Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности

      В соответствии с подпунктом 3) статьи 6 Закона Республики Казахстан от 24 ноября 2015 года "Об информатизации" Правительство Республики Казахстан ПОСТАНОВЛЯЕТ:

      1. Утвердить прилагаемые единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (далее – единые требования).

      2. Признать утратившими силу некоторые решения Правительства Республики Казахстан согласно приложению к настоящему постановлению.

      3. Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

      Пункт 140 единых требований действует до 1 января 2018 года.

Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности Глава 1. Общие положения

      1. Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (далее – ЕТ) разработаны в соответствии с подпунктом 3) статьи 6 Закона Республики Казахстан "Об информатизации" (далее – Закон) и определяют требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности.

      2. Положения ЕТ, относящиеся к сфере обеспечения информационной безопасности, обязательны для применения государственными органами, местными исполнительными органами, государственными юридическими лицами, субъектами квазигосударственного сектора, собственниками и владельцами негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственниками и владельцами критически важных объектов информационно-коммуникационной инфраструктуры.

      3. Положения ЕТ не распространяются на:

      1) отношения, возникающие при осуществлении Национальным Банком Республики Казахстан и организациями, входящими в его структуру, работ по созданию или развитию, эксплуатации интернет-ресурсов, информационных систем, не интегрируемых с объектами информационно-коммуникационной инфраструктуры "электронного правительства", локальных сетей и сетей телекоммуникаций, а также проведении закупок товаров, работ и услуг в сфере информатизации;

      2) информационные системы в защищенном исполнении, отнесенные к государственным секретам в соответствии с законодательством Республики Казахстан о государственных секретах, а также сети телекоммуникаций специального назначения и/или президентской, правительственной, засекреченной, шифрованной и кодированной связи;

      3) отношения, возникающие при осуществлении уполномоченным органом по регулированию, контролю и надзору финансового рынка и финансовых организаций работ по созданию или развитию информационных систем, интегрируемых с информационными системами Национального Банка Республики Казахстан, которые не интегрируются с объектами информационно-коммуникационной инфраструктуры "электронного правительства";

      4) организации в случаях, когда исполнение таких положений ведет к нарушению пункта 4 статьи 50 Закона Республики Казахстан "О банках и банковской деятельности в Республике Казахстан".

      4. Целью ЕТ является установление обязательных для исполнения требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности государственными органами, органами местного самоуправления, государственными юридическими лицами, субъектами квазигосударственного сектора, собственниками и владельцами негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственниками и владельцами критически важных объектов информационно-коммуникационной инфраструктуры.

      5. Задачами ЕТ являются:

      1) определение принципов организации и управления информатизацией государственных органов для решения текущих и стратегических задач государственного управления;

      2) определение единых принципов обеспечения и управления информационной безопасностью объектов информатизации "электронного правительства";

      3) установление требований по унификации компонентов объектов информационно-коммуникационной инфраструктуры;

      4) установление требований по структуризации информационно-коммуникационной инфраструктуры и организации серверных помещений;

      5) установление обязательности применения рекомендаций стандартов в области информационно-коммуникационных технологий и информационной безопасности на всех этапах жизненного цикла объектов информатизации;

      6) повышение уровня защищенности государственных и негосударственных электронных информационных ресурсов, программного обеспечения, информационных систем и поддерживающей их информационно-коммуникационной инфраструктуры.

      6. Для целей настоящих ЕТ в них используются следующие определения:

      1) средство криптографической защиты информации (далее – СКЗИ) – программное обеспечение или аппаратно-программный комплекс, реализующие алгоритмы криптографических преобразований, генерацию, формирование, распределение или управление ключами шифрования;

      2) активы, связанные со средствами обработки информации (далее – актив), – материальный или нематериальный объект, который является информацией или содержит информацию, или служит для обработки, хранения, передачи информации и имеет ценность для организации в интересах достижения целей и непрерывности ее деятельности;

      3) маркировка актива, связанного со средствами обработки информации, – нанесение условных знаков, букв, цифр, графических знаков или надписей на актив с целью его дальнейшей идентификации (узнавания), указания его свойств и характеристик;

      4) техническая документация по информационной безопасности (далее – ТД ИБ) – документация, устанавливающая политику, правила, защитные меры, касающиеся процессов обеспечения ИБ объектов информатизации и (или) организации;

      5) угроза информационной безопасности – совокупность условий и факторов, создающих предпосылки к возникновению инцидента информационной безопасности;

      6) мониторинг событий информационной безопасности (далее – мониторинг событий ИБ) – постоянное наблюдение за объектом информатизации с целью выявления и идентификации событий информационной безопасности;

      7) система мониторинга обеспечения информационной безопасности – организационные и технические мероприятия, направленные на проведение мониторинга безопасного использования информационно-коммуникационных технологий;

      8) оперативный центр информационной безопасности – юридическое лицо или структурное подразделение юридического лица, осуществляющие деятельность по защите электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации;

      9) внутренний аудит информационной безопасности – объективный, документированный процесс контроля качественных и количественных характеристик текущего состояния информационной безопасности объектов информатизации в организации, осуществляемый самой организацией в своих интересах;

      10) программный робот – программное обеспечение поисковой системы или системы мониторинга, выполняющее автоматически и (или) по заданному расписанию просмотр веб-страниц, считывающее и индексирующее их содержимое, следуя по ссылкам, найденным на веб-страницах;

      11) система предотвращения утечки данных (DLP) – средство защиты информации, предназначенное для предотвращения утечек электронных информационных ресурсов ограниченного доступа;

      12) нагруженное (горячее) резервирование оборудования – использование дополнительного (избыточного) серверного и телекоммуникационного оборудования, программного обеспечения и поддержание их в активном режиме с целью гибкого и оперативного увеличения пропускной способности, надежности и отказоустойчивости информационной системы, электронного информационного ресурса;

      13) не нагруженное (холодное) резервирование оборудования – использование подготовленного к работе и находящегося в неактивном режиме дополнительного серверного и телекоммуникационного оборудования, программного обеспечения с целью оперативного восстановления информационной системы или электронного информационного ресурса;

      14) межсетевой экран – аппаратно-программный или программный комплекс, функционирующий в информационно-коммуникационной инфраструктуре, осуществляющий контроль и фильтрацию сетевого трафика в соответствии с заданными правилами;

      15) рабочая станция – стационарный компьютер в составе локальной сети, предназначенный для решения прикладных задач;

      16) системное программное обеспечение – совокупность программного обеспечения для обеспечения работы вычислительного оборудования;

      17) интернет-браузер – прикладное программное обеспечение, предназначенное для визуального отображения содержания интернет-ресурсов и интерактивного взаимодействия с ним;

      18) кодированная связь – защищенная связь с использованием документов и техники кодирования;

      19) многофакторная аутентификация – способ проверки подлинности пользователя при помощи комбинации различных параметров, в том числе генерации и ввода паролей или аутентификационных признаков (цифровых сертификатов, токенов, смарт-карт, генераторов одноразовых паролей и средств биометрической идентификации);

      20) кроссовое помещение – телекоммуникационное помещение, предназначенное для размещения соединительных, распределительных пунктов и устройств;

      21) прикладное программное обеспечение (далее – ППО) – комплекс программного обеспечения для решения прикладной задачи определенного класса предметной области;

      22) засекреченная связь – защищенная связь с использованием засекречивающей аппаратуры;

      23) масштабируемость – способность объекта информатизации обеспечивать возможность увеличения своей производительности по мере роста объема обрабатываемой информации и (или) количества одновременно работающих пользователей;

      24) серверный центр государственных органов (далее – серверный центр ГО) – серверное помещение (центр обработки данных), собственником и владельцем которого является оператор информационно-коммуникационной инфраструктуры "электронного правительства", предназначенное для размещения объектов информатизации "электронного правительства";

      25) журналирование событий – процесс записи информации о происходящих с объектом информатизации программных или аппаратных событиях в журнал регистрации событий;

      26) уязвимость – недостаток объекта информатизации, использование которого может привести к нарушению целостности и (или) конфиденциальности, и (или) доступности объекта информатизации;

      27) прокси-сервер – промежуточный сервер, участвующий в интернет-соединении между компьютерами/серверами, через который происходит обмен информацией в целях ее защиты от сетевых атак;

      28) серверное помещение (центр обработки данных) – помещение, предназначенное для размещения серверного, активного и пассивного сетевого (телекоммуникационного) оборудования и оборудования структурированных кабельных систем;

      29) регистрационное свидетельство (далее – цифровой сертификат) – электронный документ, выдаваемый удостоверяющим центром для подтверждения соответствия электронной цифровой подписи требованиям, установленным Законом Республики Казахстан "Об электронном документе и электронной цифровой подписи";

      30) локальная сеть внешнего контура (далее – ЛС внешнего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внешнему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с Интернетом, доступ к которому для субъектов информатизации предоставляется операторами связи только через единый шлюз доступа к Интернету;

      31) терминальная система – тонкий или нулевой клиент для работы с приложениями в терминальной среде либо программами – тонкими клиентами в клиент-серверной архитектуре;

      32) инфраструктура источника времени – иерархически связанное серверное оборудование, использующее сетевой протокол синхронизации времени, выполняющее задачу синхронизации внутренних часов серверов, рабочих станций и телекоммуникационного оборудования;

      33) субъекты информатизации, определенные уполномоченным органом, – государственные органы, их подведомственные организации и органы местного самоуправления, а также иные субъекты информатизации, использующие единую транспортную среду государственных органов для взаимодействия локальных (за исключением локальных сетей, имеющих доступ к Интернету), ведомственных и корпоративных сетей;

      34) организация – государственное юридическое лицо, субъект квазигосударственного сектора, собственник и владелец негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственник и владелец критически важных объектов информационно-коммуникационной инфраструктуры;

      35) правительственная связь – специальная защищенная связь для нужд государственного управления;

      36) федеративная идентификация – комплекс технологий, позволяющий использовать единое имя пользователя и аутентификационный идентификатор для доступа к электронным информационным ресурсам в системах и сетях, установивших доверительные отношения;

      37) шифрованная связь – защищенная связь с использованием ручных шифров, шифровальных машин, аппаратуры линейного шифрования и специальных средств вычислительной техники;

      38) локальная сеть внутреннего контура (далее – ЛС внутреннего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внутреннему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с единой транспортной средой государственных органов;

      39) единый репозиторий "электронного правительства" – хранилище исходных кодов и скомпонованных из них исполняемых кодов объектов информатизации "электронного правительства";

      40) внешний шлюз "электронного правительства" (далее – ВШЭП) – подсистема шлюза "электронного правительства", предназначенная для обеспечения взаимодействия информационных систем, находящихся в ЕТС ГО, с информационными системами, находящимися вне ЕТС ГО.

      6-1. Цифровизация ГО и МИО в рамках цифровой трансформации осуществляется путем создания и развития объектов информатизации "электронного правительства" либо путем приобретения объектов информатизации "электронного правительства" или информационно-коммуникационных услуг в соответствии с архитектурой "электронного правительства", в том числе с учетом:

      1) платформенности – формирование и постоянное развитие межведомственных централизованных технологических платформ информационно-коммуникационной инфраструктуры "электронного правительства" и инструментов для решения общих технических задач в рамках различных отраслей (сфер) государственного управления;

      2) универсальности решений – определение и обеспечение использования готового программного обеспечения и сервисных программных продуктов для решения типовых прикладных задач и автоматизации типовых обеспечивающих государственных функций;

      3) компонентного построения решений – обеспечение разработки и внедрения отдельных стандартных компонентов объектов информатизации "электронного правительства" по формату микросервисов, которые планируются, разрабатываются и внедряются итеративно, поэтапно предоставляя части функционала всего решения и выгод от его использования;

      4) результативности – извлечение максимальной выгоды от использования объектов информатизации "электронного правительства", сокращение издержек и рисков путем оптимизации структурных компонентов и затрат;

      5) оптимизации технического разнообразия – обеспечение обоснованного применения свободного программного обеспечения и систематичного управления техническим разнообразием.

      7. Для целей настоящих ЕТ в них используются следующие сокращения:

      1) АПК – аппаратно-программный комплекс;

      2) ИБ – информационная безопасность;

      3) ИС – информационная система;

      4) ИКИ – информационно-коммуникационная инфраструктура;

      5) ИКТ – информационно-коммуникационные технологии;

      6) ПО – программное обеспечение;

      7) МИО – местные исполнительные органы;

      8) СПО – свободное программное обеспечение;

      9) ЕШДИ – единый шлюз доступа к Интернету;

      10) ИР – интернет-ресурс;

      11) ГО – центральный исполнительный орган, государственный орган, непосредственно подчиненный и подотчетный Президенту Республики Казахстан, территориальные подразделения ведомства центрального исполнительного органа;

      12) ЕТС ГО – единая транспортная среда государственных органов;

      13) ЕПИР ГО – единая платформа интернет-ресурсов государственных органов;

      15) ЭИР – электронные информационные ресурсы;

      16) ИКП ЭП – информационно–коммуникационная платформа "электронного правительства";

      17) ЭЦП – электронная цифровая подпись;

      18) СИ – субъекты информатизации, определенные уполномоченным органом.

      7-1. Платформенность основывается на выполнении следующих требований:

      1) осуществление создания и развития решений на базе технологических платформ информационно-коммуникационной инфраструктуры "электронного правительства" и (или) использование функциональных возможностей технологических платформ информационно-коммуникационной инфраструктуры "электронного правительства";

      2) исключение компонентов, дублирующих функциональные возможности технологических платформ информационно-коммуникационной инфраструктуры "электронного правительства";

      3) обеспечение автоматизации процессов выполнения государственных функций и вытекающих из них услуг с использованием технологических платформ информационно-коммуникационной инфраструктуры "электронного правительства".

Глава 2. Требования к организации и управлению информатизацией и информационной безопасностью
Параграф 1. Требования к информатизации государственного органа

      8. Исключен постановлением Правительства РК от 10.02.2023 № 112 (вводится в действие с 01.01.2023).
      8-1. Исключен постановлением Правительства РК от 10.02.2023 № 112 (вводится в действие с 01.01.2023).

      8-2. Универсальность решений основывается на выполнении следующих требований:

      1) использование готового программного обеспечения и сервисных программных продуктов для автоматизации процессов выполнения типовых прикладных задач и типовых обеспечивающих государственных функций;

      2) адаптация особенностей выполнения государственных функций государственного органа к процессам, реализованным в готовом программном обеспечении и сервисных программных продуктах, без необходимости настройки и доработки программного обеспечения в процессе внедрения;

      3) отсутствие дополнительных затрат государственных органов на внедрение, обучение пользователей, приобретение программного обеспечения и компонентов информационно-коммуникационной инфраструктуры при использовании сервисных программных продуктов.

      9-1. Компонентное построение решений основывается на выполнении следующих требований:

      1) построение решений на базе микросервисной архитектуры с использованием стандартных компонентов;

      2) использование минимально необходимого набора компонентов, позволяющих решить поставленные задачи и обеспечить соответствие требованиям;

      3) исключение избыточных компонентов, параллельно автоматизирующих несвязанные специфичные государственные функции и (или) типовые обеспечивающие государственные функции;

      4) обеспечение адаптируемости, масштабируемости и гибкости состава, структуры и функциональности компонентов к изменениям законодательства Республики Казахстан, приоритетам социально-экономического развития, а также составу, структуре и полномочиям государственных органов;

      5) полное соответствие компонентов целям, задачам и назначению объекта информатизации "электронного правительства";

      6) обеспечение функциональной независимости и отсутствия дублирования задач и функциональных возможностей компонентов;

      7) формирование компонентов на базе открытых стандартов и с использованием набора стандартных интерфейсов прикладного программирования (application programming interface, API), предоставляемых компонентом сторонним решениям для обеспечения его многократного использования;

      8) многоуровневое построение архитектуры путем исключения охвата компонентами решения одновременно нескольких уровней архитектуры, в том числе уровней представления, бизнес-логики и хранения данных;

      9) обеспечение доступности компонентов для доработки и многократного использования.

      10. Развитие архитектуры "электронного правительства" осуществляется в соответствии с требованиями по развитию архитектуры "электронного правительства", утверждаемыми уполномоченным органом в соответствии с подпунктом 10) статьи 7 Закона.

      10-1. Результативность основывается на выполнении следующих требований:

      1) обеспечение максимального количественного экономического эффекта путем сокращения затрат, обеспечения окупаемости и повышения объемов поступлений средств в бюджет;

      2) направленность на удовлетворение потребностей физических и юридических лиц, отрасли (сферы) государственного управления и (или) государства в целом;

      3) обеспечение согласованности значений и единиц измерения показателей результатов функционирования объектов информатизации "электронного правительства" и целевых индикаторов отрасли (сферы) государственного управления;

      4) обеспечение приоритета автоматизации процессов выполнения специфичных государственных функций;

      5) последовательное итерационное создание и развитие решений путем внедрения части компонентов решения с базовым набором функциональных возможностей с последующим расширением количества компонентов и (или) повышением уровня их функциональности.

      11-1. Оптимизация технического разнообразия основывается на выполнении следующих требований:

      1) отчуждаемость и независимость от наименований и версий программного обеспечения, а также ограничений компонентов существующей информационно-коммуникационной инфраструктуры государственного органа;

      2) обеспечение оптимизации разнообразия существующего программного обеспечения и упрощения существующей информационно-коммуникационной инфраструктуры государственного органа;

      3) исключение ограничений для дальнейшего развития в результате изменения условий эксплуатации и расширения числа объектов автоматизации;

      4) обеспечение использования актуальных версий программного обеспечения;

      5) осуществление создания и развития решений с использованием свободного программного обеспечения в случаях обеспечения способности компонентов решения функционировать без ограничений и оптимальной совокупной стоимости владения по отношению к проприетарному лицензионному программному обеспечению.

      13. Обеспечение ГО и МИО товарами, работами и услугами в сфере информатизации осуществляется путем закупа с учетом заключения уполномоченного органа в сфере информатизации на представленные администраторами бюджетных программ расчеты расходов на государственные закупки товаров, работ и услуг в сфере информатизации, за исключением специальных государственных органов Республики Казахстан.

      13-1. ГО и организации размещают на архитектурном портале "электронного правительства" сведения об объектах информатизации и электронные копии технической документации к ним в соответствии с правилами учета сведений об объектах информатизации "электронного правительства" и размещения электронных копий технической документации объектов информатизации "электронного правительства".

      Перечень технической документации к объекту информатизации, требуемой к размещению, определяется Правилами учета сведений об объектах информатизации "электронного правительства" и размещения электронных копий технической документации объектов информатизации "электронного правительства".

      14. Реализацию задач в сфере информатизации в ГО или МИО обеспечивает подразделение информационных технологий, осуществляющее:

      1) мониторинг и анализ применения ИКТ;

      2) участие в мероприятиях по учету и анализу использования ИКТ-активов;

      3) выработку предложений в стратегический план ГО по вопросам информатизации;

      4) координацию работ по созданию, сопровождению и развитию объектов информатизации "электронного правительства";

      5) контроль за обеспечением поставщиками предусмотренного договорами уровня качества оказываемых услуг в сфере информатизации;

      6) учет и актуализацию сведений об объектах информатизации "электронного правительства" и электронных копий технической документации объектов информатизации "электронного правительства" на архитектурном портале "электронного правительства";

      9) реализацию требований по ИБ.

      14-1. Собственники и (или) владельцы обеспечивают ввод в промышленную эксплуатацию объекта информатизации "электронного правительства" с использованием исполняемых кодов, скомпонованных из исходных кодов объектов информатизации "электронного правительства", переданных ему государственной технической службой в соответствии с правилами функционирования единого репозитория "электронного правительства".

      15. Рабочее пространство в ГО и МИО организуется в соответствии с санитарными правилами "Санитарно-эпидемиологические требования к административным и жилым зданиям", утвержденными приказом Министра здравоохранения Республики Казахстан от 16 июня 2022 года № ҚР ДСМ-52 (зарегистрирован в Министерстве юстиции Республики Казахстан 20 июня 2022 года за № 28525).

      16. Рабочее место служащего ГО и МИО оснащается с учетом его функциональных обязанностей и включает:

      1) рабочую станцию или унифицированное рабочее место или терминальную систему с подключением к ЛС внутреннего контура ГО или МИО. Допускается оснащение рабочего места дополнительным монитором при необходимости;

      2) комплект мультимедийного оборудования (наушники, микрофон и веб-камера) для работы с мультимедийными ЭИР или системой видеоконференц-связи при необходимости;

      3) аппарат телефонной связи или IP-телефонии.

      17. Требования к унифицированному рабочему месту или терминальной системе ГО и МИО, а также компонентам объектов информационно-коммуникационной инфраструктуры утверждаются уполномоченным органом.

      17-1. Обеспечивается соответствие рабочего места или терминальной системы ГО и МИО требованиям к унифицированному рабочему месту или терминальной системе ГО и МИО, утвержденным уполномоченным органом.

      Требования обновляются и актуализируются по мере необходимости.

      18. При выборе закупаемых моделей рабочих станций необходимо руководствоваться следующими положениями:

      1) аппаратные характеристики рабочих станций соответствуют либо превосходят системные требования, рекомендуемые разработчиком (производителем) используемого ПО;

      2) для обеспечения общего уровня услуг унифицируются конфигурации рабочих станций;

      3) для рабочих станций организуется централизованное автоматизированное распространение обновлений ПО;

      4) для повышения качества и скорости администрирования количество различных аппаратно-программных конфигураций рабочих станций ограничивается тремя типами:

      рабочая станция для работы с прикладным ПО;

      рабочая станция повышенной мощности для работы с графическими пакетами, пакетами ПО моделирования и прочими. Используется для приложений с развитой графикой, высокими требованиями к производительности процессора, объемам оперативной памяти и видеоподсистем;

      ноутбук для работы мобильных пользователей.

      19. Для спецификации технических требований выделяются следующие ключевые параметры рабочих станций:

      1) производительность, включающая в себя:

      параметры быстродействия процессора;

      необходимый объем оперативной памяти;

      скорости внутренних шин передачи данных;

      быстродействие графической подсистемы;

      быстродействие устройств ввода/вывода;

      параметры матрицы монитора;

      2) надежность, обеспечиваемая за счет использования отказоустойчивых аппаратных средств и ПО, и определяется исходя из среднего времени безотказной работы;

      3) масштабируемость, обеспечиваемая архитектурой и конструкцией персонального компьютера за счет возможности наращивания:

      числа и производительности процессоров;

      объемов оперативной и внешней памяти;

      емкости встроенных накопителей.

      20. Для обеспечения ИБ:

      1) в ТД ИБ определяются:

      способы размещения рабочих станций служащих ГО или МИО;

      способы защиты рабочих станций от отказов в системе электроснабжения и других нарушений, вызываемых сбоями в работе коммунальных служб;

      процедуры и периодичность технического обслуживания рабочих станций для обеспечения непрерывной доступности и целостности;

      способы защиты рабочих станций мобильных пользователей, находящихся за пределами ГО или МИО, с учетом различных внешних рисков;

      способы гарантированного уничтожения информации при повторном использовании рабочих станций или выводе из эксплуатации носителей информации;

      правила выноса рабочих станций за пределы рабочего места;

      2) на регулярной основе проводится учет рабочих станций с проверкой конфигурации, а также электронных носителей информации с уникальными идентифицирующими данными;

      3) установка и применение на рабочих станциях программных или аппаратных средств удаленного управления извне ЛС внутреннего контура исключается. Удаленное управление внутри ЛС внутреннего контура допускается в случаях, прямо предусмотренных в правовом акте ГО или МИО;

      4) неиспользуемые порты ввода-вывода рабочих станций и мобильных компьютеров служащих ГО и МИО отключаются или блокируются, за исключением рабочих станций служащих подразделения ИБ.

      21. Вопрос операций ввода-вывода с применением внешних электронных носителей информации на рабочих станциях служащих ГО и МИО регулируется в соответствии с политикой ИБ, принятой в ГО или МИО.

      22. Для оптимизации размещения оборудования на рабочем месте служащего ГО и МИО допускается применение специализированного оборудования, обеспечивающего использование одной единицы монитора, ручного манипулятора (мышь) и клавиатуры для нескольких рабочих станций, без применения сетевых интерфейсов.

      23. Для использования сервисов ИКП ЭП рабочая станция, подключенная к ЛС внутреннего контура ГО или МИО, обеспечивается сетевым подключением к инфраструктуре ИКП ЭП.

      24. Обработка и хранение служебной информации ГО и МИО осуществляются на рабочих станциях, подключенных к локальной сети внутреннего контура и внешнего контура ГО или МИО.

      Служебная информация ГО и МИО с ограниченным доступом обрабатывается на рабочих станциях, подключенных к локальной сети внутреннего контура ГО или МИО и не имеющих подключения к Интернету.

      25. Доступ к Интернету служащим ГО и МИО предоставляется с рабочих станций, подключенных к ЛС внешнего контура ГО и МИО, размещенных за пределами режимных помещений, определяемых в соответствии с Инструкцией по защите государственных секретов Республики Казахстан.

      25-1. При организации доступа к Интернету из локальных сетей внешнего контура в обязательном порядке обеспечивается наличие антивирусных средств, обновлений операционных систем на рабочих станциях, подключенных к сети Интернет.

      26. Сервис телефонной связи:

      1) реализуется как на базе цифровых телефонных сетей общего пользования, так и с применением технологии IP-телефонии;

      2) обеспечивает коммутацию пользователя с абонентами телефонных сетей по следующим каналам:

      использование соединений абонентов через существующую локальную вычислительную сеть внутреннего и внешнего контура и ведомственную сеть передачи данных;

      использование услуг связи оператора телефонной связи общего пользования по потоку Е1;

      использование операторов сотовой связи;

      использование услуг междугородних и международных вызовов.

      27. Для проведения конференций, презентаций, совещаний, телемостов конференцзал ГО и МИО оснащается:

      1) конференцсистемой звукового усиления, включающей размещение на месте участника микрофона, громкоговорителя и светового индикатора запроса и выступления участника;

      2) устройством ввода-вывода информации.

      Для организации "телемоста" с географически распределенными участниками, находящимися в других городах или странах, конференцсистема по необходимости дополняется системой аудио- и видеоконференцсвязи оператора ИКИ ЭП.

      28. Сервис печати:

      1) реализуется посредством печатающего, копирующего и сканирующего оборудования, подключенного к локальной сети внутреннего контура ГО с использованием сетевого интерфейса либо прямого подключения к серверу печати;

      2) обеспечивается программным обеспечением, реализующим:

      централизованное управление пользователями и устройствами;

      учет распечатываемых документов, а также копий, факсов, отправленных электронной почтой и сканирований по идентификационным номерам пользователей с возможностью распределения затрат между подразделениями и пользователями;

      систему отчетов, графически иллюстрирующих активность печати, копирования и сканирования;

      идентификацию пользователя до начала использования сервиса печати;

      авторизацию служащего ГО на устройстве печати способами, регламентированными в ТД ИБ;

      формирование очереди печати, осуществляющей печать посредством единой очереди печати с возможностью получения распечатанных документов на доступном устройстве печати.

Параграф 2. Требования к организации информационной безопасности

      29. При организации, обеспечении и управлении ИБ в ГО, МИО или организации необходимо руководствоваться положениями стандарта Республики Казахстан СТ РК ISO/IEC 27002-2023 "Информационная безопасность, кибербезопасность и защита конфиденциальности. Средства управления информационной безопасностью".

      29-1. В целях реализации требований обеспечения информационной безопасности для обороны страны и безопасности государства осуществляется приобретение ПО и продукции электронной промышленности в виде товара и информационно-коммуникационной услуги из реестра доверенного программного обеспечения и продукции электронной промышленности в соответствии с Законом и законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.

      Реестр доверенного программного обеспечения и продукции электронной промышленности ведется уполномоченным органом в сфере электронной промышленности в соответствии с Правилами формирования и ведения реестра доверенного программного обеспечения и продукции электронной промышленности, а также критериями по включению программного обеспечения и продукции электронной промышленности в реестр доверенного программного обеспечения и продукции электронной промышленности, утвержденными уполномоченным органом в сфере электронной промышленности согласно пункту 7 статьи 7-6 Закона.

      При этом в случае отсутствия в реестре доверенного программного обеспечения и продукции электронной промышленности необходимой продукции допускается ее приобретение в соответствии с законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.

      Собственники и владельцы программного обеспечения, включенного в реестр доверенного программного обеспечения и продукции электронной промышленности, обеспечивают ввод в промышленную эксплуатацию объекта информатизации "электронного правительства" с использованием исполняемых кодов, скомпонованных из исходных кодов объектов информатизации "электронного правительства", переданных ему государственной технической службой в соответствии с правилами функционирования единого репозитория "электронного правительства".

      30. В целях разграничения ответственности и функций в сфере обеспечения ИБ создается подразделение ИБ, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определяется должностное лицо, ответственное за обеспечение ИБ.

      Подразделение ИБ или должностное лицо, ответственное за обеспечение ИБ, осуществляют координацию работ по обеспечению ИБ и контроль за исполнением требований ИБ, определенных в ТД по ИБ.

      Сотрудники, ответственные за обеспечение ИБ, проходят специализированные курсы в сфере обеспечения ИБ не реже одного раза в три года с выдачей сертификата.

      31. ТД ИБ создается в виде четырехуровневой системы документированных правил, процедур, практических приемов или руководящих принципов, которыми руководствуется ГО, МИО или организация в своей деятельности.

      ТД ИБ разрабатывается на казахском и русском языках, утверждается правовым актом ГО, МИО или организации и доводится до сведения всех служащих ГО, МИО или работников организации.

      ТД ИБ пересматривается с целью анализа и актуализации изложенной в них информации не реже одного раза в два года.

      32. Политика ИБ ГО, МИО или организации является документом первого уровня и определяет цели, задачи, руководящие принципы и практические приемы в области обеспечения ИБ.

      32-1. Перечень внутренних документов финансовой организации, детализирующий требования политики ИБ, определяется в соответствии с нормативными правовыми актами уполномоченного органа по регулированию, контролю и надзору финансового рынка и финансовых организаций, регулирующими деятельность финансовых организаций по обеспечению информационной безопасности.

      33. В перечень документов второго уровня входят документы, детализирующие требования политики ИБ ГО, МИО или организации, в том числе:

      1) методика оценки рисков информационной безопасности;

      2) правила идентификации, классификации, маркировки, паспортизации активов, связанных со средствами обработки информации и их инвентаризации;

      3) правила проведения внутреннего аудита ИБ;

      4) правила использования средств криптографической защиты информации;

      5) правила организации процедуры аутентификации и разграничения прав доступа к электронным информационным ресурсам;

      6) правила организации антивирусного контроля, использования мобильных устройств, носителей информации, Интернета и электронной почты;

      7) правила организации физической защиты, безопасной среды функционирования и обеспечения непрерывной работы активов, связанных со средствами обработки информации.

      34. Документы третьего уровня содержат описание процессов и процедур обеспечения ИБ, в том числе:

      1) каталог угроз (рисков) ИБ;

      2) план обработки угроз (рисков) ИБ;

      3) план мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации;

      4) руководство администратора по сопровождению объекта информатизации, резервному копированию и восстановлению информации;

      5) инструкцию о порядке действий пользователей по реагированию на инциденты ИБ и во внештатных (кризисных) ситуациях.

      35. Перечень документов четвертого уровня включает рабочие формы, журналы, заявки, протоколы и другие документы, в том числе электронные, используемые для регистрации и подтверждения выполненных процедур и работ, в том числе:

      1) журнал регистрации инцидентов ИБ и учета внештатных ситуаций;

      2) журнал посещения серверных помещений;

      3) отчет о проведении оценки уязвимости сетевых ресурсов;

      4) журнал учета кабельных соединений;

      5) журнал учета резервных копий (резервного копирования, восстановления), тестирования резервных копий.

      36. Для обеспечения защиты активов проводятся:

      1) инвентаризация активов;

      2) классификация и маркировка активов в соответствии с системой классификации, принятой в ГО, МИО;

      3) закрепление активов за должностными лицами и определение меры их ответственности за реализацию мероприятий по управлению ИБ активов;

      4) регламентация в ТД ИБ порядка:

      использования и возврата активов;

      идентификации, классификации и маркировки активов.

      37. С целью управления рисками в сфере ИКТ в ГО или МИО осуществляются:

      1) выбор методики оценки рисков в соответствии с рекомендациями стандарта Республики Казахстан СТ РК 31010-2020 "Менеджмент риска. Методы оценки риска" и разработка процедуры анализа рисков;

      2) идентификация рисков в отношении перечня идентифицированных и классифицированных активов, включающая:

      выявление угроз ИБ и их источников;

      выявление уязвимостей, которые могут привести к реализации угроз;

      определение каналов утечки информации;

      формирование модели нарушителя;

      3) выбор критериев принятия идентифицированных рисков;

      4) формирование каталога угроз (рисков) ИБ, включающего оценку (переоценку) идентифицированных рисков в соответствии с требованиями стандарта Республики Казахстан СТ РК ISO/IEC 27005-2022 "Информационные технологии. Методы обеспечения безопасности. Менеджмент риска информационной безопасности";

      5) разработка и утверждение плана обработки угроз (рисков) ИБ, содержащего мероприятия по их нейтрализации или снижению.

      38. С целью контроля событий нарушений ИБ в ГО, МИО или организации:

      1) проводится мониторинг событий, связанных с нарушением ИБ, и анализ результатов мониторинга;

      2) регистрируются события, связанные с состоянием ИБ, и выявляются нарушения путем анализа журналов событий, в том числе:

      журналов событий операционных систем;

      журналов событий систем управления базами данных;

      журналов событий антивирусной защиты;

      журналов событий прикладного ПО;

      журналов событий телекоммуникационного оборудования;

      журналов событий систем обнаружения и предотвращения атак;

      журналов событий системы управления контентом;

      3) обеспечивается синхронизация времени журналов регистрации событий с инфраструктурой источника времени;

      4) журналы регистрации событий хранятся в течение срока, указанного в ТД ИБ, но не менее трех лет и находятся в оперативном доступе не менее двух месяцев;

      5) ведутся журналы регистрации событий в соответствии с форматами и типами записей, определенными в правилах проведения мониторинга обеспечения информационной безопасности объектов информатизации "электронного правительства" и критически важных объектов информационно-коммуникационной инфраструктуры, утвержденных уполномоченным органом в сфере обеспечения информационной безопасности по согласованию с органами национальной безопасности в соответствии с подпунктом 7) статьи 7-1 Закона;

      5-1) обеспечивается подключение систем журналирования событий ИБ объектов информатизации "электронного правительства" к техническим средствам системы мониторинга обеспечения информационной безопасности Национального координационного центра информационной безопасности по запросу государственной технической службы;

      6) обеспечивается защита журналов регистрации событий от вмешательства и неавторизированного доступа. Не допускается наличие у системных администраторов полномочий на изменение, удаление и отключение журналов. Для конфиденциальных ИС требуются создание и ведение резервного хранилища журналов;

      7) обеспечивается внедрение формализованной процедуры информирования об инцидентах ИБ и реагирования на инциденты ИБ.

      38-1. ГО и МИО обеспечивают на постоянной основе физический доступ работникам Национального координационного центра информационной безопасности к объектам информатизации "электронного правительства" с предоставлением отдельных рабочих мест по запросу государственной технической службы в целях проведения работ по мониторингу обеспечения информационной безопасности и мониторингу событий информационной безопасности.

      39. С целью защиты критически важных процессов ГО, МИО или организации от внутренних и внешних угроз:

      1) разрабатывается, тестируется и реализуется план мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации;

      2) доводится до сведения служащих ГО, МИО или работников организации инструкция о порядке действий пользователей по реагированию на инциденты ИБ и во внештатных (кризисных) ситуациях.

      План мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации, подлежит регулярной актуализации.

      40. Функциональные обязанности по обеспечению ИБ и обязательства по исполнению требований ТД ИБ служащих ГО, МИО или работников организации вносятся в должностные инструкции.

      Обязательства в области обеспечения ИБ, имеющие силу после прекращения действий трудового договора, закрепляются в трудовом договоре с работником организации.

      41. В случае привлечения сторонних организаций к обеспечению информационной безопасности ЭИР, ИС, ИКИ, их собственник или владелец заключает соглашения, в которых устанавливаются условия работы, доступа или использования данных объектов, а также ответственность за их нарушение.

      42. В ТД ИБ определяется содержание процедур при увольнении служащих ГО, МИО или работников организации, имеющих обязательства в области обеспечения ИБ.

      43. При внесении изменений в условия трудового договора работника организации, ротации или продвижении по государственной службе служащего ГО, МИО, их увольнении права доступа к информации и средствам обработки информации, включающие физический и логический доступ, идентификаторы доступа, подписки, документацию, которая идентифицирует его как действующего служащего ГО, МИО или работника организации, аннулируются.

      44. Кадровая служба организует и ведет учет прохождения служащими ГО, МИО или работниками организаций обучения в сфере информатизации и области обеспечения ИБ.

      45. При инициировании создания или развития объектов информатизации первого и второго классов в соответствии с классификатором объектов информатизации, утвержденным уполномоченным органом в сфере информатизации в соответствии с подпунктом 11) статьи 7 Закона (далее – классификатор), а также конфиденциальных ИС разрабатываются профили защиты для составных компонентов и задание по безопасности в соответствии с требованиями стандарта Республики Казахстан СТ РК ISO/IEC 15408-2017 "Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий".

      46. В целях обеспечения ИБ при эксплуатации объектов информатизации устанавливаются требования к:

      1) способам аутентификации;

      2) применяемым СКЗИ;

      3) способам обеспечения доступности и отказоустойчивости;

      4) мониторингу обеспечения ИБ, защиты и безопасного функционирования;

      5) применению средств и систем обеспечения ИБ;

      6) регистрационным свидетельствам удостоверяющих центров.

      46-1. Для подписания объекты информатизации "электронного правительства" используют регистрационные свидетельства аккредитованных удостоверяющих центров в соответствии с Правилами выдачи и отзыва свидетельства об аккредитации удостоверяющих центров, утверждаемыми уполномоченным органом в соответствии с подпунктом 2) пункта 3 статьи 5 Закона Республики Казахстан "Об электронном документе и электронной цифровой подписи".

      47. При доступе к объектам информатизации первого и второго классов в соответствии с классификатором применяется многофакторная аутентификация, в том числе с использованием цифровых сертификатов.

      48. C целью защиты служебной информации ограниченного распространения, конфиденциальных ИС, конфиденциальных ЭИР и ЭИР, содержащих персональные данные ограниченного доступа, применяются СКЗИ (программные или аппаратные) с параметрами, соответствующими требованиям к СКЗИ в соответствии со стандартом Республики Казахстан СТ РК 1073-2007 "Средства криптографической защиты информации. Общие технические требования" для объектов информатизации:

      первого класса в соответствии с классификатором – третьего уровня безопасности;

      второго класса в соответствии с классификатором – второго уровня безопасности;

      третьего класса в соответствии с классификатором – первого уровня безопасности.

      49. Для обеспечения доступности и отказоустойчивости владельцами объектов информатизации ЭП обеспечиваются:

      1) наличие резервного собственного или арендованного серверного помещения для объектов информатизации ЭП первого и второго классов в соответствии с классификатором;

      2) резервирование аппаратно-программных средств обработки данных, систем хранения данных, компонентов сетей хранения данных и каналов передачи данных, в том числе для объектов информатизации ЭП:

      первого класса в соответствии с классификатором – нагруженное (горячее) в резервном серверном помещении;

      второго класса в соответствии с классификатором – не нагруженное (холодное) в резервном серверном помещении;

      третьего класса в соответствии с классификатором – хранение на складе в непосредственной близости от основного серверного помещения.

      49-1. Интеграция объектов информатизации "электронного правительства" осуществляется в соответствии с Правилами интеграции объектов информатизации "электронного правительства", утвержденными уполномоченным органом в соответствии с подпунктом 13) статьи 7 Закона, и при соблюдении требований информационной безопасности, определяемых профилем защиты и оформляемых договором совместных работ по информационной безопасности государственных и негосударственных информационных систем, и основывается на обеспечении:

      1) единой интеграционной среды – обеспечение технологической возможности межведомственного и ведомственного информационного взаимодействия объектов информатизации;

      2) единовременной интеграции – обеспечение однократного подключения объектов информатизации "электронного правительства" к системе взаимодействия и последующего многократного использования для минимизации финансовых и временных издержек при передаче и получении информации;

      3) единого информационного пространства – обеспечение совместимости и сопоставимости данных при передаче на основе применения стандартных форматов передачи данных.

      50. Объекты информатизации ЭП первого и второго классов в соответствии с классификатором подключаются к системе мониторинга обеспечения ИБ, защиты и безопасного функционирования не позднее одного года после их введения в промышленную эксплуатацию.

      50-1. Собственники или владельцы негосударственных информационных систем, предназначенных для формирования государственных электронных информационных ресурсов, осуществления государственных функций и оказания государственных услуг, до интеграции с информационными системами государственных органов создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

      Владельцы критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан.

      Собственники или владельцы критически важных объектов информационно-коммуникационной инфраструктуры, за исключением государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, в течение года со дня включения в перечень критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

      50-2. Единая интеграционная среда основывается на выполнении следующих требований:

      1) осуществление интеграции в единую интеграционную среду в соответствии с сервисно-ориентированной архитектурой;

      2) осуществление межгосударственного информационного взаимодействия объектов информатизации нескольких государств посредством национального шлюза Республики Казахстан;

      3) осуществление создания, изменения и удаления данных путем их сопряжения с соответствующими процессами реализации государственных функций и предоставления государственных услуг, инициированными владельцами данных или от их имени;

      4) применение единых подходов и стандартов в обеспечении однозначной идентификации взаимодействующих сторон и объема их прав при осуществлении взаимодействия;

      5) приоритетное осуществление синхронного взаимодействия между объектами информатизации "электронного правительства";

      6) обеспечение использования сведений из хранилища электронных документов и единой системы нормативно-справочной информации шлюза "электронного правительства" в процессе информационного взаимодействия и предоставления государственных услуг;

      7) обеспечение фиксации даты, времени, содержания и участников всех действий и операций, осуществляемых в рамках информационного взаимодействия, а также сведений, позволяющих восстановить историю информационного взаимодействия;

      8) обеспечение технической возможности для доступа к данным, хранящимся в организациях;

      9) обеспечение легитимности и целостности информационного взаимодействия путем подписания запроса и передаваемых данных ЭЦП.

      51. ГО, МИО или организация осуществляют мониторинг:

      действий пользователей и персонала;

      использования средств обработки информации.

      51-1. Единовременная интеграция основывается на выполнении следующих требований:

      1) осуществление интеграции и предоставления доступа к функциональным возможностям и ЭИР (данным) объектов информатизации на основе набора универсальных сервисов информационного взаимодействия, опубликованных на шлюзе "электронного правительства";

      2) обеспечение многократного использования сервисов информационного взаимодействия путем их включения в реестр сервисов шлюза "электронного правительства";

      3) обеспечение создания сервисов информационного взаимодействия на основании стандартных технологий, форматов и протоколов передачи данных, используемых в Республике Казахстан;

      4) распространение данных посредством единого виртуального источника данных с управлением правами доступа получателей информации;

      5) осуществление разработки нового сервиса информационного взаимодействия в случаях отсутствия аналогичного либо похожего сервиса в регистре сервисов шлюза "электронного правительства";

      6) обеспечение технической возможности для формирования композитных сервисов на основе сервисов информационного взаимодействия;

      7) обеспечение работоспособности шлюза "электронного правительства" в независимости от проводимых технических, административных, организационных и иных изменений объектов информатизации "электронного правительства", подключенных к шлюзу "электронного правительства";

      8) обеспечение возможности независимого развития объекта информатизации "электронного правительства" поставщика информации без необходимости доработки всех связанных потребителей информации путем обеспечения неизменности интерфейсов сервиса информационного взаимодействия.

      52. В ГО, МИО или организации в рамках осуществления мониторинга действий пользователей и персонала:

      1) при выявлении аномальной активности и злоумышленных действий пользователей эти действия:

      регистрируются, блокируются и оперативно оповещается администратор для объектов информатизации ЭП первого класса в соответствии с классификатором;

      регистрируются и блокируются для объектов информатизации ЭП второго класса в соответствии с классификатором;

      регистрируются для объектов информатизации ЭП третьего класса в соответствии с классификатором;

      2) регистрируются и контролируются подразделением ИБ действия обслуживающего персонала.

      52-1. Единое информационное пространство основывается на соблюдении требований по управлению данными, в том числе с учетом требований по:

      1) обеспечению совместимости данных в процессе информационного взаимодействия путем синтаксического, семантического и пространственного соответствия передаваемых данных и интерфейсов сервисов информационного взаимодействия;

      2) обеспечению распространения определенного вида данных путем использования эталонных источников информации и их сопоставления в случае использования данных из нескольких источников;

      3) однозначной и уникальной идентификации распространяемых данных;

      4) распространению общедоступных данных в структурированном, машиночитаемом и связанном формате посредством портала открытых данных;

      5) обеспечению возможности подтверждения достоверности и актуальности данных, выявления недостоверных данных, а также информирования заинтересованных участников информационного взаимодействия о случаях выявления недостоверных данных и изменениях, произведенных в процессе ее актуализации;

      6) использованию единой схемы преобразования данных из формата данных потребителя информации к формату данных поставщика информации при взаимодействии объектов информатизации "электронного правительства" с использованием шлюза "электронного правительства".

      53. События ИБ, идентифицированные как критические для конфиденциальности, доступности и целостности, по результатам анализа мониторинга событий ИБ и анализа журнала событий:

      1) определяются как инциденты ИБ;

      2) учитываются в каталоге угроз (рисков) ИБ;

      3) регистрируются в службе реагирования на компьютерные инциденты государственной технической службы.

      53-1. При наличии в ИС функции подписания электронных документов пользователю ИС предоставляется возможность выгрузки из ИС электронного документа, как подписанного ЭЦП пользователя, так и иных доступных ему электронных документов вместе со всеми ЭЦП, которыми удостоверены такие электронные документы, с целью получения пользователем ИС возможности проверки подлинности электронного документа без использования данной ИС иными доступными ему способами.

      53-2. При наличии в ИС функции подписания электронных документов пользователю ИС предоставляется возможность загрузки в ИС ранее подписанного электронного документа вместе со всеми ЭЦП, которыми удостоверен такой электронный документ, в том числе, если такой электронный документ был подписан без использования данной ИС.

      53-3. При наличии в ИС функции работы с электронными документами ИС осуществляет проверку полномочий лица, подписавшего документ, в соответствии с Правилами проверки подлинности электронной цифровой подписи, утверждаемыми уполномоченным органом согласно подпункту 10) пункта 1 статьи 5 Закона Республики Казахстан "Об электронном документе и электронной цифровой подписи".

      53-4. При наличии в ИС функции работы с электронными документами ИС должна хранить электронные документы в неизменном виде вместе со всеми ЭЦП, которыми они удостоверены, метками времени и информацией о статусе проверки регистрационных свидетельств на отозванность (аннулирование) на момент подписания в течение всего срока хранения электронного документа в ИС.

      53-5. При наличии в ИС функции работы с электронными документами ИС должна поддерживать работу со всеми типами хранилищ ключей ЭЦП, поддерживаемыми удостоверяющими центрами, с которыми работает данная ИС.

      54. На этапе опытной и промышленной эксплуатации объектов информатизации используются средства и системы:

      обнаружения и предотвращения вредоносного кода;

      мониторинга и управления инцидентами и событиями ИБ;

      обнаружения и предотвращения вторжений;

      мониторинга и управления информационной инфраструктурой.

      54-1. Для защиты объектов информатизации ГО, МИО и критически важных объектов информационно-коммуникационной инфраструктуры применяются системы предотвращения утечки данных (DLP).

      При этом обеспечиваются:

      визуальное уведомление пользователя о проводимом контроле действий;

      размещение центра управления и серверов системы предотвращения утечки данных в пределах локальной сети.

      55. Регистрационные свидетельства Корневого удостоверяющего центра Республики Казахстан подлежат признанию в доверенных списках программных продуктов мировых производителей ПО для целей аутентификации в соответствии со стандартами Республики Казахстан СТ РК ИСО/МЭК 14888-1-2017 "Информационная технология. Методы защиты информации. Цифровые подписи с приложением. Часть 1. Общие положения", СТ РК ИСО/МЭК 14888-3-2017 "Методы защиты информации цифровые подписи с приложением. Часть 3. Механизмы, основанные на сертификате", ГОСТ Р ИСО/МЭК 9594-8-98 "Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации".

      56. Удостоверяющие центры Республики Казахстан, за исключением Корневого удостоверяющего центра Республики Казахстан, признаются в доверенных списках программных продуктов мировых производителей ПО путем аккредитации удостоверяющего центра в соответствии с правилами аккредитации удостоверяющих центров.