Вопрос: Импортозамещение: можно ли использовать для ЗОКИИ (АСУ ТП) оборудование, не включенное в реестр Минпромторг?
Ответ: Ответ: да, допускается использовать оборудование, не включенное в Единый реестр российской радиоэлектронной продукции (далее – Реестр РЭП) или Реестр российской промышленной продукции.
  
  	 Однако оборудование, не включенное в Реестр РЭП, запрещено использовать в составе программно-аппаратного комплекса (далее – ПАК), поскольку данный ПАК не соответствует критериям доверенного ПАК, установленным постановлением Правительства Российской Федерации
  	 (далее – РФ) от 14.11.2023 № 1912. Субъектам критической информационной инфраструктуры (далее – КИИ) до 2030 года необходимо осуществить переход на преимущественное применение доверенных ПАК, то есть необходимо будет заменить ПАК, аппаратная платформа которых не включена в Реестр РЭП (с учетом требований к программной части доверенного ПАК).
  
  	 При этом отдельно отметим, что согласно абзацу 2 пункта 29.2 Требований по обеспечению безопасности значимых объектов КИИ РФ, утвержденных приказом ФСТЭК России от 25.12.2017 № 239, установлена необходимость оценки соответствия требованиям к уровню доверия для средств защиты информации (далее – СрЗИ), не встроенных в общесистемное и прикладное программное обеспечение и не имеющих сертификата соответствия. Абзацами 7 и 5 пунктов 12.2 и 12.3 Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденных приказом ФСТЭК России от 02.06.2020 № 76, установлено:
  
  	 ·          для 5 уровня доверия (2 категория значимости объектов КИИ), сведения об аппаратной платформе СрЗИ должны быть включены в Реестр РЭП;
  
  	 ·          для 4 уровня доверия (1 категория значимости объектов КИИ), сведения о процессорах или микросхемах, выполняющих функции процессоров (микроконтроллеры), элементах памяти, сетевых картах, графических адаптерах аппаратной платформы СрЗИ должны быть включены в Реестр РЭП.
  
  	 Таким образом, запрещено использовать наложенные СрЗИ, аппаратная часть (оборудование) которых не включена в Реестр РЭП, для обеспечения безопасности значимых объектов КИИ, в отношении которых присвоены 1 и 2 категории значимости.
Цитаты из НПА: {"14.11.2023 № 1912": ["Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и (или) Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом (сертификатом).", "В случае наличия у уполномоченного органа информации о доверенных программно-аппаратных комплексах, имеющих функциональные, технические и (или) эксплуатационные характеристики, аналогичные характеристикам программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры и не являющихся доверенными программно-аппаратными комплексами, уполномоченный орган направляет субъекту критической информационной инфраструктуры информацию о таких доверенных программно-аппаратных комплексах.", "Установить, что: переход субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации осуществляется до 1 января 2030 г. в соответствии с Правилами, утвержденными настоящим постановлением; с 1 сентября 2024 г. не допускается использование субъектами критической информационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации программно-аппаратных комплексов, приобретенных субъектами критической информационной инфраструктуры Российской Федерации с 1 сентября 2024 г. и не являющихся доверенными программно-аппаратными комплексами."], "25.12.2017 № 239": ["Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.", "Анализ угроз безопасности информации должен включать: а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей; б) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств; в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации; г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации.", "Приказом ФСТЭК России от", "Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия."], "02.06.2020 № 76": ["Сведения об аппаратной платформе средства должны быть включены в единый реестр российской радиоэлектронной продукции."]}
full_text: {"14.11.2023 № 1912": "Постановление Правительства PФ от 14 ноября 2023 г. N 1912 \"О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\"\nВо исполнение пункта 2 Указа Президента Российской Федерации от 30 марта 2022 г. N 166 \"О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации\" Правительство Российской Федерации постановляет:\n1. Утвердить прилагаемые Правила перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации. 2. Установить, что:\nпереход субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации осуществляется до 1 января 2030 г. в соответствии с Правилами, утвержденными настоящим постановлением;\nс 1 сентября 2024 г. не допускается использование субъектами критической информационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации программно-аппаратных комплексов, приобретенных субъектами критической информационной инфраструктуры Российской Федерации с 1 сентября 2024 г. и не являющихся доверенными программно-аппаратными комплексами, за исключением случаев отсутствия произведенных в Российской Федерации доверенных программно-аппаратных комплексов, являющихся аналогами приобретенных субъектами критической информационной инфраструктуры Российской Федерации программно-аппаратных комплексов. Подтверждением отсутствия произведенных в Российской Федерации доверенных программно-аппаратных комплексов, являющихся аналогами приобретенных субъектами критической информационной инфраструктуры Российской Федерации программно-аппаратных комплексов, являются заключения об отнесении продукции к промышленной продукции, не имеющей произведенных в Российской Федерации аналогов, выданные Министерством промышленности и торговли Российской Федерации в соответствии с Правилами отнесения продукции к промышленной продукции, не имеющей произведенных в Российской Федерации аналогов, утвержденными постановлением Правительства Российской Федерации от 20 сентября 2017 г. N 1135 \"Об отнесении продукции к промышленной продукции, не имеющей произведенных в Российской Федерации аналогов, и внесении изменений в некоторые акты Правительства Российской Федерации\". 3. Определить, что федеральными органами исполнительной власти и российскими юридическими лицами, ответственными за организацию перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации в соответствующих сферах (областях) деятельности (далее - уполномоченные органы), являются:\nМинистерство здравоохранения Российской Федерации - в сфере здравоохранения;\nМинистерство науки и высшего образования Российской Федерации - в сфере науки;\nМинистерство транспорта Российской Федерации - в сфере транспорта;\nМинистерство цифрового развития, связи и массовых коммуникаций Российской Федерации - в сфере связи;\nМинистерство энергетики Российской Федерации - в сферах энергетики и топливно-энергетического комплекса;\nМинистерство промышленности и торговли Российской Федерации - в области оборонной, горнодобывающей, металлургической и химической промышленности;\nМинистерство финансов Российской Федерации - в банковской сфере и иных сферах финансового рынка (за исключением вопросов организации перехода субъектов критической информационной инфраструктуры Российской Федерации, являющихся кредитными организациями или некредитными финансовыми организациями, на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации);\nФедеральная служба государственной регистрации, кадастра и картографии - в сфере государственной регистрации прав на недвижимое имущество и сделок с ним;\nГосударственная корпорация по атомной энергии \"Росатом\" - в области атомной энергии;\nГосударственная корпорация по космической деятельности \"Роскосмос\" - в области ракетно-космической промышленности;\nЦентральный банк Российской Федерации - в банковской сфере и иных сферах финансового рынка (в части вопросов организации перехода субъектов критической информационной инфраструктуры Российской Федерации, являющихся кредитными организациями или некредитными финансовыми организациями, на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации). 4. Уполномоченным органам до 1 сентября 2024 г.:\nопределить должностное лицо в должности не ниже заместителя руководителя уполномоченного органа, ответственное за организацию перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации в соответствующих сферах (областях) деятельности;\nутвердить планы организации перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации в соответствующих сферах (областях) деятельности. 5. Настоящее постановление вступает в силу со дня его официального опубликования, за исключением пунктов 1 и 2 настоящего постановления, которые вступают в силу с 1 сентября 2024 г. и действуют в течение 6 лет. УТВЕРЖДЕНЫ постановлением Правительства Российской Федерации от 14 ноября 2023 г. N 1912\nПравила перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n1. Настоящие Правила определяют порядок перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура). 2. Для целей настоящих Правил используются следующие понятия:\n\"программно-аппаратный комплекс\" - радиоэлектронная продукция, в том числе телекоммуникационное оборудование, программное обеспечение и технические средства, работающие совместно для выполнения одной или нескольких сходных задач;\n\"доверенный программно-аппаратный комплекс\" - программно-аппаратный комплекс, который соответствует одновременно всем критериям признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами, указанным в приложении N 1;\n\"преимущественное применение доверенных программно-аппаратных комплексов\" - применение субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры доверенных программно-аппаратных комплексов, доля которых по состоянию на 31 декабря 2029 г. составляет 100 процентов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры. Иные понятия, используемые в настоящих Правилах, имеют значения, определенные Федеральным законом \"О безопасности критической информационной инфраструктуры Российской Федерации\", иными федеральными законами и нормативными правовыми актами Российской Федерации. 3. Федеральные органы исполнительной власти и российские юридические лица, ответственные за организацию перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствующих сферах (областях) деятельности, определенные в соответствии с пунктом 3 постановления Правительства Российской Федерации от 14 ноября 2023 г. N 1912 \"О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\" (далее - уполномоченные органы), разрабатывают и утверждают планы организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствующих сферах (областях) деятельности (далее - отраслевые планы перехода) по форме согласно приложению N 2. Для каждой сферы (области) деятельности уполномоченного органа разрабатывается отдельный отраслевой план перехода. Отраслевые планы перехода являются документами, содержащими служебную информацию ограниченного распространения, и имеют пометку \"Для служебного пользования\", если по решению уполномоченного органа им не присваивается гриф секретности. 4. Отраслевые планы перехода содержат:\nа) план мероприятий по организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры;\nб) оценочные, прогнозные и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры. 5. Уполномоченные органы начиная с 2026 года ежегодно, до 1 мая, обеспечивают актуализацию отраслевых планов перехода. Актуализация отраслевых планов перехода осуществляется путем утверждения уполномоченными органами отраслевых планов перехода в новой редакции после направления в Министерство промышленности и торговли Российской Федерации выписки и отчета, предусмотренных пунктом 22 настоящих Правил. 6. Уполномоченные органы в течение 20 рабочих дней со дня утверждения отраслевого плана перехода (в том числе отраслевого плана перехода в новой редакции) направляют в адрес субъектов критической информационной инфраструктуры, функционирующих в соответствующих сферах (областях) деятельности, которым на основании сведений, содержащихся в реестре значимых объектов критической информационной инфраструктуры, принадлежат значимые объекты критической информационной инфраструктуры, утвержденный отраслевой план перехода и уведомляют их о необходимости разработки планов перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры (далее - план перехода) в соответствии с настоящими Правилами (в случае отсутствия у субъектов критической информационной инфраструктуры утвержденных планов перехода). 7. Субъекты критической информационной инфраструктуры разрабатывают планы перехода по форме согласно приложению N 3. 8. Планы перехода содержат:\nа) общие сведения о субъекте критической информационной инфраструктуры;\nб) перечень значимых объектов критической информационной инфраструктуры, принадлежащих субъекту критической информационной инфраструктуры, сведения о которых содержатся в реестре значимых объектов критической информационной инфраструктуры;\nв) сведения о программно-аппаратных комплексах, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры;\nг) плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры;\nд) прогнозные объемы затрат субъекта критической информационной инфраструктуры на реализацию плана перехода. 9. Планы перехода утверждаются руководителями субъектов критической информационной инфраструктуры. Планы перехода субъектов критической информационной инфраструктуры, являющихся учреждениями Государственной корпорации по атомной энергии \"Росатом\", акционерными обществами Государственной корпорации по атомной энергии \"Росатом\" и их дочерними обществами, а также подведомственными федеральными государственными унитарными предприятиями и федеральными государственными бюджетными учреждениями, связанными с реализацией полномочий по управлению атомной отраслью, утверждаются руководителями субъектов критической информационной инфраструктуры по согласованию с Государственной корпорацией по атомной энергии \"Росатом\". Планы перехода субъектов критической информационной инфраструктуры, являющихся кредитными организациями или некредитными финансовыми организациями, утверждаются руководителями субъектов критической информационной инфраструктуры по согласованию с Центральным банком Российской Федерации. 10. Субъект критической информационной инфраструктуры в течение 10 рабочих дней со дня утверждения плана перехода направляет копию утвержденного плана перехода с соблюдением требований законодательства Российской Федерации о государственной тайне в уполномоченный орган, который определяется субъектом критической информационной инфраструктуры в соответствии со сферой (областью) деятельности субъекта критической информационной инфраструктуры и (или) основным видом экономической деятельности субъекта критической информационной инфраструктуры:\nа) до 1 января 2025 г., если сведения об объектах критической информационной инфраструктуры, принадлежащих субъекту критической информационной инфраструктуры, включены в реестр значимых объектов критической информационной инфраструктуры по состоянию на 1 сентября 2024 г.;\nб) в 4-месячный срок со дня получения уведомления от Федеральной службы по техническому и экспортному контролю о внесении сведений об объекте (объектах) критической информационной инфраструктуры в реестр значимых объектов критической информационной инфраструктуры, в случае присвоения объекту критической информационной инфраструктуры, принадлежащему субъекту критической информационной инфраструктуры, одной из категорий значимости после 1 сентября 2024 г. 11. Уполномоченные органы осуществляют формирование и ведение реестров планов перехода в соответствующей сфере (области) деятельности (далее - отраслевые реестры планов перехода) по форме согласно приложению N 4. 12. В ходе формирования и ведения отраслевых реестров планов перехода уполномоченными органами обеспечивается:\nа) безопасность сведений, составляющих государственную тайну, содержащихся в планах перехода и отраслевых реестрах планов перехода, в соответствии с законодательством Российской Федерации о государственной тайне;\nб) использование сведений о значимых объектах критической информационной инфраструктуры, содержащихся в планах перехода и отраслевых реестрах планов перехода, только в целях организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствии с настоящими Правилами. 13. Уполномоченный орган в течение 30 рабочих дней со дня поступления от субъекта критической информационной инфраструктуры копии утвержденного плана перехода принимает решение о включении сведений о плане перехода в отраслевой реестр планов перехода либо об отказе во включении сведений о плане перехода в отраслевой реестр планов перехода. 14. Основаниями для принятия уполномоченным органом решения об отказе во включении сведений о плане перехода в отраслевой реестр планов перехода являются:\nа) несоответствие плана перехода установленной форме;\nб) предусмотренное планом перехода целевое значение доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на 31 декабря 2029 г., составляет менее 100 процентов;\nв) отсутствие в плане перехода сведений о значимых объектах критической информационной инфраструктуры, включенных в реестр значимых объектов критической информационной инфраструктуры, согласно выписке из реестра значимых объектов критической информационной инфраструктуры, полученной уполномоченным органом от Федеральной службы по техническому и экспортному контролю не ранее чем за 90 дней до дня поступления в уполномоченный орган от субъекта критической информационной инфраструктуры копии плана перехода;\nг) несоответствие сведений о значимых объектах критической информационной инфраструктуры, содержащихся в плане перехода, сведениям, содержащимся в выписке, указанной в подпункте \"в\" настоящего пункта;\nд) несоблюдение субъектом критической информационной инфраструктуры требований, предусмотренных пунктом 9 настоящих Правил. 15. В случае принятия решения о включении сведений о плане перехода в отраслевой реестр планов перехода уполномоченный орган в течение 5 рабочих дней со дня принятия такого решения включает соответствующие сведения в отраслевой реестр планов перехода и направляет субъекту критической информационной инфраструктуры уведомление о включении сведений о плане перехода в отраслевой реестр планов перехода с указанием регистрационного номера плана перехода в отраслевом реестре планов перехода, даты включения сведений об актуальной редакции плана перехода в отраслевой реестр планов перехода и номера редакции плана перехода. В случае принятия решения об отказе во включении сведений о плане перехода в отраслевой реестр планов перехода уполномоченный орган в течение 5 рабочих дней со дня принятия такого решения направляет субъекту критической информационной инфраструктуры уведомление об отказе во включении сведений о плане перехода в отраслевой реестр планов перехода с указанием оснований для отказа во включении сведений о плане перехода в отраслевой реестр планов перехода, установленных пунктом 14 настоящих Правил. 16. В случае наличия у уполномоченного органа информации о доверенных программно-аппаратных комплексах, имеющих функциональные, технические и (или) эксплуатационные характеристики, аналогичные характеристикам программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры и не являющихся доверенными программно-аппаратными комплексами, уполномоченный орган направляет субъекту критической информационной инфраструктуры информацию о таких доверенных программно-аппаратных комплексах. 17. Субъект критической информационной инфраструктуры вносит изменения в план перехода:\nа) в случае получения от уполномоченного органа уведомления, предусмотренного абзацем вторым пункта 15 настоящих Правил, - в течение 30 календарных дней со дня получения такого уведомления;\nб) в случае внесения сведений о значимых объектах критической информационной инфраструктуры, не указанных в актуальной редакции утвержденного плана перехода, в реестр значимых объектов критической информационной инфраструктуры - в 4-месячный срок со дня получения уведомления от Федеральной службы по техническому и экспортному контролю о внесении сведений о таких объектах в реестр значимых объектов критической информационной инфраструктуры (при наличии у субъекта критической информационной инфраструктуры утвержденного плана перехода);\nв) по решению субъекта критической информационной инфраструктуры, в том числе с учетом информации, указанной в пункте 16 настоящих Правил. 18. Внесение изменений в план перехода осуществляется путем утверждения плана перехода в новой редакции. Копия утвержденного плана перехода в новой редакции направляется в уполномоченный орган в порядке и сроки, указанные в абзаце первом пункта 10 настоящих Правил, с указанием основания внесения изменений в план перехода в соответствии с пунктом 17 настоящих Правил. 19. Уполномоченный орган в течение 30 рабочих дней со дня получения копии плана перехода, утвержденного в новой редакции, принимает решение о включении сведений о плане перехода в отраслевой реестр планов перехода либо об отказе во включении сведений о плане перехода в отраслевой реестр планов перехода в соответствии с пунктами 13 - 15 настоящих Правил. В случае внесения изменений в план перехода в соответствии с подпунктами \"б\" или \"в\" пункта 17 настоящих Правил и принятия уполномоченным органом решения о включении сведений о плане перехода, утвержденном в новой редакции, в отраслевой реестр планов перехода внесение изменений в отраслевой реестр планов перехода осуществляется путем изменения существующей реестровой записи, содержащей сведения о соответствующем плане перехода. 20. Уполномоченный орган в течение 10 рабочих дней со дня включения сведений о плане перехода (в том числе о плане перехода, утвержденном в новой редакции) в отраслевой реестр планов перехода направляет с соблюдением требований законодательства Российской Федерации о государственной тайне в организацию, определенную распоряжением Правительства Российской Федерации от 29 марта 2023 г. N 757-р научно-производственным объединением, специализирующимся на разработке, производстве, технической поддержке и сервисном обслуживании доверенных программно-аппаратных комплексов для критической информационной инфраструктуры, созданным в целях реализации Указа Президента Российской Федерации от 30 марта 2022 г. N 166 \"О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации\":\nа) выписку из плана перехода, содержащую сведения, приведенные в разделах 3 и 4 плана перехода, по форме, предусмотренной приложением N 3 к настоящим Правилам;\nб) сопроводительное письмо с указанием исключительно отраслевого реестра планов перехода, в который включены сведения о плане перехода, регистрационного номера плана перехода в отраслевом реестре планов перехода, даты утверждения актуальной редакции плана перехода и номера актуальной редакции плана перехода. 21. Субъекты критической информационной инфраструктуры начиная с 2026 года ежегодно, до 1 марта, направляют в уполномоченные органы с соблюдением требований законодательства Российской Федерации о государственной тайне отчет о ходе реализации субъектом критической информационной инфраструктуры плана перехода за предшествующий календарный год по форме согласно приложению N 5. 22. Уполномоченные органы начиная с 2026 года ежегодно, до 1 апреля, направляют в Министерство промышленности и торговли Российской Федерации выписку из отраслевого реестра планов перехода по состоянию на 31 декабря предшествующего календарного года по форме согласно приложению N 6 и отчет о ходе реализации отраслевого плана перехода за предшествующий календарный год по форме согласно приложению N 7. Выписка и отчет, указанные в настоящем пункте, являются документами, содержащими служебную информацию ограниченного распространения, и имеют пометку \"Для служебного пользования\", если по решению уполномоченного органа им не присваивается гриф секретности. 23. Министерство промышленности и торговли Российской Федерации начиная с 2026 года ежегодно, до 1 мая, направляет в Правительство Российской Федерации сводную выписку из отраслевых реестров планов перехода по состоянию на 31 декабря предшествующего календарного года по форме согласно приложению N 8 и сводный отчет о ходе реализации отраслевых планов перехода за предшествующий календарный год по форме согласно приложению N 9. Сводная выписка и сводный отчет, указанные в настоящем пункте, являются документами, содержащими служебную информацию ограниченного распространения, и имеют пометку \"Для служебного пользования\", если по решению Министерства промышленности и торговли Российской Федерации им не присваивается гриф секретности. 24. По запросу Аппарата Правительства Российской Федерации и (или) Министерства промышленности и торговли Российской Федерации уполномоченные органы представляют выписки из отраслевых реестров планов перехода в срок, установленный в таком запросе. По запросу Аппарата Правительства Российской Федерации Министерство промышленности и торговли Российской Федерации представляет сводную выписку из отраслевых реестров планов перехода в срок, установленный в таком запросе. 25. Организация, указанная в пункте 20 настоящих Правил, начиная с 2025 года ежегодно, до 1 апреля, направляет в уполномоченные органы прогноз производства доверенных программно-аппаратных комплексов в Российской Федерации на текущий календарный год и 2 последующих календарных года. 26. В целях организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры уполномоченными органами могут привлекаться отраслевые центры компетенций, в том числе созданные на базе организаций, подведомственных уполномоченным органам, или иные организации в порядке, предусмотренном законодательством Российской Федерации. ПРИЛОЖЕНИЕ N 1 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\nКритерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами\n1. Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции. 2. Программное обеспечение, используемое в составе программно-аппаратного комплекса, соответствует требованиям к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом \"О закупках товаров, работ, услуг отдельными видами юридических лиц\" (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденным постановлением Правительства Российской Федерации от 22 августа 2022 г. N 1478 \"Об утверждении требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом \"О закупках товаров, работ, услуг отдельными видами юридических лиц\" (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, Правил согласования закупок иностранного программного обеспечения, в том числе в составе программно-аппаратных комплексов, в целях его использования заказчиками, осуществляющими закупки в соответствии с Федеральным законом \"О закупках товаров, работ, услуг отдельными видами юридических лиц\" (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, а также закупок услуг, необходимых для использования этого программного обеспечения на таких объектах, и Правил перехода на преимущественное использование российского программного обеспечения, в том числе в составе программно-аппаратных комплексов, заказчиками, осуществляющими закупки в соответствии с Федеральным законом \"О закупках товаров, работ, услуг отдельными видами юридических лиц\" (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\". 3. Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и (или) Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом (сертификатом). ПРИЛОЖЕНИЕ N 2 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nУТВЕРЖДЕНО\n____________________    _______________________\n(дата утверждения)        (номер редакции)\n_______________________________________________\n(должность уполномоченного должностного лица)\n_______________     ___________________________\n(подпись)                   (ф.и.о.)\nМП\nПЛАН ОРГАНИЗАЦИИ ПЕРЕХОДА\nсубъектов критической информационной инфраструктуры Российской Федерации на преимущественное\nприменение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах\nкритической информационной инфраструктуры Российской Федерации\nв_____________________________________________________________________\n(сфера (область) деятельности уполномоченного органа)\nРаздел 1. План мероприятий по организации перехода субъектов критической информационной\nинфраструктуры Российской Федерации на преимущественное применение доверенных\nпрограммно-аппаратных комплексов на принадлежащих им значимых объектах критической\nинформационной инфраструктуры Российской Федерации\nРаздел 2. Оценочные, прогнозные и фактические доли доверенных программно-аппаратных комплексов\nв общем количестве программно-аппаратных комплексов, применяемых субъектами критической\nинформационной инфраструктуры на принадлежащих им значимых объектах критической\nинформационной инфраструктуры\n──────────────────────────────\n1 Указываются типы программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, функционирующими в сфере (области) деятельности уполномоченного органа. 2 При актуализации отраслевого плана перехода оценочные и прогнозные значения за предшествующие календарные годы не подлежат изменению. 3 Указывается дата утверждения первой редакции отраслевого плана перехода. 4 Оценочные и прогнозные доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, функционирующими в сфере (области) деятельности уполномоченного органа, определяются уполномоченным органом экспертным путем. ──────────────────────────────\nПРИЛОЖЕНИЕ N 3 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nСОГЛАСОВАНО(1)                                         УТВЕРЖДЕНО\n______________________                           ____________________ ____________________________\n(дата согласования)                              (дата утверждения)       (номер редакции)\n__________________________________________       _________________________________________________\n(должность уполномоченного должностного          (должность руководителя субъекта критической\nлица)                             информационной инфраструктуры Российской\n______________ ___________________________                           Федерации)\n(подпись)          (ф.и.о.)                   ____________________ ____________________________\n(подпись)                    (ф.и.о.)\nМП\nМП (при наличии)\nПЛАН ПЕРЕХОДА\n___________________________________________________________________________________________________\n(сокращенное наименование субъекта критической информационной инфраструктуры Российской Федерации)\nна преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих\nему значимых объектах критической информационной инфраструктуры Российской Федерации\nРаздел 1. Общие сведения о субъекте критической информационной инфраструктуры Российской Федерации\nРаздел 2. Перечень значимых объектов критической информационной инфраструктуры, принадлежащих\nсубъекту критической информационной инфраструктуры, сведения о которых содержатся в реестре\nзначимых объектов критической информационной инфраструктуры\nРаздел 3. Сведения о программно-аппаратных комплексах, применяемых субъектом критической\nинформационной инфраструктуры на принадлежащих ему значимых объектах критической\nинформационной инфраструктуры\nРаздел 4. Плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов,\nприменяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической\nинформационной инфраструктуры\nРаздел 5. Прогнозные объемы затрат субъекта критической информационной инфраструктуры на реализацию\nплана перехода субъекта критической информационной инфраструктуры на преимущественное применение\nдоверенных программно-аппаратных комплексов на принадлежащих ему значимых объектах критической\nинформационной инфраструктуры\n──────────────────────────────\n1 Заполняется субъектами критической информационной инфраструктуры, утверждающими планы перехода по согласованию с соответствующими уполномоченными органами. 2 Указывается одно из следующих значений: \"информационная система\", \"информационно-телекоммуникационная сеть\", \"автоматизированная система управления\". 3 Указывается порядковый номер значимого объекта критической информационной инфраструктуры из раздела 2 \"Перечень значимых объектов критической информационной инфраструктуры, принадлежащих субъекту критической информационной инфраструктуры, сведения о которых содержатся в реестре значимых объектов критической информационной инфраструктуры\" плана перехода. 4 Указывается одно из следующих значений: \"А\" - для информационных систем, \"Б\" - для информационно-телекоммуникационных сетей, \"В\" - для автоматизированных систем управления. 5 Программно-аппаратные комплексы в таблице группируются по типам программно-аппаратных комплексов, перечисленных в разделе 2 \"Оценочные, прогнозные и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры\" плана организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствующей сфере (области) деятельности (в порядке перечисления типов программно-аппаратных комплексов в упомянутом разделе). В графе \"Тип программно-аппаратных комплексов\" указывается наименование одного из типов программно-аппаратных комплексов. 6 Для каждого типа программно-аппаратного комплекса указываются сначала доверенные программно-аппаратные комплексы (значение \"доверенный\"), затем программно-аппаратные комплексы, не являющиеся доверенными (значение \"недоверенный\"). 7 Для вычислительной техники (сервер, система хранения данных, автоматизированное рабочее место и другое) указывается производитель оборудования, модель оборудования, количество центральных процессоров и архитектура центральных процессоров. Для телекоммуникационного оборудования (коммутатор, маршрутизатор, межсетевой экран и другое) указывается производитель оборудования, модель оборудования, максимальная канальная скорость передачи данных (в Мбит/с на порт), количество портов каждого типа и уровень оборудования в иерархии сети (оборудование уровня доступа, оборудование уровня агрегации (распределения), оборудование уровня ядра сети). Для иных видов радиоэлектронной продукции указывается производитель оборудования и модель оборудования. 8 Указывается номер реестровой записи радиоэлектронной продукции в едином реестре российской радиоэлектронной продукции либо значение \"нет\" в случае его отсутствия. 9 Для доверенных программно-аппаратных комплексов указывается значение \"-\" Для программно-аппаратных комплексов, не являющихся доверенными, указываются один или несколько номеров реестровых записей радиоэлектронной продукции в едином реестре российской радиоэлектронной продукции, являющейся аналогом радиоэлектронной продукции, используемой субъектом критической информационной инфраструктуры в составе программно-аппаратного комплекса, либо значение \"нет\" в случае их отсутствия. 10 Указывается класс программного обеспечения в соответствии с классификатором программ для электронных вычислительных машин и баз данных, утвержденным Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации в соответствии с абзацем вторым подпункта \"а\" пункта 7 постановления Правительства Российской Федерации от 16 ноября 2015 г. N 1236 \"Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд\". 11 Указывается номер реестровой записи программного обеспечения в едином реестре российских программ для электронных вычислительных машин и баз данных или в едином реестре программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации, либо значение \"нет\" в случае его отсутствия. 12 Для доверенных программно-аппаратных комплексов указывается значение \"-\" Для программно-аппаратных комплексов, не являющихся доверенными, указываются один или несколько номеров реестровых записей программного обеспечения в едином реестре российских программ для электронных вычислительных машин и баз данных или в едином реестре программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации, являющегося аналогом программного обеспечения, используемого субъектом критической информационной инфраструктуры в составе программно-аппаратного комплекса, либо значение \"нет\" в случае его отсутствия. 13 Указывается порядковый номер программно-аппаратного комплекса из раздела 3 \"Сведения о программно-аппаратных комплексах, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры\" плана перехода. 14 В графе \"Количество доверенных программно-аппаратных комплексов, штук\" значения определяются следующим образом. В качестве фактического значения на дату утверждения первой редакции плана перехода для каждой позиции указывается фактическое количество доверенных программно-аппаратных комплексов с данным наименованием, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на указанную дату (для программно-аппаратных комплексов с признаком \"недоверенный\" фактическое значение равно нулю). В качестве планового значения на соответствующую дату для каждой позиции указывается плановое количество доверенных программно-аппаратных комплексов с аналогичными характеристиками, которые будут применяться субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на указанную дату (в том числе взамен программно-аппаратных комплексов с признаком \"недоверенный\"). Плановое значение определяется в предположении, что на рынке имеется (появится) достаточное количество доверенных программно-аппаратных комплексов с необходимыми характеристиками. 15 В графе \"Общее количество программно-аппаратных комплексов, штук\" значения определяются следующим образом. В качестве фактического значения на дату утверждения первой редакции плана перехода для каждой позиции указывается фактическое общее количество программно-аппаратных комплексов с данным наименованием, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на указанную дату. В качестве планового значения на соответствующую дату для каждой позиции указывается плановое общее количество программно-аппаратных комплексов с аналогичными характеристиками (как доверенных, так и не являющихся доверенными), которые будут применяться субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на указанную дату. Значение общего количества применяемых программно-аппаратных комплексов не может быть меньше количества применяемых доверенных программно-аппаратных комплексов по состоянию на соответствующую дату. 16 Доля доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры по состоянию на соответствующую дату, определяется для каждой позиции как отношение количества доверенных программно-аппаратных комплексов по состоянию на данную дату к общему количеству применяемых программно-аппаратных комплексов на данную дату, выраженное в процентах. 17 Указывается дата утверждения первой редакции плана перехода. 18 В позициях \"Всего по типу\" значения определяются следующим образом: количество доверенных программно-аппаратных комплексов - как сумма значений доверенных программно-аппаратных комплексов данного типа по состоянию на соответствующую дату; общее количество программно-аппаратных комплексов - как сумма значений общего количества программно-аппаратных комплексов данного типа по состоянию на соответствующую дату; доля доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов - как отношение количества доверенных программно-аппаратных комплексов данного типа к общему количеству программно-аппаратных комплексов данного типа по состоянию на соответствующую дату, выраженное в процентах. 19 В позиции \"Итого по всем типам программно-аппаратных комплексов\" значения определяются следующим образом: количество доверенных программно-аппаратных комплексов - как сумма значений доверенных программно-аппаратных комплексов по всем типам доверенных программно-аппаратных комплексов по состоянию на соответствующую дату; общее количество программно-аппаратных комплексов - как сумма значений общего количества программно-аппаратных комплексов по всем типам доверенных программно-аппаратных комплексов по состоянию на соответствующую дату; доля доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов - как отношение количества доверенных программно-аппаратных комплексов, указанных в данной позиции, к общему количеству программно-аппаратных комплексов, указанных в данной позиции, по состоянию на соответствующую дату, выраженное в процентах. ──────────────────────────────\nПРИЛОЖЕНИЕ N 4 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nРЕЕСТР\nпланов перехода субъектов критической информационной инфраструктуры Российской Федерации\nна преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих\nим значимых объектах критической информационной инфраструктуры Российской Федерации\nв______________________________________________________________________________________________\n(сфера (область) деятельности уполномоченного органа)\nРаздел 1. Сведения о планах перехода субъектов критической информационной инфраструктуры\nРоссийской Федерации на преимущественное применение доверенных программно-аппаратных\nкомплексов на принадлежащих им значимых объектах критической информационной инфраструктуры\nРоссийской Федерации (далее - план перехода)\nРаздел 2. Сведения о программно-аппаратных комплексах, содержащиеся в планах перехода и отчетах\nо реализации планов перехода за соответствующий календарный год\n──────────────────────────────\n1 Указывается количество значимых объектов критической информационной инфраструктуры, сведения о которых содержатся в разделе 2 \"Перечень значимых объектов критической информационной инфраструктуры, принадлежащих субъекту критической информационной инфраструктуры, сведения о которых содержатся в реестре значимых объектов критической информационной инфраструктуры\" плана перехода. 2 Для каждого показателя указываются плановые значения из позиции \"Итого по всем типам программно-аппаратных комплексов\" по состоянию на соответствующую дату, содержащиеся в разделе 4 \"Плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры\" плана перехода данного субъекта критической информационной инфраструктуры. 3 В качестве фактических значений каждого показателя на дату утверждения первой редакции плана перехода данного субъекта критической информационной инфраструктуры указываются фактические значения из позиции \"Итого по всем типам программно-аппаратных комплексов\" по состоянию на дату утверждения первой редакции плана перехода, содержащиеся в разделе 4 \"Плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры\" плана перехода данного субъекта критической информационной инфраструктуры. В качестве фактических значений каждого показателя на иную отчетную дату указываются фактические значения из позиции \"Итого по всем типам программно-аппаратных комплексов\", содержащиеся в разделе 1 \"Плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры Российской Федерации на принадлежащих ему значимых объектах критической информационной инфраструктуры Российской Федерации\" отчета о ходе реализации плана перехода данного субъекта критической информационной инфраструктуры за соответствующий календарный год. 4 Указывается значение на пересечении позиции \"Итого по всем типам программно-аппаратных комплексов\" и графы \"Всего\" раздела 5 \"Прогнозные объемы затрат субъекта критической информационной инфраструктуры на реализацию плана перехода субъекта критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих ему значимых объектах критической информационной инфраструктуры\" плана перехода данного субъекта критической информационной инфраструктуры. ──────────────────────────────\nПРИЛОЖЕНИЕ N 5 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nОТЧЕТ\nо ходе реализации плана перехода\n___________________________________________________________________________________________________\n(сокращенное наименование субъекта критической информационной инфраструктуры Российской Федерации)\nна преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих\nему значимых объектах критической информационной инфраструктуры Российской Федерации\nза________________________________________год\n(предшествующий календарный год)\nРаздел 1. Плановые и фактические доли доверенных программно-аппаратных комплексов\nв общем количестве программно-аппаратных комплексов, применяемых субъектом критической\nинформационной инфраструктуры Российской Федерации на принадлежащих ему значимых объектах\nкритической информационной инфраструктуры Российской Федерации\nРаздел 2. Сведения о причинах недостижения плановых долей доверенных программно-аппаратных\nкомплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической\nинформационной инфраструктуры Российской Федерации на принадлежащих ему значимых объектах\nкритической информационной инфраструктуры Российской Федерации(5)\n___________________________________________________________________________________________________. (описание причин недостижения плановых долей доверенных программно-аппаратных комплексов в общем\nколичестве программно-аппаратных комплексов, применяемых субъектом критической информационной\nинфраструктуры Российской Федерации на принадлежащих ему значимых объектах критической\nинформационной инфраструктуры Российской Федерации, с предложениями по порядку дальнейшей работы)\n──────────────────────────────\n1 Указывается предшествующий (отчетный) календарный год. 2 Указываются плановые значения количества доверенных программно-аппаратных комплексов, общего количества программно-аппаратных комплексов и долей доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) на принадлежащих ему значимых объектах критической информационной инфраструктуры, предусмотренные разделом 4 \"Плановые и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры\" плана перехода субъекта критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих ему значимых объектах критической информационной инфраструктуры, для каждого типа программно-аппаратных комплексов (на основании значений позиций \"Всего по типу\" и \"Итого по всем типам программно-аппаратных комплексов\" по состоянию на соответствующую дату). 3 Указываются фактические значения количества доверенных программно-аппаратных комплексов и общего количества программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры, по состоянию на отчетную дату для каждого типа программно-аппаратных комплексов. Для позиции \"Итого по всем типам программно-аппаратных комплексов\" фактическое значение определяется как сумма соответствующих фактических значений по позициям, содержащим данные по типам программно-аппаратных комплексов. 4 Указываются фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры, по состоянию на отчетную дату для каждого типа программно-аппаратных комплексов и для позиции \"Итого по всем типам программно-аппаратных комплексов\", которые определяются как отношение фактических значений количества доверенных программно-аппаратных комплексов к общему количеству программно-аппаратных комплексов по соответствующим позициям. 5 Раздел заполняется в случае недостижения плановых долей доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектом критической информационной инфраструктуры на принадлежащих ему значимых объектах критической информационной инфраструктуры, хотя бы по одному типу программно-аппаратных комплексов. ──────────────────────────────\nПРИЛОЖЕНИЕ N 6 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nВЫПИСКА\nиз реестра планов перехода субъектов критической информационной\nинфраструктуры Российской Федерации на преимущественное применение\nдоверенных программно-аппаратных комплексов на принадлежащих им значимых\nобъектах критической информационной инфраструктуры Российской Федерации\nв_________________________________________________________________\n(сфера (область) деятельности уполномоченного органа)\nпо состоянию на 31 декабря ___________________________________г. (предшествующий календарный год)\n──────────────────────────────\n1 Значение определяется на основании данных, содержащихся в выписке из реестра значимых объектов критической информационной инфраструктуры по состоянию на отчетную дату, полученной уполномоченным органом от Федеральной службы по техническому и экспортному контролю в установленном порядке. 2 Указывается сумма значений, содержащихся в графе \"Количество значимых объектов критической информационной инфраструктуры, сведения о которых содержатся в актуальной редакции плана перехода\" раздела 1 \"Сведения о планах перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\" реестра планов перехода в соответствующей сфере (области) деятельности по состоянию на отчетную дату. 3 Указываются суммы соответственно плановых и фактических значений, указанных в позициях \"Количество доверенных программно-аппаратных комплексов, штук\" раздела 2 \"Сведения о программно-аппаратных комплексах, содержащиеся в планах перехода и отчетах о реализации планов перехода за соответствующий календарный год\" реестра планов перехода в соответствующей сфере (области) деятельности по состоянию на отчетную дату. 4 Указываются суммы соответственно плановых и фактических значений, указанных в позициях \"Общее количество программно-аппаратных комплексов, штук\" раздела 2 \"Сведения о программно-аппаратных комплексах, содержащиеся в планах перехода и отчетах о реализации планов перехода за соответствующий календарный год\" реестра планов перехода в соответствующей сфере (области) деятельности по состоянию на отчетную дату. 5 Плановые и фактические значения долей доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры, функционирующими в соответствующей сфере (области), на принадлежащих им значимых объектах критической информационной инфраструктуры, по состоянию на отчетную дату определяются как отношения плановых и фактических значений из позиции 5 настоящей выписки соответственно к плановым и фактическим значениям из позиции 6 настоящей выписки, выраженные в процентах. 6 Указывается сумма значений, содержащихся на пересечении позиций \"Прогнозный объем затрат субъекта критической информационной инфраструктуры на реализацию плана перехода, млн. рублей\" и графы \"Значение показателя за 2025 - 2029 годы\" раздела 2 \"Сведения о программно-аппаратных комплексах, содержащиеся в планах перехода и отчетах о реализации планов перехода за соответствующий календарный год\" реестра планов перехода в соответствующей сфере (области) деятельности. ──────────────────────────────\nПРИЛОЖЕНИЕ N 7 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nОТЧЕТ\nо ходе реализации плана организации перехода субъектов критической\nинформационной инфраструктуры Российской Федерации на преимущественное\nприменение доверенных программно-аппаратных комплексов на принадлежащих\nим значимых объектах критической информационной инфраструктуры\nРоссийской Федерации\nв________________________________за___________________________________год\n(сфера (область) деятельности       (предшествующий календарный год)\nуполномоченного органа)\nРаздел 1. Прогнозные и фактические доли доверенных программно-аппаратных\nкомплексов в общем количестве программно-аппаратных комплексов,\nприменяемых субъектами критической информационной инфраструктуры\nРоссийской Федерации на принадлежащих им значимых объектах критической\nинформационной инфраструктуры Российской Федерации\nРаздел 2. Сведения о причинах недостижения прогнозных долей доверенных\nпрограммно-аппаратных комплексов в общем количестве программно-аппаратных\nкомплексов, применяемых субъектами критической информационной\nинфраструктуры Российской Федерации на принадлежащих им значимых объектах\nкритической информационной инфраструктуры Российской Федерации(5)\n_________________________________________________________________________. (описание причин недостижения прогнозных долей доверенных\nпрограммно-аппаратных комплексов в общем количестве программно-аппаратных\nкомплексов, применяемых субъектами критической информационной\nинфраструктуры Российской Федерации на принадлежащих им значимых объектах\nкритической информационной инфраструктуры Российской Федерации,\nс предложениями по порядку дальнейшей работы)\n──────────────────────────────\n1 Указывается предшествующий (отчетный) календарный год. 2 Указываются фактические значения количества доверенных программно-аппаратных комплексов и общего количества программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) на принадлежащих им значимых объектах критической информационной инфраструктуры, функционирующими в сфере (области) деятельности уполномоченного органа, на отчетную дату. При этом упомянутые фактические значения определяются как суммы фактических значений по соответствующим позициям и графам всех отчетов о ходе реализации планов перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры за предшествующий календарный год (в части субъектов критической информационной инфраструктуры, функционирующих в сфере (области) деятельности уполномоченного органа). 3 Указываются прогнозные доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, предусмотренные разделом 2 \"Оценочные, прогнозные и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры\" плана организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры, для каждого типа программно-аппаратных комплексов и для позиции \"Итого по всем типам программно-аппаратных комплексов\" по состоянию на соответствующую дату. 4 Указываются фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, по состоянию на отчетную дату для каждого типа программно-аппаратных комплексов и для позиции \"Итого по всем типам программно-аппаратных комплексов\", которые определяются как отношение фактических значений количества доверенных программно-аппаратных комплексов к общему количеству программно-аппаратных комплексов по соответствующим позициям. 5 Раздел заполняется в случае недостижения прогнозных долей доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, хотя бы по одному типу программно-аппаратных комплексов. ──────────────────────────────\nПРИЛОЖЕНИЕ N 8 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nСВОДНАЯ ВЫПИСКА\nиз реестров планов перехода субъектов критической информационной\nинфраструктуры Российской Федерации на преимущественное применение\nдоверенных программно-аппаратных комплексов на принадлежащих им значимых\nобъектах критической информационной инфраструктуры Российской Федерации\nпо состоянию на 31 декабря_________________________________г. (предшествующий календарный год)\n──────────────────────────────\n1 Значения показателей в позициях 1 - 6 и 8 сводной выписки из реестров планов перехода по состоянию на отчетную дату определяются как суммы соответствующих значений, приведенных в позициях 1 - 6 и 8 выписок из реестров планов перехода во всех сферах (областях) деятельности по состоянию на отчетную дату. Значения показателей в позиции 7 сводной выписки из реестров планов перехода по состоянию на отчетную дату определяются как отношения плановых и фактических значений из позиции 5 сводной выписки из реестров планов перехода соответственно к плановым и фактическим значениям из позиции 6 сводной выписки из реестров планов перехода, выраженные в процентах. ──────────────────────────────\nПРИЛОЖЕНИЕ N 9 к Правилам перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\n(форма)\nСВОДНЫЙ ОТЧЕТ\nо ходе реализации планов организации перехода субъектов критической информационной инфраструктуры\nРоссийской Федерации на преимущественное применение доверенных программно-аппаратных комплексов\nна принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\nза ______________________________________________________год\n(предшествующий календарный год)\nРаздел 1. Прогнозные и фактические доли доверенных программно-аппаратных комплексов\nв общем количестве программно-аппаратных комплексов, применяемых субъектами критической\nинформационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах\nкритической информационной инфраструктуры Российской Федерации\nРаздел 2. Сведения о причинах недостижения прогнозных долей доверенных программно-аппаратных\nкомплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами\nкритической информационной инфраструктуры Российской Федерации на принадлежащих им значимых\nобъектах критической информационной инфраструктуры Российской Федерации(3)\n___________________________________________________________________________________________________. (описание причин недостижения прогнозных долей доверенных программно-аппаратных комплексов в общем\nколичестве программно-аппаратных комплексов, применяемых субъектами критической информационной\nинфраструктуры Российской Федерации на принадлежащих им значимых объектах критической\nинформационной инфраструктуры Российской Федерации, с предложениями по порядку дальнейшей работы)\n──────────────────────────────\n1 Указывается предшествующий (отчетный) календарный год. 2 Для позиций, содержащих прогнозные и фактические значения показателей по сферам (областям) деятельности, указываются прогнозные и фактические значения, приведенные в позиции \"Итого по всем типам программно-аппаратных комплексов\" раздела 1 \"Прогнозные и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\" всех отчетов о ходе реализации планов организации перехода субъектов критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствующей сфере (области) деятельности за предшествующий (отчетный) календарный год. Для позиций, содержащих прогнозные и фактические значения показателей по типам программно-аппаратных комплексов, указываются прогнозные и фактические значения, приведенные в соответствующих позициях раздела 1 \"Прогнозные и фактические доли доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации\" всех отчетов о ходе реализации планов организации перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры в соответствующей сфере (области) деятельности за предшествующий (отчетный) календарный год. Для позиции \"Итого по всем сферам (областям) деятельности\": фактическое значение в графе \"Количество доверенных программно-аппаратных комплексов, штук\" определяется как сумма значений количества доверенных программно-аппаратных комплексов, применяемых во всех сферах (областях) деятельности; фактическое значение в графе \"Общее количество программно-аппаратных комплексов, штук\" определяется как сумма значений количества программно-аппаратных комплексов, применяемых во всех сферах (областях) деятельности; фактическое значение в графе \"Доля доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, процентов\" определяется как отношение фактического значения в графе \"Количество доверенных программно-аппаратных комплексов, штук\" к фактическому значению в графе \"Общее количество программно-аппаратных комплексов, штук\", выраженное в процентах (прогнозное значение не определяется). 3 Раздел заполняется в случае недостижения прогнозных долей доверенных программно-аппаратных комплексов в общем количестве программно-аппаратных комплексов, применяемых субъектами критической информационной инфраструктуры на принадлежащих им значимых объектах критической информационной инфраструктуры, хотя бы в одной сфере (области) деятельности.", "25.12.2017 № 239": "Приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 \"Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Зарегистрировано в Минюсте РФ 26 марта 2018 г. Регистрационный N 50524\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г. N 239\nТребования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и направлены на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - значимые объекты, критическая информационная инфраструктура) при проведении в отношении них компьютерных атак. 2. Действие настоящих Требований распространяется на информационные системы, автоматизированные системы управления, информационно-телекоммуникационные сети, которые отнесены к значимым объектам критической информационной инфраструктуры в соответствии со статьей 7 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам. 4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне. 5. Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257). Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 \"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17\" (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933). 6. Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов\n7. Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации, при которой изменяется архитектура значимого объекта, в том числе подсистема его безопасности, в соответствии с отдельным техническим заданием на модернизацию значимого объекта и (или) техническим заданием (частным техническим заданием) на модернизацию подсистемы безопасности значимого объекта (далее - модернизация), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла. 8. На стадиях (этапах) жизненного цикла в ходе создания (модернизации), эксплуатации и вывода из эксплуатации значимого объекта проводятся:\nа) установление требований к обеспечению безопасности значимого объекта;\nб) разработка организационных и технических мер по обеспечению безопасности значимого объекта;\nв) внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;\nг) обеспечение безопасности значимого объекта в ходе его эксплуатации;\nд) обеспечение безопасности значимого объекта при выводе его из эксплуатации. Результаты реализации мероприятий, проводимых для обеспечения безопасности значимого объекта на стадиях (этапах) его жизненного цикла, подлежат документированию. Состав и формы документов определяются субъектом критической информационной инфраструктуры. 9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов. Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов. Установление требований к обеспечению безопасности значимого объекта\n10. Задание требований к обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, устанавливающим требования к обеспечению безопасности значимых объектов, в соответствии с категорией значимости значимого объекта, определенной в порядке, установленном Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 \"Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2018, N 8, ст. 1204). Требования к обеспечению безопасности включаются в техническое задание на создание значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, которые должны содержать:\nа) цель и задачи обеспечения безопасности значимого объекта или подсистемы безопасности значимого объекта;\nб) категорию значимости значимого объекта;\nв) перечень нормативных правовых актов, методических документов и национальных стандартов, которым должен соответствовать значимый объект;\nг) перечень типов объектов защиты значимого объекта;\nд) требования к организационным и техническим мерам, применяемым для обеспечения безопасности значимого объекта;\nе) стадии (этапы работ) создания подсистемы безопасности значимого объекта;\nж) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;\nз) требования к защите средств и систем, обеспечивающих функционирование значимого объекта (обеспечивающей инфраструктуре);\nи) требования к информационному взаимодействию значимого объекта с иными объектами критической информационной инфраструктуры, а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями;\nк) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта. В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - организационно-распорядительные документы по безопасности значимых объектов). Разработка организационных и технических мер по обеспечению безопасности значимого объекта\n11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, привлекаемым в соответствии с законодательством Российской Федерации к проведению работ по созданию (модернизации) значимого объекта и (или) обеспечению его безопасности, в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта и должна включать:\nа) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);\nб) проектирование подсистемы безопасности значимого объекта;\nв) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности). Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. 11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее - архитектура значимого объекта), а также особенностей функционирования значимого объекта. Анализ угроз безопасности информации должен включать:\nа) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз безопасности информации. В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198) (далее - банк данных угроз безопасности информации ФСТЭК России), а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации. По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры значимого объекта и организационно-распорядительных документов по безопасности значимых объектов, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта. Описание каждой угрозы безопасности информации должно включать:\nа) источник угрозы безопасности информации;\nб) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;\nв) возможные способы (сценарии) реализации угрозы безопасности информации;\nг) возможные последствия от реализации (возникновения) угрозы безопасности информации. Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 11.2. Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта. При проектировании подсистемы безопасности значимого объекта:\nа) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;\nб) определяются политики управления доступом (дискреционная, мандатная, ролевая, комбинированная);\nв) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности значимого объекта;\nг) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности значимого объекта;\nд) осуществляется выбор средств защиты информации и (или) их разработка с учетом категории значимости значимого объекта, совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;\nе) разрабатывается архитектура подсистемы безопасности значимого объекта, включающая состав, места установки, взаимосвязи средств защиты информации;\nж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей значимого объекта;\nз) определяются меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. В случае если в ходе проектирования подсистемы безопасности значимого объекта предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, такая разработка проводится в соответствии со стандартами безопасной разработки программного обеспечения. Результаты проектирования подсистемы безопасности значимого объекта отражаются в проектной документации на значимый объект (подсистему безопасности значимого объекта), разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. В процессе проектирования значимого объекта его категория значимости может быть уточнена. В целях тестирования подсистемы безопасности значимого объекта в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:\nобеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;\nпрактическую отработку выполнения средствами защиты информации функций безопасности, а также выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований;\nисключение влияния подсистемы безопасности на функционирование значимого объекта. Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации. При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г. N 101 (зарегистрирован Минюстом России 31 мая 2017 г., регистрационный N 46915), а также иных нормативных правовых актов федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи. 11.3. Разработка рабочей (эксплуатационной) документации на значимый объект осуществляется в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта на основе проектной документации. Рабочая (эксплуатационная) документация на значимый объект должна содержать:\nописание архитектуры подсистемы безопасности значимого объекта;\nпорядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;\nправила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие\n12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:\nа) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;\nб) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;\nв) внедрение организационных мер по обеспечению безопасности значимого объекта;\nг) предварительные испытания значимого объекта и его подсистемы безопасности;\nд) опытную эксплуатацию значимого объекта и его подсистемы безопасности;\nе) анализ уязвимостей значимого объекта и принятие мер по их устранению;\nж) приемочные испытания значимого объекта и его подсистемы безопасности. По решению субъекта критической информационной инфраструктуры к разработке и внедрению организационных и технических мер по обеспечению безопасности значимого объекта может привлекаться лицо, эксплуатирующее (планирующее эксплуатировать) значимый объект. 12.1. Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, а также в соответствии с эксплуатационной документацией на отдельные средства защиты информации. При установке и настройке средств защиты информации должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации, в случае их наличия в эксплуатационной документации. 12.2. Разрабатываемые организационно-распорядительные документы по безопасности значимого объекта должны определять правила и процедуры реализации отдельных организационных и (или) технических мер (политик безопасности), разработанных и внедренных в рамках подсистемы безопасности значимого объекта в соответствии с главой III настоящих Требований. Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 12.3. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются:\nа) организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи;\nб) реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;\nв) проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер;\nг) определение администратора безопасности значимого объекта;\nд) отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. 12.4. Предварительные испытания значимого объекта и его подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности значимого объекта и отдельных средств защиты информации, оценку выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований, оценку влияния подсистемы безопасности на функционирование значимого объекта при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации значимого объекта и его подсистемы безопасности. 12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности. 12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления:\nа) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;\nб) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;\nв) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;\nг) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;\nд) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта. Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта. Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. 12.7. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий (испытаний), в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности настоящим Требованиям, а также требованиям технического задания на создание значимого объекта и (или) технического задания (частного технического задания) на создание подсистемы безопасности значимого объекта. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию. В случае если значимый объект является государственной информационной системой, в иных случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры, оценка значимого объекта и его подсистемы безопасности проводится в форме аттестации значимого объекта в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17. Ввод в эксплуатацию значимого объекта и его подсистемы безопасности осуществляется при положительном заключении (выводе) в акте приемки (или в аттестате соответствия) о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Обеспечение безопасности значимого объекта в ходе его эксплуатации\n13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:\nа) планирование мероприятий по обеспечению безопасности значимого объекта;\nб) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;\nв) управление (администрирование) подсистемой безопасности значимого объекта;\nг) управление конфигурацией значимого объекта и его подсистемой безопасности;\nд) реагирование на компьютерные инциденты в ходе эксплуатации значимого объекта;\nе) обеспечение действий в нештатных ситуациях в ходе эксплуатации значимого объекта;\nж) информирование и обучение персонала значимого объекта;\nз) контроль за обеспечением безопасности значимого объекта. 13.1. В ходе планирования мероприятий по обеспечению безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности значимого объекта;\nб) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности значимого объекта;\nв) определения порядка контроля выполнения мероприятий по обеспечению безопасности значимого объекта, предусмотренных утвержденным планом. Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:\nа) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;\nб) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;\nв) оценка возможных последствий реализации угроз безопасности информации в значимом объекте. Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования. 13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за управление (администрирование) подсистемой безопасности значимого объекта;\nб) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в значимом объекте;\nв) управление средствами защиты информации значимого объекта;\nг) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;\nд) централизованное управление подсистемой безопасности значимого объекта (при необходимости);\nе) мониторинг и анализ зарегистрированных событий в значимом объекте, связанных с обеспечением безопасности (далее - события безопасности);\nж) сопровождение функционирования подсистемы безопасности значимого объекта в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта. 13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:\nа) определение лиц, которым разрешены действия по внесению изменений в конфигурацию значимого объекта и его подсистемы безопасности, и их полномочий;\nб) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, и их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;\nв) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;\nг) контроль действий по внесению изменений в значимый объект и его подсистему безопасности. Реализованные процессы управления изменениями значимого объекта и его подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, значимого объекта. 13.5. Реагирование на компьютерные инциденты осуществляется в порядке, установленном в соответствии с пунктом 6 части 4 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. 13.6. Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются:\nа) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций;\nб) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций;\nв) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;\nг) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;\nд) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций;\nе) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения. 13.7. В ходе информирования и обучения персонала значимого объекта осуществляются:\nа) информирование персонала об угрозах безопасности информации, о правилах безопасной эксплуатации значимого объекта;\nб) доведение до персонала требований по обеспечению безопасности значимых объектов, а также положений организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся;\nв) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;\nг) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности критической информационной инфраструктуры. Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:\nа) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;\nб) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;\nв) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта;\nг) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности. Обеспечение безопасности значимого объекта при выводе его из эксплуатации\n14. Обеспечение безопасности значимого объекта при выводе его из эксплуатации или после принятия решения об окончании обработки информации осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией на значимый объект и организационно-распорядительными документами по безопасности значимого объекта. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать:\nа) архивирование информации, содержащейся в значимом объекте;\nб) уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;\nв) уничтожение или архивирование данных об архитектуре и конфигурации значимого объекта;\nг) архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. 14.1. Архивирование информации, содержащейся в значимом объекте, должно осуществляться в случае ее дальнейшего использования в деятельности субъекта критической информационной инфраструктуры. 14.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации осуществляется в случае обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения субъектом критической информационной инфраструктуры. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта. 14.3. При выводе значимого объекта из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация о субъектах доступа и объектах доступа, удалены учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа. 14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению. Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта. По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены. В этом случае факт уничтожения подлежит документированию субъектом критической информационной инфраструктуры с указанием наименования, состава документов, способов и даты их уничтожения. III. Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности значимых объектов\n15. Целью обеспечения безопасности значимого объекта является обеспечение его устойчивого функционирования в проектных режимах работы в условиях реализации в отношении значимого объекта угроз безопасности информации. 16. Задачами обеспечения безопасности значимого объекта являются:\nа) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nб) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта;\nв) обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации;\nг) обеспечение возможности восстановления функционирования значимого объекта критической информационной инфраструктуры. 17. В значимых объектах объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:\nа) в информационных системах:\nинформация, обрабатываемая в информационной системе;\nпрограммно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация информационной системы;\nб) в информационно-телекоммуникационных сетях:\nинформация, передаваемая по линиям связи;\nтелекоммуникационное оборудование (в том числе программное обеспечение, система управления);\nсредства защиты информации;\nархитектура и конфигурация информационно-телекоммуникационной сети;\nв) в автоматизированных системах управления:\nинформация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (в том числе входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);\nпрограммно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация автоматизированной системы управления. 18. Обеспечение безопасности значимого объекта достигается путем принятия в рамках подсистемы безопасности значимого объекта совокупности организационных и технических мер, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования значимого объекта и обеспечивающего (управляемого, контролируемого) им процесса, а также нарушению безопасности обрабатываемой информации (нарушению доступности, целостности, конфиденциальности информации). Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации. 19. Меры по обеспечению безопасности выбираются и реализуются в значимом объекте с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации. 20. Меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры самостоятельно или при необходимости с привлечением в соответствии с законодательством Российской Федерации организаций, имеющих в зависимости от информации, обрабатываемой значимым объектом, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации\n21. Принимаемые организационные и технические меры по обеспечению безопасности значимого объекта должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности значимого объекта и обеспечивающего (управляемого, контролируемого) объекта или процесса. При этом меры по обеспечению безопасности значимого объекта не должны оказывать отрицательного влияния на функционирование значимого объекта в проектных режимах его работы. 22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации должны быть реализованы следующие организационные и технические меры:\nидентификация и аутентификация (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащита машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусная защита (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащита технических средств и систем (ЗТС);\nзащита информационной (автоматизированной) системы и ее компонентов (ЗИС);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nреагирование на инциденты информационной безопасности (ИНЦ);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер по обеспечению безопасности значимых объектов в зависимости от категории значимости приведен в приложении к настоящим Требованиям. При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 23. Выбор мер по обеспечению безопасности значимых объектов для их реализации включает:\nа) определение базового набора мер по обеспечению безопасности значимого объекта;\nб) адаптацию базового набора мер по обеспечению безопасности значимого объекта;\nв) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации. Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям. Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта. При этом из базового набора могут быть исключены меры, непосредственно связанные с информационными технологиями, не используемыми в значимом объекте, или характеристиками, не свойственными значимому объекту. При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям. Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. Дополнение адаптированного набора мер проводится в случае, если в отношении значимого объекта в соответствии с законодательством Российской Федерации также установлены требования о защите информации, содержащейся в государственных информационных системах, требования к защите персональных данных при их обработке в информационных системах персональных данных, требования к криптографической защите информации или иные требования в области защиты информации и обеспечения безопасности критической информационной инфраструктуры. 24. В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (по обеспечению персональных данных) принимаются в соответствии с более высокой категорией значимости, классом защищенности или уровнем защищенности персональных данных. 25. Если принятые в значимом объекте меры по обеспечению промышленной, функциональной безопасности и (или) физической безопасности достаточны для блокирования (нейтрализации) отдельных угроз безопасности информации, дополнительные меры, выбранные в соответствии с пунктами 22 и 23 настоящих Требований, могут не применяться. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должна быть обоснована достаточность применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации. 26. При отсутствии возможности реализации отдельных мер по обеспечению безопасности и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе вследствие их негативного влияния на функционирование значимого объекта в проектных режимах значимого объекта, должны быть разработаны и внедрены компенсирующие меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должно быть обосновано применение компенсирующих мер, а при приемочных испытаниях (аттестации) оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации. В качестве компенсирующих мер могут быть рассмотрены меры по обеспечению промышленной, функциональной и (или) физической безопасности значимого объекта, поддерживающие необходимый уровень его защищенности. 26.1. При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований. IV. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов\n27. Технические меры по обеспечению безопасности в значимом объекте реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов - средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение), а также обеспечения безопасности программного обеспечения и программно-аппаратных средств, применяемых в значимых объектах. При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов (при их наличии). 28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. Абзац утратил силу с 1 января 2023 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\n29. В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации:\nа) в значимых объектах 1 категории применяются средства защиты информации не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nб) в значимых объектах 2 категории применяются средства защиты информации не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nв) в значимых объектах 3 категории применяются средства защиты информации 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия. Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. При использовании в значимом объекте средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности). Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов. Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов. 29.2. Средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, должны соответствовать требованиям к функциям безопасности, установленным в соответствии с подпунктом \"ж\" пункта 10 настоящих Требований. Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия. Испытания (приемка) средств защиты информации на соответствие требованиям к уровню доверия и требованиям к функциям безопасности проводятся на этапе предварительных испытаний в соответствии с пунктом 12.4 настоящих Требований. Испытания (приемка) проводятся отдельно или в составе значимого объекта. Программа и методики испытаний (приемки) утверждаются субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В случае проведения испытаний иным лицом, программа и методики испытаний (приемки) утверждаются этим лицом по согласованию с субъектом критической информационной инфраструктуры. По результатам испытаний (приемки) средства защиты информации оформляется протокол испытаний, в котором указываются:\nдата и место проведения испытаний (приемки);\nописание испытываемого средства защиты информации;\nописание проведенных испытаний;\nрезультаты испытаний по каждому испытываемому параметру (характеристике);\nвыводы о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации. Протокол испытаний утверждается субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В ином случае протокол испытаний утверждается лицом, проводившим испытания, и представляется субъекту критической информационной инфраструктуры на этапе приемочных испытаний для принятия решения о возможности применения средства защиты информации в значимом объекте. Испытания (приемка), предусмотренные настоящим пунктом, проводятся в отношении средств защиты информации, планируемых к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимых объектов. 29.3. Прикладное программное обеспечение, планируемое к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимого объекта и обеспечивающее выполнение его функций по назначению (далее - программное обеспечение), должно соответствовать следующим требованиям по безопасности:\n29.3.1. Требования по безопасной разработке программного обеспечения:\nналичие руководства по безопасной разработке программного обеспечения;\nпроведение анализа угроз безопасности информации программного обеспечения;\nналичие описания структуры программного обеспечения на уровне подсистем и результатов сопоставления функций программного обеспечения и интерфейсов, описанных в функциональной спецификации, с его подсистемами (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.2. Требования к испытаниям по выявлению уязвимостей в программном обеспечении:\nпроведение статического анализа исходного кода программы;\nпроведение фаззинг-тестирования программы, направленного на выявление в ней уязвимостей;\nпроведение динамического анализа кода программы (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.3. Требования к поддержке безопасности программного обеспечения:\nналичие процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения;\nопределение способов и сроков доведения разработчиком (производителем) программного обеспечения до его пользователей информации об уязвимостях программного обеспечения, о компенсирующих мерах по защите информации или ограничениях по применению программного обеспечения, способов получения пользователями программного обеспечения его обновлений, проверки их целостности и подлинности;\nналичие процедур информирования субъекта критической информационной инфраструктуры об окончании производства и (или) поддержки программного обеспечения (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.4. Выполнение требований по безопасности, указанных в подпунктах 29.3.1 - 29.3.3 пункта 29.3 настоящих Требований, оценивается лицом, выполняющим работы по созданию (модернизации, реконструкции или ремонту) значимого объекта и (или) обеспечению его безопасности, на этапе проектирования значимого объекта на основе результатов анализа материалов и документов, представляемых разработчиком (производителем) программного обеспечения в соответствии с техническим заданием (частным техническим заданием), разрабатываемым в соответствии с пунктом 10 настоящих Требований. Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.\". 30. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией. 31. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны быть обеспечены гарантийной и (или) технической поддержкой. При выборе программных и программно-аппаратных средств, в том числе средств защиты информации, необходимо учитывать наличие ограничений на возможность их применения субъектом критической информационной инфраструктуры на любом из принадлежащих ему значимых объектов критической информационной инфраструктуры со стороны разработчиков (производителей) или иных лиц. В значимом объекте не допускаются:\nналичие удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, а также работниками его дочерних и зависимых обществ;\nналичие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, его дочерних и зависимых обществ;\nпередача информации, в том числе технологической информации, разработчику (производителю) программных и программно-аппаратных средств, в том числе средств защиты информации, или иным лицам без контроля со стороны субъекта критической информационной инфраструктуры. В случае технической невозможности исключения удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в значимом объекте принимаются организационные и технические меры по обеспечению безопасности такого доступа, предусматривающие:\nопределение лиц и устройств, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, предоставление им минимальных полномочий при доступе к этим средствам;\nконтроль доступа к программным и программно-аппаратным средствам значимого объекта;\nзащиту информации и данных при их передаче по каналам связи при удаленном доступе к программным и программно-аппаратным средствам значимого объекта;\nмониторинг и регистрацию действий лиц, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, а также инициируемых ими процессов, анализ этих действий в целях выявления фактов неправомерных действий;\nобеспечение невозможности отказа лиц от выполненных действий при осуществлении удаленного доступа к программным и программно-аппаратным средствам значимого объекта. В значимом объекте могут приниматься дополнительные организационные и технические меры по обеспечению безопасности удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, направленные на блокирование (нейтрализацию) угроз безопасности информации, приведенных в модели угроз безопасности информации, разрабатываемой в соответствии с пунктом 11.1 настоящих Требований. Входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации). 32. Утратил силу с 25 сентября 2020 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\nПриложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 25 декабря 2017 г. N 239\nСостав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости\n\"+\" - мера обеспечения безопасности включена в базовый набор мер для соответствующей категории значимого объекта. Меры обеспечения безопасности, не обозначенные знаком \"+\", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер в значимом объекте критической информационной инфраструктуры соответствующей категории значимости.", "02.06.2020 № 76": "УТВЕРЖДЕНЫ\nприказом ФСТЭК России\nот 2 июня 2020 г. № 76\nТребования по безопасности информации, устанавливающие уровни доверия к\nсредствам технической защиты информации и средствам обеспечения\nбезопасности информационных технологий\n(выписка)\nI. Общие положения\n1. Настоящие Требования являются обязательными требованиями в области\nтехнического регулирования к продукции (работам, услугам), используемой в целях\nзащиты  сведений,  составляющих  государственную  тайну  или  относимых  к\nохраняемой  в  соответствии  с  законодательством  Российской  Федерации  иной\nинформации  ограниченного  доступа  (далее  –  требования  по  безопасности\nинформации), применяются к программным и программно-техническим средствам\nтехнической  защиты  информации,\nсредствам  обеспечения  безопасности\nинформационных  технологий,  включая  защищенные  средства  обработки\nинформации  (далее  – средства),  и  устанавливают  уровни,  характеризующие\nбезопасность  применения  средств  для  обработки  и  защиты  информации,\nсодержащей сведения, составляющие государственную  тайну, иной информации\nограниченного доступа, а также для обеспечения безопасности значимых объектов\nкритической  информационной  инфраструктуры  Российской  Федерации  (далее  –\nуровни доверия). 2. Настоящие  Требования  разработаны  в  соответствии  с  постановлением\nПравительства Российской Федерации от 26 июня 1995 г. № 608 «О сертификации\nсредств защиты информации» (Собрание законодательства Российской Федерации,\n1995,  № 27,  ст. 2579;  2010,  № 18,  ст. 2238),  постановлением  Правительства\nРоссийской  Федерации  от  15  мая  2010  г. № 330  «Об  особенностях  оценки\nсоответствия продукции (работ, услуг), используемой в целях защиты сведений,\nотносимых  к  охраняемой  в  соответствии  с  законодательством  Российской\nФедерации  информации  ограниченного  доступа,  не  содержащей  сведения,\nсоставляющие  государственную  тайну,  а  также  процессов  ее  проектирования\n(включая  изыскания),  производства,  строительства,  монтажа,  наладки,\nэксплуатации,  хранения,  перевозки,  реализации,  утилизации  и  захоронения»,\nприказом ФСТЭК России от 3 апреля 2018 г. № 55 «Об утверждении Положения о\nсистеме сертификации средств защиты информации» (зарегистрирован Минюстом\nРоссии 11 мая 2018 г., регистрационный № 51063; официальный интернет-портал\nправовой информации http://www.pravo.gov.ru, 14 мая 2018 г.). 3. Выполнение настоящих Требований является обязательным при проведении\nработ  по  оценке  соответствия  (включая  работы  по  сертификации) средств\nтехнической  защиты  информации  и  средств\nобеспечения  безопасности\n2\nинформационных  технологий,  организуемых  ФСТЭК  России  в  пределах  своих\nполномочий в соответствии с Положением о системе сертификации средств защиты\nинформации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. № 55 «Об\nутверждении Положения о системе сертификации средств защиты информации». II. Общие требования по безопасности информации\n4. Для дифференциации требований по безопасности информации к средствам\nустанавливается  6  уровней  доверия. Самый  низкий  уровень  –  шестой,  самый\nвысокий – первый. Средства,  соответствующие  6  уровню  доверия,  применяются  в  значимых\nобъектах  критической  информационной  инфраструктуры  3  категории1,  в\nгосударственных  информационных  системах  3  класса  защищенности**,  в\nавтоматизированных системах управления производственными и технологическими\nпроцессами 3 класса защищенности***, в информационных системах персональных\nданных при необходимости обеспечения 3 и 4 уровня защищенности персональных\nданных****. Средства,  соответствующие  5  уровню  доверия,  применяются  в  значимых\nобъектах  критической  информационной  инфраструктуры  2  категории*,  в\nгосударственных  информационных  системах  2  класса  защищенности**,  в\nавтоматизированных системах управления производственными и технологическими\nпроцессами 2 класса защищенности***, в информационных системах персональных\nданных  при необходимости  обеспечения  2 уровня  защищенности персональных\nданных****. Средства,  соответствующие  4  уровню  доверия,  применяются  в  значимых\nобъектах  критической  информационной  инфраструктуры  1  категории*,  в\nгосударственных  информационных  системах  1  класса  защищенности**,  в\nавтоматизированных системах управления производственными и технологическими\nпроцессами 1 класса защищенности***, в информационных системах персональных\n1 Cтатья 7 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры\nРоссийской  Федерации»  (Собрание  законодательства  Российской  Федерации,  2017,  № 31,  ст. 4736), Правила  категорирования\nобъектов  критической  информационной  инфраструктуры  Российской  Федерации,  а  также  перечень  показателей  критериев\nзначимости  объектов  критической  информационной  инфраструктуры  Российской  Федерации,  утвержденные  постановлением\nПравительства Российской Федерации от 8 февраля 2018 г. № 127 (Собрание законодательства Российской Федерации, 2018, № 8,\nст. 1204; 2019, № 16, ст. 1955). **** Требования  о  защите  информации,  не  составляющей  государственную  тайну,  содержащейся  в  государственных\nинформационных  системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом\nРоссии 31 мая 2013 г., регистрационный № 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. № 27 (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный № 45933) и приказом ФСТЭК России от 28 мая 2019\nг. № 106 (зарегистрирован Минюстом России 13 сентября 2019 г., регистрационный № 55924). ****** Требования  к  обеспечению  защиты  информации  в  автоматизированных  системах  управления  производственными  и\nтехнологическими  процессами  на  критически  важных  объектах,  потенциально  опасных  объектах,  а  также  объектах,\nпредставляющих  повышенную  опасность для жизни и здоровья  людей и для окружающей природной среды, утвержденные\nприказом ФСТЭК  России  от 14 марта 2014 г. № 31 (зарегистрирован  Минюстом  России 30 июня  2014 г., регистрационный\n№ 32919) (с изменениями, внесенными приказом ФСТЭК России от 23 марта 2017 г. № 49 (зарегистрирован Минюстом России\n30 июня 2017 г., регистрационный № 32919) и приказом ФСТЭК России от 9 августа 2018 г. № 138 (зарегистрирован Минюстом\nРоссии 5 сентября 2018 г., регистрационный № 52071). ******** Требования  к защите  персональных  данных  при  их  обработке  в информационных  системах  персональных  данных,\nутвержденные  постановлением  Правительства  Российской  Федерации  от  1 ноября 2012 г. № 1119  (Собрание законодательства\nРоссийской Федерации, 2012, № 45, ст. 6257). 3\nданных  при необходимости  обеспечения  1 уровня  защищенности персональных\nданных****, в информационных системах общего пользования II класса 2*****. 5. При проведении сертификации средства защиты информации должно быть\nподтверждено соответствие средства настоящим Требованиям. Устанавливается  следующее  соответствие  классов  средств  защиты\nинформации и средств вычислительной техники уровням доверия:\nсредства защиты информации 6 класса должны соответствовать 6 уровню\nдоверия;\nсредства защиты информации 5 класса должны соответствовать 5 уровню\nдоверия;\nсредства защиты информации 4 класса и средства вычислительной техники\n5 класса должны соответствовать 4 уровню доверия. 6. Средство  соответствует  уровню  доверия,  если  оно  удовлетворяет\nтребованиям  к  разработке  и  производству  средства,  проведению  испытаний\nсредства, поддержке безопасности средства, приведенным в таблице 1. Таблица 1\n№\nп/п\nНаименование требования к уровню доверия\nУровень доверия\n6\n5\n4\n1. Требования к разработке и производству средства:\n1.1. требования к разработке модели безопасности\nсредства\n+\n1.2. требования к проектированию архитектуры\nбезопасности средства\n+\n=\n=\n1.3. требования к разработке функциональной\nспецификации средства\n+\n+\n+\n1.4. требования к проектированию средства\n+\n=\n=\n1.5. требования к разработке проектной (программной)\n+\n+\n+\n2* Cтатья 7 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры\nРоссийской  Федерации»  (Собрание  законодательства  Российской  Федерации,  2017,  № 31,  ст. 4736), Правила  категорирования\nобъектов  критической  информационной  инфраструктуры  Российской  Федерации,  а  также  перечень  показателей  критериев\nзначимости  объектов  критической  информационной  инфраструктуры  Российской  Федерации,  утвержденные  постановлением\nПравительства Российской Федерации от 8 февраля 2018 г. № 127 (Собрание законодательства Российской Федерации, 2018, № 8,\nст. 1204; 2019, № 16, ст. 1955). ** Требования  о  защите  информации,  не  составляющей  государственную  тайну,  содержащейся  в  государственных\nинформационных  системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. № 17 (зарегистрирован Минюстом\nРоссии 31 мая 2013 г., регистрационный № 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. № 27 (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный № 45933) и приказом ФСТЭК России от 28 мая 2019\nг. № 106 (зарегистрирован Минюстом России 13 сентября 2019 г., регистрационный № 55924). *** Требования  к  обеспечению  защиты  информации  в  автоматизированных  системах  управления  производственными  и\nтехнологическими  процессами  на  критически  важных  объектах,  потенциально  опасных  объектах,  а  также  объектах,\nпредставляющих  повышенную  опасность для жизни и здоровья  людей и для окружающей природной среды, утвержденные\nприказом ФСТЭК  России  от 14 марта 2014 г. № 31 (зарегистрирован  Минюстом  России 30 июня  2014 г., регистрационный\n№ 32919) (с изменениями, внесенными приказом ФСТЭК России от 23 марта 2017 г. № 49 (зарегистрирован Минюстом России\n30 июня 2017 г., регистрационный № 32919) и приказом ФСТЭК России от 9 августа 2018 г. № 138 (зарегистрирован Минюстом\nРоссии 5 сентября 2018 г., регистрационный № 52071). **** Требования  к  защите  персональных  данных  при  их  обработке  в  информационных  системах  персональных  данных,\nутвержденные  постановлением  Правительства  Российской  Федерации  от  1 ноября 2012 г. № 1119  (Собрание законодательства\nРоссийской Федерации, 2012, № 45, ст. 6257). ***** Требования о защите информации, содержащейся в информационных системах общего пользования, утвержденные приказом\nФСБ  России  и  ФСТЭК  России  от  31 августа 2010 г. № 416/489  (зарегистрирован  Минюстом  России  13  октября  2010  г.,\nрегистрационный № 18704). 4\nдокументации\n1.6. требования к средствам разработки, применяемым для\nсоздания средства\n+\n=\n=\n1.7. требования к управлению конфигурацией средства\n+\n+\n+\n1.8. требования к разработке документации по безопасной\nразработке средства\n+\n=\n+\n1.9. требования к разработке эксплуатационной\nдокументации\n+\n=\n=\n2. Требования к проведению испытаний средства:\n2.1. требования к тестированию средства\n+\n+\n+\n2.2. требования к испытаниям по выявлению уязвимостей\nи недекларированных возможностей средства\n+\n+\n+\n2.3. требования к проведению анализа скрытых каналов в\nсредстве\n+\n3. Требования к поддержке безопасности средства:\n3.1. требования к устранению недостатков средства\n+\n+\n+\n3.2. требования к обновлению средства\n+\n+\n+\n3.3. требования к документированию процедур устранения\nнедостатков и обновления средства\n+\n=\n=\n3.4. требования  к  информированию  об  окончании\nпроизводства  и  (или)  поддержки  безопасности\nсредства\n+\n=\n=\nОбозначение «+» в строке требования к уровню доверия указывает на наличие\nтребований, предъявляемых к соответствующему уровню доверия. Обозначение «=» означает, что требования к уровню доверия совпадают с\nтребованиями, предъявляемыми к предыдущему уровню доверия. Отсутствие  обозначения  «+»  или «=» означает,  что  требования  к уровню\nдоверия не предъявляются. III. Требования к разработке и производству средства\n7. При  разработке  средства  разработчиком  должны  быть  выполнены\nпроцедуры, предусматривающие:\n1) разработку модели безопасности средства;\n2) проектирование архитектуры безопасности средства;\n3) разработку функциональной спецификации средства;\n4) проектирование средства;\n5) разработку проектной (программной) документации;\n6) выбор средств разработки, применяемых для создания средства;\n7) управление конфигурацией средства;\n8) разработку документации по безопасной разработке средства;\n9) разработку эксплуатационной документации. 8. К  разработке  модели  безопасности  средства  предъявляются  следующие\nтребования:\n5\n8.1. Требования\nк  разработке\nмодели  безопасности\nсредства,\nсоответствующего 6 и 5 уровням доверия, не предъявляются. 8.2. При  разработке  модели  безопасности  средства,  соответствующего  4\nуровню доверия, должны быть указаны следующие сведения:\nреализуемые  политики  управления  доступом  (для  средств,  в  которых\nпредусмотрена функция разграничения доступа);\nреализуемые политики фильтрации информационных потоков (для средств, в\nкоторых предусмотрена функция фильтрации информационных потоков). Модель безопасности средства, соответствующего 4 уровню доверия, должна\nвключать  описание  условий  безопасности,  выполнение  которых  указывает  на\nреализацию  политик. Выполнение  условий  безопасности  должно  быть  доказано\nформальным (математическим) способом. Для условий безопасности неформально\n(нематематически)  должна  быть  показана  их  взаимосвязь  с  режимами\nфункционирования  средства. Язык  описания  модели  безопасности  должен  быть\nматематическим  или формализованным  (машиночитаемым)  и допускать полную\nнезависимую от разработчика модели проверку корректности её описания, заданных\nв ней условий безопасности, а также всех выполненных в модели доказательств. 9. К  проектированию  архитектуры  безопасности  средства  предъявляются\nследующие требования:\n9.1. Архитектура безопасности средства, соответствующего 6 уровню доверия,\nдолжна обеспечивать:\nневозможность обхода функций безопасности средства;\nзащиту функций безопасности средства от несанкционированного доступа к\nним. На средство должно быть разработано описание архитектуры безопасности\nсредства с обоснованием:\nбезопасности процесса инициализации средства;\nобеспечения собственной защиты средства от несанкционированного доступа;\nневозможности обхода функций безопасности средства. 9.2. Требования  к  проектированию  архитектуры  безопасности  средства,\nсоответствующего  5  и  4  уровням  доверия,  соответствуют  требованиям  к\nпроектированию архитектуры безопасности средства, соответствующего 6 уровню\nдоверия. 10. К  разработке  функциональной  спецификации  средства  предъявляются\nследующие требования:\n10.1. Разработка функциональной спецификации средства, соответствующего\n6 уровню доверия, должна предусматривать:\nразработку  описания  назначения  и  способов  использования  каждого\nинтерфейса функций безопасности;\nидентификацию  параметров,  связанных  с  каждым  интерфейсом  функций\nбезопасности;\nидентификацию  интерфейсов  средства,  не  влияющих  на  функции\nбезопасности средства. 6\nФункциональная спецификация средства должна включать:\nперечень  всех  функций  средства,  включая  функции  безопасности,\nреализуемые программным обеспечением и аппаратной платформой средства;\nописание назначения и способов использования каждого интерфейса функций\nбезопасности и иных функций средства;\nописание  параметров,  связанных  с  каждым  интерфейсом  функций\nбезопасности и иных функций средства;\nперечень интерфейсов, не влияющих на функции безопасности средства. Функциональная  спецификация  аппаратной  платформы  средства  должна\nвключать  описание  назначения  и  способов  использования  каждого  интерфейса\nаппаратной платформы средства. 10.2. При\nразработке\nфункциональной\nспецификации\nсредства,\nсоответствующего  5  уровню  доверия,  наряду  с  требованиями,  установленными\nпунктом 10.1 настоящих Требований, должны быть разработаны и включены в\nспецификацию описания:\nдействий с каждым интерфейсом функций безопасности;\nсообщений  о  возможных  ошибках,  связанных  с  выполнением  функций\nбезопасности. 10.3. При\nразработке\nфункциональной\nспецификации\nсредства,\nсоответствующего  4  уровню  доверия,  наряду  с  требованиями,  установленными\nпунктами 10.1 и 10.2 настоящих Требований, должны быть разработаны и включены\nв спецификацию описания:\nдействий с каждым интерфейсом функций безопасности, не влияющим на\nвыполнение требований, предъявляемых к средству;\nсообщений об ошибках, которые могут возникнуть при выполнении функций\nбезопасности и вызове каждого интерфейса функций безопасности;\nпараметров,  связанных  с  каждым  интерфейсом  функций  безопасности\nаппаратной платформы средства;\nинтерфейсов, не влияющих на функции безопасности аппаратной платформы\nсредства;\nвсех функций безопасности, реализуемых аппаратной платформой средства. 11. К проектированию средства предъявляются следующие требования:\n11.1. Проектирование средства, соответствующего 6 уровню доверия, должно\nпредусматривать:\nопределение  перечня  подсистем,  реализующих  функции  безопасности\nсредства;\nопределение  перечня  подсистем,  поддерживающих  выполнение  функций\nбезопасности;\nопределение  перечня  подсистем,  не  влияющих  на  выполнение  функций\nбезопасности;\nпроектирование подсистем, реализующих функции безопасности средства;\nпроектирование иных подсистем  таким  образом,  чтобы  они не оказывали\nвлияния на выполнение функций безопасности средства;\n7\nопределение  способов  взаимодействия  подсистем,  реализующих  функции\nбезопасности, с иными подсистемами, обеспечивающих невозможность влияния на\nвыполнение функций безопасности средства;\nопределение  и  проектирование  для  каждой  подсистемы,  реализующей\nфункции безопасности, перечня входящих в ее состав модулей, осуществляющих\nвыполнение функций безопасности;\nопределение  способов  взаимодействия  модулей,  осуществляющих\nвыполнение  функций  безопасности,  с  иными  модулями,  обеспечивающих\nневозможность влияния на выполнение функций безопасности средства. 11.2. Требования  к  проектированию  средства,  соответствующего  5  и  4\nуровням  доверия,  соответствуют  требованиям  к  проектированию  средства,\nсоответствующего 6 уровню доверия. 12. К  разработке  проектной  (программной)  документации  средства\nпредъявляются следующие требования:\n12.1. Проектная (программная) документация средства, соответствующего 6\nуровню доверия, должна включать:\nпроект на уровне подсистем средства (эскизный проект);\nпроект на уровне модулей средства (технический проект). Эскизный проект должен включать:\nописание структуры средства на уровне подсистем средства;\nописание всех подсистем средства;\nсопоставление  функций  средства  и  интерфейсов,  описанных  в\nфункциональной спецификации, с подсистемами средства;\nописание взаимодействия подсистем средства между собой. Технический проект должен включать:\nописание структуры средства на уровне модулей;\nописание  всех  модулей  средства  (для  модулей  средства,  реализующих\nфункции безопасности, – описание интерфейсов, возвращаемых ими в ответ на\nзапросы  значений,  взаимодействий  с  другими  модулями  и  вызываемыми\nинтерфейсами этих модулей; для модулей средства, не влияющих на выполнение\nфункций  безопасности,  –  описание  назначения  и  взаимодействия  с  другими\nмодулями);\nсопоставление  подсистем  средства,  описанных  в  эскизном  проекте,  с\nмодулями. Положения  эскизного  и технического  проектов могут быть  объединены  в\nодном документе. Для аппаратной платформы средства должен быть разработан (представлен)\nперечень  аппаратных  устройств  (микросхем),  которые  влияют  на  выполнение\nфункций безопасности  и (или)  могут  быть  использованы для реализации угроз\nбезопасности информации. 12.2. Проектная (программная) документация средства, соответствующего 5\nуровню доверия, наряду с требованиями, установленными пунктом 12.1 настоящих\nТребований, должна включать:\n8\nдля аппаратной платформы средства – структурную и функциональную схемы\nаппаратной платформы средства;\nдля  программного  обеспечения  –  исходные  тексты  программного\nобеспечения, входящего в состав средства, с указанием значений контрольных сумм\nфайлов  с  исходными  текстами  программного  обеспечения,  за  исключением\nпрограммного  обеспечения,  заимствованного  у  сторонних  изготовителей,  не\nреализующего  функции  безопасности  и  не  влияющего  на  реализацию  функций\nбезопасности. Документация на средство должна содержать информацию о соответствии\nуказанных сведений модулям, описанным в проектной документации. В  случае  отсутствия  сведений  о  заимствованных  компонентах  средства\nдолжны быть спроектированы, реализованы и описаны в документации на средство\nмеры  защиты  информации,  направленные  на  блокирование  эксплуатации\nвозможных  уязвимостей  и  реализуемых  заимствованными  элементами\n(компонентами) потенциально опасных возможностей. Отсутствующие сведения о заимствованных компонентах средства могут быть\nполучены  путем  использования  методов  обратной  разработки  (реверс-\nинжиниринга). Способы  и  методы  получения  отсутствующих  сведений  о\nзаимствованных элементах должны быть описаны в документации на средство,\nпредставляемой  на  испытания,  и  могут  быть  использованы  при  проведении\nиспытаний. Сведения  об  аппаратной  платформе  средства  должны  быть  включены  в\nединый реестр российской радиоэлектронной продукции. 12.3. Проектная (программная) документация средства, соответствующего 4\nуровню доверия, наряду с требованиями, установленными пунктами 12.1 и 12.2\nнастоящих Требований, для аппаратной платформы средства должна включать:\nструктурные  и  функциональные  схемы,  техническую  документацию\nаппаратных средств, входящих в аппаратную платформу;\nпредставление (код) на языке описания аппаратных средств;\nописание потенциально опасных элементов (компонентов), входящих в состав\nаппаратной  платформы  средства,  которые  влияют  на  выполнение  функций\nбезопасности и (или) могут быть использованы для реализации угроз безопасности\nинформации. Сведения  о  процессорах  или  микросхемах,  выполняющих  функции\nпроцессоров (микроконтроллеры), элементах памяти, сетевых картах, графических\nадаптерах аппаратной платформы средства должны быть включены в единый реестр\nроссийской радиоэлектронной продукции. 13. К  средствам  разработки,  применяемым  для  создания  средства,\nпредъявляются следующие требования:\nПравила  формирования  и  ведения  единого  реестра  российской  радиоэлектронной  продукции  утверждены  постановлением\nПравительства Российской Федерации от 10 июля 2019 г. № 878  (Собрание законодательства Российской Федерации, 2019, № 29,\nст. 4023; № 29, ст. 4023). 9\n13.1. На выбранные средства разработки, применяемые для создания средства,\nсоответствующего  6  уровню  доверия,  должна  быть  разработана  документация,\nвключающая описания:\nсредств разработки, применяемых для создания средства;\nиспользованных  опций  средств  разработки,  применяемых  для  создания\nсредства. 13.2. Требования  к  средствам  разработки,  применяемым  для  создания\nсредства, соответствующего 5 и 4 уровням доверия, соответствуют требованиям к\nсредствам разработки, применяемым для создания средства, соответствующего 6\nуровню доверия. 14. К  управлению  конфигурацией  средства  предъявляются  следующие\nтребования:\n14.1. Управление  конфигурацией  средства,  соответствующего  6  уровню\nдоверия,  должно  предусматривать  управление  изменениями  средства  и\nдокументации и обеспечение их уникальной маркировки. Документация по управлению конфигурацией средства должна включать:\nописание уникальной маркировки средства;\nсписок  элементов  конфигурации  средства,  включающий  в  том  числе\nдокументацию;\nпорядок управления изменениями средства и документации. 14.2. Управление  конфигурацией  средства,  соответствующего  5  уровню\nдоверия,  наряду  с  требованиями,  установленными  пунктом  14.1  настоящих\nТребований, должно предусматривать:\nуправление изменениями частей (элементов, компонентов) средства;\nобеспечение уникальной идентификации всех элементов конфигурации. Документация по управлению конфигурацией средства дополнительно должна\nвключать:\nописание метода, используемого для уникальной идентификации элементов\nконфигурации;\nописание уникальных идентификаторов всех элементов конфигурации;\nчасти (элементы, компоненты) средства в списке элементов конфигурации. Для  каждого  элемента  конфигурации  в  списке  элементов  конфигурации\nдолжен быть указан разработчик. 14.3. Управление  конфигурацией  средства,  соответствующего  4  уровню\nдоверия, наряду с требованиями, установленными пунктами 14.1 и 14.2 настоящих\nТребований, должно предусматривать:\nуправление  изменениями  средства,  в  том  числе  изменениями  исходных\nтекстов программного обеспечения и аппаратной платформы средства;\nприменение автоматизированных мер контроля, обеспечивающих внесение в\nэлементы конфигурации только санкционированных изменений;\nорганизацию  процедур  приемки  модифицированных  или  вновь  созданных\nэлементов конфигурации. 10\nДокументация по управлению конфигурацией средства дополнительно должна\nвключать:\nсведения о составе средства, в том числе сведения об исходных текстах и\nаппаратной платформе средства, в списке элементов конфигурации;\nописание  автоматизированных  мер  контроля,  которые  применяются  для\nобеспечения  внесения  в  элементы  конфигурации  только  санкционированных\nизменений;\nплан  управления  конфигурацией,  содержащий  описание  процедур,\nиспользуемых для приемки модифицированных или вновь созданных элементов\nконфигурации. Управление  конфигурацией  (настройкой)  аппаратной  платформы  средства\nдолжно  предусматривать  изменение  конфигурации  (настройки)  аппаратной\nплатформы средства, её документации, обеспечение их уникальной маркировки. Документация  по  изменению  конфигурации  (настройки)  аппаратной\nплатформы средства должна включать:\nописание уникальной маркировки аппаратной платформы средства;\nсписок элементов конфигурации (настройки) средства;\nпорядок  управления  изменениями  аппаратной  платформы  средства  и\nдокументации. 15. К  разработке  документации  по  безопасной  разработке  средства\nпредъявляются следующие требования:\n15.1. На  средство,  соответствующее  6  уровню  доверия,  должна  быть\nразработана  документация  по  безопасной  разработке  средства,  которая  должна\nвключать:\nописание  всех  физических,  процедурных,  организационных  и  других  мер\nбезопасности,  применяемых  в  среде  разработки  средства  для  защиты\nконфиденциальности  и  целостности  проектной  документации  и  реализации\nсредства;\nприменяемые  меры  безопасности,  направленные  на  снижение  вероятности\nвозникновения в средстве уязвимостей и иных недостатков, и их обоснование. 15.2. Требования  к  разработке  документации  по  безопасной  разработке\nсредства,  соответствующего  5  уровню  доверия,  соответствуют  требованиям  к\nразработке документации по безопасной разработке средства, соответствующего 6\nуровню доверия. 15.3. Разработка  документации  по  безопасной  разработке  средства,\nсоответствующего  4  уровню  доверия,  наряду  с  требованиями,  установленными\nпунктом  15.1  настоящих  Требований,  должна  предусматривать  разработку\nдокументации по безопасной разработке аппаратной платформы средства, которая\nдолжна  включать  описание  организационных  и  технических  мер  безопасности,\nприменяемых  в  среде  разработки  аппаратной  платформы  средства  для  защиты\nцелостности проектной документации и аппаратной платформы средства. 16. К разработке эксплуатационной документации предъявляются следующие\nтребования:\n11\n16.1. На  средство,  соответствующее  6  уровню  доверия,  включая  его\nаппаратную  платформу,  должна  быть  разработана  следующая  эксплуатационная\nдокументация:\nформуляр средства;\nруководство пользователя средства;\nруководство администратора средства. Формуляр средства должен содержать контрольные суммы дистрибутива и\nисполняемых файлов программного обеспечения, которые должны уточняться при\nобновлении средства в соответствии с настоящими Требованиями, а также состав\nаппаратной платформы средства. Руководство пользователя средства должно содержать описание:\nрежимов работы средства;\nпринципов безопасной работы средства;\nфункций  и  интерфейсов  функций  средства,  доступных  каждой  роли\nпользователей;\nпараметров  (настроек)  безопасности  средства,  доступных  каждой  роли\nпользователей, и их безопасных значений;\nтипов  событий  безопасности,  связанных  с  доступными  пользователю\nфункциями средства;\nдействий после сбоев и ошибок эксплуатации средства. Руководство администратора средства должно содержать описание:\nдействий по приемке поставленного средства;\nдействий по безопасной установке и настройке средства;\nдействий  по  реализации  функций  безопасности  среды  функционирования\nсредства. 16.2. Требования  к  разработке  эксплуатационной  документации  средства,\nсоответствующего 5 и 4 уровням доверия, соответствуют требованиям к разработке\nэксплуатационной документации средства, соответствующего 6 уровню доверия. IV. Требования к проведению испытаний средства\n17. В  отношении  средства  должны  быть  проведены  испытания,\nпредусматривающие:\n1) тестирование средства;\n2) испытания по выявлению уязвимостей и недекларированных возможностей\nсредства;\n3) проведение анализа скрытых каналов в средстве. Тестирование  и  анализ  скрытых  каналов  проводятся  только  для  средств\nзащиты информации. Тестирование, испытания по выявлению уязвимостей и недекларированных\nвозможностей, а также анализ скрытых каналов проводятся изготовителем в ходе\nприемочных  испытаний  средства  и  испытательной  лабораторией  в  ходе\nсертификационных испытаний средства. 12\n18. К тестированию средства предъявляются следующие требования:\n18.1. Тестовая документация на средство, соответствующее 6 уровню доверия,\nдолжна включать:\nплан  тестирования,  содержащий  тесты,  которые  необходимо  выполнить,\nописание  сценариев  проведения  каждого  теста,  учитывающее  зависимости\nпоследовательности  выполнения  тестов  от  результатов  других  тестов,  описание\nресурсов, необходимых для проведения тестирования;\nописание  сопоставления  тестов  с  интерфейсами  функций  безопасности\nсредства,  описанными  в  функциональной  спецификации,  демонстрирующее  их\nполное покрытие тестами;\nописание  ожидаемых  результатов  тестирования,  свидетельствующих  об\nуспешности выполнения тестов;\nописание  фактических  результатов  тестирования,  их  сопоставление  с\nожидаемыми результатами тестирования и на его основе – выводы об успешности\nтестов. 18.2. Тестовая документация на средство, соответствующее 5 уровню доверия,\nнаряду  с  требованиями,  установленными  пунктом  18.1  настоящих  Требований,\nдолжна  включать  описание  сопоставления  тестов  с  подсистемами  средства,\nописанными в эскизном проекте, демонстрирующее их полное покрытие тестами. При  проведении  тестирования  средства  проводится  оценка  влияния  на\nподсистемы  средства,  реализующие  функции  безопасности,  иных  подсистем\nсредства. 18.3. Тестовая документация на средство, соответствующее 4 уровню доверия,\nнаряду  с  требованиями,  установленными  пунктами  18.1  и  18.2  настоящих\nТребований, должна включать описание сопоставления тестов с модулями средства,\nреализующими  функции  безопасности  и  описанными  в  техническом  проекте,\nдемонстрирующее полное покрытие тестами функций безопасности. При проведении тестирования средства проводится оценка влияния на модули\nсредства, реализующие функции безопасности, иных модулей средства. 19. К  испытаниям  по  выявлению  уязвимостей  и  недекларированных\nвозможностей средства предъявляются следующие требования:\n19.1. Испытания  программного  обеспечения  средства,  соответствующего  6\nуровню доверия, должны быть проведены по 6 уровню контроля. Для аппаратной платформы программно-технического средства должна быть\nвыполнена проверка перечня аппаратных устройств (микросхем), которые влияют\nна  выполнение  функций  безопасности  и  (или)  могут  быть  использованы  для\nреализации угроз безопасности информации. 19.2. Испытания  программного  обеспечения  средства,  соответствующего  5\nуровню доверия, должны быть проведены по 5 уровню контроля. Для  аппаратной  платформы  программно-технического  средства  наряду  с\nтребованиями, установленными пунктом 19.1 настоящих Требований, должна быть\nвыполнена  проверка  соответствия  аппаратной  платформы  её  структурной  и\nфункциональной схемам, а также сведениям, приведенным в формуляре средства. 13\n19.3. Испытания  программного  обеспечения  средства,  соответствующего  4\nуровню доверия, должны быть проведены по 4 уровню контроля. Для  аппаратной  платформы  программно-технического  средства  наряду  с\nтребованиями,  установленными  пунктами  19.1  и  19.2  настоящих  Требований,\nдолжна быть выполнена проверка:\nсоответствия элементов (компонентов) аппаратной платформы структурной и\nфункциональной схеме элементов (компонентов) аппаратной платформы средства;\nпотенциально  опасных  элементов  (компонентов),  входящих  в  состав\nаппаратной платформы, которые влияют на выполнение функций безопасности и\n(или) могут быть использованы для реализации угроз безопасности информации. 20. К  проведению  анализа  скрытых  каналов  в  средстве  предъявляются\nследующие требования:\n20.1. Требования  к  проведению  анализа  скрытых  каналов  в  средстве,\nсоответствующем 6 и 5 уровню доверия, не предъявляются. 20.2. В  средстве,  соответствующем  4  уровню  доверия,  должны  быть\nпроведены идентификация и анализ скрытых каналов по памяти, основанных на\nиспользовании ресурсов памяти, в которые записывается защищаемая информация\n(сокрытие информации в структурированных и неструктурированных данных) и\nкоторые  не  учитываются  разработчиками  системы  защиты  информации\nинформационной (автоматизированной) системы и не выявляются применяемыми\nсредствами защиты информации. Анализ идентифицированных типов скрытых каналов должен включать:\nоценку  потенциальной  пропускной  способности  идентифицированных\nскрытых  каналов  с  использованием  формальных (математических),  технических\nметодов и (или) методов моделирования;\nразработку  требований  для  среды  функционирования  средства  с  целью\nограничения,\nмониторинга,\nполного\nили\nчастичного\nустранения\nидентифицированных  скрытых  каналов,  которые  могут  возникнуть  в\nинформационных (автоматизированных) системах вследствие использования в них\nсредства. Документация анализа скрытых каналов должна включать:\nидентификацию скрытых каналов (если скрытые каналы выявлены);\nоценку пропускной способности идентифицированных скрытых каналов (если\nскрытые каналы выявлены);\nописание  процедур,  использованных  для  вынесения  заключения  о\nсуществовании  и  (или)  отсутствии  скрытых  каналов,  и  информацию,\nиспользованную при анализе скрытых каналов;\nописание  предположений  (быстродействие  процессора,  системная\nконфигурация,  объем  памяти  и  (или)  иных),  сделанных  при  анализе  скрытых\nканалов;\nописание  способа,  использованного  для  оценки  пропускной  способности\nканала для наиболее опасного сценария (если скрытые каналы выявлены);\n14\nописание  наиболее  опасного  сценария  использования  каждого\nидентифицированного скрытого канала (если скрытые каналы выявлены);\nсведения о включении в функциональную спецификацию и эскизный проект\nописания механизмов средства, направленных на ограничение, мониторинг, полное\nили частичное устранение идентифицированных скрытых каналов, которые могут\nвозникнуть  в  информационных  (автоматизированных)  системах  вследствие\nиспользования  в  них  средства  (если  скрытые  каналы  выявлены  и  требуются\nсоответствующие механизмы средства);\nсведения о включении в руководство администратора и (или) руководство\nпользователя  требований  для  среды  функционирования  средства  с  целью\nограничения,\nмониторинга,\nполного\nили\nчастичного\nустранения\nидентифицированных  скрытых  каналов,  которые  могут  возникнуть  в\nинформационных (автоматизированных) системах вследствие использования в них\nсредства (если скрытые каналы выявлены). V. Требования к поддержке безопасности средства\n21. Средство  должно  обеспечиваться  поддержкой  безопасности  средства,\nпредусматривающей:\n1) устранение  недостатков  и  дефектов  средства,  в  том  числе  устранение\nуязвимостей  и  недекларированных  возможностей  средства  (далее  –  устранение\nнедостатков средства);\n2) информирование потребителей об обновлении программного обеспечения\nсредства  и  доведение  до  потребителей  обновлений  программного  обеспечения\nсредства,  а  также  изменений  в  эксплуатационную  документацию  (далее  –\nобновление средства);\n3) документирование  процедур  устранения  недостатков  и  обновления\nсредства;\n4) информирование  об  окончании  производства  и  (или)  поддержки\nбезопасности средства. Поддержка  безопасности  средства  обеспечивается  заявителем  на\nосуществление сертификации средства с привлечением разработчика и изготовителя\nсредства. 22. К  устранению  недостатков  средства  предъявляются  следующие\nтребования:\n22.1. Устранение недостатков средства, соответствующего 6 уровню доверия,\nдолжно предусматривать:\nпоиск в доступных источниках информации о недостатках средства, в том\nчисле  о  недостатках  в  компонентах  средства,  заимствованных  у  сторонних\nизготовителей;\nполучение сведений о недостатках средства от потребителей средства;\nпроведение испытаний средства по выявлению недостатков в средстве, в том\nчисле по выявлению уязвимостей и недекларированных возможностей средства;\n15\nразработку компенсирующих мер по защите информации или ограничений по\nприменению  средства,  снижающих  возможность  эксплуатации  недостатков\n(уязвимостей);\nдоведение информации о недостатках средства, а также о компенсирующих\nмерах  по  защите  информации  или  ограничений  по  применению  средства  до\nпотребителей  средства,  ФСТЭК  России  и  банка  данных  угроз  безопасности\nинформации, ведение которого осуществляется ФСТЭК России в соответствии с\nподпунктом 21 пункта 8 Положения о Федеральной службе по техническому и\nэкспортному контролю, утвержденного Указом Президента Российской Федерации\nот 16 августа 2004 г. № 1085 (Собрание законодательства Российской Федерации,\n2004, № 34, ст. 3541; 2018, № 20, ст. 2818);\nустранение недостатков средства путем доработки средства или его отдельных\nкомпонентов,  принятие  иных  мер,  снижающих  возможность  эксплуатации\nуязвимостей;\nтестирование  (испытания)  доработанного  средства  или  его  отдельных\nкомпонентов на предмет устранения влияния обновлений средства на его функции\nбезопасности,  подтверждения  устранения  уязвимостей,  невнесения  новых\nуязвимостей в средство. 22.2. Устранение недостатков средства, соответствующего 5 уровню доверия,\nнаряду  с  требованиями,  установленными  пунктом  22.1  настоящих  Требований,\nдолжно предусматривать:\nразработку компенсирующих мер по защите информации или ограничений по\nприменению средства, а также доведение информации о недостатках и указанных\nмерах и ограничениях до потребителей не позднее 72 часов с момента выявления\nнедостатка;\nдоработку  средства,  в  том  числе  разработку  обновлений  программного\nобеспечения средства, или разработку мер по защите информации, нейтрализующих\nнедостаток, в срок не более 60 дней с момента выявления недостатка. 22.3. Устранение недостатков средства, соответствующего 4 уровню доверия,\nнаряду  с  требованиями,  установленными  пунктами  22.1  и  22.2  настоящих\nТребований, должно предусматривать:\nразработку компенсирующих мер по защите информации или ограничений по\nприменению  средства,  а  также  доведение  информации  о  таких  мерах  и\nограничениях  до потребителей в срок не более 48 часов с момента выявления\nнедостатка;\nдоведение информации о недостатках средства, а также о компенсирующих\nмерах  по  защите  информации  или  ограничениях  по  применению  до  каждого\nпотребителя  сертифицированного  средства  путем  отправки  сообщений  на\nэлектронные адреса потребителей или за счет применения компонента средства,\nобеспечивающего доведение указанной информации до потребителя автоматически. 23. К обновлению средства предъявляются следующие требования:\n23.1. Обновление  средства,  соответствующего  6  уровню  доверия,  должно\nпредусматривать:\n16\nинформирование потребителей средства о выпуске обновлений;\nобеспечение  возможности  получения  обновления  средства  способами,\nобеспечивающими его целостность. 23.2. Наряду  с  требованиями,  установленными  пунктом  23.1  настоящих\nТребований,  к  обновлению  средства,  соответствующего  5  уровню  доверия,\nпредъявляются следующие требования:\nв случае получения обновления средства по сетям связи средство должно\nполучать такие обновления с информационного ресурса заявителя;\nпри доведении обновлений средства до потребителей должны обеспечиваться\nподлинность и целостность обновлений за счет применения электронной цифровой\nподписи. 23.3. Наряду  с  требованиями,  установленными  пунктами  23.1  и  23.2\nнастоящих Требований, доведение информации о выпуске обновлений средства,\nсоответствующего  4  уровню  доверия,  должно  осуществляться  до  каждого\nпотребителя  сертифицированного  средства  путем  отправки  сообщений  на\nэлектронные адреса потребителей или за счет применения компонента средства,\nобеспечивающего доведение указанной информации до потребителя автоматически. 24. К  документированию  процедур  устранения  недостатков  и  обновления\nсредства предъявляются следующие требования:\n24.1. Документирование  процедур  устранения  недостатков  и  обновления\nсредства, соответствующего 6 уровню доверия, должно предусматривать:\nвключение в программную и конструкторскую документацию на средство\nпроцедур устранения недостатков;\nразработку  регламента  обновления  средства  потребителем,  включающего\nпорядок  получения,  установки  и  контроля  установки  обновления  программного\nобеспечения средства. 24.2. Требования  к документированию процедур устранения недостатков  и\nобновления  средства,  соответствующего  5  и  4  уровням  доверия,  соответствуют\nтребованиям к документированию процедур устранения недостатков и обновления\nсредства, соответствующего 6 уровню доверия. 25. К  информированию  об  окончании  производства  и  (или)  поддержки\nбезопасности средства предъявляются следующие требования:\n25.1. Об окончании производства и (или) поддержки безопасности средства,\nсоответствующего 6 уровню доверия, потребители и ФСТЭК России должны быть\nпроинформированы не позднее чем за 1 год до окончания производства и (или)\nподдержки безопасности средства. 25.2. Требования  к  информированию  об  окончании  производства  и  (или)\nподдержки  безопасности  средства,  соответствующего  5  и  4  уровням  доверия,\nсоответствуют требованиям к информированию об окончании производства и (или)\nподдержки безопасности средства, соответствующего 6 уровню доверия. _____________________\n17\nПримечание\nВ соответствии с приказом ФСТЭК России от 2 июня 2020 г. № 76 настоящие\nТребования вступают в силу с 1 января 2021 г., за исключением:\nабзаца седьмого пункта 12.2, который вступает в силу с 1 января 2022 г.;\nабзаца пятого пункта 12.3, который вступает в силу с 1 января 2028 г. Приказ  ФСТЭК  России  от  30  июля  2018  г. № 131  «Об  утверждении\nТребований  по  безопасности  информации,  устанавливающих  уровни  доверия  к\nсредствам технической защиты информации и средствам обеспечения безопасности\nинформационных  технологий»\n(зарегистрирован  Министерством  юстиции\nРоссийской Федерации 14 ноября 2018 г., регистрационный № 52686) признается\nутратившим силу с 1 января 2021 г.."}