В соответствии с пунктом 3 статьи 141 и пунктом 1 статьи 143 Предпринимательского кодекса Республики Казахстан от 29 октября 2015 года, ПРИКАЗЫВАЕМ:
1. Утвердить:
1) критерии оценки степени риска в сфере информатизации в части обеспечения информационной безопасности, согласно приложению 1 к настоящему совместному приказу;
2) проверочный лист в сфере информатизации в части обеспечения информационной безопасности в отношении государственных и местных исполнительных органов согласно приложению 2 к настоящему совместному приказу;
3) проверочный лист в сфере информатизации в части обеспечения информационной безопасности в отношении государственных юридических лиц, субъектов квазигосударственного сектора, собственников и владельцев негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственников и владельцев критически важных объектов информационно-коммуникационной инфраструктуры согласно приложению 3 к настоящему совместному приказу.
2. Комитету по информационной безопасности Министерства оборонной и аэрокосмической промышленности Республики Казахстан в установленном законодательством Республики Казахстан порядке обеспечить:
1) государственную регистрацию настоящего совместного приказа в Министерстве юстиции Республики Казахстан;
2) в течение десяти календарных дней со дня государственной регистрации настоящего совместного приказа направление его на казахском и русском языках в Республиканское государственное предприятие на праве хозяйственного ведения "Республиканский центр правовой информации" для официального опубликования и включения в Эталонный контрольный банк нормативных правовых актов Республики Казахстан;
3) размещение копии настоящего совместного приказа на интернет - ресурсе Министерства оборонной и аэрокосмической промышленности Республики Казахстан.
3. Контроль за исполнением настоящего совместного приказа возложить на курирующего вице-министра оборонной и аэрокосмической промышленности Республики Казахстан.
4. Настоящий совместный приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.
"СОГЛАСОВАН"
Комитет по правовой статистике
и специальным учетам
Генеральной прокуратуры
Республики Казахстан
Критерии оценки степени риска в сфере информатизации в части обеспечения информационной безопасности
Глава 1. Общие положения
1. Настоящие Критерии оценки степени риска в сфере информатизации в части обеспечения информационной безопасности (далее – Критерии) разработаны в соответствии с Предпринимательским кодексом Республики Казахстан от 29 октября 2015 года (далее – Кодекс) и Правилами формирования государственными органами системы оценки рисков и формы проверочных листов, утвержденными приказом исполняющего обязанности Министра национальной экономики Республики Казахстан от 31 июля 2018 года № 3 (зарегистрирован в Реестре государственной регистрации нормативных правовых актов под № 17371).
2. В настоящих критериях используются следующие понятия:
1) субъекты (объекты) контроля сфере информатизации в части обеспечения информационной безопасности (далее – субъекты (объекты) контроля) – государственные органы, местные исполнительные органы, государственные юридические лица, субъекты квазигосударственного сектора, собственники и владельцы негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственники и владельцы критических важных объектов информационно-коммуникационной инфраструктуры;
2) незначительное нарушение – не соблюдение требований нормативных правовых актов Республики Казахстан в сфере информатизации в части обеспечения информационной безопасности, приведшее или которое может привести к несущественным инцидентам, не оказывающим влияние на электронные информационные ресурсы, информационные системы, сети телекоммуникаций и другие объекты информатизации, наличие одной подтвержденной жалобы или обращения в сфере информатизации в части обеспечения информационной безопасности;
3) значительное нарушение – не соблюдение требований нормативных правовых актов Республики Казахстан в сфере информатизации в части обеспечения информационной безопасности, приведшее или которое может привести к существенному ограничению предоставления услуг, существенному ухудшению ситуации или существенным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации, наличие двух или более подтвержденных жалоб или обращений в сфере информатизации в части обеспечения информационной безопасности;
4) грубое нарушение – не соблюдение требований нормативных правовых актов Республики Казахстан в сфере информатизации в части обеспечения информационной безопасности приведшее или которое может привести к невозможности предоставления услуг, значительным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации, неисполнение предписаний уполномоченного органа;
5) риск – вероятность причинения ущерба информационной безопасности;
6) проверочный лист – перечень требований, предъявляемый к субъекту (объекта) контроля с отметкой об их соответствии;
7) система оценки рисков – комплекс мероприятий, проводимых органом контроля с целью назначения профилактического контроля с посещением субъекта (объекта) контроля;
8) объективные критерии оценки степени риска (далее – объективные критерии) – критерии оценки степени риска, используемые для отбора субъектов (объектов) контроля в зависимости от степени риска в определенной сфере деятельности и не зависящие непосредственно от отдельного субъекта (объекта) контроля;
9) субъективные критерии оценки степени риска (далее – субъективные критерии) – критерии оценки степени риска, используемые для отбора субъектов (объектов) контроля в зависимости от результатов деятельности конкретного субъекта (объекта) контроля.
3. Критерии оценки степени риска для профилактического контроля с посещением субъекта (объекта) контроля формируются посредством объективных и субъективных критериев.
Глава 2. Объективные критерии
4. Определение риска в сфере информатизации в части обеспечения информационной безопасности осуществляется в зависимости от вероятности причинения вреда в результате деятельности субъекта законным интересам физических и юридических лиц, имущественным интересам государства, деятельностью субъектов, связанную с бесконтрольным использованием информационных систем, интегрируемых с государственными информационными системами, а также содержащих персональные данные, которое может привести к незаконному распространению, использованию и обработке информации государственных органов, а также персональных данных путем несанкционированного доступа к информационным системам.
5. В сфере информатизации в части обеспечения информационной безопасности к высокой степени риска относятся государственные органы, местные исполнительные органы, а также собственники и владельцы критически важных объектов информационно-коммуникационной инфраструктуры.
6. К субъектам (объектам) контроля, не отнесенным, к высокой степени риска в сфере информатизации в части обеспечения информационной безопасности относятся государственные юридические лица, субъекты квазигосударственного сектора, собственники и владельцы негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов.
7. В отношении субъектов (объектов) контроля, отнесенных по объективным критериям к высокой степени риска, применяются субъективные критерии с целью проведения профилактического контроля с посещением субъекта (объекта) контроля.
Глава 3. Субъективные критерии
8. Субъективные критерии разработаны на основании требований перечисленных в проверочных листах (далее – требования) несоблюдение которых в соответствии с критериями оценки степени риска соответствуют определенной степени нарушения. В отношении каждого требования из проверочных листов определяется степень нарушения – грубое, значительное и незначительное.
9. Определение субъективных критериев осуществляется с применением следующих этапов:
1) формирование базы данных и сбор информации;
2) анализ информации и оценка рисков.
10. Формирование базы данных и сбор информации необходимы для выявления субъектов (объектов) контроля, нарушающих законодательство Республики Казахстан в сфере информатизации в части обеспечения информационной безопасности. Правильное использование этих сведений позволит более эффективно осуществлять государственный контроль и использовать ресурсы.
11. Для оценки степени рисков по субъективным критериям используются следующие источники информации:
1) результаты предыдущего профилактического контроля с посещением субъектов (объектов) контроля. При этом, степень тяжести нарушений (грубое, значительное, незначительное) устанавливается в случае несоблюдения требований законодательства Республики Казахстан в сфере информатизации в части обеспечения информационной безопасности, отраженных в проверочных листах;
2) результаты анализа сведений, представляемых уполномоченными органами и организациями;
3) наличие и количество подтвержденных жалоб и обращений на субъектов (объектов) контроля, поступивших от физических или юридических лиц, государственных органов.
12. Оценка степени риска субъектов (объектов) контроля и отнесение их к высокой или субъектов (объектов) контроля, не отнесенных к высокой степени риска по субъективным критериям осуществляется по следующим показателям:
1) субъективные критерии по информационному источнику "результаты предыдущего профилактического контроля с посещением" согласно приложению 1 к настоящим Критериям;
2) субъективные критерии по информационному источнику "результаты анализа сведений, представляемых уполномоченными органами и организациями" согласно приложению 2 к настоящим Критериям;
3) субъективные критерии по информационному источнику "наличие и количество подтвержденных жалоб и обращений на субъектов (объектов) контроля, поступивших от физических или юридических лиц, государственных органов" согласно приложению 3 к настоящим Критериям.
13. Определение степени риска по каждому информационному источнику определяется следующим образом.
Одно невыполненное требование грубой степени приравнивается к показателю 100 и это является основанием для проведения профилактического контроля с посещением субъекта (объекта) контроля.
В случае если нарушение требований грубой степени не выявлено, то для определения показателя степени риска рассчитывается суммарный показатель требований значительной и незначительной степени.
При определении показателя значительных нарушений применяется коэффициент 0,7 и данный показатель рассчитывается по следующей формуле:
где:
При определении показателя незначительных нарушений применяется коэффициент 0,3 и данный показатель рассчитывается по следующей формуле:
где:
Общий показатель степени риска
где:
По показателям степени риска субъект (объект) контроля относится:
к высокой степени риска – при показателе степени риска от 61 до 100 включительно и в отношении него проводится профилактический контроль с посещением субъекта (объекта) контроля;
не отнесенной к высокой степени риска – при показателе степени риска от 0 до 60 включительно и в отношении него не проводится профилактический контроль с посещением субъекта (объекта) контроля.
Глава 4. Заключительные положения
14. Кратность проведения профилактического контроля с посещением субъекта (объекта) контроля составляет не чаще одного раза в год и определяется по результатам проводимого анализа и оценки получаемых сведений по объективным и субъективным критериям.
15. Профилактический контроль с посещением субъекта (объекта) контроля проводятся на основании полугодовых списков профилактического контроля с посещением субъекта (объекта) контроля, формируемых в соответствии с пунктом 3 статьи 141 Кодекса.
16. Списки профилактического контроля с посещением субъекта (объекта) контроля составляются с учетом приоритетности субъектов (объектов) контроля с наибольшим показателем степени риска по субъективным критериям.
| Приложение 1 к Критериям оценки степени риска в сфере информатизации в части обеспечения информационной безопасности |
Субъективные критерии по информационному источнику "результаты предыдущего профилактического контроля с посещением"
№ | Критерии | Степень нарушения |
Результаты предыдущего профилактического контроля с посещением (степень тяжести устанавливается при несоблюдении нижеперечисленных требований) | ||
1. | Исполнение предписания по итогам профилактического контроля с посещением субъекта (объекта) | Грубое |
2. | Соблюдение требования по осуществлению подключения локальных, ведомственных и корпоративных сетей телекоммуникаций государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, а также собственников или владельцев критически важных объектов информационно-коммуникационной инфраструктуры к Интернету операторами связи через единый шлюз доступа к Интернету | Значительное |
3. | Соблюдение требования запрещающего установку и применение на рабочих станциях программных или аппаратных средств удаленного управления извне локальной сети (далее – ЛС) внутреннего контура | Значительное |
4. | Соблюдение требования по предоставлению доступа к Интернету служащим государственных органов и местных исполнительных органов (далее – ГО и МИО) с рабочих станций, подключенных к ЛС внешнего контура ГО и МИО, размещенных за пределами режимных помещений | Грубое |
5. | Соблюдение требования по отключению или блокированию неиспользуемых портов ввода-вывода рабочих станций и мобильных компьютеров служащих ГО и МИО | Незначительное |
6. | Обработка и хранение служебной информации ГО и МИО на рабочих станциях, подключенных к локальной сети внутреннего контура ГО или МИО и не имеющих подключения к Интернету | Значительное |
7. | Соблюдение требования по обеспечению информационному взаимодействию системы мониторинга событий информационной безопасности информационной системы государственного органа с системой мониторинга обеспечения информационной безопасности государственной технической службы | Грубое |
8. | Соблюдение требования по обеспечению мониторинга событий информационной безопасности информационной системы государственного органа и передача его результатов в систему мониторинга обеспечения информационной безопасности государственной технической службы | Грубое |
9. | Соблюдение требования по оповещению владельцем критически важных объектов информационно-коммуникационной инфраструктуры Национального координационного центра информационной безопасности об инцидентах информационной безопасности и о результатах реагирования на них | Грубое |
10. | Соблюдение требования аутентификации при эксплуатации объектов информатизации | Значительное |
11. | Соблюдение требования мониторинга обеспечения информационной безопасности (далее – ИБ), защиты и безопасного функционирования при эксплуатации объектов информатизации | Значительное |
12. | Наличие антивирусных средств, обновлений операционных систем на рабочих станциях, подключенных к сети Интернет при организации доступа к Интернету из локальных сетей внешнего контура | Значительное |
13. | Наличие подразделения ИБ, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определение должностного лица, ответственного за обеспечение ИБ | Грубое |
14. | Наличие нормативно-технической документации по обеспечению информационной безопасности, а также ее актуализация не реже одного раза в два года | Грубое |
15. | Соответствие порядка обеспечения информационной безопасности требованиям нормативно-технической документации | Значительное |
16. | Исполнение требований нормативно-технической документации по обеспечению информационной безопасности | Значительное |
17. | Соблюдение требования по включению обязанностей по обеспечению информационной безопасности в должностные инструкции и (или) условия трудового договора | Значительное |
18. | Соблюдение требования по применению средств криптографической защиты информации | Грубое |
19. | Обеспечение требования по мониторингу в ГО и МИО действий пользователей и персонала | Значительное |
20. | Соблюдение требования по применению средств и систем обеспечения ИБ при эксплуатации объектов информатизации | Значительное |
21. | Наличие акта с положительным результатом испытаний на соответствие требованиям информационной безопасности | Грубое |
22. | Наличие действующего аттестата соответствия требованиям информационной безопасности | Грубое |
23. | Соблюдение собственниками или владельцами информационной системы требования по хранению, восстановлению государственных электронных информационных ресурсов, содержащихся в информационной системе, сохранности государственных электронных информационных ресурсов | Грубое |
24. | Соблюдение требования по применению системы управления содержимым (контентом) при обеспечении информационной безопасности информационных ресурсов (далее – ИР) | Значительное |
25. | Соблюдение требования по применению регистрационных свидетельств для проверки подлинности доменного имени и криптографической защиты содержимого сеанса связи с использованием средств криптографической защиты информации (далее – СКЗИ) при обеспечении ИБ ИР | Значительное |
26. | Наличие акта о завершении опытной эксплуатации информационной системы | Грубое |
27. | Соблюдение требования по размещению программно-аппаратного обеспечения информационной системы критически важных объектов информационно-коммуникационной инфраструктуры, содержащее персональные данные граждан Республики Казахстана на территории Республики Казахстан | Грубое |
28. | Обеспечение управления информационной системы из внутренней локальной сети | Значительное |
29. | Соблюдение требования по управлению идентификацией | Значительное |
30. | Соблюдение требования по проведению аудита событий информационной безопасности | Грубое |
31. | Соблюдение требования регистрации событий информационной безопасности | Значительное |
32. | Наличие физического разделения сред эксплуатации от сред разработки и тестирования | Значительное |
33. | Исполнение процедур сетевого и системного администрирования | Значительное |
34. | Соблюдение требования по размещению серверного оборудования | Значительное |
35. | Соблюдение требования по обеспечению системы хранения данных системой резервного копирования | Грубое |
36. | Соблюдение требования по не допущению подключения к единой транспортной среде государственных органов (далее – ЕТС ГО), локальной сети ГО или МИО, а также техническим средствам, входящим в состав ЕТС ГО, локальной сети ГО или МИО, устройств для организации удаленного доступа посредством беспроводных сетей, беспроводного доступа, модемов, радиомодемов, модемов сетей операторов сотовой связи, абонентских устройств сотовой связи и других беспроводных сетевых устройств | Грубое |
37. | Применение программно-технических средств защиты информации, в том числе криптографического шифрования, с использованием СКЗИ при организации выделенного канала связи, объединяющего локальные сети | Грубое |
38. | Соблюдение требования по подключению выделенного канала связи к локальной сети посредством пограничного шлюза | Значительное |
39. | Использование средств разделения и изоляции информационных потоков при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | Значительное |
40. | Использование оборудования с компонентами, обеспечивающими ИБ и безопасное управление при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | Значительное |
41. | Использование выделенных и интегрированных с оборудованием доступа межсетевых экранов, установленных в каждой точке подключения, с целью защиты периметра ЕТС ГО при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | Значительное |
42. | Соблюдение требования по обеспечению безопасности при подключении сервера к ЕТС ГО и локальной сети посредством межсетевых экранов и отдельных шлюзов доступа, установленных в местах стыка с ЕТС ГО и локальной сетью | Значительное |
43. | Соблюдение требования по использованию только ведомственной электронной почты, службу мгновенных сообщений для осуществления оперативного информационного обмена (служебной переписки) в электронной форме служащими ГО, МИО и работниками государственных организаций, субъектами квазигосударственного сектора, а также владельцами критически важных объектов информационно-коммуникационной инфраструктуры при исполнении ими служебных обязанностей | Значительное |
44. | Исполнение требования по размещению ведомственной электронной почты центрального исполнительного органа, структурных и территориальных подразделений центрального исполнительного органа, местного исполнительного органа в доменных зонах gov.kz и мем.қаз. | Значительно |
45. | Соблюдение требования по взаимодействию ведомственной электронной почты ГО и МИО с внешними электронными почтовыми системами только через единый шлюз электронной почты | Значительное |
46. | Наличие бесперебойного электропитания для активного оборудования локальных сетей | Значительное |
47. | Соблюдение требования по исключению передачи служебной информации ограниченного распространения, информации конфиденциальных информационных систем, конфиденциальных электронных информационных ресурсов (далее – ЭИР) и ЭИР, содержащих персональные данные ограниченного доступа, по незащищенным проводным каналам связи и радиоканалам, не оборудованным соответствующими СКЗИ | Грубое |
48. | Соблюдение требования по физическому отключению неиспользуемых портов кабельной системы локальной сети от активного оборудования | Значительное |
49. | Соблюдение требования по применению межсетевого экранирования | Значительное |
50. | Соблюдение требования по осуществлению взаимодействия локальных сетей ГО, а также МИО между собой только через ЕТС ГО, за исключением сетей телекоммуникаций специального назначения и (или) правительственной, засекреченной, шифрованной и кодированной связи | Значительное |
51. | Соблюдение требования по исключению сопряжения ЛС внутреннего контура и ЛС внешнего контура ГО, а также МИО между собой | Грубое |
52. | Соблюдение требования по исключению подключения ЛС внутреннего контура ГО и МИО к Интернету | Грубое |
53. | Соблюдение требования по размещению информационных ресурсов (далее – ИС) ГО или МИО, реализующие информационное взаимодействие через Интернет, в выделенном сегменте ЛС внешнего контура ГО или МИО | Значительное |
54. | Соблюдение требования по взаимодействию с ИС ГО или МИО, в выделенном сегменте ЛС внешнего контура ГО или МИО с ИС ГО, МИО размещенными в ЛС внутреннего контура ГО или МИО, через внешний шлюз "электронного правительства" (далее – ВШЭП) | Значительное |
55. | Соблюдение требования по осуществлению информационного взаимодействия ИС, размещенных в Интернете, с ИС ГО или МИО, размещенными в ЛС внутреннего контура ГО или МИО, только через ВШЭП | Значительное |
56. | Соблюдение требования по синхронизации сервера инфраструктуры источника времени верхнего уровня с эталоном времени и частоты, воспроизводящим национальную шкалу всемирного координированного времени UTC (kz) | Грубое |
57. | Наличие документирования при техническом сопровождении оборудования, установленного в серверном помещении | Значительное |
58. | Наличие системы контроля и управления доступом в серверном помещении | Значительное |
59. | Наличие системы обеспечения микроклимата в серверном помещении | Значительное |
60. | Наличие системы охранной сигнализации в серверном помещении | Значительное |
61. | Наличие системы видеонаблюдения в серверном помещении | Значительное |
62. | Наличие системы пожарной сигнализации в серверном помещении | Значительное |
63. | Наличие системы пожаротушения в серверном помещении | Значительное |
64. | Наличие системы гарантированного электропитания в серверном помещении | Значительное |
65. | Наличие системы заземления в серверном помещении | Значительное |
66. | Размещение распределительных устройств сетей телекоммуникаций в кроссовом помещении | Значительное |
67. | Размещение кроссового помещения ближе к центру обслуживаемой им рабочей области | Значительное |
68. | Наличие свободных служебных проходов для обслуживания оборудования в кроссовом помещении | Незначительное |
69. | Отсутствие мощных источников электромагнитных помех (трансформаторов, электрических щитов, электродвигателей и прочее) в кроссовом помещении | Значительное |
70. | Отсутствие труб и вентилей системы водоснабжения в кроссовом помещении | Значительное |
71. | Наличие систем пожарной безопасности в кроссовом помещении | Значительное |
72. | Отсутствие легко возгораемых материалов (деревянные стеллажи, картон, книги и прочее) в кроссовом помещении | Значительное |
73. | Наличие в кроссовом помещении отдельной линии электропитания от отдельного автомата для подключения шкафа по проекту | Значительное |
74. | Наличие в кроссовом помещении систем охранной сигнализации, контроля доступа | Значительное |
75. | Наличие в кроссовом помещении системы кондиционирования | Значительное |
| Приложение 2 к Критериям оценки степени риска в сфере информатизации в части обеспечения информационной безопасности |
Субъективные критерии по информационному источнику "результаты анализа сведений, представляемых уполномоченными органами и организациями"
№ | Критерии | Степень нарушения |
1. | Наличие одного подтвержденного сведения в сфере информатизации в части обеспечения информационной безопасности | Незначительная |
2. | Наличие двух или более подтвержденных сведений в сфере информатизации в части обеспечения информационной безопасности | Значительная |
| Приложение 3 к Критериям оценки степени риска в сфере информатизации в части обеспечения информационной безопасности |
Субъективные критерии по информационному источнику "наличие и количество подтвержденных жалоб и обращений на субъектов (объектов) контроля, поступивших от физических или юридических лиц, государственных органов"
№ | Критерии | Степень нарушения |
1. | Наличие одной подтвержденной жалобы или обращения в сфере информатизации в части обеспечения информационной безопасности | Незначительная |
2. | Наличие двух или более подтвержденных жалоб или обращений в сфере информатизации в части обеспечения информационной безопасности | Значительная |
Проверочный лист в сфере информатизации в части обеспечения информационной безопасности в отношении государственных и местных исполнительных органов
в сфере/в области/за ________________________________________________________
в соответствии со статьей 138 ________________________________________________
Предпринимательского кодекса Республики Казахстан в отношении:
__________________________________________________________________________
наименование однородной группы субъектов (объектов) контроля
__________________________________________________________________________
__________________________________________________________________________
Государственный орган, назначивший проверку ________________________________
__________________________________________________________________________
Акт о назначении проверки/профилактического контроля с посещением субъекта (объекта) контроля ______________________________________________________________
_________________________________________________________________________
№, дата
Наименование субъекта (объекта) контроля ___________________________________
_________________________________________________________________________
(Индивидуальный идентификационный номер), бизнес-идентификационный номер субъекта (объекта) контроля ______________________________________________________
_________________________________________________________________________
Адрес места нахождения ___________________________________________________
_________________________________________________________________________
№ | Перечень требований | Требуется | Не требуется | Соответствует требованиям | Не соответствует требованиям |
1 | 2 | 3 | 4 | 5 | 6 |
1. | Исполнение предписания по итогам профилактического контроля с посещением субъекта (объекта) | ||||
2. | Соблюдение требования по осуществлению подключения локальных, ведомственных и корпоративных сетей телекоммуникаций государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, а также собственников или владельцев критически важных объектов информационно-коммуникационной инфраструктуры к Интернету операторами связи через единый шлюз доступа к Интернету | ||||
3. | Соблюдение требования запрещающего установку и применение на рабочих станциях программных или аппаратных средств удаленного управления извне локальной сети (далее – ЛС) внутреннего контура | ||||
4. | Соблюдение требования по предоставлению доступа к Интернету служащим государственных и местных исполнительных органов (далее –ГО и МИО) с рабочих станций, подключенных к ЛС внешнего контура ГО и МИО, размещенных за пределами режимных помещений, определяемых в соответствии с Инструкцией по обеспечению режима секретности в Республике Казахстан | ||||
5. | Соблюдение требования по отключению или блокированию неиспользуемых портов ввода-вывода рабочих станций и мобильных компьютеров служащих ГО и МИО | ||||
6. | Обработка и хранение служебной информации ГО и МИО на рабочих станциях, подключенных к локальной сети внутреннего контура ГО или МИО и не имеющих подключения к Интернету | ||||
7. | Соблюдение требования по обеспечению информационному взаимодействию системы мониторинга событий информационной безопасности информационной системы государственного органа с системой мониторинга обеспечения информационной безопасности государственной технической службы | ||||
8. | Соблюдение требования по обеспечению мониторинга событий информационной безопасности информационной системы государственного органа и передача его результатов в систему мониторинга обеспечения информационной безопасности государственной технической службы | ||||
9. | Соблюдение требования по оповещению владельцем критически важных объектов информационно-коммуникационной инфраструктуры Национального координационного центра информационной безопасности об инцидентах информационной безопасности и о результатах реагирования на них | ||||
10. | Соблюдение требования аутентификации при эксплуатации объектов информатизации | ||||
11. | Соблюдение требования мониторинга обеспечения информационной безопасности (далее – ИБ), защиты и безопасного функционирования при эксплуатации объектов информатизации | ||||
12. | Наличие антивирусных средств, обновлений операционных систем на рабочих станциях, подключенных к сети Интернет при организации доступа к Интернету из локальных сетей внешнего контура | ||||
13. | Наличие подразделения ИБ, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определение должностного лица, ответственного за обеспечение ИБ | ||||
14. | Наличие нормативно-технической документации по обеспечению информационной безопасности, а также ее актуализация не реже одного раза в два года | ||||
15. | Соответствие порядка обеспечения информационной безопасности требованиям нормативно-технической документации | ||||
16. | Исполнение требований нормативно-технической документации по обеспечению информационной безопасности | ||||
17. | Соблюдение требования по включению обязанностей по обеспечению информационной безопасности в должностные инструкции и (или) условия трудового договора | ||||
18. | Соблюдение требования по применению средств криптографической защиты информации | ||||
19. | Обеспечение требования по мониторингу в ГО и МИО действий пользователей и персонала | ||||
20. | Соблюдение требования по применению средств и систем обеспечения ИБ при эксплуатации объектов информатизации | ||||
21. | Наличие акта с положительным результатом испытаний на соответствие требованиям информационной безопасности | ||||
22. | Наличие действующего аттестата соответствия требованиям информационной безопасности | ||||
23. | Соблюдение собственниками или владельцами информационной системы требования по хранению, восстановлению государственных электронных информационных ресурсов, содержащихся в информационной системе, сохранности государственных электронных информационных ресурсов | ||||
24. | Соблюдение требования по применению системы управления содержимым (контентом) при обеспечении ИБ информационных ресурсов (далее –ИР) | ||||
25. | Соблюдение требования по применению регистрационных свидетельств для проверки подлинности доменного имени и криптографической защиты содержимого сеанса связи с использованием средств криптографической защиты информации (далее – СКЗИ) при обеспечении ИБ ИР | ||||
26. | Наличие акта о завершении опытной эксплуатации информационной системы | ||||
27. | Соблюдение требования по размещению программно-аппаратного обеспечения информационной системы (далее –ИС) критически важных объектов информационно-коммуникационной инфраструктуры, содержащее персональные данные граждан Республики Казахстана на территории Республики Казахстан | ||||
28. | Обеспечение управления информационной системы из внутренней локальной сети | ||||
29. | Соблюдение требования по управлению идентификацией | ||||
30. | Соблюдение требования по проведению аудита событий информационной безопасности | ||||
31. | Соблюдение требования регистрации событий информационной безопасности | ||||
32. | Наличие физического разделения сред эксплуатации от сред разработки и тестирования | ||||
33. | Исполнение процедур сетевого и системного администрирования | ||||
34. | Соблюдение требования по размещению серверного оборудования | ||||
35. | Соблюдение требования по обеспечению системы хранения данных системой резервного копирования | ||||
36. | Соблюдение требования по не допущению подключения к единой транспортной среде государственных органов (далее –ЕТС ГО), локальной сети ГО или МИО, а также техническим средствам, входящим в состав ЕТС ГО, локальной сети ГО или МИО, устройств для организации удаленного доступа посредством беспроводных сетей, беспроводного доступа, модемов, радиомодемов, модемов сетей операторов сотовой связи, абонентских устройств сотовой связи и других беспроводных сетевых устройств | ||||
37. | Применение программно-технических средств защиты информации, в том числе криптографического шифрования, с использованием СКЗИ при организации выделенного канала связи, объединяющего локальные сети | ||||
38. | Соблюдение требования по подключению выделенного канала связи к локальной сети посредством пограничного шлюза | ||||
39. | Использование средств разделения и изоляции информационных потоков при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | ||||
40. | Использование оборудования с компонентами, обеспечивающими ИБ и безопасное управление при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | ||||
41. | Использование выделенных и интегрированных с оборудованием доступа межсетевых экранов, установленных в каждой точке подключения, с целью защиты периметра ЕТС ГО при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей ГО или МИО между собой | ||||
42. | Соблюдение требования по обеспечению безопасности при подключении сервера к ЕТС ГО и локальной сети посредством межсетевых экранов и отдельных шлюзов доступа, установленных в местах стыка с ЕТС ГО и локальной сетью | ||||
43. | Соблюдение требования по использованию только ведомственной электронной почты, службу мгновенных сообщений для осуществления оперативного информационного обмена (служебной переписки) в электронной форме служащими ГО, МИО и работниками государственных организаций, субъектами квазигосударственного сектора, а также владельцами критически важных объектов информационно коммуникационной инфраструктуры при исполнении ими служебных обязанностей | ||||
44. | Исполнение требования по размещению ведомственной электронной почты центрального исполнительного органа, структурных и территориальных подразделений центрального исполнительного органа, местного исполнительного органа в доменных зонах gov.kz и мем.қаз. | ||||
45. | Соблюдение требования по взаимодействию ведомственной электронной почты ГО и МИО с внешними электронными почтовыми системами только через единый шлюз электронной почты | ||||
46. | Наличие бесперебойного электропитания для активного оборудования локальных сетей | ||||
47. | Соблюдение требования по исключению передачи служебной информации ограниченного распространения, информации конфиденциальных ИС, конфиденциальных электронных информационных ресурсов (далее – ЭИР) и ЭИР, содержащих персональные данные ограниченного доступа, по незащищенным проводным каналам связи и радиоканалам, не оборудованным соответствующими СКЗИ | ||||
48. | Соблюдение требования по физическому отключению неиспользуемых портов кабельной системы локальной сети от активного оборудования | ||||
49. | Соблюдение требования по применению межсетевого экранирования | ||||
50. | Соблюдение требования по осуществлению взаимодействия локальных сетей ГО, а также МИО между собой только через ЕТС ГО, за исключением сетей телекоммуникаций специального назначения и/или правительственной, засекреченной, шифрованной и кодированной связи | ||||
51. | Соблюдение требования по исключению сопряжения ЛС внутреннего контура и ЛС внешнего контура ГО, а также МИО между собой | ||||
52. | Соблюдение требования по исключению подключения ЛС внутреннего контура ГО и МИО к Интернету | ||||
53. | Соблюдение требования по размещению ИС ГО или МИО, реализующие информационное взаимодействие через Интернет, в выделенном сегменте ЛС внешнего контура ГО или МИО | ||||
54. | Соблюдение требования по взаимодействию с ИС ГО или МИО, в выделенном сегменте ЛС внешнего контура ГО или МИО с ИС ГО, МИО размещенными в ЛС внутреннего контура ГО или МИО, через внешний шлюз "электронного правительства" (далее – ВШЭП) | ||||
55. | Соблюдение требования по осуществлению информационного взаимодействия ИС, размещенных в Интернете, с ИС ГО или МИО, размещенными в ЛС внутреннего контура ГО или МИО, только через ВШЭП | ||||
56. | Соблюдение требования по синхронизации сервера инфраструктуры источника времени верхнего уровня с эталоном времени и частоты, воспроизводящим национальную шкалу всемирного координированного времени UTC (kz) | ||||
57. | Наличие документирования при техническом сопровождении оборудования, установленного в серверном помещении | ||||
58. | Наличие системы контроля и управления доступом в серверном помещении | ||||
59. | Наличие системы обеспечения микроклимата в серверном помещении | ||||
60. | Наличие системы охранной сигнализации в серверном помещении | ||||
61. | Наличие системы видеонаблюдения в серверном помещении | ||||
62. | Наличие системы пожарной сигнализации в серверном помещении | ||||
63. | Наличие системы пожаротушения в серверном помещении | ||||
64. | Наличие системы гарантированного электропитания в серверном помещении | ||||
65. | Наличие системы заземления в серверном помещении | ||||
66. | Размещение распределительных устройств сетей телекоммуникаций в кроссовом помещении | ||||
67. | Размещение кроссового помещения ближе к центру обслуживаемой им рабочей области | ||||
68. | Наличие свободных служебных проходов для обслуживания оборудования в кроссовом помещении | ||||
69. | Отсутствие мощных источников электромагнитных помех (трансформаторов, электрических щитов, электродвигателей и прочее) в кроссовом помещении | ||||
70. | Отсутствие труб и вентилей системы водоснабжения в кроссовом помещении | ||||
71. | Наличие систем пожарной безопасности в кроссовом помещении | ||||
72. | Отсутствие легко возгораемых материалов (деревянные стеллажи, картон, книги и прочее) в кроссовом помещении | ||||
73. | Наличие в кроссовом помещении отдельной линии электропитания от отдельного автомата для подключения шкафа по проекту | ||||
74. | Наличие в кроссовом помещении систем охранной сигнализации, контроля доступа | ||||
75. | Наличие в кроссовом помещении системы кондиционирования |
Должностное (ые) лицо (а) ___________________________________ ________________
должность подпись
__________________________________________________________________________
фамилия, имя, отчество (при наличии)
Руководитель субъекта контроля _________________________ ____________________
должность подпись
__________________________________________________________________________
фамилия, имя, отчество (при наличии)
Проверочный лист в сфере информатизации в части обеспечения информационной безопасности в отношении государственных юридических лиц, субъектов квазигосударственного сектора, собственников и владельцев негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственников и владельцев критически важных объектов информационно-коммуникационной инфраструктуры
в сфере/в области/за ________________________________________________________
в соответствии со статьей 138
__________________________________________________________________________
Предпринимательского кодекса Республики Казахстан в отношении:
__________________________________________________________________________
наименование однородной группы субъектов (объектов) контроля
__________________________________________________________________________
Государственный орган, назначивший проверку ________________________________
__________________________________________________________________________
Акт о назначении проверки/профилактического контроля с посещением субъекта (объекта) контроля _______________________________________________________________
__________________________________________________________________________
№, дата
Наименование субъекта (объекта) контроля ____________________________________
__________________________________________________________________________
(Индивидуальный идентификационный номер), бизнес-идентификационный номер субъекта (объекта) контроля ______________________________________________________
_________________________________________________________________________
Адрес места нахождения ___________________________________________________
_________________________________________________________________________
№ | Перечень требований | Требуется | Не требуется | Соответствует требованиям | Не соответствует требованиям |
1 | 2 | 3 | 4 | 5 | 6 |
1. | Исполнение предписания по итогам профилактического контроля с посещением субъекта (объекта) | ||||
2. | Соблюдение требования по осуществлению подключения локальных, ведомственных и корпоративных сетей телекоммуникаций государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, а также собственников или владельцев критически важных объектов информационно-коммуникационной инфраструктуры к Интернету операторами связи через единый шлюз доступа к Интернету | ||||
3. | Соблюдение требования по оповещению владельцем критически важных объектов информационно-коммуникационной инфраструктуры Национального координационного центра информационной безопасности об инцидентах информационной безопасности и о результатах реагирования на них | ||||
4. | Соблюдение требования аутентификации при эксплуатации объектов информатизации | ||||
5. | Соблюдение требования мониторинга обеспечения информационной безопасности (далее – ИБ), защиты и безопасного функционирования при эксплуатации объектов информатизации | ||||
6. | Наличие антивирусных средств, обновлений операционных систем на рабочих станциях, подключенных к сети Интернет при организации доступа к Интернету из локальных сетей внешнего контура | ||||
7. | Наличие подразделения ИБ, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определение должностного лица, ответственного за обеспечение ИБ | ||||
8. | Наличие нормативно-технической документации по обеспечению информационной безопасности, а также ее актуализация не реже одного раза в два года | ||||
9. | Соответствие порядка обеспечения информационной безопасности требованиям нормативно-технической документации | ||||
10. | Исполнение требований нормативно-технической документации по обеспечению информационной безопасности | ||||
11. | Соблюдение требования по включению обязанностей по обеспечению информационной безопасности в должностные инструкции и (или) условия трудового договора | ||||
12. | Соблюдение требования по применению средств криптографической защиты информации | ||||
13. | Соблюдение требования по применению средств и систем обеспечения ИБ при эксплуатации объектов информатизации | ||||
14. | Соблюдение собственниками или владельцами информационной системы требования по хранению, восстановлению государственных электронных информационных ресурсов, содержащихся в информационной системе, сохранности государственных электронных информационных ресурсов | ||||
15. | Соблюдение требования по применению системы управления содержимым (контентом) при обеспечении ИБ информационных ресурсов (далее –ИР) | ||||
16. | Соблюдение требования по применению регистрационных свидетельств для проверки подлинности доменного имени и криптографической защиты содержимого сеанса связи с использованием средств криптографической защиты информации (далее – СКЗИ) при обеспечении ИБ ИР | ||||
17. | Соблюдение требования по размещению программно-аппаратного обеспечения информационной системы (далее –ИС) критически важных объектов информационно-коммуникационной инфраструктуры, содержащее персональные данные граждан Республики Казахстана на территории Республики Казахстан | ||||
18. | Соблюдение требования по управлению идентификацией | ||||
19. | Соблюдение требования по проведению аудита событий информационной безопасности | ||||
20. | Соблюдение требования регистрации событий информационной безопасности | ||||
21. | Наличие физического разделения сред эксплуатации от сред разработки и тестирования | ||||
22. | Исполнение процедур сетевого и системного администрирования | ||||
23. | Соблюдение требования по обеспечению системы хранения данных системой резервного копирования | ||||
24. | Применение программно-технических средств защиты информации, в том числе криптографического шифрования, с использованием СКЗИ при организации выделенного канала связи, объединяющего локальные сети | ||||
25. | Соблюдение требования по подключению выделенного канала связи к локальной сети посредством пограничного шлюза | ||||
26. | Соблюдение требования по использованию только ведомственной электронной почты, службу мгновенных сообщений для осуществления оперативного информационного обмена (служебной переписки) в электронной форме служащими ГО, МИО и работниками государственных организаций, субъектами квазигосударственного сектора, а также владельцами критически важных объектов информационно коммуникационной инфраструктуры при исполнении ими служебных обязанностей | ||||
27. | Наличие бесперебойного электропитания для активного оборудования локальных сетей | ||||
28. | Соблюдение требования по исключению передачи служебной информации ограниченного распространения, информации конфиденциальных ИС, конфиденциальных электронных информационных ресурсов (далее – ЭИР) и ЭИР, содержащих персональные данные ограниченного доступа, по незащищенным проводным каналам связи и радиоканалам, не оборудованным соответствующими СКЗИ | ||||
29. | Соблюдение требования по физическому отключению неиспользуемых портов кабельной системы локальной сети от активного оборудования | ||||
30. | Соблюдение требования по применению межсетевого экранирования | ||||
31. | Соблюдение требования по синхронизации сервера инфраструктуры источника времени верхнего уровня с эталоном времени и частоты, воспроизводящим национальную шкалу всемирного координированного времени UTC (kz) | ||||
32. | Наличие документирования при техническом сопровождении оборудования, установленного в серверном помещении | ||||
33. | Наличие системы контроля и управления доступом в серверном помещении | ||||
34. | Соблюдение требования по размещению серверного оборудования | ||||
35. | Наличие системы обеспечения микроклимата в серверном помещении | ||||
36. | Наличие системы охранной сигнализации в серверном помещении | ||||
37. | Наличие системы видеонаблюдения в серверном помещении | ||||
38. | Наличие системы пожарной сигнализации в серверном помещении | ||||
39. | Наличие системы пожаротушения в серверном помещении | ||||
40. | Наличие системы гарантированного электропитания в серверном помещении | ||||
41. | Наличие системы заземления в серверном помещении | ||||
42. | Размещение распределительных устройств сетей телекоммуникаций в кроссовом помещении | ||||
43. | Размещение кроссового помещения ближе к центру обслуживаемой им рабочей области | ||||
44. | Наличие свободных служебных проходов для обслуживания оборудования в кроссовом помещении | ||||
45. | Отсутствие мощных источников электромагнитных помех (трансформаторов, электрических щитов, электродвигателей и прочее) в кроссовом помещении | ||||
46. | Отсутствие труб и вентилей системы водоснабжения в кроссовом помещении | ||||
47. | Наличие систем пожарной безопасности в кроссовом помещении | ||||
48. | Отсутствие легко возгораемых материалов (деревянные стеллажи, картон, книги и прочее) в кроссовом помещении | ||||
49. | Наличие в кроссовом помещении отдельной линии электропитания от отдельного автомата для подключения шкафа по проекту | ||||
50. | Наличие в кроссовом помещении систем охранной сигнализации, контроля доступа | ||||
51. | Наличие в кроссовом помещении системы кондиционирования |
Должностное (ые) лицо (а) __________________________________ _________________
должность подпись
__________________________________________________________________________
фамилия, имя, отчество (при наличии)
Руководитель субъекта контроля __________________________ ___________________
должность подпись
__________________________________________________________________________
фамилия, имя, отчество (при наличии)