Аннотация

Настоящий документ определяет Реестр конфиденциальной информации, содержащейся в информационных системах и ресурсах города Москвы и предназначен для организации его наполнения и ведения.

Положения настоящего документа обязательны для использования органами исполнительной власти города Москвы и городскими организациями, выполняющими функции заказчика создания,  оператора эксплуатации, технической поддержки информационных систем и ресурсов города.

Содержание

1.     Общие положения.. 4

2.     Объекты учета.. 5

3.     Оператор Реестра.. 8

4.     Порядок ведения Реестра.. 9

Приложения.. 14

1.    Общие положения

1.1. Настоящее положение определяет состав Реестра конфиденциальной информации, содержащейся в информационных системах и ресурсах города Москвы (далее — Реестр),  порядок его наполнения и ведения, задачи и права оператора Реестра.

1.2. Положение о Реестре разработано в соответствии с требованиями указа Президента Российской Федерации от 06.03.97 №188 «О перечне сведений конфиденциального характера», других законодательных актов Российской Федерации, «Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти», утвержденного постановлением Правительства Российской Федерации от 03.11.94 №1233, «Положения по защите информации информационных систем и ресурсов города Москвы» с целью обеспечения учета конфиденциальной информации информационных систем и ресурсов города Москвы (ИСиР) для решения задач:

—       обеспечения организации мониторинга и контроля выполнения требований по защите конфиденциальной информации ИСиР;

—       обеспечения анализа защищенного информационного обмена в единой информационной среде города.

1.3. В состав Реестра входят:

—       информационные ресурсы Реестра в виде совокупности учетных записей, соответствующих объектам учета;

—       совокупность реестровых дел объектов учета;

—       информационная система Реестра конфиденциальной информации, обрабатываемой в информационных системах и ресурсах города Москвы (ИС «Реестр  КИ»).

1.4. Сбор, хранение и обработка информации Реестра осуществляется оператором Реестра с использованием ИС «Реестр КИ» при участии органов исполнительной власти города Москвы и городских организаций.

Учет конфиденциальной информации обеспечивают органы власти, государственные организации и предприятия, являющиеся собственностью города Москвы, а также муниципальные образования, хозяйствующие субъекты, которым доверена конфиденциальная информация Правительства Москвы (далее владельцы ИСиР).

1.5. Конфиденциальная информация подлежит обязательному учету на всех этапах жизненного цикла ИСиР — на предпроектной стадии, на стадии проектирования и создания, ввода в действии и стадии эксплуатации.

1.6. При подготовке настоящего положения использованы нормативно-технические документы «Информационная безопасность информационных систем и ресурсов органов исполнительной власти и организаций города Москвы»: в части терминологии — документ «Термины и определения»; в части нормативно-технических и организационно-распорядительных документов – документ «Нормативные документы». При составлении отчетных документов по настоящему Положению и последующих работах по автоматизированному учету конфиденциальной информации на средствах ИС «Реестр  КИ» должен применяться «Классификатор конфиденциальной информации, содержащийся в информационных системах и ресурсах города Москвы».

2.                Объекты учета

2.1. Объектами учета являются, определенные «Положением по защите информации информационных систем и ресурсов города Москвы», объекты защиты (ИСиР), содержащие данные конфиденциального характера (конфиденциальную информацию).

2.2. Учет данных конфиденциального характера, содержащихся в ИСиР, организуется и ведется:

—       на уровне организации-владельца ИСиР или организации, имеющей доступ к информации объекта защиты — подразделениями организации (предприятия), обеспечивающей защиту информации города Москвы (далее — подразделение владельца ИСиР);

—       на уровне единой информационной среды города Москвы — оператором Реестра.

2.3. Учету подлежат машинные носители информации, средства вычислительной техники, средства защиты информации, средства передачи данных и каналы связи (объекты учета) в которых хранится, обрабатывается и циркулирует конфиденциальная информация. Форма данных подразделения владельца ИСиР по объектам учета приведена в Приложении 1.

2.4. Машинные носители с данными конфиденциального характера учитываются в соответствии с целевым назначением, мобильностью и типом носителя (физической основой) хранения, записи и считывания данных (жесткий магнитный диск, оптический диск, карта флэш-памяти и т.п.).

Должны учитываться как машинные носители – составные части (съемные и несъемные) ИСиР, так и отчуждаемые машинные носители, используемые для записи, считывания данных конфиденциального характера на средствах ИСиР.

2.5. Каналы связи (передачи данных) – носители данных конфиденциального характера, учитываются на уровне локальных вычислительных сетей (ЛВС) ИСиР и магистралей (трактов) сетей передачи данных, обеспечивающих связь ЛВС как между внутренними (собственными: между зданиями, между уровнями межсетевой иерархии АС), так и с внешними ЛВС относительно владельца ИСиР.

Обособленные устройства, обеспечивающие обмен конфиденциальной информацией по магистральным каналам передачи данных, расматриваются как частный случай ЛВС при оценке объекта учета.

2.6. Все виды объектов учета идентифицируются по наименованию ИСиР в соответствии с проектной и эксплуатационной документацией на ИСиР (автоматизированную систему). До принятия ИСиР в эксплуатацию в отчетных формах по объектам учета организации конфиденциальные данные технического характера типа паролей, применяемые для идентификации и аутентификации пользователей в ИСиР, в отчетных формах не фиксируются.

Если обекты учета не связаны единым проектом в ИСиР, то они идентифицируются как автоматизированная система (АС) подразделения.

2.7. Учет машинных носителей, содержащих конфиденциальную информацию, а также документов (на бумажном носителе) конфиденциального характера, исполняемых на средствах ИСиР, организуется в порядке, определенном для обращения документов ограниченного распространения, установленном в организации – владельце ИСиР.

2.8. Наличие в ИСиР данных конфиденциального характера определяется ответственным исполнителем организации владельца ИСиР на основании Перечня конфиденциальной информации организации.

Контроль за порядком определения и учета данных конфиденциального характера, содержащихся в ИСиР обеспечивает подразделение информационной безопасности собственника ИСиР, а на уровне единой информационной среды города – оператор Реестра.

2.9. Относительно владельца ИСиР выделяются следующие потоки конфиденциальной информации:

—       потоки данных конфиденциального характера, циркулирующие внутри владельца ИСиР;

—       входящие потоки данных, содержащие сведения конфиденциального характера, собственником которых организация не является, полученные владельцем ИСиР от внешних источников – сторонних организаций;

—       исходящие потоки данных, содержащие часть данных конфиденциального характера владельца ИСиР, переданные установленным порядком иным (сторонним) организациям.

2.10. Владелец ИСиР на основании данных по объектам учета подразделений и потоков конфиденциальной информации формирует данные обобщенного объекта учета организации по форме Приложения 2, который являются объектом учета Реестра КИ.

На основании данных обобщенного объекта учета оператор Реестра формирует соответтсвующую учетную запись Реестра. Состав основных полей учетной записи Реестра приведен в Приложении 3.

Дополнительные формы данных объектов учета – систем связи и магистральных каналов связи, используемых для доставки входящих и исходящих потоков данных ИСиР, содержащих сведения конфиденциального характера, определяются оператором Реестра в порядке установленном Правительством Москвы по взаимодействию с операторами связи, оказывающими телекоммуникационные услуги владельцам ИСиР.

3.                Оператор Реестра

3.1. В своей деятельности оператор Реестра руководствуется  федеральными и городскими законами,  постановлениями и распоряжениями Правительства Москвы и настоящим положением.

3.2. Основными задачами оператора Реестра являются:

—       обеспечение исполнения порядка ведения Реестра;

—       контроль за порядком и обеспечением доступа к сведениям, содержащимся в Реестре;

—       подготовка аналитических, плановых, статистических материалов и отчетов для осуществления процедур управления процессами информатизации и обеспечения информационной безопасности.

3.3. Функции оператора Реестра:

—       проведение технологических процедур по приему регистрационных документов, их учету и обработке;

—       анализ регистрационных документов на соответствие предъявляемым требованиям, подготовка замечаний и рекомендаций для принятия решений;

—       контроль соответствия представленных сведений об ИСиР «Единому реестру информационных ресурсов и систем города Москвы»;

—       перекрестный контроль соответствия используемых информационных ресурсов сторонних организаций и информационных ресурсов, переданных сторонним организациям, информации Реестра;

—       ведение и хранение документального архива реестровых дел объектов учета;

—       эксплуатация ИС «Реестра КИ»;

3.4. Оператор Реестра имеет право:

—       запрашивать и получать от заявителей необходимые для регистрации сведения и документы;

—       запрашивать у заявителей дополнительную информацию, подтверждающую достоверность представляемых сведений.

3.5. Оператор Реестра обязан:

—       в установленном порядке представлять информацию Реестра;

—       обеспечивать защиту информации об объектах учета Реестра от несанкционированного доступа, соблюдение прав доступа к данным Реестра, регламентируемых установленными правилами.

4.                Порядок ведения Реестра

4.1. Ведение Реестра направлено на обеспечение защиты информации ограниченного распространения города Москвы путем организации консолидированного учета и контроля обращения данных конфиденциального характера, содержащихся в ИСиР.

4.2. Все владельцы ИСиР обязаны зарегистрировать (обеспечить представление Оператору данных в объеме приложений 2 и 3) в Реестре свои объекты учета и обеспечивать актуальность информации, хранящейся в Реестре.

Процедуры ведения Реестра в части регистрации и сопровождения объектов учета включают:

—       первичную регистрацию;

—       перерегистрацию при внедрении проектируемой ИСиР в промышленную эксплуатацию, а также изменения прав собственности на ИСиР;

—       внесение изменений в учетные данные в процессе опытной или промышленной эксплуатации ИСиР;

—       аннулирование регистрации в связи с прекращением эксплуатации и последующей ликвидацией ИСиР и т.п.

Владелец ИСиР должен обеспечить своевременность регистрации и внесения изменений в объект учета, достоверность и правомерность представляемых в Реестр сведений.

Владельцы ИСиР имеющие только открытую информацию представляют информацию в части средств защиты информации.

4.3. Первичная регистрация объекта учета в Реестре, его перерегистрация или аннулирование (далее — учет объекта) осуществляется оператором Реестра на основе заявления организации (Приложение 4). К заявлению прикладываются необходимые документы, в соответствии с пунктом 4.5.

Заявитель обязан представить документы по процедуре учета объекта не позднее 30 дней после наступления одного из следующих событий: подписание договора на проектирование (создание) ИСиР;  утверждение акта приемки ИСиР в промышленную эксплуатацию, принятия решения о прекращении создания или эксплуатации ИСиР, утверждения иных распорядительных документов организации или Правительства Москвы изданных по фактам наступления событий по учету объекта.

4.4. При изменениях в объекте учета в ходе эксплуатации ИСиР подразделение владельца ИСиР в течение трех рабочих дней после наступления событий, обусловленных качественными изменениями потоков, владения конфиденциальной информации, качественным и количественным изменениям состояния ИСиР, связанными с данными конфиденциального характера, (например, окончание работ по модернизации ИСиР, завершение изменений состава рабочих мест подразделения, начало владения конфиденциальной информацией сторонней организации и т.п.) представляет в подразделение информационной безопасности владельца ИСиР обновленные данные по форме Приложения 1 с указанием причин внесения изменений.

На основании обновленных данных по объектам учета, обобщенных подразделением информационной безопасности, владелец ИСиР представляет оператору Реестра заявку на внесение изменений. К заявке (Приложение 5) прикладываются необходимые документы, в соответствии с пунктом 4.9.

4.5. Заявление об учете объекта в Реестре представляется на бланке организации-владельца ИСиР (заявителя) и подписывается руководителем организации.

К заявлению прилагаются:

—       данные об объекте учета по форме Приложения 2;

—       копия свидетельства о регистрации ИСиР в Едином реестре информационных ресурсов и систем города Москвы и утвержденного заказчиком Паспорта информационной системы, подготовленного в соответствии с «Положением о Едином реестре информационных ресурсов и систем города Москвы»;

—       копии распорядительного документа об утверждении Перечня сведений, составляющих конфиденциальную информацию организации и Перечень;

—       копия акта работ или иного распорядительного документа определяющего факт регистрации, перерегистрации или аннулирования объекта учета;

—       копия аттестата соответствия по результатам аттестационного контроля ИСиР.

При представлении Заявления об аннулировании регистрации прикладывается только копия распорядительного документа о прекращения разработки (эксплуатации) системы.

4.6. Рассмотрение оператором Реестра заявительных документов осуществляется в течение пятнадцати рабочих дней с момента их получения.

4.7. В процессе регистрации оператор Реестра проверяет правильность оформления и достоверность поданных документов и имеет право потребовать дополнительные материалы, подтверждающие достоверность представленных документов, а заявитель обязан предоставить указанные документы.

По истечении установленного срока рассмотрения заявитель уведомляется (по форме Приложения 6) о регистрации в Реестре или невозможности внесения в Реестр обобщенного объекта учета.

4.8. В случае отказа в учете объекта в Реестре заявителю направляется соответствующее уведомление  с указанием основания для отказа.

Отказ в учете объекта регистрации допускается в следующих случаях:

—       несоответствие представленных документов требованиям законодательства РФ, а также требованиям, установленным настоящим Положением;

—       недостоверности представляемой информации.

Заявитель обязан в месячный срок после получения уведомления об отказе в учете объекта устранить недостатки и повторно представить требуемые документы оператору Реестра.

4.9. Заявка на внесение изменений в обобщенный объект учета представляется заявителем в течение десяти рабочих дней после регистрации подразделением информационной безопасности изменений по объектам учета подразделений владельца ИСиР (п. 4.4.).

К заявке прилагаются:

—       копия распорядительного документа определяющего факт изменения объекта учета;

—       копии измененных документов в соответствии с пунктом 4.5.

При отсутствии в течение календарного года изменений по обобщенном объекту учета заявитель направляет оператору Реестра не позднее 1 марта года, следующего за отчетным, информационное сообщение по форме Приложения 7.

4.10. Оператор Реестра на основании материалов заявки вносит изменения в объекты учета Реестра и в течение пяти рабочих дней с момента получения заявки направляет уведомление заявителю по форме Приложения 8.

4.11. Оператор Реестра выполняет процедуры исключение объекта учета заявителя из Реестра путем аннулирования соответствующей учетной записи и организации архивного хранения реестрового дела в следующих случаях:

—       по инициативе заявителя;

—       по инициативе уполномоченного органа в случае прекращения разработки либо эксплуатации ИСиР;

—       по инициативе Генерального конструктора городской целевой программы «Электронная Москва» в случае прекращения разработки информационной системы.

Реестровое дело исключенного из Реестра объекта учета хранятся в архиве Реестра в течение пяти лет.

Приложения

Приложение 1
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

Объекты учета

___________________________________________________________,

                                                           (наименование подразделения организации – владельца ИСиР)

содержащие данные конфиденциального характера

(по состоянию на «____» ___________ 200_ г.)

1. В информационных системах (АС):

1.1. _____________________________________________________

                                                                                   (наименование системы)

1.2. _____________________________________________________

                                                                                   (наименование системы)

…   …   …

Приложение 2
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

Обобщенный объект учета

___________________________________________________________,

                                                                                      (наименование организации – владельца ИСиР)

содержащий данные конфиденциального характера

(по состоянию на «____» ___________ 200_ г.)

1. Объекты учета  для Реестра конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

1 Наименование ИСиР __________________________________________

2. Сведения по организации обмена данными конфиденциального характера

3. Сведения о подразделении информационной безопасности (сотрудниках, ответственных за обеспечение защиты конфиденциальной информации)

Приложение 3
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

Состав основных полей учетной записи Реестра

Сведения об объектах учета

1. Наименование  объекта учета

каналы передачи данных АС магистральные внутренние

каналы передачи данных для АС магистральные внешние

локальные вычислительные сети

серверы

рабочие станции

отдельные СВТ (настольные и мобильные ПК, коммуникаторы)

средства защиты информации, включая

средства ЗИ  платформы ИС (ОС, СУБД)

средства ЗИ от вирусов

межсетевые экраны

СКЗИ

прочие СЗИ и управления

машинные носители информации в составе ИС

отчуждаемые машинные носители информации

2. Дата регистрации объекта учета

3. Дата актуализации объекта учета

4. Вид актуализации

перерегистрация

аннулирование

внесение изменений

плановое подтверждение актуальности сведений по объекту учета

5. Число единиц объекта учета на дату актуализации

6. Регистрационный номер обобщенного объекта учета

7. Дата регистрации обобщенного объекта учета

8. Дата перерегистрации обобщенного объекта учета

9. Полное наименование организации – владельца ИСиР

10. Обозначение вида конфиденциальной информации

СТ – служебная тайна

ПД – персональные данные

ПТ — профессиональная тайна

КТ — коммерческая тайна

11. Обозначение вида потока конфиденциальной информации

вн  – внутренний

вх  – входящий

исх — исходящий

12. Краткое наименование АС (ИСиР)

Сведения по организации обмена данными конфиденциального характера в АС

Номер документа (соглашения, распоряжения и т.п.) об обмене (владении) данными конфиденциального характера в АС

Дата утверждения документа об обмене (владении) данными конфиденциального характера

Название документа об обмене (владении) данными конфиденциального характера

Наименование участника информационного обмена – собственника конфиденциальной информации

Наименование участника информационного обмена — получателя информации собственника (пользователя услуг)

Описание цели обмена данными конфиденциального характера

Назначение данных являющихся предметом обмена, соотнесенных с перечнем сведений  конфиденциального характера

Срок действия документа об обмене данными конфиденциального характера

Сведения о подразделении информационной безопасности

Полное наименование подразделения

Фамилия, имя, отчество, ответственного за обобщение данных по объектам учета

Телефон

Адрес электронной почты

Паспортные данные автоматизированной системы (ИС)

Полное наименование

Краткое наименование

Год начала создания (разработки проекта)

Год начала промышленной эксплуатации

Обозначение последней модернизации (версии разработки)

Год начала последней модернизации (разработки документации)

Год начала эксплуатации после последней модернизации

Описание уровня иерархии межсетевого обмена

Полное и сокращенное наименование организации, осуществляющей права собственности

Полное и сокращенное наименование Оператора АС

Полное и сокращенное наименование Оператора магистрального внутреннего канала ПД

Полное и сокращенное наименование Оператора магистрального внешнего канала ПД

Дата и номер аттестата соответствия

Срок действия аттестации

Приложение 4
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

Заявление

о регистрации обобщенного объекта учета

 ( полное наименование организации-заявителя)

(должность, Ф.И.О. руководителя)

просит (нужное  подчеркнуть):

1) внести в Реестр новый объект учета;

2) внести изменения в Реестр в связи с перерегистрацией объекта учета;

3) исключить объект учета из Реестра

2. Наименование вышестоящего органа (организации):

( полное наименование вышестоящего органа ( организации))

3. С порядком регистрации информационных систем и ресурсов города Москвы, содержащих данные конфиденциального характера, ознакомлены.

4. Для обеспечения  взаимодействия в процессе рассмотрения документов и внесения в Реестр нами уполномочен

(Ф.И.О., должность уполномоченного лица, тел., факс, E-mail)

5. Наши реквизиты:

6. Перечень прилагаемых документов:

7. Достоверность сведений, содержащихся в  прилагаемых документах, подтверждаю:

М.П.

     (подпись руководителя, дата))                                                                                                   Ф.И.О. руководителя

Приложение 5
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

Заявка

на внесение изменений в обобщенный объект учета

 ( полное наименование организации-заявителя)

(должность, Ф.И.О. руководителя)

просит внести изменения в Реестр конфиденциальной информации ИСиР

2. Перечень прилагаемых документов:

3. Достоверность сведений, содержащихся в  прилагаемых документах, подтверждаю:

М.П.

  (подпись руководителя, дата))                                                                                           Ф.И.О. руководителя

Приложение 6
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

На основании распоряжения руководителя Уполномоченного органа от «__» _______ 200_г. № ____ в Реестре конфиденциальной информации, обрабатываемой в информационных системах и ресурсах  города Москвы, на основании данных обобщенного объекта учета ____________________________________________________,

                                                                                                (наименование организации – владельца ИСиР)

зарегистрирован новый объект учета за №___.

Заместитель руководителя
уполномоченного органа

                                                      ______________ И.О.Фамилия

«___» __________ 200_г.

Приложение 7
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

В соответствии с п. 4.9. Положения о реестре конфиденциальной информации сообщаю, что в течение 200__ года в обобщенный объект учета, зарегистрированный в Реестре за №____  изменения не вносились.

Руководитель организации

______________ И.О.Фамилия

«___» __________ 200_г.

Приложение 8
к Положению о реестре конфиденциальной информации,  обрабатываемой в информационных системах и ресурсах  города Москвы

На основании распоряжения руководителя Уполномоченного органа от «__» _______ 200_г. № ____ из Реестра конфиденциальной информации, обрабатываемой в информационных системах и ресурсах  города Москвы, исключен обобщенный объект учета №___  _________________________________________________________________,

                                                                                        (наименование организации – владельца ИСиР)

содержащий данные конфиденциального характера, по следующим причинам

____________________________________________________________________.

Заместитель руководителя

уполномоченного органа

______________ И.О.Фамилия

«___» __________ 200_г.