Главные выдержки из Приказа ФСТЭК от 14 марта 2014 г. N 31: 1. Цель документа: утвердить требования к обеспечению защиты информации в АСУТП на критически важных объектах, потенциально опасных объектах, а также объектах.
Приказ ФСТЭК России от 14.03.2014 № 31
Классификация автоматизированной системы управления проводится заказчиком или оператором в зависимости от уровня значимости критичности информации, обработка которой осуществляется в автоматизированной системе управления. Устанавливаются три класса защищенности автоматизированной системы управления, определяющие уровни защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый. Класс защищенности автоматизированной системы управления определяется в соответствии с приложением N 1 к настоящим Требованиям. Класс защищенности может быть установлен отдельно для каждого из уровней автоматизированной системы управления или иных сегментов при их наличии. Результаты классификации автоматизированной системы управления оформляются актом классификации. Требование к классу защищенности включается в техническое задание на создание автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы.
Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности автоматизированной системы управления сегмента подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости критичности информации, обрабатываемой в автоматизированной системе управления сегменте. Определение угроз безопасности информации осуществляется на каждом из уровней автоматизированной системы управления и должно включать: а выявление источников угроз безопасности информации и оценку возможностей потенциала внешних и внутренних нарушителей; б анализ возможных уязвимостей автоматизированной системы и входящих в ее состав программных и программно-аппаратных средств; в определение возможных способов сценариев реализации возникновения угроз безопасности информации; г оценку возможных последствий от реализации возникновения угроз безопасности информации, нарушения отдельных свойств безопасности информации целостности, доступности, конфиденциальности и автоматизированной системы управления в целом. В качестве исходных данных при определении угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики автоматизированной системы управления, включающие наличие уровней сегментов автоматизированной системы управления, состав автоматизированной системы управления, физические, логические, функциональные и технологические взаимосвязи в автоматизированной системе управления, взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями, режимы функционирования автоматизированной системы управления, а также иные особенности ее построения и функционирования. По результатам определения угроз безопасности информации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик автоматизированной системы управления, направленные на блокирование нейтрализацию отдельных угроз безопасности информации.
Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором.
Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями.
На каждом уровне автоматизированной системы управления по функциональным, территориальным или иным признакам могут выделяться дополнительные сегменты. В автоматизированной системе управления объектами защиты являются: информация данные о параметрах состоянии управляемого контролируемого объекта или процесса входная выходная информация, управляющая командная информация, контрольно-измерительная информация, иная критически важная технологическая информация ; программно-технический комплекс, включающий технические средства в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, каналы связи, программируемые логические контроллеры, исполнительные устройства , программное обеспечение в том числе микропрограммное, общесистемное, прикладное , а также средства защиты информации. Защита информации в автоматизированной системе управления является составной частью работ по созданию модернизации и эксплуатации автоматизированной системы управления и обеспечивается на всех стадиях этапах ее создания и в ходе эксплуатации. Защита информации в автоматизированной системе управления достигается путем принятия в рамках системы защиты автоматизированной системы управления совокупности организационных и технических мер защиты информации, направленных на блокирование нейтрализацию угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления и управляемого контролируемого объекта и или процесса, на локализацию и минимизацию последствий от возможной реализации угроз безопасности информации, восстановление штатного режима функционирования автоматизированной системы управления в случае реализации угроз безопасности информации. Принимаемые организационные и технические меры защиты информации: должны обеспечивать доступность обрабатываемой в автоматизированной системе управления информации исключение неправомерного блокирования информации , ее целостность исключение неправомерного уничтожения, модифицирования информации , а также, при необходимости, конфиденциальность исключение неправомерного доступа, копирования, предоставления или распространения информации ; должны соотноситься с мерами по промышленной, физической, пожарной, экологической, радиационной безопасности, иными мерами по обеспечению безопасности автоматизированной системы управления и управляемого контролируемого объекта и или процесса; не должны оказывать отрицательного влияния на штатный режим функционирования автоматизированной системы управления. Для обеспечения защиты информации в автоматизированной системе управления оператором назначается структурное подразделение или должностное лицо работник , ответственные за защиту информации. В автоматизированной системе управления применяются средства защиты информации, прошедшие оценку соответствия в соответствии с законодательством Российской Федерации о техническом регулировании. Для обеспечения защиты информации в автоматизированной системе управления проводятся следующие мероприятия: формирование требований к защите информации в автоматизированной системе управления; разработка системы защиты автоматизированной системы управления; внедрение системы защиты автоматизированной системы управления и ввод ее в действие; обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления; обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления. Формирование требований к защите информации в автоматизированной системе управления 13. Формирование требований к защите информации в автоматизированной системе управления осуществляется заказчиком. Формирование требований к защите информации в автоматизированной системе управления осуществляется с учетом ГОСТ Р 51583 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Автоматизированные системы в защищенном исполнении. Общие требования" далее - ГОСТ Р 51624 и стандартов организации и в том числе включает: принятие решения о необходимости защиты информации в автоматизированной системе управления; классификацию автоматизированной системы управления по требованиям защиты информации далее - классификация автоматизированной системы управления ; определение угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты автоматизированной системы управления. При принятии решения о необходимости защиты информации в автоматизированной системе управления осуществляются: анализ целей создания автоматизированной системы управления и задач, решаемых этой автоматизированной системой управления; определение информации, нарушение доступности, целостности или конфиденциальности которой может привести к нарушению штатного режима функционирования автоматизированной системы управления определение критически важной информации , и оценка возможных последствий такого нарушения; анализ нормативных правовых актов, локальных правовых актов, методических документов, национальных стандартов и стандартов организаций, которым должна соответствовать автоматизированная система управления; принятие решения о необходимости создания системы защиты автоматизированной системы управления и определение целей и задач защиты информации в автоматизированной системе управления. Классификация автоматизированной системы управления проводится заказчиком или оператором в зависимости от уровня значимости критичности информации, обработка которой осуществляется в автоматизированной системе управления. Устанавливаются три класса защищенности автоматизированной системы управления, определяющие уровни защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый. Класс защищенности может быть установлен отдельно для каждого из уровней автоматизированной системы управления или иных сегментов при их наличии. Результаты классификации автоматизированной системы управления оформляются актом классификации. Требование к классу защищенности включается в техническое задание на создание автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности автоматизированной системы управления сегмента подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости критичности информации, обрабатываемой в автоматизированной системе управления сегменте.
Общие положения 1. Программа профилактики нарушений обязательных требований, соблюдение которых оценивается при проведении ФСТЭК России мероприятий по контролю в рамках федерального государственного контроля за соблюдением российскими участниками внешнеэкономической деятельности законодательства Российской Федерации в области экспортного контроля, на 2018 год далее - Программа разработана в соответствии с Методическими рекомендациями по подготовке и проведению профилактических мероприятий, направленных на предупреждение нарушений обязательных требований, одобренными подкомиссией по совершенствованию контрольно-надзорных функций федеральных органов исполнительной власти при Правительственной комиссии по проведению административной реформы пункт 3 раздела IV протокола заседания подкомиссии от 20 января 2017 г. Программа разработана в целях реализации положений: Федерального закона от 18 июля 1999 г. N 183-ФЗ "Об экспортном контроле"; Федерального закона от 26 декабря 2008 г. N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля надзора и муниципального контроля"; основных направлений разработки и внедрения системы оценки результативности и эффективности контрольно-надзорной деятельности, утвержденных распоряжением Правительства Российской Федерации от 17 мая 2016 г. N 934-р. Профилактические мероприятия осуществляются с учетом требований законодательства Российской Федерации в области защиты государственной тайны и иной информации ограниченного доступа. Цели, задачи и принципы проведения профилактических мероприятий 5.
Модель угроз безопасности информации должна содержать описание автоматизированной системы управления и угроз безопасности информации для каждого из уровней автоматизированной системы управления, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей автоматизированной системы управления, способов сценариев реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации доступности, целостности, конфиденциальности и штатного режима функционирования автоматизированной системы управления. Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Разработка эксплуатационной документации на систему защиты автоматизированной системы управления осуществляется по результатам проектирования в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления. Эксплуатационная документация на систему защиты автоматизированной системы управления разрабатывается с учетом ГОСТ 34. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие 15. Внедрение системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Настройка задание параметров программирования программного обеспечения автоматизированной системы управления должна осуществляться в соответствии с проектной и эксплуатационной документацией на автоматизированную систему управления и обеспечивать конфигурацию программного обеспечения и автоматизированной системы в целом, при которой минимизируются риски возникновения уязвимостей и возможности реализации угроз безопасности информации. Установка и настройка средств защиты информации осуществляется в случаях, если такие средства необходимы для блокирования нейтрализации угроз безопасности информации, которые невозможно исключить настройкой заданием параметров программного обеспечения автоматизированной системы управления и или реализацией организационных мер защиты информации. Установка и настройка средств защиты информации в автоматизированной системе управления должна проводиться в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и документацией на средства защиты информации. При этом установка и настройка средств защиты информации должна обеспечивать корректность функционирования автоматизированной системы управления и совместимость выбранных средств защиты информации с программным обеспечением и техническими средствами автоматизированной системы управления.
Приказ ФСТЭК России от 14.03.2014 № 31
31 приказ ФСТЭК, используется для незначимых ОКИИ. Утверждена приказом ФСТЭК России от 19 февраля 2018 г. N 31. приказа ФСТЭК №31. Николай тация: посвящён рассмотрению основных подходов к выполнению тр.
Информация
- Основные разделы
- Кодексы РФ
- В следующем номере
- Класс защищённости АСУ ТП
- Оценка соответствия СрЗИ согласно Приказу ФСТЭК №31
НАЦ аттестовал информационную систему предприятия "Ростеха" по 31 Приказу ФСТЭК
Внимательный читатель заметит, что соответствующие приказы утверждены еще летом. Я пишу про них только сейчас потому, что они были официально опубликованы после регистрации в Минюсте России, которая состоялась 06. Эти документы применяются до 31. Приказами предусмотрены плановые, внеплановые, документарные и выездные проверки сроком не более 20 рабочих дней не менее чем двумя должностными лицами. К важным изменениям относится то, что в Сроках и последовательностях нет зафиксированных в административных регламентах прав и обязанностей должностных лиц при осуществлении лицензионного контроля. Нет также порядков исполнения государственной функции, досудебного обжалования решений, принятых ФСТЭК России и его должностными лицами при осуществлении контроля.
Административные регламенты заменили сроками и последовательностями из-за Федерального закона от 04. Смыслом этого закона, судя по пояснительной записке , подготовленной на этапе его проектирования, является извлечение из правового поля некоторых государственных услуг, для которых ранее действовали принципы открытости госорганов. В том числе, например, это касается контроля за соблюдением лицензионных требований при осуществлении деятельности, связанной с государственной безопасностью.
Это важные меры: любой процесс обеспечения безопасности, причем не только информационной, начинают строить с тщательного документирования всех процедур. Регулярный чекинг можно сравнить с предполетным осмотром самолета и проверкой бортового журнала, и звучит все это скучновато для пассажира лишь до тех пор, пока пассажир не поднялся на высоту 10 тысяч метров. Требования к защите среды виртуализации ЗСВ. Технологии виртуализации позволяют оптимизировать ресурсы, однако порождают новые угрозы. Понятно, что снижение издержек интереснее борьбы за безопасность, поэтому критически важные системы в целом и АСУ ТП в частности очень быстро оказываются в не совсем безопасных облаках, и этот процесс необходимо как-то контролировать.
Обучение и отработка действий пользователей в случае возникновения нештатных непредвиденных ситуаций ДНС. Повышение осведомленности персонала уменьшает как минимум риски, связанные с социальной инженерией. Репетиция «плана спасения» важна также для понимания сотрудниками своей роли в процессах управления инцидентами безопасности.
Анализ текущего состояния подконтрольной среды свидетельствует о том, что в условиях свободного обращения на внутреннем рынке значительной части номенклатуры продукции, подлежащей экспортному контролю, вышеуказанные негативные тенденции могут проявляться в действиях подконтрольных субъектов, находящихся в любом регионе Российской Федерации. К наиболее опасным проявлениям таких тенденций относятся нарушения подконтрольными субъектами обязательных требований, приводящие к возникновению рисков нанесения ущерба интересам безопасности государства. В этой связи работа по профилактике нарушений обязательных требований должна выстраиваться на регулярной основе и проводиться во всех регионах Российской Федерации. Описание текущих и ожидаемых тенденций, которые могут оказать воздействие на состояние подконтрольной среды 9. На состояние подконтрольной среды может оказать воздействие дальнейшее увеличение количества подконтрольных субъектов за счет привлечения к внешнеэкономической деятельности субъектов малого и среднего бизнеса, а также изменение внешнеэкономической конъюнктуры вследствие улучшения политической ситуации в мире и связанной с ним поэтапной отменой санкционного давления на Россию со стороны ряда западных стран.
Несмотря на то, что развитие ситуации во внешнеэкономической сфере по указанным направлениям потребует со стороны Российской Федерации определенных дипломатических и организационных усилий, а также финансовых и временных затрат, при планировании профилактических мероприятий представляется целесообразным исходить из развития ситуации по этому оптимистическому сценарию. Механизм оценки эффективности и результативности профилактических мероприятий 10. Основным механизмом оценки эффективности и результативности профилактических мероприятий является оценка удовлетворенности подконтрольных субъектов качеством мероприятий, которая осуществляется методами социологических исследований.
N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст. При определении угроз безопасности информации учитываются структурно-функциональные характеристики автоматизированной системы управления, включающие наличие уровней сегментов автоматизированной системы управления, состав автоматизированной системы управления, физические, логические, функциональные и технологические взаимосвязи в автоматизированной системе управления, взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями, режимы функционирования автоматизированной системы управления, а также иные особенности ее построения и функционирования.
По результатам определения угроз безопасности информации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик автоматизированной системы управления, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы.
Стадии создания" далее - ГОСТ 34. Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемой с учетом ГОСТ 34.
Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Разработка эксплуатационной документации на систему защиты автоматизированной системы управления осуществляется по результатам проектирования в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления. Эксплуатационная документация на систему защиты автоматизированной системы управления разрабатывается с учетом ГОСТ 34. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие 15. Внедрение системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором.
Настройка задание параметров программирования программного обеспечения автоматизированной системы управления должна осуществляться в соответствии с проектной и эксплуатационной документацией на автоматизированную систему управления и обеспечивать конфигурацию программного обеспечения и автоматизированной системы в целом, при которой минимизируются риски возникновения уязвимостей и возможности реализации угроз безопасности информации. При внедрении организационных мер защиты информации осуществляются: введение ограничений на действия персонала пользователей операторского персонала , администраторов, обеспечивающего персонала , а также на условия эксплуатации, изменение состава и конфигурации технических средств и программного обеспечения; определение администратора безопасности информации; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий персонала автоматизированной системы управления и администратора безопасности информации, направленных на обеспечение защиты информации; отработка практических действий должностных лиц и подразделений, обеспечивающих эксплуатацию автоматизированной системы управления и защиту информации. Установка и настройка средств защиты информации осуществляется в случаях, если такие средства необходимы для блокирования нейтрализации угроз безопасности информации, которые невозможно исключить настройкой заданием параметров программного обеспечения автоматизированной системы управления и или реализацией организационных мер защиты информации. Установка и настройка средств защиты информации в автоматизированной системе управления должна проводиться в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и документацией на средства защиты информации. При этом установка и настройка средств защиты информации должна обеспечивать корректность функционирования автоматизированной системы управления и совместимость выбранных средств защиты информации с программным обеспечением и техническими средствами автоматизированной системы управления.
Приказ ФСТЭК от 14 марта 2014 г. N 31
В ходе приемочных испытаний должен быть проведен комплекс организационных и технических мероприятий испытаний , в результате которых подтверждается соответствие системы защиты автоматизированной системы управления техническому заданию на создание модернизацию автоматизированной системы управления и или техническому заданию частному техническому заданию на создание системы защиты автоматизированной системы управления, а также настоящим Требованиям. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, акт классификации автоматизированной системы управления, техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, проектная и эксплуатационная документация на систему защиты автоматизированной системы управления, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей автоматизированной системы управления, материалы предварительных и приемочных испытаний системы защиты автоматизированной системы управления, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания системы защиты автоматизированной системы управления проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний системы защиты автоматизированной системы управления с выводом о ее соответствии установленным требованиям включаются в акт приемки автоматизированной системы управления в эксплуатацию. По решению заказчика подтверждение соответствия системы защиты автоматизированной системы управления техническому заданию на создание модернизацию автоматизированной системы управления и или техническому заданию частному техническому заданию на создание системы защиты автоматизированной системы управления, а также настоящим Требованиям может проводиться в форме аттестации автоматизированной системы управления на соответствие требованиям по защите информации.
Ввод в действие автоматизированной системы управления осуществляется с учетом ГОСТ 34. Обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления 16. В ходе планирования мероприятий по обеспечению защиты информации в автоматизированной системе управления осуществляются: определение лиц, ответственных за планирование и контроль мероприятий по обеспечению защиты информации в автоматизированной системе управления; разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации в автоматизированной системе управления; контроль выполнения мероприятий по обеспечению защиты информации в автоматизированной системе управления, предусмотренных утвержденным планом. В ходе обеспечения действий в нештатных непредвиденных ситуациях при эксплуатации автоматизированной системы управления осуществляются: планирование мероприятий по обеспечению защиты информации в автоматизированной системе управления на случай возникновения нештатных непредвиденных ситуаций; обучение и отработка действий персонала по обеспечению защиты информации в автоматизированной системе управления в случае возникновения нештатных непредвиденных ситуаций; создание альтернативных мест хранения и обработки информации на случай возникновения нештатных непредвиденных ситуаций; резервирование программного обеспечения, технических средств, каналов передачи данных автоматизированной системы управления на случай возникновения нештатных непредвиденных ситуаций; обеспечение возможности восстановления автоматизированной системы управления и или ее компонентов в случае возникновения нештатных непредвиденных ситуаций.
В ходе информирования и обучения персонала автоматизированной системы управления осуществляются: периодическое информирование персонала об угрозах безопасности информации, о правилах эксплуатации системы защиты автоматизированной системы управления и отдельных средств защиты информации; периодическое обучение персонала правилам эксплуатации системы защиты автоматизированной системы управления и отдельных средств защиты информации, включая проведение практических занятий с персоналом на макетах или в тестовой зоне. В ходе анализа угроз безопасности информации в автоматизированной системе управления и возможных рисков от их реализации осуществляются: периодический анализ уязвимостей автоматизированной системы управления, возникающих в ходе ее эксплуатации; периодический анализ изменения угроз безопасности информации в автоматизированной системе управления, возникающих в ходе ее эксплуатации; периодическая оценка последствий от реализации угроз безопасности информации в автоматизированной системе управления анализ риска. В ходе контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления осуществляются: контроль за событиями безопасности и действиями персонала в автоматизированной системе управления; контроль анализ защищенности информации, обрабатываемой в автоматизированной системе управления, с учетом особенностей ее функционирования; анализ и оценка функционирования системы защиты автоматизированной системы управления, включая выявление, анализ и устранение недостатков в функционировании системы защиты автоматизированной системы управления; документирование процедур и результатов контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления; принятие решения по результатам контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления о необходимости пересмотра требований к защите информации в автоматизированной системе управления и доработке модернизации ее системы защиты. Обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления 17.
Обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и организационно-распорядительными документами по защите информации и в том числе включает: архивирование информации, содержащейся в автоматизированной системе управления; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации. Архивирование информации, содержащейся в автоматизированной системе управления, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора. Уничтожение стирание данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю автоматизированной системы управления или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе автоматизированной системы управления из эксплуатации производится уничтожение машинных носителей информации, содержащих энергонезависимую память.
Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования», а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы. Стадии создания» далее — ГОСТ 34.
Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемой с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем» далее — ГОСТ 34. Разработка эксплуатационной документации на систему защиты автоматизированной системы управления осуществляется по результатам проектирования в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления. Эксплуатационная документация на систему защиты автоматизированной системы управления разрабатывается с учетом ГОСТ 34. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие 15.
Внедрение системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Настройка задание параметров программирования программного обеспечения автоматизированной системы управления должна осуществляться в соответствии с проектной и эксплуатационной документацией на автоматизированную систему управления и обеспечивать конфигурацию программного обеспечения и автоматизированной системы в целом, при которой минимизируются риски возникновения уязвимостей и возможности реализации угроз безопасности информации. При внедрении организационных мер защиты информации осуществляются: введение ограничений на действия персонала пользователей операторского персонала , администраторов, обеспечивающего персонала , а также на условия эксплуатации, изменение состава и конфигурации технических средств и программного обеспечения; определение администратора безопасности информации; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий персонала автоматизированной системы управления и администратора безопасности информации, направленных на обеспечение защиты информации; отработка практических действий должностных лиц и подразделений, обеспечивающих эксплуатацию автоматизированной системы управления и защиту информации. Установка и настройка средств защиты информации осуществляется в случаях, если такие средства необходимы для блокирования нейтрализации угроз безопасности информации, которые невозможно исключить настройкой заданием параметров программного обеспечения автоматизированной системы управления и или реализацией организационных мер защиты информации. Установка и настройка средств защиты информации в автоматизированной системе управления должна проводиться в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и документацией на средства защиты информации. При этом установка и настройка средств защиты информации должна обеспечивать корректность функционирования автоматизированной системы управления и совместимость выбранных средств защиты информации с программным обеспечением и техническими средствами автоматизированной системы управления. Установленные и настроенные средства защиты информации не должны оказывать отрицательного влияния на штатный режим функционирования автоматизированной системы управления. Предварительные испытания системы защиты автоматизированной системы управления проводятся с учетом ГОСТ 34.
Виды испытаний автоматизированных систем» далее — ГОСТ 34. По результатам предварительных испытаний системы защиты автоматизированной системы управления могут разрабатываться предложения по корректировке проектных решений по автоматизированной системе управления и или ее системе защиты. Опытная эксплуатация системы защиты автоматизированной системы управления проводится с учетом ГОСТ 34.
Цели, задачи и принципы проведения профилактических мероприятий 5. Целями проведения профилактических мероприятий являются: предупреждение и сокращение количества нарушений подконтрольными субъектами обязательных требований; повышение прозрачности деятельности ФСТЭК России при осуществлении экспортного контроля; снижение административной нагрузки на подконтрольных субъектов; создание мотивации у подконтрольных субъектов к добросовестному поведению и, как следствие, снижение уровня ущерба охраняемым законом ценностям. Основными задачами профилактических мероприятий являются: формирование у всех подконтрольных субъектов единого понимания обязательных требований в области экспортного контроля и порядка их соблюдения; инвентаризация состава и особенностей подконтрольных субъектов, оценка состояния подконтрольной среды; выявление причин, факторов и условий, способствующих нарушению обязательных требований, определение способов устранения или снижения рисков их возникновения; установление зависимости видов, форм и интенсивности профилактических мероприятий от особенностей конкретных подконтрольных субъектов. Краткий анализ текущего состояния подконтрольной среды 8. Текущее состояние подконтрольной среды характеризуется увеличением количества подконтрольных субъектов, осуществляющих внешнеэкономическую деятельность в отношении товаров работ, услуг , информации, результатов интеллектуальной деятельности, которые могут быть использованы при создании оружия массового поражения, средств его доставки, иных видов вооружения и военной техники либо при подготовке и или совершении террористических актов.
Реализуемые в настоящее время на государственном уровне программы поддержки несырьевого экспорта нацелены на формирование широкого слоя активных экспортеров, в том числе из среды малого и среднего бизнеса, а также на устранение излишних административных барьеров во внешнеэкономической сфере, что должно позитивно отразиться на состоянии конкуренции и делового климата в стране. Вместе с тем начинающие внешнеэкономическую деятельность подконтрольные субъекты зачастую не в полной мере владеют тонкостями предконтрактной проработки планируемых к реализации внешнеэкономических сделок, не всегда способны провести идентификацию контролируемых товаров и технологий, что может привести к нарушению ими обязательных требований либо способствовать возникновению финансовых и репутационных издержек, связанных с отказом в выдаче лицензий разрешений на осуществление внешнеэкономических сделок с продукцией, подлежащей экспортному контролю. Продолжают иметь место отдельные случаи, когда подконтрольные субъекты для получения финансовых выгод от осуществления внешнеэкономических сделок с продукцией, подлежащей экспортному контролю, идут на нарушения обязательных требований.
Единственное утешение для владельцев таких АСУ ТП будет только отсутствие риска уголовного преследования по ст. УК РФ. Присвоите вы категорию значимости КИИ или примете решение о "незначимости" - это никак не повлияет на необходимость выполнять меры безопасности от ФСТЭК. Будете 239 приказ выполнять или 31, а наборы мер в них одинаковые..
Choice poll
- Choice poll
- Приказ ФСТЭК № 31 - Контроль соответствия
- ДОКУМЕНТЫ ФСТЭК РОССИИ
- Приказ № 31
Приказ ФСТЭК России от 14.03.2014 № 31
приказ №31) в очередной раз обратил наше внимание на неоднозначный вопрос оценки соответствия СрЗИ, а точнее на вопрос есть ли жизнь без обязательной сертификации можно ли при обеспечении безопасности АСУ ТП. 31 приказ будет применятся для защиты АСУ, которые незначимые объекты КИИ. Приказ ФСТЭК по защите АСУ ТП №31. Итак, 30 июня Минюстом был зарегистрирован долгожданный приказ ФСТЭК №31 от 14.03.2014 по защите АСУ ТП.
Приказ ФСТЭК России от 14.03.2014 № 31
приказ №31) в очередной раз обратил наше внимание на неоднозначный вопрос оценки соответствия СрЗИ, а точнее на вопрос есть ли жизнь без обязательной сертификации можно ли при обеспечении безопасности АСУ ТП. Сейчас приказ ФСТЭК № 31 — это достаточно высокоуровневый документ. Приказ ФСТЭК России от 14.03.2014 N 31 (ред. от 15.03.2021) "Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных.
ДОКУМЕНТЫ ФСТЭК РОССИИ
| Подходы к выполнению требований Приказа №31 ФСТЭК России | Согласно требованиям приказа ФСТЭК России №131 SafeERP будет проходить сертификацию как СЗИ 5-го уровня доверия. |
| Изменения в НПА по информационной безопасности — Роман Быков на | Согласно требованиям приказа ФСТЭК России №131 SafeERP будет проходить сертификацию как СЗИ 5-го уровня доверия. |
| Разъяснение ФСТЭК по 31-му приказу - Бизнес без опасности | Уровни доверия определяются в соответствии с Требованиями, утвержденными приказом ФСТЭК России от 2 июня 2020 г. N 76 (зарегистрирован Минюстом России 11 сентября 2020 г., регистрационный N 59772). |
| НАЦ аттестовал информационную систему предприятия "Ростеха" по 31 Приказу ФСТЭК | Контроль соответствия требованиям Приказа ФСТЭК России № 31 от 14.03.2014 Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления. |
Choice poll
- Услуги и сервисы
- Новости нормативки по ИБ. Сентябрь — октябрь 2023 года - вАЙТИ
- Choice poll
- НАЦ аттестовал информационную систему предприятия "Ростеха" по 31 Приказу ФСТЭК
- Защита документов