Приложение к Постановлению от 21.03.2011 г № 60 Положение
Положение о корпоративной информационно-телекоммуникационной сети органов исполнительной власти республики коми, государственных органов республики коми, образованных главой республики коми или правительством республики коми, государственных учреждений республики коми I. общие положения
1.1.Настоящее Положение разработано в целях обеспечения бесперебойной, высокопроизводительной, надежной и эффективной работы корпоративной информационно-телекоммуникационной сети органов исполнительной власти Республики Коми, государственных органов Республики Коми, образованных Главой Республики Коми или Правительством Республики Коми, государственных учреждений Республики Коми (далее - КИС) и устанавливает принципы пользования КИС, а также правила информационной безопасности при работе с КИС.
1.2.Основные термины и понятия, используемые в настоящем Положении, применяются в том же значении, что и в статье 2 Федерального закона "Об информации, информационных технологиях и о защите информации".
Для целей настоящего Положения применяются также следующие термины и понятия:
1) оператор КИС - организация, осуществляющая техническое, организационное управление и эксплуатацию КИС;
2) оператор безопасности КИС - организация, осуществляющая организационные, методологические и технические мероприятия по обеспечению информационной безопасности КИС;
3) администратор КИС - уполномоченный сотрудник оператора КИС, выполняющий функции обслуживания (управление, тестирование, ремонт) технических средств КИС, несущий ответственность за ее бесперебойную работу и защиту информации;
4) ресурсы КИС - вычислительная мощность оборудования и иных средств, составляющих КИС (серверов, их дискового пространства, сетевого периферийного оборудования, сетевых сервисов, массивов информации, программных средств, предоставленных пользователям КИС);
5) пользователь КИС - субъект, правомочно осуществляющий доступ к ресурсам КИС;
6) сетевой сервис - комплекс аппаратных и программных средств, оказывающий некоторую услугу пользователям сети (в том числе файловый сервис, электронная почта, сетевая печать);
7) локальная вычислительная сеть (далее - ЛВС) - программно-аппаратный комплекс, включающий в себя компьютеры, периферийное оборудование с сетевыми интерфейсами, коммуникационное оборудование, кабельную систему и сетевые операционные системы, предназначенный для совместного использования информационных ресурсов в пределах организации либо в пределах ограниченной территории (в том числе здания, комплекса зданий, технической площадки);
8) сервер - совокупность аппаратных и программных средств, предназначенных для обслуживания информационных запросов компьютеров пользователей КИС в сетях передачи данных:
9) рабочая станция - компьютер, включенный в ЛВС и предоставляющий пользователю доступ к ее ресурсам;
10) межсетевой экран - локальное (однокомпонентное) или функционально-распределенное средство (комплекс аппаратных и/или программных средств), осуществляющее контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами с целью реализации задачи защиты КИС, ЛВС или отдельных ее узлов от несанкционированного доступа;
11) перехват информации - неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.
II.Основы функционирования кис
2.1.Собственником КИС является Республика Коми.
2.2.Функционирование КИС осуществляется в соответствии с законодательством Российской Федерации и законодательством Республики Коми, а также настоящим Положением.
2.3.Оператор КИС определяется Правительством Республики Коми и осуществляет техническое, организационное управление и эксплуатацию КИС.
2.4.Оператор безопасности КИС определяется Правительством Республики Коми и осуществляет организационные, методологические и технические мероприятия по обеспечению информационной безопасности КИС.
2.5.Регламент управления и администрирования КИС определяется совместно оператором КИС и оператором безопасности КИС.
2.6.Оперативное управление КИС осуществляют администраторы КИС, которые назначаются оператором КИС по согласованию с оператором безопасности КИС.
III.Состав и структура кис
3.1.КИС строится на основе ЛВС и подсетей ЛВС, объединенных в единое информационное пространство.
3.2.КИС состоит из ЛВС в зданиях, находящихся по адресам: г. Сыктывкар, ул. Коммунистическая, д. 9 и ул. Коммунистическая, д. 8 (далее - Базовая ЛВС), и выделенных каналов передачи данных, объединяющих ЛВС в других зданиях, в которых расположены органы исполнительной власти Республики Коми, государственные органы Республики Коми, образованные Главой Республики Коми или Правительством Республики Коми, государственные учреждения Республики Коми.
3.3.Основным звеном КИС, интегрирующим ресурсы КИС, является Центральный телекоммуникационный узел (далее - ЦТУ).
3.4.ЦТУ обеспечивает передачу информационных потоков между ЛВС, входящими в КИС, а также обеспечивает доступ к сети "Интернет".
3.5.Подключение к КИС осуществляется на основе технологий TCP/IP и Ethernet.
3.6.Порядок подключения и работы в КИС определяется оператором КИС по согласованию с оператором безопасности КИС.
IV.Права и обязанности пользователей кис
4.1.Пользователь КИС имеет право:
1) получать доступ к имеющимся ресурсам КИС в пределах правил, утвержденных оператором КИС;
2) обращаться за справочной информацией и консультацией к оператору КИС, обслуживающему ресурсы КИС.
4.2.Пользователь КИС обязан:
1) соблюдать правила техники безопасности при работе с техническими средствами КИС;
2) обеспечивать неразглашение учетных данных, используемых для доступа к ресурсам КИС;
3) препятствовать несанкционированному доступу к ресурсам КИС;
4) препятствовать несанкционированному использованию ресурсов КИС;
5) содействовать сохранности ресурсов КИС.
4.3.Пользователю КИС запрещается:
1) предоставлять доступ к ресурсам КИС посторонним лицам и пользователям других сетей в любой форме;
2) распространять в компьютерных сетях информацию, являющуюся интеллектуальной собственностью Республики Коми, информацию ограниченного доступа и защищенную законодательством об авторском праве и смежных правах;
3) создавать и поддерживать средствами КИС любые ресурсы, содержание, цели и задачи которых не связаны с выполнением должностных обязанностей пользователя КИС;
4) изменять сетевые настройки рабочих мест без разрешения администратора КИС;
5) публиковать и рассылать информацию, нарушающую действующее законодательство Российской Федерации, включая порнографические и оскорбительные материалы, пропаганду насилия, расизма, религиозной ненависти, распространения, изготовления и применения наркотических и опасных веществ, а также политическую и религиозную пропаганду;
6) способствовать распространению "спама";
7) фальсифицировать обратный адрес электронной почты, IP-адреса рабочего места, адресов, используемых в других сетевых протоколах, при передаче данных, а также использовать идентификационные данные (в том числе имена, адреса, телефоны) третьих лиц, кроме случаев, когда эти лица уполномочили пользователя КИС на такое использование;
8) осуществлять попытки несанкционированного или неправомерного доступа к ресурсам КИС, проводить или участвовать в сетевых атаках и сетевом взломе, а также осуществлять сканирование ресурсов КИС и осуществлять другие действия, направленные на выявление параметров и характеристик ресурсов КИС, их структуры и структуры взаимодействия;
9) производить действия, направленные на нарушение нормального функционирования элементов КИС;
10) производить действия по созданию, использованию и распространению вредоносных программ и компьютерных вирусов, в том числе направленных на получение несанкционированного доступа к любым системам и службам либо на нарушение целостности и работоспособности этих систем;
11) осуществлять любые другие действия с ресурсами КИС, запрещенные законодательством Российской Федерации в области связи, информационных технологий и массовых коммуникаций.
V.Функции, права и обязанности оператора кис
5.1.Доступ оператора КИС к ресурсам КИС обуславливается технической и технологической необходимостью.
5.2.Оператору КИС запрещается неправомерное использование информации, к которой он получает доступ в связи с выполнением своих функций.
5.3.Оператор КИС выполняет следующие функции:
1) обеспечение бесперебойного и безопасного доступа зарегистрированных пользователей КИС к расположенным в ней вычислительным и информационным ресурсам и сервисам;
2) обеспечение доступа к внешним отечественным и зарубежным информационным ресурсам;
3) обеспечение эффективного управления доступом пользователей КИС к ресурсам и сетевым сервисам КИС;
4) обеспечение защиты информационных ресурсов и сервисов от несанкционированных действий внутренних и внешних пользователей;
5) обеспечение доступа пользователей КИС к информационным и вычислительным ресурсам и сетевым сервисам КИС;
6) управление техническими средствами и ресурсами КИС;
7) обеспечение безаварийной работы аппаратных и программных средств.
5.4.Оператор КИС имеет право:
1) разрабатывать руководящие и методические материалы по вопросам эксплуатации КИС;
2) получать в установленном порядке от пользователей КИС необходимые материалы и сведения об использовании ими КИС;
3) временно отключать от КИС пользователей КИС, нарушающих требования настоящего Положения;
4) устанавливать пользователям КИС ограничение параметров использования ресурсов или квоты на потребление ресурсов КИС в соответствии с объемами бюджетного финансирования.
5.5.Оператор КИС осуществляет:
1) администрирование, круглосуточное наблюдение и поддержание работоспособности КИС;
2) подключение новых пользователей КИС;
3) консультирование пользователей по работе КИС;
4) сбор информации о всех событиях, влияющих на работу КИС;
5) ремонтно-профилактические работы на оборудовании компонентов КИС.
5.6.Оператор КИС несет ответственность за строгое выполнение требований настоящего Положения.
5.7.Оператор КИС не несет ответственность за ущерб, нанесенный компонентам КИС, безопасности информации в сети или за разглашение информации, доступ к которой ограничен, если данные последствия возникли в результате намеренных действий пользователей КИС или в результате игнорирования ими требований оператора КИС.
VI.Режим работы и управления кис
6.1.Сетевые сервисы КИС работают круглосуточно 7 дней в неделю.
6.2.Предоставление доступа к ресурсам КИС может быть частично приостановлено в выходные дни для проведения регламентных работ.
6.3.Пользователи КИС заблаговременно оповещаются оператором КИС и администраторами КИС о приостановке доступа к ресурсам для проведения регламентных работ.
6.4.Общую координацию работ по использованию и развитию КИС, поддержание КИС в работоспособном состоянии, организацию управления КИС осуществляет оператор КИС.
VII.Документационное обеспечение работы кис
7.1.Для документального отражения ресурсов КИС, ее конфигурации, способов доступа к ее ресурсам, обеспечения безопасности, эффективного управления информационными ресурсами оператор КИС ведет следующую документацию:
1) карту топологии КИС и Базовой ЛВС;
2) схему разграничения зон ответственности в КИС;
3) проектную документацию на кабельную систему Базовой ЛВС;
4) списки пользователей Базовой ЛВС с указанием ресурсов, предоставленных в частном порядке (в том числе фиксированные IP-адреса, электронная почта, дисковое пространство);
5) пакет документации серверов Базовой ЛВС;
6) распорядок регламентных работ;
7) журнал регламентных работ;
8) журнал инцидентов безопасности.
7.2.Карта топологии Базовой ЛВС представляет собой поэтажные планы зданий с указанными на них магистралями разводки кабельной системы, расположением серверов, сетевых центров, другого активного оборудования, разводкой рабочих мест, выходами в региональную и глобальную сети, а также особыми отметками и замечаниями об особенностях расположения компонентов ЛВС.
7.3.Пакет документации для серверов Базовой ЛВС ведется оператором КИС и включает в себя:
1) описание аппаратной части сервера;
2) наименование и версия операционной системы, сведения о лицензиях и лицензионных ограничениях;
3) сведения и замечания о конфигурации аппаратной части (в том числе конфигурация RAID-массивов, специальных контроллеров, периферийного оборудования);
4) сведения и замечания о настройке сетевых интерфейсов;
5) наименование и размеры разделов (томов) на жестких дисках;
6) список основных программных средств, установленных на сервере;
7) перечень ресурсов сервера, предоставленных пользователям;
8) перечень архивов данных (имя каталога, принадлежность, тип данных, права доступа);
9) протоколы установки операционной системы и другого программного обеспечения, содержащие важную информацию, предупреждения и замечания;
10) сведения о неисправностях, замене узлов, установке дополнительных комплектующих;
11) протоколы сбоев в работе программного обеспечения;
12) рекомендации по устранению неисправностей и настройке сервера;
13) инструкции по техническому обслуживанию сервера, план регламентных работ, инструкции по запуску и остановке программных средств.
VIII.Защита информации в кис
8.1.Защиту информации в КИС обеспечивает оператор безопасности КИС.
8.2.Защита информации представляет собой комплекс организационных и технических мер, установленных оператором безопасности КИС в соответствии с законодательством и направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
8.3.Организационные мероприятия включают в себя:
1) организацию постоянного контроля за соблюдением настоящего Положения;
2) ограничение доступа посторонних лиц в помещения, в которых установлены серверы и коммутационное оборудование КИС;
3) контроль структуры сети и пресечение несанкционированных подключений как к самой сети, так и из локальной сети к глобальной.
8.4.Технические мероприятия состоят из:
1) обязательной регистрации пользователей КИС, рабочих станций и ЛВС с определением уровня разрешенного доступа;
2) установления конфигураций программного и технического обеспечения;
3) использования различных методов защиты каналов связи;
4) антивирусной защиты почтового трафика, Интернет-трафика, серверов и рабочих станций;
5) резервного копирования и документирования информационных ресурсов;
6) настройки автоматического обновления и установки критических исправлений на программное обеспечение;
7) логического или физического выделения сегментов сети, в которых передается информация ограниченного доступа;
8) отслеживания запуска и пресечения использования программного обеспечения, затрудняющего или нарушающего нормальную работоспособность сети, серверов и компьютеров в ней и нарушающего безопасность сети;
9) ограничения пропуска сетевых протоколов на маршрутизаторах и прокси-серверах в соответствии с утвержденными в проектах потребностями отдельных сегментов сети;
10) обеспечения автономным питанием наиболее критичных узлов и устройств корпоративной сети.
8.5.Подключение к КИС средств вычислительной техники, применяемых для хранения, обработки или передачи конфиденциальной информации либо информации, содержащей персональные данные, производится только с использованием специально предназначенных для этого средств защиты информации, в том числе межсетевых экранов и шифровальных (криптографических) средств, прошедших в установленном законодательством Российской Федерации порядке сертификацию в Федеральной службе безопасности Российской Федерации и (или) получивших подтверждение соответствия в Федеральной службе по техническому и экспортному контролю.
8.6.Оператор КИС проводит политику использования программных продуктов, обеспечивающих централизованную аутентификацию, авторизацию пользователей и управление сетью и ее ресурсами.
8.7.В целях обеспечения информационной безопасности оператор безопасности КИС обязан контролировать трафик, адресацию и источники сообщений, приходящие в сеть и исходящие из нее, выявлять и идентифицировать недобросовестных пользователей КИС, предпринимающих попытки нанесения вреда или ущерба информационным, вычислительным, техническим и сетевым ресурсам, а также обнаруживать попытки несанкционированного доступа.
8.8.Запрещается нарушать целостность кабельных систем и кабельных каналов сети, производить демонтаж сетевого оборудования без согласования с оператором КИС. В случае выполнения работ сторонними организациями обеспечиваются меры по сохранности кабельных систем и оборудования КИС.
8.9.Защита каналов передачи информации осуществляется оператором безопасности КИС с использованием следующих средств:
1) пресечение использования проводного и беспроводного оборудования, не соответствующего применяемым в КИС стандартам и требованиям по защите информации;
2) использование аппаратно-программных средств защиты от несанкционированного доступа и шифрования передаваемой информации;
3) выявление неисправного сетевого оборудования, создающего помехи работе сети или недопустимо ухудшающего электрические характеристики кабельной системы;
4) ограничение физического доступа к серверам, кабельной системе и активному оборудованию.
8.10.Антивирусное программное обеспечение в обязательном порядке устанавливается на все рабочие станции в КИС.
8.11.Для обнаружения попыток обхода защиты безопасности в КИС оператор безопасности КИС для локализации места нахождения активности принимает необходимые меры, включая размещение дополнительных средств обнаружения в ЛВС.
8.12.В случае намеренного препятствования со стороны пользователя КИС мерам по защите информации или игнорировании им требований настоящего Положения, администратор КИС обязан применить одну из следующих мер в указанном порядке:
1) предупредить пользователя КИС о недопустимости указанных действий и поставить в известность руководителя пользователя КИС и оператора безопасности КИС;
2) средствами сетевого администрирования ограничить пользователю КИС доступ к ресурсам сети, безопасность которых ставится им под угрозу;
3) отключить рабочую станцию пользователя КИС от КИС.