3.4. Требования по обеспечению соответствия требованиям безопасности ВИС КНО и (или) автоматизированных рабочих мест, в том числе переносных, обеспечивающих выполнение функций по контролю (надзору) в субъекте Российской Федерации

Данное мероприятие направлено на обеспечение требований информационной безопасности ВИС КНО при автоматизации КНД и (или) автоматизированных рабочих мест, в том числе переносных, обеспечивающих выполнение функций по контролю (надзору) в субъекте Российской Федерации (далее - клиент) при подключении к ВИС КНО или ТОР КНД.

1. При обеспечении требований информационной безопасности рекомендуется:

1.1. Выполнить работы по формированию требований к системе защиты информации ВИС КНО, моделированию угроз безопасности информации, разработке проектных решений на систему защиты информации ВИС КНО и организационно-распорядительной документации по защите информации, обрабатываемой в ВИС КНО.

1.2. Осуществить создание системы защиты информации ВИС КНО, нейтрализующей актуальные угрозы безопасности информации. Система защиты информации ВИС КНО должна включать в себя организационные и технические меры защиты, определенные с учетом актуальных угроз безопасности информации.

1.3. Обеспечить реализацию соответствующих технических и организационных мер по защите информации, включая внедрение системы защиты информации ВИС КНО, в соответствии с требованиями законодательства Российской Федерации и подзаконных нормативных правых актов в области защиты информации, в том числе:

- "Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (утверждены приказом ФСТЭК России от 18.02.2013 N 21);

- "Требования к защите персональных данных при их обработке в информационных системах персональных данных" (утверждены постановлением Правительства Российской Федерации от 1.11.2012 N 1119);

- "Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности" (утверждены приказом Федеральной службы безопасности Российской Федерации от 10.07.2014 N 378);

- "Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну" (утверждена приказом Федерального агентства правительственной связи и информации от 13.06.2001 N 152).

Если ВИС КНО помимо информационных систем персональных данных относится также к государственным информационным системам, реализация соответствующих технических и организационных мер по защите информации, включая внедрение системы защиты информации ВИС КНО, помимо вышеуказанного в данном пункте настоящих требований законодательства Российской Федерации и подзаконных нормативных правых актов в области защиты информации, обеспечивается, в том числе в соответствии с "Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (утверждены Приказом ФСТЭК России от 02.02.2013 N 17).

1.4. Обеспечить защиту информации в ходе эксплуатации ВИС КНО в соответствии с эксплуатационной документацией на систему защиты информации ВИС КНО и организационно-распорядительными документами по защите информации.

Эксплуатационная документация на систему защиты информации ВИС КНО и организационно-распорядительные документы по защите информации могут корректироваться в ходе управления (администрирования) системой защиты информации ВИС КНО, в том числе с помощью рекомендуемых к использованию средств автоматизированной разработки документации по защите информации и поддержки документов в актуальном состоянии.

При обеспечении информационной безопасности клиента ВИС КНО следует руководствоваться вышеприведенными требованиями как рекомендованными. Актуальные требования к обеспечению информационной безопасности клиента ВИС КНО необходимо уточнить у оператора ВИС КНО.

2. При подключении к ТОР КНД требуется обеспечить криптографическую защиту каналов связи с использованием сертифицированных средств криптографической защиты информации не ниже класса КС3, совместимых с средствами криптографической защиты информации ViPNet Coordinator версии 4.x, используемых в ТОР КНД. Если в органах исполнительной власти уже осуществляется взаимодействие со сторонними системами посредством сети VipNet, то для взаимодействия с ТОР КНД необходимо использовать ее.

3. При подключении к ТОР КНД требуется обеспечить защиту стационарных АРМ, переносных АРМ, входящих в состав ВИС КНО, с использованием комплектов сертифицированных средств защиты информации для ВИС КНО или ТОР КНД:

- Сертифицированными средствами защиты информации от несанкционированного доступа, реализующими требования, предъявляемые нормативно-правовыми актами Российской Федерации в области защиты информации. Выбранные средства защиты информации должны удовлетворять требованиям, предъявляемым к обеспечению защищенности государственных информационных класса К2 (не ниже) и к обеспеченности третьего уровня защищенности персональных данных (не ниже).

Данные средства защиты могут включать в свой состав модули контроля устройств, доверенной загрузки, персонального межсетевого экрана, средства обнаружения вторжений.

- Сертифицированными ФСБ или ФСТЭК России средствами антивирусной защиты, реализующими требования, предъявляемые нормативно-правовыми актами уполномоченных федеральных органов исполнительной власти Российской Федерации в области защиты информации к обеспечению третьего уровня защищенности персональных данных (не ниже), и при необходимости к обеспечению защищенности государственных информационных систем класса К2 (не ниже).

Абзацы четвертый - пятый исключены. - Приказ Минкомсвязи России от 11.11.2019 N 707.

- Средство квалифицированной электронной подписи, ее проверки и доверенной визуализации подписываемого документа.