Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности

Постановление Правительства Республики Казахстан от 20 декабря 2016 года № 832.

В соответствии с подпунктом 3) статьи 6 Закона Республики Казахстан от 24 ноября 2015 года "Об информатизации" Правительство Республики Казахстан ПОСТАНОВЛЯЕТ:

Утвердить прилагаемые единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (далее – единые требования).
Признать утратившими силу некоторые решения Правительства Республики Казахстан согласно приложению к настоящему постановлению.
Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

Пункт 140 единых требований действует до 1 января 2018 года.


Премьер-Министр Республики Казахстан		Б. Сагинтаев
	Утверждены постановлением Правительства Республики Казахстан от 20 декабря 2016 года № 832

Единые требования
в области информационно-коммуникационных технологий и обеспечения информационной безопасности

Глава 1. Общие положения

Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (далее – ЕТ) разработаны в соответствии с подпунктом 3) статьи 6 Закона Республики Казахстан "Об информатизации" (далее – Закон) и определяют требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности.

Сноска. Пункт 1- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Положения ЕТ, относящиеся к сфере обеспечения информационной безопасности, обязательны для применения государственными органами, местными исполнительными органами, государственными юридическими лицами, субъектами квазигосударственного сектора, собственниками и владельцами негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственниками и владельцами критически важных объектов информационно-коммуникационной инфраструктуры.
Положения ЕТ не распространяются на:

1) отношения, возникающие при осуществлении Национальным Банком Республики Казахстан и организациями, входящими в его структуру, работ по созданию или развитию, эксплуатации интернет-ресурсов, информационных систем, не интегрируемых с объектами информационно-коммуникационной инфраструктуры "электронного правительства", локальных сетей и сетей телекоммуникаций, а также проведении закупок товаров, работ и услуг в сфере информатизации;

2) информационные системы в защищенном исполнении, отнесенные к государственным секретам в соответствии с законодательством Республики Казахстан о государственных секретах, а также сети телекоммуникаций специального назначения и/или президентской, правительственной, засекреченной, шифрованной и кодированной связи;

3) отношения, возникающие при осуществлении уполномоченным органом по регулированию, контролю и надзору финансового рынка и финансовых организаций работ по созданию или развитию информационных систем, интегрируемых с информационными системами Национального Банка Республики Казахстан, которые не интегрируются с объектами информационно-коммуникационной инфраструктуры "электронного правительства";

4) организации в случаях, когда исполнение таких положений ведет к нарушению пункта 4 статьи 50 Закона Республики Казахстан "О банках и банковской деятельности в Республике Казахстан".

Сноска. Пункт 3 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Целью ЕТ является установление обязательных для исполнения требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности государственными органами, органами местного самоуправления, государственными юридическими лицами, субъектами квазигосударственного сектора, собственниками и владельцами негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственниками и владельцами критически важных объектов информационно-коммуникационной инфраструктуры.
Задачами ЕТ являются:

1) определение принципов организации и управления информатизацией государственных органов для решения текущих и стратегических задач государственного управления;

2) определение единых принципов обеспечения и управления информационной безопасностью объектов информатизации "электронного правительства";

3) установление требований по унификации компонентов объектов информационно-коммуникационной инфраструктуры;

4) установление требований по структуризации информационно-коммуникационной инфраструктуры и организации серверных помещений;

5) установление обязательности применения рекомендаций стандартов в области информационно-коммуникационных технологий и информационной безопасности на всех этапах жизненного цикла объектов информатизации;

6) повышение уровня защищенности государственных и негосударственных электронных информационных ресурсов, программного обеспечения, информационных систем и поддерживающей их информационно-коммуникационной инфраструктуры.

Сноска. Пункт 5 с изменениями, внесенными постановлениями Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Для целей настоящих ЕТ в них используются следующие определения:

1) маркировка актива, связанного со средствами обработки информации, – нанесение условных знаков, букв, цифр, графических знаков или надписей на актив с целью его дальнейшей идентификации (узнавания), указания его свойств и характеристик;

2) средство криптографической защиты информации (далее – СКЗИ) – программное обеспечение или аппаратно-программный комплекс, реализующие алгоритмы криптографических преобразований, генерацию, формирование, распределение или управление ключами шифрования;

3) активы, связанные со средствами обработки информации, (далее – актив) – материальный или нематериальный объект, который является информацией или содержит информацию, или служит для обработки, хранения, передачи информации и имеющий ценность для организации в интересах достижения целей и непрерывности ее деятельности;

4) техническая документация по информационной безопасности (далее –ТД ИБ) – документация, устанавливающая политику, правила, защитные меры, касающиеся процессов обеспечения ИБ объектов информатизации и (или) организации;

5) мониторинг событий информационной безопасности (далее – мониторинг событий ИБ) – постоянное наблюдение за объектом информатизации с целью выявления и идентификации событий информационной безопасности;

6) масштабируемость – способность объекта информатизации обеспечивать возможность увеличения своей производительности по мере роста объема обрабатываемой информации и (или) количества одновременно работающих пользователей;

7) программный робот – программное обеспечение поисковой системы или системы мониторинга, выполняющее автоматически и (или) по заданному расписанию просмотр веб-страниц, считывающее и индексирующее их содержимое, следуя по ссылкам, найденным в веб-страницах;

8) не нагруженное (холодное) резервирование оборудования – использование подготовленного к работе и находящегося в неактивном режиме дополнительного серверного и телекоммуникационного оборудования, программного обеспечения с целью оперативного восстановления информационной системы или электронного информационного ресурса;

9) нагруженное (горячее) резервирование оборудования – использование дополнительного (избыточного) серверного и телекоммуникационного оборудования, программного обеспечения и поддержание их в активном режиме с целью гибкого и оперативного увеличения пропускной способности, надежности и отказоустойчивости информационной системы, электронного информационного ресурса;

10) рабочая станция – стационарный компьютер в составе локальной сети, предназначенный для решения прикладных задач;

11) системное программное обеспечение – совокупность программного обеспечения для обеспечения работы вычислительного оборудования;

12) интернет-браузер – прикладное программное обеспечение, предназначенное для визуального отображения содержания интернет-ресурсов и интерактивного взаимодействия с ним;

13) кодированная связь – защищенная связь с использованием документов и техники кодирования;

14) многофакторная аутентификация – способ проверки подлинности пользователя при помощи комбинации различных параметров, в том числе генерации и ввода паролей или аутентификационных признаков (цифровых сертификатов, токенов, смарт-карт, генераторов одноразовых паролей и средств биометрической идентификации);

15) кроссовое помещение – телекоммуникационное помещение, предназначенное для размещения соединительных, распределительных пунктов и устройств;

16) прикладное программное обеспечение (далее – ППО) – комплекс программного обеспечения для решения прикладной задачи определенного класса предметной области;

17) засекреченная связь – защищенная связь с использованием засекречивающей аппаратуры;

18) серверный центр государственных органов (далее – серверный центр ГО) – серверное помещение (центр обработки данных), собственником или владельцем которого является оператор информационно-коммуникационной инфраструктуры "электронного правительства", предназначенное для размещения объектов информатизации "электронного правительства";

19) журналирование событий – процесс записи информации о происходящих с объектом информатизации программных или аппаратных событиях в журнал регистрации событий;

20) серверное помещение (центр обработки данных) – помещение, предназначенное для размещения серверного, активного и пассивного сетевого (телекоммуникационного) оборудования и оборудования структурированных кабельных систем;

21) локальная сеть внешнего контура (далее – ЛС внешнего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внешнему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с Интернетом, доступ к которому для субъектов информатизации предоставляется операторами связи только через единый шлюз доступа к Интернету;

22) терминальная система – тонкий или нулевой клиент для работы с приложениями в терминальной среде либо программами - тонкими клиентами в клиент-серверной архитектуре;

23) инфраструктура источника времени – иерархически связанное серверное оборудование, использующее сетевой протокол синхронизации времени, выполняющее задачу синхронизации внутренних часов серверов, рабочих станций и телекоммуникационного оборудования;

24) правительственная связь – специальная защищенная связь для нужд государственного управления;

25) организация – государственное юридическое лицо, субъект квазигосударственного сектора, собственник и владелец негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственник и владелец критически важных объектов информационно-коммуникационной инфраструктуры;

26) федеративная идентификация – комплекс технологий, позволяющий использовать единое имя пользователя и аутентификационный идентификатор для доступа к электронным информационным ресурсам в системах и сетях, установивших доверительные отношения;

27) шифрованная связь – защищенная связь с использованием ручных шифров, шифровальных машин, аппаратуры линейного шифрования и специальных средств вычислительной техники;

28) локальная сеть внутреннего контура (далее – ЛС внутреннего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внутреннему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с единой транспортной средой государственных органов;

29) внешний шлюз "электронного правительства" (далее – ВШЭП) – подсистема шлюза "электронного правительства", предназначенная для обеспечения взаимодействия информационных систем, находящихся в ЕТС ГО с информационными системами, находящимися вне ЕТС ГО;

30) внутренний аудит информационной безопасности – объективный, документированный процесс контроля качественных и количественных характеристик текущего состояния информационной безопасности объектов информатизации в организации, осуществляемый самой организацией в своих интересах;

31) межсетевой экран – аппаратно-программный или программный комплекс, функционирующий в информационно-коммуникационной инфраструктуре, осуществляющий контроль и фильтрацию сетевого трафика в соответствии с заданными правилами;

32) субъекты информатизации, определенные уполномоченным органом, – государственные органы, их подведомственные организации и органы местного самоуправления, а также иные субъекты информатизации, использующие единую транспортную среду государственных органов для взаимодействия локальных (за исключением локальных сетей, имеющих доступ к Интернету), ведомственных и корпоративных сетей.

Сноска. Пункт 6 - в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Для целей настоящих ЕТ в них используются следующие сокращения:

1) АПК – аппаратно-программный комплекс;

2) ИБ – информационная безопасность;

3) ИС – информационная система;

4) ИКИ – информационно-коммуникационная инфраструктура;

5) ИКТ – информационно-коммуникационные технологии;

6) ПО – программное обеспечение;

7) МИО – местные исполнительные органы;

8) СПО – свободное программное обеспечение;

9) ЕШДИ – единый шлюз доступа к Интернету;

10) ИР – интернет-ресурс;

11) ГО – центральный исполнительный орган, государственный орган, непосредственно подчиненный и подотчетный Президенту Республики Казахстан, территориальные подразделения ведомства центрального исполнительного органа;

12) ЕТС ГО – единая транспортная среда государственных органов;

13) ЕПИР ГО – единая платформа интернет-ресурсов государственных органов;

14) СПП – сервисный программный продукт;

15) ЭИР – электронные информационные ресурсы;

16) ИКП ЭП – информационно–коммуникационная платформа "электронного правительства";

17) ЭЦП – электронная цифровая подпись;

18) СИ – субъекты информатизации, определенные уполномоченным органом.

Сноска. Пункт 7 с изменением, внесенным постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Глава 2. Требования к организации и управлению информатизацией и информационной безопасностью
Параграф 1. Требования к информатизации государственного органа

Информатизация ГО осуществляется в соответствии с архитектурой ГО, разрабатываемой и утверждаемой в порядке, предусмотренном статьями 23 и 24 Закона, а в случае ее отсутствия – на основании решения государственного органа о необходимости автоматизации, согласованного с уполномоченным органом в сфере информатизации (далее – уполномоченный орган).

Государственные органы обеспечивают публичное обсуждение планируемой автоматизации деятельности в целях привлечения потенциальных поставщиков, уточнения технико-экономических, эксплуатационных и иных характеристик объекта информатизации "электронного правительства".

Публичное обсуждение планируемой автоматизации деятельности осуществляется на архитектурном портале "электронного правительства" (далее – архитектурный портал).

Срок для публичного обсуждения планируемой автоматизации должен составлять не менее десяти календарных дней с даты размещения на архитектурном портале.

Государственные органы рассматривают предложения, поступившие в рамках публичного обсуждения планируемой автоматизации, и принимают решения о принятии предложений либо их отклонении с указанием оснований для отклонения.

По истечении срока публичного обсуждения планируемой автоматизации в соответствии с результатами рассмотрения поступивших предложений на архитектурном портале формируется и публикуется отчет о завершении публичного обсуждения планируемой автоматизации (далее – отчет).

Отчет является основанием для уточнения технико-экономических, эксплуатационных и иных характеристик объекта информатизации "электронного правительства", выбора механизма реализации автоматизации деятельности государственного органа.

Государственный орган направляет запрос о необходимости автоматизации деятельности (далее – запрос) с приложением отчета в уполномоченный орган на согласование.

Уполномоченный орган для проведения анализа запроса государственного органа привлекает сервисного интегратора "электронного правительства" (далее – сервисный интегратор).

На основании заключения сервисного интегратора уполномоченный орган согласовывает либо отказывает в согласовании автоматизации деятельности государственного органа.

Сноска. Пункт 8 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

8-1. Сведения об архитектуре ГО передаются третьим лицам исключительно по согласованию с руководителями структурных подразделений по информационной безопасности и информационным технологиям ГО, либо лицами, их заменяющими, в соответствии с утвержденной политикой ИБ.

Сноска. Глава 2 дополнена пунктом 8-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

ГО обеспечивает:

1) планирование затрат на информатизацию и информационную безопасность в соответствии с утвержденной архитектурой ГО, а в случае ее отсутствия – согласно решениям экспертного совета в сфере информатизации;

2) автоматизацию государственных функций и оказание вытекающих из них государственных услуг с соблюдением требований настоящих ЕТ;

3) размещение сведений об объектах информатизации на архитектурном портале "электронного правительства" в соответствии с правилами учета сведений об объектах информатизации "электронного правительства" и размещения электронных копий технической документации объектов информатизации "электронного правительства", утверждаемыми уполномоченным органом в соответствии с подпунктом 30) статьи 7 Закона.

Сноска. Пункт 9 с изменениями, внесенными постановлениями Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Развитие архитектуры "электронного правительства" осуществляется в соответствии с требованиями по развитию архитектуры "электронного правительства", утверждаемыми уполномоченным органом в соответствии с подпунктом 10) статьи 7 Закона.
При разработке типовой архитектуры "электронного акимата", утверждаемой в соответствии с подпунктом 18) статьи 7 Закона в части описания требований к информационно-коммуникационной инфраструктуре, МИО учитываются требования настоящих ЕТ.
При реализации сервисной модели информатизации в ГО и МИО руководствуются нормами правил реализации сервисной модели информатизации, требованиями по развитию архитектуры "электронного правительства", утверждаемыми уполномоченным органом в соответствии с подпунктами 4) и 10) статьи 7 Закона и требованиями настоящих ЕТ.
Обеспечение ГО и МИО товарами, работами, услугами в сфере информатизации осуществляется путем:

1) закупа, с учетом заключения уполномоченного органа в сфере информатизации на представленные администраторами бюджетных программ расчетов расходов на государственные закупки товаров, работ и услуг в сфере информатизации;

2) приобретения информационно-коммуникационной услуги в соответствии с каталогом информационно-коммуникационных услуг.

Сноска. Пункт 13 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); с изменением, внесенным постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Реализацию задач в сфере информатизации в ГО или МИО обеспечивает подразделение информационных технологий, осуществляющее:

1) мониторинг и анализ применения ИКТ;

2) участие в мероприятиях по учету и анализу использования ИКТ-активов;

3) выработку предложений в стратегический план ГО по вопросам информатизации;

4) координацию работ по созданию, сопровождению и развитию объектов информатизации "электронного правительства";

5) контроль за обеспечением поставщиками предусмотренного договорами уровня качества оказываемых услуг в сфере информатизации;

6) учет и актуализацию сведений об объектах информатизации "электронного правительства" и электронных копий технической документации объектов информатизации "электронного правительства" на архитектурном портале "электронного правительства";

7) передачу сервисному интегратору "электронного правительства" для учета и хранения разработанного программного обеспечения, исходных программных кодов (при наличии), комплекса настроек лицензионного программного обеспечения объектов информатизации "электронного правительства";

8) взаимодействие с сервисным интегратором, оператором, ГО, МИО и организациями в части реализации проектов в сфере информатизации при создании архитектуры ГО и реализации сервисной модели информатизации;

9) реализацию требований по ИБ.

Сноска. Пункт 14 с изменениями, внесенными постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Рабочее пространство в ГО и МИО организуется в соответствии с санитарными правилами "Санитарно-эпидемиологические требования к административным и жилым зданиям", утвержденными уполномоченным органом в сфере санитарно-эпидемиологического благополучия населения в соответствии с пунктом 6 статьи 144 Кодекса Республики Казахстан от 18 сентября 2009 года "О здоровье народа и системе здравоохранения".

Сноска. Пункт 15 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Рабочее место служащего ГО и МИО оснащается с учетом его функциональных обязанностей и включает:

1) рабочую станцию или унифицированное рабочее место или терминальную систему с подключением к ЛС внутреннего контура ГО или МИО. Допускается оснащение рабочего места дополнительным монитором при необходимости;

2) комплект мультимедийного оборудования (наушники, микрофон и веб-камера) для работы с мультимедийными ЭИР или системой видеоконференц-связи при необходимости;

3) аппарат телефонной связи или IP-телефонии.

Требования к унифицированному рабочему месту или терминальной системе ГО и МИО, а также компонентам объектов информационно-коммуникационной инфраструктуры утверждаются уполномоченным органом.

Сноска. Пункт 17 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

17-1. Обеспечивается соответствие рабочего места или терминальной системы ГО и МИО требованиям к унифицированному рабочему месту или терминальной системе ГО и МИО, утвержденным уполномоченным органом.

Требования обновляются и актуализируются по мере необходимости.

Сноска. Единые требования дополнены пунктом 17-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При выборе закупаемых моделей рабочих станций необходимо руководствоваться следующими положениями:

1) аппаратные характеристики рабочих станций соответствуют либо превосходят системные требования, рекомендуемые разработчиком (производителем) используемого ПО;

2) для обеспечения общего уровня услуг унифицируются конфигурации рабочих станций;

3) для рабочих станций организуется централизованное автоматизированное распространение обновлений ПО;

4) для повышения качества и скорости администрирования количество различных аппаратно-программных конфигураций рабочих станций ограничивается тремя типами:

рабочая станция для работы с прикладным ПО;

рабочая станция повышенной мощности для работы с графическими пакетами, пакетами ПО моделирования и прочими. Используется для приложений с развитой графикой, высокими требованиями к производительности процессора, объемам оперативной памяти и видеоподсистем;

ноутбук для работы мобильных пользователей.

Для спецификации технических требований выделяются следующие ключевые параметры рабочих станций:

1) производительность, включающая в себя:

параметры быстродействия процессора;

необходимый объем оперативной памяти;

скорости внутренних шин передачи данных;

быстродействие графической подсистемы;

быстродействие устройств ввода/вывода;

параметры матрицы монитора;

2) надежность, обеспечиваемая за счет использования отказоустойчивых аппаратных средств и ПО, и определяется исходя из среднего времени безотказной работы;

3) масштабируемость, обеспечиваемая архитектурой и конструкцией персонального компьютера за счет возможности наращивания:

числа и производительности процессоров;

объемов оперативной и внешней памяти;

емкости встроенных накопителей.

Для обеспечения ИБ:

1) в ТД ИБ определяются:

способы размещения рабочих станций служащих ГО или МИО;

способы защиты рабочих станций от отказов в системе электроснабжения и других нарушений, вызываемых сбоями в работе коммунальных служб;

процедуры и периодичность технического обслуживания рабочих станций для обеспечения непрерывной доступности и целостности;

способы защиты рабочих станций мобильных пользователей, находящихся за пределами ГО или МИО, с учетом различных внешних рисков;

способы гарантированного уничтожения информации при повторном использовании рабочих станций или выводе из эксплуатации носителей информации;

правила выноса рабочих станций за пределы рабочего места;

2) на регулярной основе проводится учет рабочих станций с проверкой конфигурации, а также электронных носителей информации с уникальными идентифицирующими данными;

3) установка и применение на рабочих станциях программных или аппаратных средств удаленного управления извне ЛС внутреннего контура исключается. Удаленное управление внутри ЛС внутреннего контура допускается в случаях, прямо предусмотренных в правовом акте ГО или МИО;

4) неиспользуемые порты ввода-вывода рабочих станций и мобильных компьютеров служащих ГО и МИО отключаются или блокируются, за исключением рабочих станций служащих подразделения ИБ.

Сноска. Пункт 20 с изменением, внесенным постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Вопрос операций ввода-вывода с применением внешних электронных носителей информации на рабочих станциях служащих ГО и МИО регулируется в соответствии с политикой ИБ, принятой в ГО или МИО.
Для оптимизации размещения оборудования на рабочем месте служащего ГО и МИО допускается применение специализированного оборудования, обеспечивающего использование одной единицы монитора, ручного манипулятора (мышь) и клавиатуры для нескольких рабочих станций, без применения сетевых интерфейсов.
Для использования сервисов ИКП ЭП рабочая станция, подключенная к ЛС внутреннего контура ГО или МИО, обеспечивается сетевым подключением к инфраструктуре ИКП ЭП.
Обработка и хранение служебной информации ГО и МИО осуществляются на рабочих станциях, подключенных к ЛС внутреннего контура и внешнего контура ГО или МИО.

Служебная информация ГО и МИО с ограниченным доступом обрабатывается и хранится на рабочих станциях, подключенных к ЛС внутреннего контура ГО или МИО и не имеющих подключения к Интернету.

Сноска. Пункт 24 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Доступ к Интернету служащим ГО и МИО предоставляется с рабочих станций, подключенных к ЛС внешнего контура ГО и МИО, размещенных за пределами режимных помещений, определяемых в соответствии с Инструкцией по защите государственных секретов Республики Казахстан.

Сноска. Пункт 25- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

25-1. При организации доступа к Интернету из локальных сетей внешнего контура в обязательном порядке обеспечивается наличие антивирусных средств, обновлений операционных систем на рабочих станциях, подключенных к сети Интернет.

Сноска. Глава 2 дополнена пунктом 25-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Сервис телефонной связи:

1) реализуется как на базе цифровых телефонных сетей общего пользования, так и с применением технологии IP-телефонии;

2) обеспечивает коммутацию пользователя с абонентами телефонных сетей по следующим каналам:

использование соединений абонентов через существующую локальную вычислительную сеть внутреннего и внешнего контура и ведомственную сеть передачи данных;

использование услуг связи оператора телефонной связи общего пользования по потоку Е1;

использование операторов сотовой связи;

использование услуг междугородних и международных вызовов.

Для проведения конференций, презентаций, совещаний, телемостов конференцзал ГО и МИО оснащается:

1) конференцсистемой звукового усиления, включающей размещение на месте участника микрофона, громкоговорителя и светового индикатора запроса и выступления участника;

2) устройством ввода-вывода информации.

Для организации "телемоста" с географически распределенными участниками, находящимися в других городах или странах, конференцсистема по необходимости дополняется системой аудио- и видеоконференцсвязи оператора ИКИ ЭП.

Сервис печати:

1) реализуется посредством печатающего, копирующего и сканирующего оборудования, подключенного к локальной сети внутреннего контура ГО с использованием сетевого интерфейса либо прямого подключения к серверу печати;

2) обеспечивается программным обеспечением, реализующим:

централизованное управление пользователями и устройствами;

учет распечатываемых документов, а также копий, факсов, отправленных электронной почтой и сканирований по идентификационным номерам пользователей с возможностью распределения затрат между подразделениями и пользователями;

систему отчетов, графически иллюстрирующих активность печати, копирования и сканирования;

идентификацию пользователя до начала использования сервиса печати;

авторизацию служащего ГО на устройстве печати способами, регламентированными в ТД ИБ;

формирование очереди печати, осуществляющей печать посредством единой очереди печати с возможностью получения распечатанных документов на доступном устройстве печати.

Параграф 2. Требования к организации информационной безопасности

При организации, обеспечении и управлении ИБ в ГО, МИО или организации необходимо руководствоваться положениями стандарта Республики Казахстан СТ РК ISO/IEC 27002-2015 "Информационная технология. Методы и средства обеспечения безопасности. Свод правил по средствам управления защитой информации".

Сноска. Пункт 29 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

29-1. Приобретение товаров в целях реализации требований обеспечения ИБ для обороны страны и безопасности государства осуществляется из реестра доверенного программного обеспечения и продукции электронной промышленности в соответствии с законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.

При этом, в случае отсутствия в реестре доверенного программного обеспечения и продукции электронной промышленности необходимой продукции, допускается приобретение товаров в соответствии с законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.

Сноска. Единые требования дополнены пунктом 29-1 в соответствии с постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В целях разграничения ответственности и функций в сфере обеспечения ИБ создается подразделение ИБ, являющееся структурным подразделением, обособленным от других структурных подразделений, занимающихся вопросами создания, сопровождения и развития объектов информатизации, или определяется должностное лицо, ответственное за обеспечение ИБ.

Сотрудники, ответственные за обеспечение ИБ, проходят специализированные курсы в сфере обеспечения ИБ не реже одного раза в три года с выдачей сертификата.

Сноска. Пункт 30 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

ТД ИБ создается в виде четырехуровневой системы документированных правил, процедур, практических приемов или руководящих принципов, которыми руководствуется ГО, МИО или организация в своей деятельности.

ТД ИБ разрабатывается на казахском и русском языках, утверждается правовым актом ГО, МИО или организации и доводится до сведения всех служащих ГО, МИО или работников организации.

ТД ИБ пересматривается с целью анализа и актуализации изложенной в них информации не реже одного раза в два года.

Сноска. Пункт 31 с изменением, внесенным постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Политика ИБ ГО, МИО или организации является документом первого уровня и определяет цели, задачи, руководящие принципы и практические приемы в области обеспечения ИБ.

32-1. Перечень внутренних документов финансовой организации, детализирующий требования политики ИБ, определяется в соответствии с нормативными правовыми актами уполномоченного органа по регулированию, контролю и надзору финансового рынка и финансовых организаций, регулирующими деятельность финансовых организаций по обеспечению информационной безопасности.

Сноска. Единые требования дополнены пунктом 32-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В перечень документов второго уровня входят документы, детализирующие требования политики ИБ ГО, МИО или организации, в том числе:

1) методика оценки рисков информационной безопасности;

2) правила идентификации, классификации и маркировки активов, связанных со средствами обработки информации;

3) правила по обеспечению непрерывной работы активов, связанных со средствами обработки информации;

4) правила инвентаризации и паспортизации средств вычислительной техники, телекоммуникационного оборудования и программного обеспечения;

5) правила проведения внутреннего аудита ИБ;

6) правила использования средств криптографической защиты информации;

7) правила разграничения прав доступа к электронным информационным ресурсам;

8) правила использования Интернет и электронной почты;

9) правила организации процедуры аутентификации;

10) правила организации антивирусного контроля;

11) правила использования мобильных устройств и носителей информации;

12) правила организации физической защиты средств обработки информации и безопасной среды функционирования информационных ресурсов.

Документы третьего уровня содержат описание процессов и процедур обеспечения ИБ, в том числе:

1) каталог угроз (рисков) ИБ;

2) план обработки угроз (рисков) ИБ;

3) регламент резервного копирования и восстановления информации;

4) план мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации;

5) руководство администратора по сопровождению объекта информатизации;

6) инструкцию о порядке действий пользователей по реагированию на инциденты ИБ и во внештатных (кризисных) ситуациях.

Перечень документов четвертого уровня включает рабочие формы, журналы, заявки, протоколы и другие документы, в том числе электронные, используемые для регистрации и подтверждения выполненных процедур и работ, в том числе:

1) журнал регистрации инцидентов ИБ и учета внештатных ситуаций;

2) журнал посещения серверных помещений;

3) отчет о проведении оценки уязвимости сетевых ресурсов;

4) журнал учета кабельных соединений;

5) журнал учета резервных копий (резервного копирования, восстановления), тестирования резервных копий;

6) журнал учета изменений конфигурации оборудования, тестирования и учета изменений СПО и ППО ИС, регистрации и устранения уязвимостей ПО;

7) журнал тестирования дизель-генераторных установок и источников бесперебойного питания для серверного помещения;

8) журнал тестирования систем обеспечения микроклимата, видеонаблюдения, пожаротушения серверных помещений.

Сноска. Пункт 35 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Для обеспечения защиты активов проводятся:

1) инвентаризация активов;

2) классификация и маркировка активов в соответствии с системой классификации, принятой в ГО, МИО;

3) закрепление активов за должностными лицами и определение меры их ответственности за реализацию мероприятий по управлению ИБ активов;

4) регламентация в ТД ИБ порядка:

использования и возврата активов;

идентификации, классификации и маркировки активов.

С целью управления рисками в сфере ИКТ в ГО или МИО осуществляются:

1) выбор методики оценки рисков в соответствии с рекомендациями стандарта Республики Казахстан СТ РК 31010-2010 "Менеджмент риска. Методы оценки риска" и разработка процедуры анализа рисков;

2) идентификация рисков в отношении перечня идентифицированных и классифицированных активов, включающая:

выявление угроз ИБ и их источников;

выявление уязвимостей, которые могут привести к реализации угроз;

определение каналов утечки информации;

формирование модели нарушителя;

3) выбор критериев принятия идентифицированных рисков;

4) формирование каталога угроз (рисков) ИБ, включающего оценку (переоценку) идентифицированных рисков в соответствии с требованиями стандарта Республики Казахстан СТ РК ISO/IEC 27005-2013 "Информационные технологии. Методы обеспечения безопасности. Менеджмент риска информационной безопасности".

5) разработка и утверждение плана обработки угроз (рисков) ИБ, содержащего мероприятия по их нейтрализации или снижению.

Сноска. Пункт 37 с изменениями, внесенными постановлениями Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

С целью контроля событий нарушений ИБ в ГО, МИО или организации:

1) проводится мониторинг событий, связанных с нарушением ИБ, и анализ результатов мониторинга;

2) регистрируются события, связанные с состоянием ИБ, и выявляются нарушения путем анализа журналов событий, в том числе:

журналов событий операционных систем;

журналов событий систем управления базами данных;

журналов событий антивирусной защиты;

журналов событий прикладного ПО;

журналов событий телекоммуникационного оборудования;

журналов событий систем обнаружения и предотвращения атак;

журналов событий системы управления контентом;

3) обеспечивается синхронизация времени журналов регистрации событий с инфраструктурой источника времени;

4) журналы регистрации событий хранятся в течение срока, указанного в ТД ИБ, но не менее трех лет и находятся в оперативном доступе не менее двух месяцев;

5) ведутся журналы регистрации событий в соответствии с форматами и типами записей, определенными в правилах проведения мониторинга обеспечения информационной безопасности объектов информатизации "электронного правительства" и критически важных объектов информационно-коммуникационной инфраструктуры, утвержденных уполномоченным органом в сфере обеспечения информационной безопасности по согласованию с органами национальной безопасности в соответствии с подпунктом 7) статьи 7-1 Закона;

6) обеспечивается защита журналов регистрации событий от вмешательства и неавторизированного доступа. Не допускается наличие у системных администраторов полномочий на изменение, удаление и отключение журналов. Для конфиденциальных ИС требуются создание и ведение резервного хранилища журналов;

7) обеспечивается внедрение формализованной процедуры информирования об инцидентах ИБ и реагирования на инциденты ИБ.

Сноска. Пункт 38 с изменениями, внесенными постановлениями Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

С целью защиты критически важных процессов ГО, МИО или организации от внутренних и внешних угроз:

1) разрабатывается, тестируется и реализуется план мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации;

2) доводится до сведения служащих ГО, МИО или работников организации инструкция о порядке действий пользователей по реагированию на инциденты ИБ и во внештатных (кризисных) ситуациях.

План мероприятий по обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации, подлежит регулярной актуализации.

Функциональные обязанности по обеспечению ИБ и обязательства по исполнению требований ТД ИБ служащих ГО, МИО или работников организации вносятся в должностные инструкции и (или) условия трудового договора.

Обязательства в области обеспечения ИБ, имеющие силу после прекращения действий трудового договора, закрепляются в трудовом договоре служащих ГО, МИО или работников организации.

В случае привлечения сторонних организаций к обеспечению информационной безопасности ЭИР, ИС, ИКИ, их собственник или владелец заключает соглашения, в которых устанавливаются условия работы, доступа или использования данных объектов, а также ответственность за их нарушение.
В ТД ИБ определяется содержание процедур при увольнении служащих ГО, МИО или работников организации, имеющих обязательства в области обеспечения ИБ.
При увольнении или внесении изменений в условия трудового договора права доступа служащего ГО, МИО или работника организации к информации и средствам обработки информации, включающие физический и логический доступ, идентификаторы доступа, подписки, документацию, которая идентифицирует его как действующего служащего ГО, МИО или работника организации, аннулируются после прекращения его трудового договора или изменяются при внесении изменений в условия трудового договора.

Сноска. Пункт 43 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Кадровая служба организует и ведет учет прохождения служащими ГО, МИО или работниками организаций обучения в сфере информатизации и области обеспечения ИБ.
При инициировании создания или развития объектов информатизации первого и второго классов в соответствии с классификатором объектов информатизации, утвержденным уполномоченным органом в сфере информатизации в соответствии с подпунктом 11) статьи 7 Закона (далее – классификатор), а также конфиденциальных ИС разрабатываются профили защиты для составных компонентов и задание по безопасности в соответствии с требованиями стандарта Республики Казахстан СТ РК ISO/IEC 15408-2017 "Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий".

Сноска. Пункт 45 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В целях обеспечения ИБ при эксплуатации объектов информатизации устанавливаются требования к:

1) способам аутентификации;

2) применяемым СКЗИ;

3) способам обеспечения доступности и отказоустойчивости;

4) мониторингу обеспечения ИБ, защиты и безопасного функционирования;

5) применению средств и систем обеспечения ИБ;

6) регистрационным свидетельствам удостоверяющих центров.

Сноска. Пункт 46 с изменением, внесенным постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При доступе к объектам информатизации первого и второго классов в соответствии с классификатором применяется многофакторная аутентификация, в том числе с использованием ЭЦП.

Сноска. Пункт 47 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

C целью защиты служебной информации ограниченного распространения, конфиденциальных ИС, конфиденциальных ЭИР и ЭИР, содержащих персональные данные ограниченного доступа, применяются СКЗИ (программные или аппаратные) с параметрами, соответствующими требованиям к СКЗИ в соответствии со стандартом Республики Казахстан СТ РК 1073-2007 "Средства криптографической защиты информации. Общие технические требования" для объектов информатизации:

первого класса в соответствии с классификатором – третьего уровня безопасности;

второго класса в соответствии с классификатором – второго уровня безопасности;

третьего класса в соответствии с классификатором – первого уровня безопасности.

Для обеспечения доступности и отказоустойчивости владельцами объектов информатизации ЭП обеспечиваются:

1) наличие резервного собственного или арендованного серверного помещения для объектов информатизации ЭП первого и второго классов в соответствии с классификатором;

2) резервирование аппаратно-программных средств обработки данных, систем хранения данных, компонентов сетей хранения данных и каналов передачи данных, в том числе для объектов информатизации ЭП:

первого класса в соответствии с классификатором – нагруженное (горячее) в резервном серверном помещении;

второго класса в соответствии с классификатором – не нагруженное (холодное) в резервном серверном помещении;

третьего класса в соответствии с классификатором – хранение на складе в непосредственной близости от основного серверного помещения.

Объекты информатизации ЭП первого и второго классов в соответствии с классификатором подключаются к системе мониторинга обеспечения ИБ, защиты и безопасного функционирования не позднее одного года после их введения в промышленную эксплуатацию.

50-1. Собственники или владельцы негосударственных информационных систем, интегрируемых с информационными системами государственных органов, до интеграции с информационными системами государственных органов создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

Владельцы критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан.

Собственники или владельцы критически важных объектов информационно-коммуникационной инфраструктуры, за исключением государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, в течение года со дня включения в перечень критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

Сноска. Единые требования дополнены пунктом 50-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

ГО, МИО или организация осуществляют мониторинг:

действий пользователей и персонала;

использования средств обработки информации.

Сноска. Пункт 51 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В ГО, МИО или организации в рамках осуществления мониторинга действий пользователей и персонала:

1) при выявлении аномальной активности и злоумышленных действий пользователей эти действия:

регистрируются, блокируются и оперативно оповещается администратор для объектов информатизации ЭП первого класса в соответствии с классификатором;

регистрируются и блокируются для объектов информатизации ЭП второго класса в соответствии с классификатором;

регистрируются для объектов информатизации ЭП третьего класса в соответствии с классификатором;

2) регистрируются и контролируются подразделением ИБ действия обслуживающего персонала.

Сноска. Пункт 52 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

События ИБ, идентифицированные как критические для конфиденциальности, доступности и целостности, по результатам анализа мониторинга событий ИБ и анализа журнала событий:

1) определяются как инциденты ИБ;

2) учитываются в каталоге угроз (рисков) ИБ;

3) регистрируются в службе реагирования на компьютерные инциденты государственной технической службы.

На этапе опытной и промышленной эксплуатации объектов информатизации используются средства и системы:

обнаружения и предотвращения вредоносного кода;

мониторинга и управления инцидентами и событиями ИБ;

обнаружения и предотвращения вторжений;

мониторинга и управления информационной инфраструктурой.

Сноска. Пункт 54 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

54-1. Для защиты объектов информатизации государственных органов применяются системы предотвращения утечки данных (DLP).

При этом обеспечиваются:

визуальное уведомление пользователя о проводимом контроле действий;

размещение центра управления и серверов системы предотвращения утечки данных в пределах локальной сети.

Сноска. Глава 2 дополнена пунктом 54-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Регистрационные свидетельства Корневого удостоверяющего центра Республики Казахстан подлежат признанию в доверенных списках программных продуктов мировых производителей ПО для целей аутентификации в соответствии со стандартами СТ РК ИСО/МЭК 14888-1-2006 "Информационная технология. Методы защиты информации. Цифровые подписи с приложением. Часть 1. Общие положения", СТ РК ИСО/МЭК 14888-3-2006 "Методы защиты информации цифровые подписи с приложением. Часть 3. Механизмы, основанные на сертификате", ГОСТ Р ИСО/МЭК 9594-8-98 "Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации".
Удостоверяющие центры Республики Казахстан, за исключением Корневого удостоверяющего центра Республики Казахстан, признаются в доверенных списках программных продуктов мировых производителей ПО путем аккредитации удостоверяющего центра в соответствии с правилами аккредитации удостоверяющих центров.

Удостоверяющие центры Республики Казахстан размещают свое регистрационное свидетельство в доверенной третьей стороне Республики Казахстан для обеспечения проверки ЭЦП граждан Республики Казахстан на территории иностранных государств.

56-1. Владелец критически важных объектов информационно-коммуникационной инфраструктуры, обрабатывающий данные, содержащие охраняемую законом тайну, проводит аудит информационной безопасности не реже одного раз в год. Аудит информационной безопасности банков второго уровня проводится в соответствии с требованиями банковского законодательства Республики Казахстан.

Сноска. Единые требования дополнены пунктом 56-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Глава 3. Требования к объектам информатизации
Параграф 1. Требования к электронным информационным ресурсам и интернет-ресурсам

Собственник и (или) владелец ЭИР:

1) осуществляют идентификацию ЭИР, формируют и размещают описание метаданных (использования, описания, плана событий, хроники событий, отношений) при необходимости, в соответствии со стандартом Республики Казахстан СТ РК ИСО 23081-2-2010 "Информация и документация. Метаданные для управления записями. Часть 2. Вопросы концепции и реализации" в каталоге ЭИР, утверждаемом правовым актом ГО или организации;

2) определяют класс ЭИР в соответствии с правилами классификации объектов информатизации и классификатором объектов информатизации, утвержденными уполномоченным органом, и фиксируют класс ЭИР в технической документации и каталоге ЭИР;

3) поддерживают каталог ЭИР в актуальном состоянии;

4) осуществляют хранение ЭИР и его метаданных. Форму и способ хранения определяют самостоятельно.

Требования к созданию или развитию ИР определяются в технической спецификации на приобретение товаров, работ и услуг в сфере информатизации.
Собственник и (или) владелец ИР обеспечивают создание общедоступных ИР на казахском, русском и, по необходимости, на других языках, с возможностью выбора пользователем языка интерфейса.
Создание или развитие ИР осуществляется с учетом требований стандартов Республики Казахстан СТ РК 2190-2012 "Информационные технологии. Интернет-ресурсы государственных органов и организаций. Требования", СТ РК 2191-2012 "Информационные технологии. Доступность Интернет-ресурса для людей с ограниченными возможностями", СТ РК 2192-2012 "Информационные технологии. Интернет-ресурс, интернет-портал, интранет-портал. Общие описания", СТ РК 2193-2012 "Информационные технологии. Рекомендуемая практика разработки мобильных веб-приложений", СТ РК 2199-2012 "Информационные технологии. Требования к безопасности веб-приложений в государственных органах".
Подготовка, размещение, актуализация ЭИР на ИР ГО или МИО осуществляются в соответствии с правилами информационного наполнения и требованиями к содержанию ИР ГО, утвержденными уполномоченным органом.
ИР центрального исполнительного органа, структурных и территориальных подразделений центрального исполнительного органа, местного исполнительного органа размещается на ЕПИР ГО и регистрируется в доменных зонах gov.kz и мем.қаз.

ЕПИР ГО размещается на ИКП ЭП.

62-1. Интернет-ресурс с зарегистрированным доменным именем .KZ и (или) .ҚАЗ размещается на аппаратно-программном комплексе, который расположен на территории Республики Казахстан.

Сноска. Единые требования дополнены пунктом 62-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

62-2. Использование доменных имен .KZ и (или) .ҚАЗ в пространстве казахстанского сегмента Интернета при передаче данных интернет-ресурсами осуществляется с применением сертификатов безопасности.

Сноска. Единые требования дополнены пунктом 62-2 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Управление ИР, размещение и актуализация ЭИР центрального исполнительного органа, структурных и территориальных подразделений центрального исполнительного органа, местного исполнительного органа осуществляются из внешнего контура локальной сети ИКИ ЭП оператором на основании заявки собственника и (или) владельца ИР.

63-1. Промышленная эксплуатация ИР ГО и МИО допускается при условии наличия акта с положительным результатом испытаний на соответствие требованиям информационной безопасности.

Сноска. Глава 3 дополнена пунктом 63-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При списании ИС, ПО или СПП собственник и (или) владелец ЭИР обеспечивают сохранение структуры и содержания базы данных посредством встроенного функционала системы управления базы данных списываемой ИС с подготовкой инструкции по восстановлению ЭИР.

Способ хранения структуры и содержания базы данных определяется собственником самостоятельно.

ГО или МИО при неиспользовании ЭИР обеспечивает его передачу в архив в порядке, установленном Законом Республики Казахстан "О Национальном архивном фонде и архивах" (далее – Закон об архивах).

Сноска. Пункт 65- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Для обеспечения ИБ ИР применяются:

1) регистрационные свидетельства для проверки подлинности доменного имени и криптографической защиты содержимого сеанса связи с использованием СКЗИ;

2) система управления содержимым (контентом), выполняющая:

санкционирование операций размещения, изменения и удаления ЭИР;

регистрацию авторства при размещении, изменении и удалении ЭИР;

проверку загружаемого ЭИР на наличие вредоносного кода;

аудит безопасности исполняемого кода и скриптов;

контроль целостности размещенного ЭИР;

ведение журнала изменений ЭИР;

мониторинг аномальной активности пользователей и программных роботов.

Параграф 2. Требования к разрабатываемому или приобретаемому прикладному программному обеспечению

На стадии инициирования создания или развития прикладного ПО определяется и фиксируется в проектной документации класс ПО в соответствии с правилами классификации объектов информатизации и классификатором объектов информатизации, утвержденными уполномоченным органом в соответствии с подпунктом 11) статьи 7 Закона.
Требования к создаваемому или развиваемому прикладному ПО ИС определяются в техническом задании, создаваемом в соответствии с требованиями стандарта Республики Казахстан СТ РК 34.015-2002 "Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы", настоящими ЕТ и правилами составления и рассмотрения технических заданий на создание и развитие объектов информатизации "электронного правительства", утверждаемыми уполномоченным органом в сфере обеспечения информационной безопасности в соответствии с подпунктом 20) статьи 7 Закона.

Сноска. Пункт 68 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Требования к создаваемому или развиваемому СПП определяются в задании на проектирование информационно-коммуникационной услуги, создаваемом в соответствии с настоящими ЕТ и правилами реализации сервисной модели информатизации, утверждаемыми уполномоченным органом.

Сноска. Пункт 69 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

69-1. Промышленная эксплуатация сервисного программного продукта допускается при условии наличия акта с положительным результатом испытаний на соответствие требованиям информационной безопасности, протокола испытаний с целью оценки качества в соответствии с требованиями программной документации и действующих на территории Республики Казахстан стандартов в сфере информатизации и протокола экспертизы программной документации.

Сноска. Глава 3 дополнена пунктом 69-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Требования к приобретаемому прикладному ПО определяются в технической спецификации на приобретение товаров, работ и услуг в сфере информатизации с учетом требований настоящих ЕТ.
Приобретение готового прикладного ПО осуществляется с учетом приоритета СПО при условии идентичности его характеристик с коммерческим ПО.
При формировании требований к разработке или приобретению ПО учитываются класс ЭИР и сведения каталога ЭИР.
Разрабатываемое или приобретаемое готовое прикладное ПО:

1) обеспечивает интерфейс пользователя, ввод, обработку и вывод данных на казахском, русском и других языках, по необходимости, с возможностью выбора пользователем языка интерфейса;

2) учитывает требования:

надежности;

сопровождаемости;

удобства использования;

эффективности;

универсальности;

функциональности;

кроссплатформенности;

3) обеспечивает полнофункциональную поддержку технологии виртуализации;

4) поддерживает кластеризацию;

5) обеспечивается технической документацией по эксплуатации на казахском и русском языках.

Создание и развитие или приобретение ПО обеспечиваются технической поддержкой и сопровождением.

Планирование, осуществление и документирование технической поддержки и сопровождения ПО проводится в соответствии со спецификациями изготовителя, поставщика или требованиями ТД ИБ.

Сноска. Пункт 74 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Процесс создания и развития прикладного ПО:

1) предусматривает:

создание информационной базы алгоритмов, исходных текстов и программных средств;

испытание и тестирование программных модулей;

типизацию алгоритмов, программ и средств ИБ, обеспечивающих информационную, технологическую и программную совместимость;

использование лицензионных инструментальных средств разработки;

2) включает процедуры приемки прикладного ПО, предусматривающие:

передачу разработчиком исходных текстов программ и других объектов, необходимых для создания прикладного ПО собственнику и (или) владельцу;

контрольную компиляцию переданных исходных текстов, с созданием полностью работоспособной версии прикладного ПО;

выполнение контрольного примера на данной версии ПО.

Сноска. Пункт 14 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Контроль за авторизованными изменениями ПО и прав доступа к нему осуществляется с участием работников подразделения информационных технологий ГО, МИО или организаций.

Сноска. Пункт 76 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Разработка прикладного ПО требует:

учета особенностей, предусмотренных правилами реализации сервисной модели информатизации;

регламентации вопросов ИБ в соглашениях на разработку ПО;

управления рисками в процессе разработки прикладного ПО.

С целью обеспечения ИБ:

1) на этапе разработки ПО учитываются рекомендации стандарта Республики Казахстан СТ РК ГОСТ Р 50739-2006 "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования";

2) требования к разрабатываемому или приобретаемому прикладному ПО предусматривают применение средств:

идентификации и аутентификации пользователей, при необходимости ЭЦП и регистрационных свидетельств;

управления доступом;

контроля целостности;

журналирования действий пользователей, влияющих на ИБ;

защиты онлайновых транзакций;

криптографической защиты информации с использованием СКЗИ конфиденциальных ИС при хранении, обработке;

журналирования критичных событий ПО;

3) в ТД ИБ определяются и применяются при эксплуатации:

правила установки, обновления и удаления ПО на серверах и рабочих станциях;

процедуры управления изменениями и анализа прикладного ПО, в случае изменения системного ПО;

4) лицензируемое ПО используется и приобретается только при условии наличия лицензии.

Мероприятия по контролю правомерности использования ПО определяются в ТД ИБ, проводятся не реже одного раза в год и включают в себя:

определение фактически используемого ПО;

определение прав на использование ПО;

сравнение фактически используемого ПО и имеющихся лицензий.

Прикладное ПО выполняет проверки подтверждения принадлежности и действительности открытого ключа ЭЦП и регистрационного свидетельства лица, подписавшего электронный документ, в соответствии с Правилами проверки подлинности электронной цифровой подписи, утвержденными уполномоченным органом в соответствии с подпунктом 10) пункта 1 статьи 5 Закона Республики Казахстан "Об электронном документе и электронной цифровой подписи".

Сноска. Пункт 80- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Параграф 3. Требования к информационно-коммуникационной инфраструктуре

Требования к ИКИ формируются с учетом объектов, входящих в ее состав, согласно подпункту 25) статьи 1 Закона.
ЕТ устанавливает требования к следующим объектам ИКИ:

1) информационная система;

2) технологическая платформа;

3) аппаратно-программный комплекс;

4) сети телекоммуникаций;

5) системы бесперебойного функционирования технических средств и информационной безопасности;

6) серверное помещение (центр обработки данных).

Сноска. Пункт 82 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Параграф 4. Требования к информационной системе

ИС ГО или МИО создается и развивается в порядке, определенном пунктом 1 статьи 39 Закона, а также учитываются требования статьи 38 Закона.

Обязательные требования к средствам обработки, хранения и резервного копирования ЭИР в ИС ГО или МИО определяются статьей 42 Закона.

Перед началом опытной эксплуатации разработчиком:

1) для всех функциональных компонентов ИС создается набор тестов, сценариев тестирования и методика испытаний для проведения тестирования;

2) осуществляются стендовые испытания ИС;

3) осуществляется для персонала:

ИС ГО или МИО первого класса в соответствии с классификатором обязательное обучение;

ИС ГО или МИО второго класса в соответствии с классификатором создание видео,- мультимедиа обучающих материалов;

ИС ГО или МИО третьего класса в соответствии с классификатором создание справочной системы и (или) инструкций по эксплуатации.

Опытная эксплуатация ИС ГО или МИО включает:

документирование процедур проведения опытной эксплуатации;

оптимизацию и устранение выявленных дефектов и недоработок с последующим их исправлением;

оформление акта о завершении опытной эксплуатации ИС;

срок проведения опытной эксплуатации не должен превышать один год.

Сноска. Пункт 85 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

85-1. Внедрение объекта информатизации "электронного правительства" осуществляется в соответствии с действующими на территории Республики Казахстан стандартами.

Сноска. Единые требования дополнены пунктом 85-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Перед вводом в промышленную эксплуатацию ИС в ГО, МИО или организации определяются, согласовываются, документально оформляются критерии приемки созданной ИС или новых версий и обновлений ИС.

Сноска. Пункт 86 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Ввод в промышленную эксплуатацию ИС ГО или МИО осуществляется в соответствии с требованиями технической документации при условии положительного завершения опытной эксплуатации, наличия акта с положительным результатом испытаний на соответствие требованиям ИБ, подписания акта о вводе в промышленную эксплуатацию ИС приемочной комиссией с участием представителей уполномоченного органа, заинтересованных ГО, МИО и организаций.

Сноска. Пункт 87 в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

87-1. Испытания на соответствие требованиям информационной безопасности проводятся в соответствии со статьей 49 Закона.

Сноска. Единые требования дополнены пунктом 87-1 в соответствии с постановлением Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Предоставление сервисному интегратору "электронного правительства" для учета и хранения разработанного ПО, исходных программных кодов (при наличии) и комплекса настроек лицензионного ПО ИС ГО или МИО является обязательным и осуществляется в соответствии с порядком, определенным уполномоченным органом.

Модифицирование, разглашение и (или) использование исходных программных кодов, программных продуктов и ПО осуществляются по разрешению его собственника.

При промышленной эксплуатации ИС ГО или МИО обеспечиваются:

1) сохранность, защита, восстановление ЭИР в случае сбоя или повреждения;

2) резервное копирование и контроль за своевременной актуализацией ЭИР;

3) автоматизированный учет, сохранность и периодическое архивирование сведений об обращениях к ИС ГО или МИО;

4) фиксация изменений в конфигурационных настройках ПО, серверного и телекоммуникационного оборудования;

5) контроль и регулирование функциональных характеристик производительности;

6) сопровождение ИС;

7) техническая поддержка используемого лицензионного ПО ИС;

8) гарантийное обслуживание разработчиком ИС, включающее устранение ошибок и недочетов ИС, выявленных в период гарантийного срока (Гарантийное обслуживание обеспечивается сроком не менее года со дня введения в промышленную эксплуатацию ИС);

9) подключение пользователей к ИС, а также взаимодействие ИС осуществляется с использованием доменных имен;

10) системно-техническое обслуживание;

11) сокращение (исключение) использования документов на бумажном носителе, а также требований по их представлению при осуществлении государственных функций и оказании государственных услуг.

Сноска. Пункт 89- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Интеграция ИС ГО или МИО, в том числе с ИС ГО и МИО, находящейся в опытной эксплуатации, осуществляется в соответствии с требованиями, определенными статьей 43 Закона.

Интеграция негосударственной ИС с ИС ГО или МИО осуществляется в соответствии с требованиями, определенными статьей 44 Закона.

90-1. При реализации функций интеграционного взаимодействия объектов информатизации или компонентов объектов информации посредством шлюза, интеграционной шины, интеграционного компонента или интеграционного модуля обеспечиваются:

1) регистрация и проверка источников (точек подключений) запросов на легитимность;

2) проверка легитимности запросов по:

паролю или ЭЦП;

точке подключения;

наличию блокировки соединения;

разрешенным видам запросов, определенным в регламенте интеграционного взаимодействия;

разрешенной частоте запросов, определенной в регламенте интеграционного взаимодействия;

наличию в запросах признаков нарушений информационной безопасности;

наличию вредоносного кода по сигнатурам;

3) блокировка соединения при обнаружении нарушений в протоколах обмена сообщениями при:

отсутствии соединения в течение времени, определенного в регламенте интеграционного взаимодействия;

превышении разрешенной частоты запросов на время, определенное в регламенте интеграционного взаимодействия;

наличии в запросах признаков нарушений информационной безопасности;

превышении количества ошибок аутентификации, определенного в регламенте интеграционного взаимодействия;

выявлении аномальной активности пользователей;

выявлении попыток выгрузки массивов данных;

4) регулярная смена паролей соединения по времени действия, определенного в регламенте интеграционного взаимодействия;

5) замена логина соединения при выявлении инцидентов ИБ;

6) сокрытие адресации ЛС внутреннего контура;

7) журналирование событий, включающее:

регистрацию событий передачи/приема информационных сообщений;

регистрацию событий передачи/ получения файлов;

регистрацию событий передачи/получения служебных сообщений;

применение системы управления инцидентами и событиями ИБ для мониторинга журналов событий;

автоматизацию процедур анализа журналов событий на наличие событий ИБ;

хранение журналов событий на специализированном сервере логов, доступном для администраторов только для просмотра;

раздельное ведение журналов событий (при необходимости) по:

а) текущим суткам;

б) соединению (каналу связи);

в) государственному органу (юридическому лицу);

г) интегрируемым объектам информатизации;

8) предоставление сервиса синхронизации времени для интегрируемых объектов информатизации;

9) программно-аппаратная криптографическая защита соединений, осуществляемых через сети передачи данных;

10) хранение и передача паролей соединений в зашифрованном виде;

11) автоматизация оповещения об инцидентах ИБ ответственных лиц интегрируемых объектов информатизации.

Сноска. Глава 3 дополнена пунктом 90-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Гарантийное обслуживание ИС на этапе промышленной эксплуатации с привлечением сторонних организаций требует:

регламентации вопросов ИБ в соглашениях на гарантийное обслуживание;

управления рисками ИКТ в процессе гарантийного обслуживания.

Управление программно-аппаратным обеспечением ИС ГО и МИО осуществляется из ЛС внутреннего контура владельца ИС.

Программно-аппаратное обеспечение ИС ГО или МИО и негосударственных ИС, интегрируемых с ИС ГО или МИО, размещается на территории Республики Казахстан, за исключением случаев, связанных с межгосударственным информационным обменом, осуществляемым с использованием национального шлюза, в рамках международных договоров, ратифицированных Республикой Казахстан.

Сноска. Пункт 92 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

92-1. Для организации работы ИС ГО и МИО допускается использование облачных сервисов (аппаратно-программные комплексы, ИС, предоставляющие ресурсы с использованием технологии виртуализации), центры управления и сервера которых физически размещены на территории Республики Казахстан.

Сноска. Глава 3 дополнена пунктом 92-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

92-2. Программно-аппаратное обеспечение ИС критически важных объектов информационно-коммуникационной инфраструктуры, содержащее персональные данные граждан Республики Казахстана, размещается на территории Республики Казахстан.

Сноска. Глава 3 дополнена пунктом 92-2 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

92-3. Собственники и владельцы информационных систем государственного органа создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

Сноска. Единые требования дополнены пунктом 92-3 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

92-4. Собственники, владельцы и пользователи ИС ГО и МИО осуществляют наполнение, обеспечивают достоверность и актуальность ЭИР.

Сноска. Единые требования дополнены пунктом 92-4 в соответствии с постановлением Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Собственник или владелец ИС ГО или МИО принимает решение о прекращении эксплуатации ИС в случае отсутствия необходимости ее дальнейшего использования.

О прекращении эксплуатации ИС ГО или МИО необходимо уведомить сервисного интегратора, с публикацией на архитектурном портале "электронного правительства" субъектов информатизации, чьи ИС интегрированы со снимаемой с эксплуатации ИС ГО или МИО, и ГО или МИО, являющихся пользователями данной ИС.

ГО или МИО составляет план снятия ИС ГО или МИО с эксплуатации и согласовывает его с ГО или МИО, являющимися пользователями ИС ГО или МИО.
После снятия ИС с эксплуатации ГО или МИО сдают в ведомственный архив электронные документы, техническую документацию, журналы и архивированную базу данных снятой с эксплуатации ИС ГО или МИО в соответствии с Правилами приема, хранения, учета и использования документов Национального архивного фонда и других архивных документов ведомственными и частными архивами, утвержденными постановлением Правительства Республики Казахстан в соответствии с подпунктом 3) пункта 1-1 статьи 18 Закона об архивах.

Сноска. Пункт 95 - в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При поступлении заявки на прекращение эксплуатации ИС ГО или МИО сервисный интегратор аннулирует электронное свидетельство о регистрации ИС ГО или МИО и размещает соответствующие сведения на архитектурном портале "электронного правительства".
Списание и (или) утилизация снятой с эксплуатации ИС ГО или МИО осуществляются в соответствии с законодательством Республики Казахстан о бухгалтерском учете и финансовой отчетности.

В случае, если эксплуатация ИС ГО или МИО прекращена, но ИС ГО или МИО не списана в установленном порядке, то ИС ГО или МИО считается находящейся в консервации.

После списания ИС ГО или МИО не используется.

Для обеспечения ИБ:

1) на стадиях стендовых, приемо-сдаточных испытаний и тестовой эксплуатации осуществляются:

тестирование ПО ИС на основе разработанных комплексов тестов, настроенных на конкретные классы программ;

натурные испытания программ при экстремальных нагрузках с имитацией воздействия активных дефектов (стресс-тестирование);

тестирование ПО ИС с целью выявления возможных дефектов;

стендовые испытания ПО ИС для определения непреднамеренных программных ошибок проектирования, выявления потенциальных проблем для производительности;

выявление и устранение уязвимостей программного и аппаратного обеспечения;

отработка средств защиты от несанкционированного воздействия;

2) перед вводом ИС в опытную эксплуатацию требуется предусмотреть:

контроль неблагоприятного влияния новой ИС на функционирующие ИС и компоненты ИКИ ЭП, особенно во время максимальных нагрузок;

анализ влияния новой ИС на состояние ИБ ИКИ ЭП;

организацию подготовки персонала к эксплуатации новой ИС;

3) осуществляется разделение сред опытной или промышленной эксплуатации ИС от сред разработки, тестирования или стендовых испытаний. При этом реализуются следующие требования:

перевод ИС из фазы разработки в фазу тестирования фиксируется и документально оформляется;

перевод ИС из фазы тестирования в фазу опытной эксплуатации фиксируется и документально оформляется;

перевод ИС из фазы опытной эксплуатации в этап промышленной эксплуатации фиксируется и документально оформляется;

инструментальные средства разработки и испытываемое ПО ИС размещаются в разных доменах;

компиляторы, редакторы и другие инструментальные средства разработки в среде эксплуатации не размещаются или недоступны для использования из среды эксплуатации;

среда испытаний ИС соответствует среде эксплуатации в части аппаратно-программного обеспечения и архитектуры;

для испытываемых ИС не допускается использовать реальные учетные записи пользователей систем, находящихся в промышленной эксплуатации;

не подлежат копированию данные из ИС, находящихся в промышленной эксплуатации, в испытательную среду;

4) при выводе из эксплуатации ИС обеспечиваются:

архивирование информации, содержащейся в ИС;

уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей с оформлением соответствующего акта.

98-1. На информационную систему критически важных объектов ИКИ также распространяются требования стандарта Республики Казахстан IEC/PAS 62443-3- 2017 "Сети коммуникационные промышленные. Защищенность (кибербезопасность) сети и системы. Часть 3. Защищенность (Кибербезопасность) промышленного процесса измерения и управления".

Сноска. Единые требования дополнены пунктом 98-1 в соответствии с постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Параграф 5. Требования к технологической платформе

Выбор технологической платформы осуществляется с учетом приоритета оборудования с возможностью поддержки технологии виртуализации.

Сноска. Пункт 99 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При выборе оборудования, реализующего технологию виртуализации, учитывается необходимость обеспечения следующей функциональности:

1) декомпозиции:

вычислительные ресурсы распределяются между виртуальными машинами;

множество приложений и операционных систем сосуществуют на одной физической вычислительной системе;

2) изоляции:

виртуальные машины полностью изолированы друг от друга, а аварийный отказ одной из них не оказывает влияния на остальные;

данные не передаются между виртуальными машинами и приложениями, за исключением случаев использования общих сетевых соединений;

3) совместимости:

приложениям и ОС предоставляются вычислительные ресурсы оборудования, реализующего технологию виртуализации.

ИКП ЭП размещается на оборудовании, расположенном в серверном центре ГО.

ИКП ЭП обеспечивает:

автоматизированное предоставление ИК-услуг с единой точкой входа для их управления;

виртуализацию вычислительных ресурсов серверного оборудования с использованием различных технологий;

бесперебойное и отказоустойчивое функционирование предоставляемых ИК-услуг с коэффициентом использования не менее 98,7 %;

исключение единой точки отказа на логическом и физическом уровнях средствами используемого оборудования, телекоммуникаций и программного обеспечения;

разделение вычислительных ресурсов на аппаратном и программном уровнях.

Надежность виртуальной инфраструктуры обеспечивается встроенными средствами ПО технологии виртуализации и управления виртуальной средой.

101-1. Промышленная эксплуатация ИКП допускается при условии наличия акта с положительным результатом испытаний на соответствие требованиям информационной безопасности.

Сноска. Глава 3 дополнена пунктом 101-1 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); в редакции постановления Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Для обеспечения ИБ при использовании технологии виртуализации реализуются:

1) управление идентификацией, требующее:

аутентификацию клиентов ИК-услуг и привилегированных пользователей;

федеративной идентификации пользователей в пределах одной технологической платформы;

сохранения информации об аутентификации после удаления идентификатора пользователя;

применения средств контроля процедур назначения профилей полномочий пользователя;

2) управление доступом, требующее:

разделения полномочий администратора ИС и администратора среды виртуализации;

ограничения прав доступа администратора среды виртуализации к данным пользователя ИК-услуги. Права доступа ограничиваются конкретными процедурами, определенными в ТД ИБ и сервисном соглашении об обслуживании, и подлежат регулярной актуализации;

применения многофакторной аутентификации для привилегированных и критичных операций;

ограничения использования ролей со всеми полномочиями. Настройки профиля администратора ИС исключают получение доступа к компонентам среды виртуализации;

определения минимальных привилегий и реализацию модели ролевого управления доступом;

удаленного доступа посредством защищенного шлюза или списка разрешенных сетевых адресов отправителей;

3) управление ключами шифрования, требующее:

контроля ограничения доступа к данным о ключах шифрования СКЗИ;

контроля над организацией корневого каталога и подписки ключей;

блокирования скомпрометированных ключей и их надежного уничтожения;

4) проведение аудита событий ИБ, требующее:

обязательности и регулярности процедур, определяемых в ТД ИБ;

проведения процедур аудита для всех операционных систем, клиентских виртуальных машин, инфраструктуры сетевых компонентов;

ведения журнала регистрации событий и хранения в недоступной для администратора системе хранения;

проверки правильности работы системы ведения журнала регистрации событий;

определения длительности хранения журналов регистрации событий в ТД ИБ;

5) регистрация событий ИБ, требующая:

журналирования действий администраторов;

применения системы мониторинга инцидентов и событий ИБ;

оповещения на основе автоматического распознавания критического события или инцидента ИБ;

6) управление инцидентами ИБ, требующее:

определения формального процесса обнаружения, выявления, оценки и порядка реагирования на инциденты ИБ с актуализацией раз в полугодие;

составления отчетов с периодичностью, определенной в ТД ИБ, по результатам обнаружения, выявления, оценки и реагирования на инциденты ИБ;

уведомления ответственных лиц ГО, МИО или организации об инцидентах ИБ;

регистрации инцидентов ИБ в Службе реагирования на компьютерные инциденты Государственной технической службы;

7) применение защитных мер аппаратных и программных компонентов инфраструктуры среды виртуализации, осуществляющих:

физическое отключение или блокирование неиспользуемых физических устройств (съемных накопителей, сетевых интерфейсов);

отключение неиспользуемых виртуальных устройств и сервисов;

мониторинг взаимодействия между гостевыми операционными системами;

контроль сопоставления виртуальных устройств физическим;

применение сертифицированных гипервизоров;

8) физическое разделение сред эксплуатации от сред разработки и тестирования;

9) определение в ТД ИБ процедур управления изменениями для объектов информатизации;

10) определение в ТД ИБ процедур восстановления после сбоев и отказов оборудования и ПО;

11) исполнение процедур сетевого и системного администрирования требующее:

обеспечения сохранности образов виртуальных машин, контроля целостности операционной системы, приложений, сетевой конфигурации, ПО и данных ГО или организации на наличие вредоносных сигнатур;

отделения аппаратной платформы от операционной системы виртуальной машины c целью исключения доступа внешних пользователей к аппаратной части;

логической изоляции между различными функциональными областями инфраструктуры среды виртуализации;

физической изоляции между средами виртуализации ЭИР и ИС различных классов по уровню ИБ.

Параграф 6. Требования к аппаратно-программному комплексу

Требования к конфигурации серверного оборудования АПК определяются в техническом задании на создание или развитие ИС и (или) технической спецификации на приобретение товаров, работ и услуг в сфере информатизации.
Выбор типовой конфигурации серверного оборудования АПК осуществляется с учетом обеспечения приоритета серверов:

1) с многопроцессорной архитектурой;

2) позволяющих масштабировать ресурсы и увеличивать производительность;

3) поддерживающих технологию виртуализации;

4) включающих средства управления, изменения и перераспределения ресурсов;

5) совместимых с используемой информационно-коммуникационной инфраструктурой.

Для обеспечения высокой доступности сервера применяются встроенные системы:

1) горячей замены резервных вентиляторов, блоков питания, дисков и адаптеров ввода-вывода;

2) динамической очистки и перераспределения страниц памяти;

3) динамического перераспределения процессоров;

4) оповещения о критических событиях;

5) поддержки непрерывного контроля состояния критичных компонентов и измерения контролируемых показателей.

Приобретаемое серверное оборудование обеспечивается технической поддержкой от производителя. Снимаемое с производства серверное оборудование не подлежит приобретению.
С целью обеспечения ИБ на регулярной основе, определенной в НТД ИБ, осуществляется инвентаризация серверного оборудования с проверкой его конфигурации.
Для обеспечения безопасности и качества обслуживания с оформлением договора совместных работ по ИБ в порядке, установленном законодательством Республики Казахстан, серверное оборудование АПК объектов информатизации ГО и МИО:

первого класса размещается только в серверном центре ГО;

второго и третьего классов размещается в серверном центре ГО, МИО или привлекаемого юридического лица, оборудованном в соответствии с требованиями к серверным помещениям, установленными в настоящих ЕТ, и имеющем в своем распоряжении оперативный центр информационной безопасности.

Сноска. Пункт 108 - в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

108-1. Для обеспечения доступности и отказоустойчивости АПК объектов информатизации ГО и МИО резервирование аппаратно-программных средств обработки данных, систем хранения данных, компонентов сетей хранения данных осуществляется с оформлением договора совместных работ по ИБ в порядке, установленном законодательством Республики Казахстан для объектов информатизации первого, второго и третьего классов в резервном серверном помещении ГО, МИО или привлекаемого юридического лица, оборудованном в соответствии с требованиями к серверным помещениям, установленными в настоящих ЕТ, и имеющем в своем распоряжении оперативный центр информационной безопасности.

Сноска. Единые требования дополнены пунктом 108-1 в соответствии с постановлением Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Требования к системам хранения данных определяются в техническом задании на создание или развитие ИС и (или) технической спецификации на приобретение товаров, работ и услуг в сфере информатизации.
Система хранения данных обеспечивает поддержку:

единых средств для репликации данных;

масштабируемости по объему хранения данных.

Для высоконагруженных ИС, требующих высокой доступности, применяются:

1) сети хранения данных;

2) системы хранения данных, поддерживающие систему виртуализации и (или) ярусного хранения данных.

Для обеспечения высокой доступности системы хранения данных включают встроенные системы:

1) горячей замены резервных вентиляторов и блоков питания;

2) горячей замены дисков и адаптеров ввода-вывода;

3) оповещения о критических событиях;

4) активных контроллеров (в количестве не менее двух);

5) интерфейсов сети хранения данных (в количестве не менее двух портов на контроллер);

6) поддержки непрерывного контроля состояния критичных компонентов и измерения контролируемых показателей.

Система хранения данных обеспечивается системой резервного копирования.
Для обеспечения ИБ, надежного хранения и возможности восстановления данных:

1) применяется криптографическая защита хранимой служебной информации ограниченного распространения, информации конфиденциальных ИС, конфиденциальных ЭИР и ЭИР, содержащих персональные данные ограниченного доступа с использованием СКЗИ, в соответствии с пунктом 48 настоящих ЕТ;

2) используется выделенный сервер для защищенного хранения ключей шифрования по уровню безопасности не ниже уровня безопасности, используемых СКЗИ, установленного для криптографических ключей в правилах использования криптографических средств защиты информации;

3) обеспечивается запись и испытание резервных копий в соответствии с регламентом резервного копирования, определенным в ТД ИБ.

При выводе из эксплуатации носителей информации, используемых в конфиденциальных ИС, конфиденциальных ЭИР и ЭИР, содержащих персональные данные ограниченного доступа, применяется программное и аппаратное обеспечение гарантированного уничтожения информации.
При выборе системного ПО серверного оборудования и рабочих станций учитываются:

1) требования, предъявляемые в техническом задании на разработку (развитие) прикладного ПО ИС или задании на проектирование информационно-коммуникационной услуги, разработанном сервисным интегратором "электронного правительства";

2) соответствие типу операционных систем (клиентской или серверной);

3) совместимость с используемым прикладным ПО;

4) поддержка сетевых сервисов, функционирующих в сети телекоммуникаций;

5) поддержка многозадачности;

6) наличие штатных средств получения и установки критичных обновлений и обновлений безопасности выпускаемых производителем операционных систем;

7) наличие средств диагностики, аудита и ведение журнала событий;

8) поддержка технологий виртуализации.

Сноска. Пункт 116 с изменением, внесенным постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Приобретение системного ПО осуществляется с учетом приоритета:

1) модели лицензирования, обеспечивающей снижение стоимости закупки, а также совокупной стоимости лицензии за период эксплуатации;

2) ПО, обеспеченного технической поддержкой и сопровождением.

С целью обеспечения ИБ системное ПО обеспечивает возможность:

1) контроля доступа с применением:

идентификации, аутентификации и управления паролями пользователей;

регистрации успешных и неудавшихся доступов;

регистрации использования системных привилегий;

ограничения времени соединения, при необходимости, и блокировки сеанса по превышению лимита времени;

2) исключения для пользователей и ограничения для администраторов использования системных утилит, способных обходить средства контроля операционной системы.

СПО распространяется безвозмездно, без лицензионных ограничений, препятствующих использованию в ГО с соблюдением требований законодательства об авторском праве.
СПО предоставляется с открытым исходным кодом.
Используемое в ГО СПО дорабатывается с учетом поддержки форматов информационного взаимодействия через ШЭП.
Для обеспечения ИБ при применении СПО:

к использованию допускается СПО, поддерживаемое сообществом разработчиков СПО или прошедшее экспертизу и сертификацию программного кода;

сохраняются применявшиеся версии СПО.

Параграф 7. Требования к сетям телекоммуникаций

Ведомственные (корпоративные) сети телекоммуникаций организуются путем объединения локальных сетей, принадлежащих одному собственнику, посредством выделенных собственных или арендованных каналов связи.

Выделенные каналы связи, предназначенные для объединения локальных сетей, организовываются с использованием протоколов канального и сетевого уровней.

При организации ведомственной (корпоративной) сети путем объединения нескольких локальных сетей применяется радиальная или радиально-узловая топология сети. В узловых точках выделенные каналы подключаются к одному пограничному шлюзу. Каскадное (последовательное) подключение локальных сетей не используется.
При проектировании создается и при эксплуатации поддерживается в актуальном состоянии документированная схема ведомственной (корпоративной) сети телекоммуникаций.
Физический доступ к оборудованию для организации каналов связи имеет персонал, обслуживающий выделенный канал связи.

Управление оборудованием осуществляет оператор ИКИ ЭП, предоставляющий выделенный канал.

В настройках оборудования неиспользуемые порты блокируются.

Ввод в здание линий канала связи и их прокладка в здании осуществляются в соответствии с государственным нормативом СН РК 3.02-17-2011 "Структурированные кабельные сети. Нормы проектирования".
В целях обеспечения ИБ:

1) при организации выделенного канала связи, объединяющего локальные сети, применяются программно-технические средства защиты информации, в том числе криптографического шифрования, с использованием СКЗИ;

2) выделенный канал связи подключается к локальной сети посредством пограничного шлюза с прописанными правилами маршрутизации и политиками безопасности. Пограничный шлюз обеспечивает следующий минимальный набор функций:

централизованную авторизацию узлов сети;

конфигурацию уровней привилегий администраторов;

протоколирование действий администраторов;

статическую трансляцию сетевых адресов;

защиту от сетевых атак;

контроль состояния физических и логических портов;

фильтрацию входящих и исходящих пакетов на каждом интерфейсе;

криптографическую защиту передаваемого трафика с использованием СКЗИ;

3) при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей СИ между собой используются:

средства разделения и изоляции информационных потоков;

оборудование с компонентами, обеспечивающими ИБ и безопасное управление;

выделенные и интегрированные с оборудованием доступа межсетевые экраны, установленные в каждой точке подключения, с целью защиты периметра ЕТС ГО;

4) при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей к Интернету через ЕШДИ ГО, МИО, государственные юридические лица, субъекты квазигосударственного сектора, а также владельцы критически важных объектов ИКИ используют услуги оператора ИКИ или другого оператора связи, имеющего зарезервированные каналы связи на оборудовании ЕШДИ.

Подключение ведомственной (корпоративной) сети телекоммуникаций и локальных сетей к Интернету через ЕШДИ осуществляется в соответствии с Правилами функционирования единого шлюза доступа к Интернету, утвержденными уполномоченным органом в сфере обеспечения информационной безопасности;

5) служащие ГО, МИО и работники государственных юридических лиц, субъектов квазигосударственного сектора, а также владельцы критически важных объектов ИКИ для осуществления оперативного информационного обмена в электронной форме при исполнении ими служебных обязанностей используют:

ведомственную электронную почту, службу мгновенных сообщений и иные сервисы;

электронную почту, службу мгновенных сообщений и иные сервисы, центры управления и серверы которых физически размещены на территории Республики Казахстан, если иное не установлено уполномоченным органом;

доступные облачные онлайн-сервисы видеоконференцсвязи в целях коммуникаций с иностранными физическими и юридическими лицами;

6) взаимодействие ведомственной электронной почты ГО и МИО с внешними электронными почтовыми системами осуществляется только через единый шлюз электронной почты;

7) служащие ГО, МИО и работники государственных юридических лиц, субъектов квазигосударственного сектора, а также владельцы критически важных объектов ИКИ осуществляют доступ к ИР из ЛС внешнего контура только через ЕШДИ с использованием веб-обозревателя, являющегося СПО и соответствующего требованиям Правил функционирования ЕШДИ, утвержденных уполномоченным органом в сфере обеспечения информационной безопасности;

8) служащими ГО, МИО и работниками государственных юридических лиц доступ к интернет-ресурсам осуществляется посредством интернет-браузера, дистрибутив которого имеет предустановленные регистрационные свидетельства национального удостоверяющего центра Республики Казахстан и корневого удостоверяющего центра Республики Казахстан.

Сноска. Пункт 128 - в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Подключение СИ к ЕТС ГО осуществляется в соответствии с правилами подключения к ЕТС ГО и предоставления доступа к интранет-ресурсу через ЕТС ГО, определяемыми уполномоченным органом.

Сноска. Пункт 129 - в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В ГО или МИО допускается применение устройств для организации беспроводного доступа только к общедоступным ЭИР "электронного правительства" и местах, разрешенных для пребывания посетителей ГО или МИО в "гостевой зоне".
Не допускается подключение к ЕТС ГО, локальной сети СИ, а также техническим средствам, входящим в состав ЕТС ГО, локальной сети СИ, устройств для организации удаленного доступа посредством беспроводных сетей, беспроводного доступа, модемов, радиомодемов, модемов сетей операторов сотовой связи, абонентских устройств сотовой связи и других беспроводных сетевых устройств, за исключением организованных оператором ИКИ ЭП беспроводных каналов связи ЕТС ГО, с использованием СКЗИ в соответствии с пунктом 48 настоящих ЕТ.

Сноска. Пункт 131 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

131-1. Необходимо осуществлять контроль подключения абонентских устройств сотовой связи, модемов сетей операторов сотовой связи, а также электронных носителей информации, не разрешенных политикой ИБ, принятой в ГО или МИО.

Сноска. Единые требования дополнены пунктом 131-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Оператор ИКИ ЭП по заявкам СИ осуществляет:

распределение, регистрацию и перерегистрацию IP-адресов локальных сетей СИ, подключенных к ЕТС ГО, по заявкам СИ;

регистрацию доменных имен в доменных зонах Интернета gov.kz и мем.қаз по заявкам СИ;

регистрацию доменных имен в сети ЕТС ГО по заявкам СИ;

предоставление сервиса DNS в сети ЕТС ГО.

Сноска. Пункт 132 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

ГО и МИО ежегодно:

1) запрашивают у государственной технической службы перечень используемых на оборудовании ЕШДИ категорий интернет-ресурсов;

2) выбирают из вышеуказанного перечня категории интернет-ресурсов, доступ к которым разрешается для служащих ГО и МИО средствами ЕШДИ, и составляют их список;

3) направляют в государственную техническую службу вышеуказанный список и списки сетевых адресов информационно-коммуникационных сетей ГО и их территориальных подразделений, МИО, получающих доступ к Интернету, для применения на оборудовании ЕШДИ;

4) направляют в государственную техническую службу, в случае производственной необходимости организации VPN-каналов, техническую информацию по требуемым VPN-каналам (IP-адреса источника и назначения, порты, протокол), согласованную с уполномоченным органом в сфере обеспечения информационной безопасности.

Сноска. Пункт 133 с изменениями, внесенными постановлениями Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

133-1. Не допускаются установка и применение на объектах информатизации, размещенных в ЛС внешнего контура ГО или МИО, программных или технических средств для удаленного управления ими извне ЛС внешнего контура ГО или МИО.

Сноска. Единые требования дополнены пунктом 133-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).
134. Исключен постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

134-1. Государственная техническая служба применяет на оборудовании ЕШДИ политику блокировки следующих категорий ИР и ПО (по умолчанию):

- VPN;

- удаленный доступ;

- p2p;

- игровые ресурсы;

- неизвестные приложения, не входящие по умолчанию в перечень категорий ИР и ПО;

- вредоносные ИР и ПО.

Сноска. Единые требования дополнены пунктом 134-1 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

134-2. Возможность разблокировки отдельных категорий ИР и ПО, указанных в пункте 134-1, рассматривается государственной технической службой на основании официального запроса, поступившего от ГО, МИО, государственных организаций, субъектов квазигосударственного сектора, а также владельцев критически важных объектов ИКИ.

Сноска. Единые требования дополнены пунктом 134-2 в соответствии с постановлением Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Требования к создаваемой или развиваемой локальной сети определяются в технической спецификации на приобретение товаров, работ и услуг в сфере информатизации.

При проектировании кабельной системы локальной сети необходимо соблюдать требования государственного норматива СН РК 3.02-17-2011 "Структурированные кабельные сети. Нормы проектирования".

При проектировании создается документированная схема локальной сети, которая поддерживается в актуальном состоянии при эксплуатации.
Все элементы кабельной системы подлежат маркировке в соответствии с требованиями пункта 13.1.5 Государственного норматива СН РК 3.02-17-2011 "Структурированные кабельные сети. Нормы проектирования".

Все кабельные соединения регистрируются в журнале учета кабельных соединений.

Активное оборудование локальных сетей обеспечивается электропитанием от источников бесперебойного питания.
Для обеспечения ИБ:

1) неиспользуемые порты кабельной системы локальной сети физически отключаются от активного оборудования;

2) разрабатывается и утверждается ТД ИБ, включающая правила:

использования сетей и сетевых услуг;

подключения к международным (территориальным) сетям передачи данных;

подключения к Интернету и (или) сетям телекоммуникаций, сетям связи, имеющим выход в международные (территориальные) сети передачи данных;

использования беспроводного доступа к сетевым ресурсам;

3) служебная информация ограниченного распространения, информация конфиденциальных ИС, конфиденциальных ЭИР и ЭИР, содержащих персональные данные ограниченного доступа, не передается по незащищенным проводным каналам связи и радиоканалам, не оборудованным соответствующими СКЗИ.

Передача служебной информации ограниченного распространения производится с соблюдением специальных требований по защите информации ограниченного распространения в соответствии с Правилами отнесения сведений к служебной информации ограниченного распространения и работы с ней, установленными Правительством Республики Казахстан.

4) применяются средства:

идентификации, аутентификации и управления доступом пользователей;

идентификации оборудования;

защиты диагностических и конфигурационных портов;

физического сегментирования локальной сети;

логического сегментирования локальной сети;

управления сетевыми соединениями;

межсетевого экранирования;

сокрытия внутреннего адресного пространства локальной сети;

контроля целостности данных, сообщений и конфигураций;

криптографической защиты информации в соответствии с пунктом 48 настоящих ЕТ;

физической защиты каналов передачи данных и сетевого оборудования;

регистрации событий ИБ;

мониторинга и анализа сетевого трафика;

управления сетью;

5) осуществляется взаимодействие локальных сетей ГО, а также МИО между собой только через ЕТС ГО, за исключением сетей телекоммуникаций специального назначения и/или правительственной, засекреченной, шифрованной и кодированной связи;

6) осуществляется взаимодействие локальных сетей центрального исполнительного государственного органа и его территориальных подразделений между собой только через ЕТС ГО, за исключением сетей телекоммуникаций специального назначения и/или правительственной, засекреченной, шифрованной и кодированной связи;

7) исключаются сопряжения ЛС внутреннего контура и ЛС внешнего контура СИ между собой, за исключением организованных каналов связи с использованием СКЗИ, в соответствии с пунктом 48 настоящих ЕТ для учреждений Республики Казахстан, находящихся за границей;

8) исключается подключение ЛС внутреннего контура СИ к Интернету;

9) осуществляется соединение ЛС внешнего контура СИ с Интернетом только через ЕШДИ. Подключение к Интернету иным способом не допускается, за исключением специальных и правоохранительных ГО в оперативных целях. Взаимодействие ВШЭП с Интернетом осуществляется через ЕШДИ.

10) размещаются ИС СИ, реализующие информационное взаимодействие через Интернет, в выделенном сегменте ЛС внешнего контура СИ, и осуществляется взаимодействие с ИС СИ, размещенными в ЛС внутреннего контура СИ, через ВШЭП;

11) осуществляется информационное взаимодействие ИС, размещенных в Интернете, с ИС СИ, размещенными в ЛС внутреннего контура СИ, только через ВШЭП;

12) сервера инфраструктуры источника времени верхнего уровня синхронизируются с эталоном времени и частоты, воспроизводящим национальную шкалу всемирного координированного времени UTC(kz).

Сервера инфраструктуры точного времени синхронизируются с сервером инфраструктуры точного времени верхнего уровня.

Сервера инфраструктуры точного времени предоставляют доступ клиентам для синхронизации времени.

13) отключаются открытые неиспользуемые сетевые порты.

Сноска. Пункт 139 - в редакции постановления Правительства РК от 18.01.2021 № 12 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Требования, предусмотренные в подпунктах 10), 11) пункта 139 ЕТ, не предъявляются к ИС ГО и МИО, введенным в промышленную эксплуатацию до 1 января 2016 года и не подлежащим развитию до 1 января 2018 года.

Порядок информационного взаимодействия данных ИС ГО или МИО с негосударственными ИС определяется Правилами интеграции объектов информатизации "электронного правительства", утвержденными уполномоченным органом в сфере информатизации в соответствии с подпунктом 13) статьи 7 Закона.

Сноска. Пункт 140 в редакции постановления Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Параграф 8. Требования к системам бесперебойного функционирования технических средств и информационной безопасности

Серверное оборудование АПК и системы хранения данных размещаются в серверном помещении.
Серверное помещение располагается в отдельных, непроходных помещениях без оконных проемов. В случае наличия оконных проемов, они закрываются или заделываются негорючими материалами.

Для поверхности стен, потолков и пола применяются материалы, не выделяющие и не накапливающие пыль. Для напольного покрытия применяются материалы с антистатическими свойствами. Серверное помещение защищается от проникновения загрязняющих веществ.

Стены, двери, потолок, пол и перегородки серверного помещения обеспечивают герметичность помещения.

Двери серверного помещения составляют не менее 1,2 метра в ширину и 2,2 метра в высоту, открываются наружу или раздвигаются. Конструкция рамы двери не предусматривает порога и центральной стойки.
Серверное помещение оборудуется фальшполом и (или) фальшпотолком для размещения кабельных систем и инженерных коммуникаций.
Через серверное помещение исключается прохождение любых транзитных коммуникаций. Трассы обычного и пожарного водоснабжения, отопления и канализации выносятся за пределы серверного помещения и не размещаются над серверным помещением на верхних этажах.
Монтаж коммуникационных каналов для прокладки силовых и слаботочных кабельных сетей здания выполняется в отдельных или разделенных перегородками кабельных лотках, коробах или трубах, разнесенных между собой. Слаботочные и силовые шкафы устанавливаются раздельно и закрываются на замок.

Прокладка кабелей через перекрытия, стены, перегородки осуществляется в отрезках несгораемых труб с герметизацией негорючими материалами.

Серверное помещение надежно защищается от внешнего электромагнитного излучения.
При размещении оборудования:

1) обеспечивается исполнение Правил технической эксплуатации электроустановок потребителей, утвержденных уполномоченным органом в сфере энергетики в соответствии с подпунктом 27) статьи 5 Закона Республики Казахстан "Об электроэнергетике" (далее – Закон об электроэнергетике);

2) обеспечивается исполнение требований поставщиков и (или) производителя оборудования к установке (монтажу), нагрузке на перекрытия и фальшпол, с учетом веса оборудования и коммуникаций;

3) обеспечивается наличие свободных служебных проходов для обслуживания оборудования;

4) учитывается организация воздушных потоков системы обеспечения микроклимата;

5) учитывается организация системы фальшполов и фальшпотолков.

Сноска. Пункт 148- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

При техническом сопровождении оборудования, установленного в серверном помещении, документируются:

1) обслуживание оборудования;

2) устранение проблем, возникающих при работе аппаратно-программного обеспечения;

3) факты сбоев и отказов, а также результаты восстановительных работ;

4) послегарантийное обслуживание критически важного оборудования по истечении гарантийного срока обслуживания.

Форма и способ документирования определяются самостоятельно.

Обслуживание критически важного оборудования выполняется сертифицированным техническим персоналом.
В непосредственной близости от серверного помещения создается склад запасных частей для критически важного оборудования, содержащий запас комплектующих и оборудования для выполнения оперативной замены при проведении ремонтно-восстановительных работ.
Вмешательство в работу находящегося в эксплуатации оборудования возможно только с разрешения руководителя подразделения информационных технологий либо лица, его замещающего.
Основные и резервные серверные помещения располагаются на безопасном расстоянии в удаленных друг от друга зданиях. Требования к резервным серверным помещениям идентичны требованиям к основным серверным помещениям.
С целью обеспечения ИБ, отказоустойчивости и надежности функционирования:

1) в серверном помещении применяются способы расположения оборудования, обеспечивающие снижение рисков возникновения угроз, опасностей и возможностей несанкционированного доступа;

2) в серверном помещении исключается размещение в одной виртуальной среде, одном серверном оборудовании, одном монтажном шкафу или стойке ЭИР, ИР, СПП, ИС, относящихся в соответствии с классификатором объектов информатизации первого класса с объектами информатизации второго и третьего класса;

3) поддерживается в актуальном состоянии список лиц, авторизованных для осуществления сопровождения объектов ИКИ, установленных в серверном помещении;

4) серверное помещение оборудуется системами:

контроля и управления доступом;

обеспечения микроклимата;

охранной сигнализации;

видеонаблюдения;

пожарной сигнализации;

пожаротушения;

гарантированного электропитания;

заземления;

5) отказоустойчивость инфраструктуры серверного помещения составляет не менее 99,7 %.

Сноска. Пункт 154 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Система контроля и управления доступом обеспечивает санкционированный вход в серверное помещение и санкционированный выход из него. Преграждающие устройства и конструкция входной двери должны предотвращать возможность передачи идентификаторов доступа в обратном направлении через тамбур входной двери.

Устройство центрального управления системы контроля и управления доступом устанавливается в защищенных от доступа посторонних лиц отдельных служебных помещениях, помещении поста охраны. Доступ к программным средствам системы контроля и управления доступом, влияющим на режимы работы системы, со стороны персонала охраны исключить.

Электроснабжение системы контроля и управления доступом осуществляется от свободной группы щита дежурного освещения. Система контроля и управления доступом обеспечивается резервным электропитанием.

Система обеспечения микроклимата включает системы кондиционирования, вентиляции и мониторинга микроклимата. Системы обеспечения микроклимата серверного помещения не объединяются с другими системами микроклимата, установленными в здании.

Температура в серверном помещении поддерживается в диапазоне от 20 ⁰С до 25 ⁰С при относительной влажности от 45 % до 55 %.

Мощность системы кондиционирования воздуха должна превышать суммарное тепловыделение всего оборудования и систем. Система кондиционирования воздуха обеспечивается резервированием. Электропитание кондиционеров серверного помещения осуществляется от системы гарантированного электропитания или системы бесперебойного электропитания.

Система вентиляции обеспечивает приток свежего воздуха с фильтрацией и подогревом поступающего воздуха в зимний период. В серверном помещении давление создается избыточным для предотвращения поступления загрязненного воздуха из соседних помещений. На воздуховодах приточной и вытяжной вентиляций устанавливаются защитные клапаны, управляемые системой пожаротушения.

Системы кондиционирования и вентиляции отключаются автоматически по сигналу пожарной сигнализации.

Система мониторинга микроклимата контролирует климатические параметры в серверных шкафах и телекоммуникационных стойках:

температуру воздуха;

влажность воздуха;

запыленность воздуха;

задымленность воздуха;

открытие (закрытие) дверей шкафов.

Сноска. Пункт 156 с изменением, внесенным постановлением Правительства РК от 31.12.2019 № 1047 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Система охранной сигнализации серверного помещения выполняется отдельно от систем безопасности здания. Сигналы оповещения выводятся в помещение круглосуточной охраны в виде отдельного пульта. Контролю и охране подлежат все входы и выходы серверного помещения, а также внутренний объем серверного помещения. Система охранной сигнализации имеет собственный источник резервированного питания.
Расположение камер системы видеонаблюдения выбирается с учетом обеспечения контроля всех входов и выходов в серверное помещение, пространства и проходов возле оборудования. Угол обзора и разрешение камер должны обеспечить распознавание лиц. Изображение с камер выводится на отдельный пульт в помещение круглосуточной охраны
Система пожарной сигнализации серверного помещения выполняется отдельно от пожарной сигнализации здания. В серверном помещении устанавливаются два типа датчиков: температурные и дымовые.

Датчиками контролируются общее пространство серверного помещения и объемы, образованные фальшполом и (или) фальшпотолком. Сигналы оповещения системы пожарной сигнализации выводятся на пульт в помещение круглосуточной охраны.

Система пожаротушения серверного помещения оборудуется автоматической установкой газового пожаротушения, независимой от системы пожаротушения здания. В качестве огнегасителя в автоматической установке газового пожаротушения используется специальный нетоксичный газ. Порошковые и жидкостные огнегасители не используются. Установка газового пожаротушения размещается непосредственно в серверном помещении или вблизи него в специально оборудованном для этого шкафу. Запуск системы пожаротушения производится от датчиков раннего обнаружения пожара, реагирующих на появление дыма, а также ручных датчиков, расположенных у выхода из помещения. Время задержки выпуска огнегасителя составляет не более 30 с. Оповещение о срабатывании системы пожаротушения выводится на табло, размещаемые внутри и снаружи помещения. Система пожаротушения выдает команды на закрытие защитных клапанов системы вентиляции и отключение питания оборудования. Серверное помещение, оборудованное системой пожаротушения, оснащается вытяжной вентиляцией для удаления огнегасящего газа.
Система гарантированного электропитания предусматривает наличие двух вводов электропитания от разных источников внешнего электропитания на напряжение ~400/230В, частотой 50 Гц и автономного генератора. Все источники электроэнергии подаются на автомат ввода резерва, осуществляющий автоматическое переключение на резервный ввод электропитания при прекращении, перерыве подачи электропитания на основном вводе. Параметры линий электропитания и сечение жил определяются исходя из планируемой суммарной потребляемой мощности оборудования и подсистем серверного помещения. Линии электропитания выполняются по пятипроводной схеме.

Система гарантированного электропитания предусматривает электроснабжение оборудования и систем серверного помещения через источники бесперебойного питания. Мощность и конфигурация источников бесперебойного питания рассчитываются с учетом всего запитываемого оборудования и запаса для перспективного развития. Время автономной работы от источников бесперебойного питания рассчитывается с учетом потребностей, а также необходимого времени для перехода на резервные линии и времени запуска генератора в рабочий режим.

Система заземления серверного помещения выполняется отдельно от защитного заземления здания. Все металлические части и конструкции серверного помещения заземляются с общей шиной заземления. Каждый шкаф (стойка) с оборудованием заземляется отдельным проводником, соединяемым с общей шиной заземления. Открытые токопроводящие части оборудования обработки информации должны быть соединены с главным заземляющим зажимом электроустановки.

Заземляющие проводники, соединяющие устройства защиты от перенапряжения с главной заземляющей шиной, должны быть самыми короткими и прямыми (без углов).

При построении и эксплуатации системы заземления необходимо руководствоваться:

Правилами устройства электроустановок, утвержденными приказом уполномоченного органа в сфере энергетики в соответствии с подпунктом 19) статьи 5 Закона об электроэнергетике;

стандартом Республики Казахстан СТ РК МЭК 60364-5-548-96 "Электроустановки зданий. Часть 5. Выбор и монтаж электрооборудования". Раздел 548 "Заземление устройства и системы уравнивания электрических потенциалов в электроустановках, содержащих оборудование обработки информации";

стандартом Республики Казахстан СТ РК МЭК 60364-7-707-84 "Электроустановки зданий. Часть 7. Требования к специальным электроустановкам". Раздел 707 "Заземление оборудования обработки информации";

стандартом Республики Казахстан СТ РК ГОСТ 12.1.030-81 "ССБТ. Электробезопасность. Защитное заземление, зануление";

стандартом Республики Казахстан СТ РК ГОСТ 464-79 "Заземление для стационарных установок проводной связи, радиорелейных станций, радиотрансляционных узлов проводного вещания и антенн систем коллективного приема телевидения. Нормы сопротивления".

Сноска. Пункт 162- в редакции постановления Правительства РК от 10.06.2022 № 383 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Распределительные устройства сетей телекоммуникаций размещаются в кроссовом помещении. Кроссовое помещение размещается ближе к центру обслуживаемой им рабочей области.

Размер кроссового помещения выбирается исходя из размера обслуживаемой рабочей области и устанавливаемого оборудования.

Помещение кроссового помещения должно соответствовать следующим требованиям:

наличие свободных служебных проходов для обслуживания оборудования;

отсутствие мощных источников электромагнитных помех (трансформаторов, электрических щитов, электродвигателей и прочее);

отсутствие труб и вентилей системы водоснабжения;

наличие систем пожарной безопасности;

отсутствие легко возгораемых материалов (деревянные стеллажи, картон, книги и прочее);

наличие отдельной линии электропитания от отдельного автомата для подключения шкафа по проекту;

наличие систем охранной сигнализации, контроля доступа;

наличие системы кондиционирования.

Сноска. Глава 3 дополнена пунктом 163 в соответствии с постановлением Правительства РК от 18.06.2018 № 355 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Приложение
к постановлению Правительства
Республики Казахстан
от 20 декабря 2016 года № 832

Перечень
утративших силу некоторых решений Правительства
Республики Казахстан

Подпункты 5) и 6) пункта 1, пункты 2-1 и 2-2 постановления Правительства Республики Казахстан от 14 сентября 2004 года № 965 "О некоторых мерах по обеспечению информационной безопасности в Республике Казахстан".
Постановление Правительства Республики Казахстан от 14 марта 2013 года № 244 "О внесении дополнений в постановление Правительства Республики Казахстан от 14 сентября 2004 года № 965 "О некоторых мерах по обеспечению информационной безопасности в Республике Казахстан".
Постановление Правительства Республики Казахстан от 26 июня 2014 года № 706 "О внесении дополнений в постановление Правительства Республики Казахстан от 14 сентября 2004 года № 965 "О некоторых мерах по обеспечению информационной безопасности в Республике Казахстан".

Дата публикации

17 октября 2022