Изменения, которые вносятся в требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации
(с изменениями на 16 декабря 2022 года)
1. Дополнить пунктами 1_1 и 1_2 следующего содержания:
"1_1. При реализации органами исполнительной власти мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации систем и дальнейшему хранению содержащейся в их базах данных информации должны выполняться:
а) требования о защите информации, содержащейся в системах, устанавливаемые федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий;
б) требования к организации и мерам защиты информации, содержащейся в системе.
1_2. В целях выполнения требований о защите информации, предусмотренных пунктом 1_1 настоящего документа (далее - требования о защите информации), органы исполнительной власти определяют требования к защите информации, содержащейся в системе органа исполнительной власти, для чего осуществляют:
а) определение информации, подлежащей защите от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий в отношении такой информации;
б) анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать система;
в) классификацию системы в соответствии с требованиями о защите информации;
г) определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в системе, и разработку на их основе модели угроз безопасности информации;
д) определение требований к информационной системе (подсистеме) защиты информации, содержащейся в системе.".
2. Пункт 3 изложить в следующей редакции:
"3. Создание системы осуществляется в соответствии с техническим заданием с учетом модели угроз безопасности информации, предусмотренной подпунктом "г" пункта 1_2 настоящего документа.
Модель угроз безопасности информации и (или) техническое задание на создание системы согласуются с федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий в части, касающейся выполнения установленных требований о защите информации.
Техническое задание на создание системы должно включать сформированные в соответствии с подпунктом "а" пункта 1_1 настоящего документа требования к защите информации, содержащейся в системе.".
3. Пункт 4 изложить в следующей редакции:
"4. Техническое задание на создание системы и модель угроз безопасности информации утверждаются должностным лицом органа исполнительной власти, на которое возложены соответствующие полномочия.".
4. Пункт 6 после слов "проектных решений" дополнить словами "(в том числе по защите информации)".
5. В пункте 7:
а) абзац первый после слов "характеристик (качества) системы" дополнить словами "(в том числе по защите информации)";
б) подпункт "б" дополнить словами "и компонентов, обеспечивающих защиту информации".
6. Пункт утратил силу с 1 января 2023 года - постановление Правительства Российской Федерации от 16 декабря 2022 года N 2338. - См. предыдущую редакцию.
7. Пункт 9 дополнить словами ", включая средства защиты информации".
8. Пункты 14 и 15 изложить в следующей редакции:
"14. Правовой акт органа исполнительной власти о вводе системы в эксплуатацию включает:
а) мероприятия по разработке и утверждению организационно-распорядительных документов, определяющих мероприятия по защите информации в ходе эксплуатации системы, разработка которых предусмотрена нормативными правовыми актами и методическими документами федерального органа исполнительной власти в области обеспечения безопасности и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, а также национальными стандартами в области защиты информации;
б) мероприятия по аттестации системы по требованиям защиты информации, в результате которых в установленных законодательством Российской Федерации случаях подтверждается соответствие защиты информации, содержащейся в системе, требованиям, предусмотренным законодательством Российской Федерации об информации, информационных технологиях и о защите информации;