий может разрабатываться на более длительный срок с учетом имеющихся программ (планов) по модернизации, оснащению значимых объектов критической информационной инфраструктуры. План мероприятий разрабатывается структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений (работников), обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. В план мероприятий должны включаться мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, функционирующих в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры. 30. План мероприятий должен содержать наименования мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры, сроки их выполнения, наименования подразделений (работников), ответственных за реализацию каждого мероприятия. В план мероприятий включаются мероприятия по обеспечению функционирования системы безопасности, а также организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, направленные на решение задач, установленных пунктом 6 настоящих Требований. 31. Разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры осуществляется в соответствии с настоящими Требованиями, требованиями по безопасности, иными нормативными правовыми актами по обеспечению безопасности критической информационной инфраструктуры, а также организационно-распорядительными документами по безопасности значимых объектов. План мероприятий утверждается руководителем субъекта критической информационной инфраструктуры и доводится до подразделений (работников) субъекта критической информационной инфраструктуры в части, их касающейся. В подразделениях, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделениях, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры, на основе утвержденного плана мероприятий могут разрабатываться соответствующие отдельные планы мероприятий. 32. Контроль за выполнением плана мероприятий осуществляется структурным подразделением по безопасности, специалистами по безопасности. Структурное подразделение по безопасности, специалисты по безопасности ежегодно должны готовить отчет о выполнении плана мероприятий, который представляется руководителю субъекта критической информационной инфраструктуры. 33. Мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут включаться в общий план деятельности субъекта критической информационной инфраструктуры (в случае его разработки) отдельным разделом. Порядок разработки, утверждения и внесения изменений в план мероприятий определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. 34. Реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры является результатом выполнения плана мероприятий и осуществляется в соответствии с организационно-распорядительными документами по безопасности значимых объектов. В ходе реализации мероприятий по обеспечению безопасности значимых объектов должны приниматься организационные меры и (или) внедряться средства защиты информации на значимых объектах критической информации, направленные на блокирование (нейтрализацию) угроз безопасности информации. Результаты реализации мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры подлежат документированию в порядке, установленном субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. 35. В рамках контроля состояния безопасности значимых объектов критической информационной инфраструктуры должен осуществляться внутренний контроль организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры и эффективности принимаемых организационных и технических мер. В ходе проведения контроля проверяется выполнение настоящих Требований, требований по безопасности, иных нормативных правовых актов в области обеспечения безопасности критической информационной инфраструктуры, а также организационно-распорядительных документов по безопасности значимых объектов. 36. Контроль проводится комиссией, назначаемой субъектом критической информационной инфраструктуры. В состав комиссии включаются работники структурного подразделения по безопасности, специалисты по безопасности, работники подразделений, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. По решению субъекта критической информационной инфраструктуры в состав комиссии могут включаться работники иных подразделений субъекта критической информационной инфраструктуры. Контроль проводится не реже, чем раз в 3 года. Периодичность контроля определяется руководителем субъекта критической информационной инфраструктуры. Для оценки эффективности принятых организационных и технических мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут применяться средства контроля (анализа) защищенности. Результаты контроля оформляются актом, который подписывается членами комиссии и утверждается руководителем субъекта критической информационной инфраструктуры (ответственным лицом). В случае проведения по решению руководителя субъекта (ответственного лица) критической информационной инфраструктуры внешней оценки (внешнего аудита) состояния безопасности значимых объектов критической информационной инфраструктуры внутренний контроль может не проводиться. Для проведения внешней оценки привлекаются организации, имеющие лицензии на деятельность в области защиты информации (в части услуг по контролю защищенности информации от несанкционированного доступа и ее модификации в средствах и системах информатизации). Замечания, выявленные по результатам внутреннего контроля или внешней оценки (внешнего аудита), подлежат устранению в порядке и сроки, установленные руководителем субъекта критической информационной инфраструктуры (ответственным лицом). 37. В рамках совершенствования безопасности значимых объектов критической информационной инфраструктуры структурное подразделение по безопасности, специалисты по безопасности должны проводить анализ функционирования системы безопасности и состояния безопасности значимых объектов критической информационной инфраструктуры, по результатам которого разрабатывать предложения по развитию системы безопасности и меры по совершенствованию безопасности значимых объектов критической информационной инфраструктуры. Анализ функционирования системы безопасности, а также разработка предложений по совершенствованию безопасности значимых объектов критической информационной инфраструктуры осуществляются структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений (работников), обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. Предложения по совершенствованию безопасности значимых объектов критической информационной инфраструктуры представляются руководителю субъекта критической информационной инфраструктуры (ответственному лицу). В соответствии с решением руководителя субъекта критической информационной инфраструктуры (ответственного лица) предложения по совершенствованию безопасности значимых объектов критической информационной инфраструктуры включаются в план мероприятий, разрабатываемый в соответствии с пунктами 29 - 33 настоящих Требований.", "25.12.2017 № 239": "Приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 \"Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Зарегистрировано в Минюсте РФ 26 марта 2018 г. Регистрационный N 50524\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г. N 239\nТребования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и направлены на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - значимые объекты, критическая информационная инфраструктура) при проведении в отношении них компьютерных атак. 2. Действие настоящих Требований распространяется на информационные системы, автоматизированные системы управления, информационно-телекоммуникационные сети, которые отнесены к значимым объектам критической информационной инфраструктуры в соответствии со статьей 7 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам. 4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне. 5. Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257). Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 \"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17\" (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933). 6. Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов\n7. Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации, при которой изменяется архитектура значимого объекта, в том числе подсистема его безопасности, в соответствии с отдельным техническим заданием на модернизацию значимого объекта и (или) техническим заданием (частным техническим заданием) на модернизацию подсистемы безопасности значимого объекта (далее - модернизация), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла. 8. На стадиях (этапах) жизненного цикла в ходе создания (модернизации), эксплуатации и вывода из эксплуатации значимого объекта проводятся:\nа) установление требований к обеспечению безопасности значимого объекта;\nб) разработка организационных и технических мер по обеспечению безопасности значимого объекта;\nв) внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;\nг) обеспечение безопасности значимого объекта в ходе его эксплуатации;\nд) обеспечение безопасности значимого объекта при выводе его из эксплуатации. Результаты реализации мероприятий, проводимых для обеспечения безопасности значимого объекта на стадиях (этапах) его жизненного цикла, подлежат документированию. Состав и формы документов определяются субъектом критической информационной инфраструктуры. 9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов. Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов. Установление требований к обеспечению безопасности значимого объекта\n10. Задание требований к обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, устанавливающим требования к обеспечению безопасности значимых объектов, в соответствии с категорией значимости значимого объекта, определенной в порядке, установленном Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 \"Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2018, N 8, ст. 1204). Требования к обеспечению безопасности включаются в техническое задание на создание значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, которые должны содержать:\nа) цель и задачи обеспечения безопасности значимого объекта или подсистемы безопасности значимого объекта;\nб) категорию значимости значимого объекта;\nв) перечень нормативных правовых актов, методических документов и национальных стандартов, которым должен соответствовать значимый объект;\nг) перечень типов объектов защиты значимого объекта;\nд) требования к организационным и техническим мерам, применяемым для обеспечения безопасности значимого объекта;\nе) стадии (этапы работ) создания подсистемы безопасности значимого объекта;\nж) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;\nз) требования к защите средств и систем, обеспечивающих функционирование значимого объекта (обеспечивающей инфраструктуре);\nи) требования к информационному взаимодействию значимого объекта с иными объектами критической информационной инфраструктуры, а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями;\nк) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта. В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - организационно-распорядительные документы по безопасности значимых объектов). Разработка организационных и технических мер по обеспечению безопасности значимого объекта\n11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, привлекаемым в соответствии с законодательством Российской Федерации к проведению работ по созданию (модернизации) значимого объекта и (или) обеспечению его безопасности, в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта и должна включать:\nа) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);\nб) проектирование подсистемы безопасности значимого объекта;\nв) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности). Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. 11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее - архитектура значимого объекта), а также особенностей функционирования значимого объекта. Анализ угроз безопасности информации должен включать:\nа) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз безопасности информации. В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198) (далее - банк данных угроз безопасности информации ФСТЭК России), а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации. По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры значимого объекта и организационно-распорядительных документов по безопасности значимых объектов, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта. Описание каждой угрозы безопасности информации должно включать:\nа) источник угрозы безопасности информации;\nб) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;\nв) возможные способы (сценарии) реализации угрозы безопасности информации;\nг) возможные последствия от реализации (возникновения) угрозы безопасности информации. Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 11.2. Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта. При проектировании подсистемы безопасности значимого объекта:\nа) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;\nб) определяются политики управления доступом (дискреционная, мандатная, ролевая, комбинированная);\nв) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности значимого объекта;\nг) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности значимого объекта;\nд) осуществляется выбор средств защиты информации и (или) их разработка с учетом категории значимости значимого объекта, совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;\nе) разрабатывается архитектура подсистемы безопасности значимого объекта, включающая состав, места установки, взаимосвязи средств защиты информации;\nж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей значимого объекта;\nз) определяются меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. В случае если в ходе проектирования подсистемы безопасности значимого объекта предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, такая разработка проводится в соответствии со стандартами безопасной разработки программного обеспечения. Результаты проектирования подсистемы безопасности значимого объекта отражаются в проектной документации на значимый объект (подсистему безопасности значимого объекта), разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. В процессе проектирования значимого объекта его категория значимости может быть уточнена. В целях тестирования подсистемы безопасности значимого объекта в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:\nобеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;\nпрактическую отработку выполнения средствами защиты информации функций безопасности, а также выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований;\nисключение влияния подсистемы безопасности на функционирование значимого объекта. Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации. При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г. N 101 (зарегистрирован Минюстом России 31 мая 2017 г., регистрационный N 46915), а также иных нормативных правовых актов федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи. 11.3. Разработка рабочей (эксплуатационной) документации на значимый объект осуществляется в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта на основе проектной документации. Рабочая (эксплуатационная) документация на значимый объект должна содержать:\nописание архитектуры подсистемы безопасности значимого объекта;\nпорядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;\nправила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие\n12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:\nа) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;\nб) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;\nв) внедрение организационных мер по обеспечению безопасности значимого объекта;\nг) предварительные испытания значимого объекта и его подсистемы безопасности;\nд) опытную эксплуатацию значимого объекта и его подсистемы безопасности;\nе) анализ уязвимостей значимого объекта и принятие мер по их устранению;\nж) приемочные испытания значимого объекта и его подсистемы безопасности. По решению субъекта критической информационной инфраструктуры к разработке и внедрению организационных и технических мер по обеспечению безопасности значимого объекта может привлекаться лицо, эксплуатирующее (планирующее эксплуатировать) значимый объект. 12.1. Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, а также в соответствии с эксплуатационной документацией на отдельные средства защиты информации. При установке и настройке средств защиты информации должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации, в случае их наличия в эксплуатационной документации. 12.2. Разрабатываемые организационно-распорядительные документы по безопасности значимого объекта должны определять правила и процедуры реализации отдельных организационных и (или) технических мер (политик безопасности), разработанных и внедренных в рамках подсистемы безопасности значимого объекта в соответствии с главой III настоящих Требований. Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 12.3. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются:\nа) организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи;\nб) реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;\nв) проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер;\nг) определение администратора безопасности значимого объекта;\nд) отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. 12.4. Предварительные испытания значимого объекта и его подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности значимого объекта и отдельных средств защиты информации, оценку выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований, оценку влияния подсистемы безопасности на функционирование значимого объекта при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации значимого объекта и его подсистемы безопасности. 12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности. 12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления:\nа) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;\nб) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;\nв) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;\nг) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;\nд) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта. Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта. Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. 12.7. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий (испытаний), в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности настоящим Требованиям, а также требованиям технического задания на создание значимого объекта и (или) технического задания (частного технического задания) на создание подсистемы безопасности значимого объекта. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию. В случае если значимый объект является государственной информационной системой, в иных случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры, оценка значимого объекта и его подсистемы безопасности проводится в форме аттестации значимого объекта в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17. Ввод в эксплуатацию значимого объекта и его подсистемы безопасности осуществляется при положительном заключении (выводе) в акте приемки (или в аттестате соответствия) о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Обеспечение безопасности значимого объекта в ходе его эксплуатации\n13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:\nа) планирование мероприятий по обеспечению безопасности значимого объекта;\nб) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;\nв) управление (администрирование) подсистемой безопасности значимого объекта;\nг) управление конфигурацией значимого объекта и его подсистемой безопасности;\nд) реагирование на компьютерные инциденты в ходе эксплуатации значимого объекта;\nе) обеспечение действий в нештатных ситуациях в ходе эксплуатации значимого объекта;\nж) информирование и обучение персонала значимого объекта;\nз) контроль за обеспечением безопасности значимого объекта. 13.1. В ходе планирования мероприятий по обеспечению безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности значимого объекта;\nб) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности значимого объекта;\nв) определения порядка контроля выполнения мероприятий по обеспечению безопасности значимого объекта, предусмотренных утвержденным планом. Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:\nа) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;\nб) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;\nв) оценка возможных последствий реализации угроз безопасности информации в значимом объекте. Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования. 13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за управление (администрирование) подсистемой безопасности значимого объекта;\nб) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в значимом объекте;\nв) управление средствами защиты информации значимого объекта;\nг) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;\nд) централизованное управление подсистемой безопасности значимого объекта (при необходимости);\nе) мониторинг и анализ зарегистрированных событий в значимом объекте, связанных с обеспечением безопасности (далее - события безопасности);\nж) сопровождение функционирования подсистемы безопасности значимого объекта в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта. 13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:\nа) определение лиц, которым разрешены действия по внесению изменений в конфигурацию значимого объекта и его подсистемы безопасности, и их полномочий;\nб) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, и их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;\nв) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;\nг) контроль действий по внесению изменений в значимый объект и его подсистему безопасности. Реализованные процессы управления изменениями значимого объекта и его подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, значимого объекта. 13.5. Реагирование на компьютерные инциденты осуществляется в порядке, установленном в соответствии с пунктом 6 части 4 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. 13.6. Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются:\nа) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций;\nб) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций;\nв) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;\nг) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;\nд) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций;\nе) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения. 13.7. В ходе информирования и обучения персонала значимого объекта осуществляются:\nа) информирование персонала об угрозах безопасности информации, о правилах безопасной эксплуатации значимого объекта;\nб) доведение до персонала требований по обеспечению безопасности значимых объектов, а также положений организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся;\nв) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;\nг) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности критической информационной инфраструктуры. Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:\nа) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;\nб) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;\nв) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта;\nг) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности. Обеспечение безопасности значимого объекта при выводе его из эксплуатации\n14. Обеспечение безопасности значимого объекта при выводе его из эксплуатации или после принятия решения об окончании обработки информации осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией на значимый объект и организационно-распорядительными документами по безопасности значимого объекта. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать:\nа) архивирование информации, содержащейся в значимом объекте;\nб) уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;\nв) уничтожение или архивирование данных об архитектуре и конфигурации значимого объекта;\nг) архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. 14.1. Архивирование информации, содержащейся в значимом объекте, должно осуществляться в случае ее дальнейшего использования в деятельности субъекта критической информационной инфраструктуры. 14.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации осуществляется в случае обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения субъектом критической информационной инфраструктуры. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта. 14.3. При выводе значимого объекта из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация о субъектах доступа и объектах доступа, удалены учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа. 14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению. Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта. По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены. В этом случае факт уничтожения подлежит документированию субъектом критической информационной инфраструктуры с указанием наименования, состава документов, способов и даты их уничтожения. III. Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности значимых объектов\n15. Целью обеспечения безопасности значимого объекта является обеспечение его устойчивого функционирования в проектных режимах работы в условиях реализации в отношении значимого объекта угроз безопасности информации. 16. Задачами обеспечения безопасности значимого объекта являются:\nа) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nб) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта;\nв) обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации;\nг) обеспечение возможности восстановления функционирования значимого объекта критической информационной инфраструктуры. 17. В значимых объектах объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:\nа) в информационных системах:\nинформация, обрабатываемая в информационной системе;\nпрограммно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация информационной системы;\nб) в информационно-телекоммуникационных сетях:\nинформация, передаваемая по линиям связи;\nтелекоммуникационное оборудование (в том числе программное обеспечение, система управления);\nсредства защиты информации;\nархитектура и конфигурация информационно-телекоммуникационной сети;\nв) в автоматизированных системах управления:\nинформация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (в том числе входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);\nпрограммно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация автоматизированной системы управления. 18. Обеспечение безопасности значимого объекта достигается путем принятия в рамках подсистемы безопасности значимого объекта совокупности организационных и технических мер, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования значимого объекта и обеспечивающего (управляемого, контролируемого) им процесса, а также нарушению безопасности обрабатываемой информации (нарушению доступности, целостности, конфиденциальности информации). Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации. 19. Меры по обеспечению безопасности выбираются и реализуются в значимом объекте с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации. 20. Меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры самостоятельно или при необходимости с привлечением в соответствии с законодательством Российской Федерации организаций, имеющих в зависимости от информации, обрабатываемой значимым объектом, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации\n21. Принимаемые организационные и технические меры по обеспечению безопасности значимого объекта должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности значимого объекта и обеспечивающего (управляемого, контролируемого) объекта или процесса. При этом меры по обеспечению безопасности значимого объекта не должны оказывать отрицательного влияния на функционирование значимого объекта в проектных режимах его работы. 22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации должны быть реализованы следующие организационные и технические меры:\nидентификация и аутентификация (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащита машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусная защита (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащита технических средств и систем (ЗТС);\nзащита информационной (автоматизированной) системы и ее компонентов (ЗИС);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nреагирование на инциденты информационной безопасности (ИНЦ);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер по обеспечению безопасности значимых объектов в зависимости от категории значимости приведен в приложении к настоящим Требованиям. При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 23. Выбор мер по обеспечению безопасности значимых объектов для их реализации включает:\nа) определение базового набора мер по обеспечению безопасности значимого объекта;\nб) адаптацию базового набора мер по обеспечению безопасности значимого объекта;\nв) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации. Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям. Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта. При этом из базового набора могут быть исключены меры, непосредственно связанные с информационными технологиями, не используемыми в значимом объекте, или характеристиками, не свойственными значимому объекту. При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям. Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. Дополнение адаптированного набора мер проводится в случае, если в отношении значимого объекта в соответствии с законодательством Российской Федерации также установлены требования о защите информации, содержащейся в государственных информационных системах, требования к защите персональных данных при их обработке в информационных системах персональных данных, требования к криптографической защите информации или иные требования в области защиты информации и обеспечения безопасности критической информационной инфраструктуры. 24. В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (по обеспечению персональных данных) принимаются в соответствии с более высокой категорией значимости, классом защищенности или уровнем защищенности персональных данных. 25. Если принятые в значимом объекте меры по обеспечению промышленной, функциональной безопасности и (или) физической безопасности достаточны для блокирования (нейтрализации) отдельных угроз безопасности информации, дополнительные меры, выбранные в соответствии с пунктами 22 и 23 настоящих Требований, могут не применяться. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должна быть обоснована достаточность применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации. 26. При отсутствии возможности реализации отдельных мер по обеспечению безопасности и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе вследствие их негативного влияния на функционирование значимого объекта в проектных режимах значимого объекта, должны быть разработаны и внедрены компенсирующие меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должно быть обосновано применение компенсирующих мер, а при приемочных испытаниях (аттестации) оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации. В качестве компенсирующих мер могут быть рассмотрены меры по обеспечению промышленной, функциональной и (или) физической безопасности значимого объекта, поддерживающие необходимый уровень его защищенности. 26.1. При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований. IV. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов\n27. Технические меры по обеспечению безопасности в значимом объекте реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов - средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение), а также обеспечения безопасности программного обеспечения и программно-аппаратных средств, применяемых в значимых объектах. При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов (при их наличии). 28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. Абзац утратил силу с 1 января 2023 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\n29. В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации:\nа) в значимых объектах 1 категории применяются средства защиты информации не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nб) в значимых объектах 2 категории применяются средства защиты информации не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nв) в значимых объектах 3 категории применяются средства защиты информации 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия. Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. При использовании в значимом объекте средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности). Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов. Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов. 29.2. Средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, должны соответствовать требованиям к функциям безопасности, установленным в соответствии с подпунктом \"ж\" пункта 10 настоящих Требований. Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия. Испытания (приемка) средств защиты информации на соответствие требованиям к уровню доверия и требованиям к функциям безопасности проводятся на этапе предварительных испытаний в соответствии с пунктом 12.4 настоящих Требований. Испытания (приемка) проводятся отдельно или в составе значимого объекта. Программа и методики испытаний (приемки) утверждаются субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В случае проведения испытаний иным лицом, программа и методики испытаний (приемки) утверждаются этим лицом по согласованию с субъектом критической информационной инфраструктуры. По результатам испытаний (приемки) средства защиты информации оформляется протокол испытаний, в котором указываются:\nдата и место проведения испытаний (приемки);\nописание испытываемого средства защиты информации;\nописание проведенных испытаний;\nрезультаты испытаний по каждому испытываемому параметру (характеристике);\nвыводы о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации. Протокол испытаний утверждается субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В ином случае протокол испытаний утверждается лицом, проводившим испытания, и представляется субъекту критической информационной инфраструктуры на этапе приемочных испытаний для принятия решения о возможности применения средства защиты информации в значимом объекте. Испытания (приемка), предусмотренные настоящим пунктом, проводятся в отношении средств защиты информации, планируемых к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимых объектов. 29.3. Прикладное программное обеспечение, планируемое к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимого объекта и обеспечивающее выполнение его функций по назначению (далее - программное обеспечение), должно соответствовать следующим требованиям по безопасности:\n29.3.1. Требования по безопасной разработке программного обеспечения:\nналичие руководства по безопасной разработке программного обеспечения;\nпроведение анализа угроз безопасности информации программного обеспечения;\nналичие описания структуры программного обеспечения на уровне подсистем и результатов сопоставления функций программного обеспечения и интерфейсов, описанных в функциональной спецификации, с его подсистемами (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.2. Требования к испытаниям по выявлению уязвимостей в программном обеспечении:\nпроведение статического анализа исходного кода программы;\nпроведение фаззинг-тестирования программы, направленного на выявление в ней уязвимостей;\nпроведение динамического анализа кода программы (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.3. Требования к поддержке безопасности программного обеспечения:\nналичие процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения;\nопределение способов и сроков доведения разработчиком (производителем) программного обеспечения до его пользователей информации об уязвимостях программного обеспечения, о компенсирующих мерах по защите информации или ограничениях по применению программного обеспечения, способов получения пользователями программного обеспечения его обновлений, проверки их целостности и подлинности;\nналичие процедур информирования субъекта критической информационной инфраструктуры об окончании производства и (или) поддержки программного обеспечения (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.4. Выполнение требований по безопасности, указанных в подпунктах 29.3.1 - 29.3.3 пункта 29.3 настоящих Требований, оценивается лицом, выполняющим работы по созданию (модернизации, реконструкции или ремонту) значимого объекта и (или) обеспечению его безопасности, на этапе проектирования значимого объекта на основе результатов анализа материалов и документов, представляемых разработчиком (производителем) программного обеспечения в соответствии с техническим заданием (частным техническим заданием), разрабатываемым в соответствии с пунктом 10 настоящих Требований. Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.\". 30. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией. 31. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны быть обеспечены гарантийной и (или) технической поддержкой. При выборе программных и программно-аппаратных средств, в том числе средств защиты информации, необходимо учитывать наличие ограничений на возможность их применения субъектом критической информационной инфраструктуры на любом из принадлежащих ему значимых объектов критической информационной инфраструктуры со стороны разработчиков (производителей) или иных лиц. В значимом объекте не допускаются:\nналичие удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, а также работниками его дочерних и зависимых обществ;\nналичие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, его дочерних и зависимых обществ;\nпередача информации, в том числе технологической информации, разработчику (производителю) программных и программно-аппаратных средств, в том числе средств защиты информации, или иным лицам без контроля со стороны субъекта критической информационной инфраструктуры. В случае технической невозможности исключения удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в значимом объекте принимаются организационные и технические меры по обеспечению безопасности такого доступа, предусматривающие:\nопределение лиц и устройств, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, предоставление им минимальных полномочий при доступе к этим средствам;\nконтроль доступа к программным и программно-аппаратным средствам значимого объекта;\nзащиту информации и данных при их передаче по каналам связи при удаленном доступе к программным и программно-аппаратным средствам значимого объекта;\nмониторинг и регистрацию действий лиц, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, а также инициируемых ими процессов, анализ этих действий в целях выявления фактов неправомерных действий;\nобеспечение невозможности отказа лиц от выполненных действий при осуществлении удаленного доступа к программным и программно-аппаратным средствам значимого объекта. В значимом объекте могут приниматься дополнительные организационные и технические меры по обеспечению безопасности удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, направленные на блокирование (нейтрализацию) угроз безопасности информации, приведенных в модели угроз безопасности информации, разрабатываемой в соответствии с пунктом 11.1 настоящих Требований. Входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации). 32. Утратил силу с 25 сентября 2020 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\nПриложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 25 декабря 2017 г. N 239\nСостав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости\n\"+\" - мера обеспечения безопасности включена в базовый набор мер для соответствующей категории значимого объекта. Меры обеспечения безопасности, не обозначенные знаком \"+\", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер в значимом объекте критической информационной инфраструктуры соответствующей категории значимости."}