О ДОСТУПЕ РАБОТНИКОВ МИНИСТЕРСТВА В ПОМЕЩЕНИЯ, В КОТОРЫХ ВЕДЕТСЯ ОБРАБОТКА ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА, И РАСПОЛОЖЕНЫ СРЕДСТВА КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ



МИНИСТЕРСТВА ОБРАЗОВАНИЯ НОВОСИБИРСКОЙ ОБЛАСТИ

ПРИКАЗ

от 16 мая 2018 г. № 1205

О ДОСТУПЕ РАБОТНИКОВ МИНИСТЕРСТВА В ПОМЕЩЕНИЯ, В КОТОРЫХ ВЕДЕТСЯ ОБРАБОТКА ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА, И РАСПОЛОЖЕНЫ СРЕДСТВА КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», приказом Федерального агентства Правительственной связи и информации при Президенте Российской Федерации от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», приказом Федеральной службы безопасности России от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» и в целях организации доступа работников министерства образования Новосибирской области в помещения, в которых ведется обработка информации ограниченного доступа и расположены средства криптографической защиты информации (далее - СКЗИ) приказываю:

1. Утвердить прилагаемые:

1) порядок доступа работников в помещения, в которых ведется обработка информации ограниченного доступа, и расположены СКЗИ;

2) перечень лиц, имеющих право доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой и парольной информации СКЗИ информационных систем министерства образования Новосибирской.

2. Контроль за исполнением настоящего приказа оставляю за собой.

Исполняющий обязанности министра

С.В. Федорчук

УТВЕРЖДЕН

приказом министерства образования

Новосибирской области

от 16 мая 2018 г. № 1205

Порядок
доступа работников в помещения, в которых ведется обработка информации ограниченного доступа, и расположены средства криптографической защиты информации
(далее - порядок)

1. Общие положения

1. Настоящий Порядок доступа работников в помещения министерства образования Новосибирской области (далее - Министерство), в которых ведется обработка информации ограниченного доступа, в том числе персональных данных, (далее - Информации) не содержащей сведения, составляющие государственную тайну, и расположены средства криптографической защиты информации разработан в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», приказом Федерального агентства Правительственной связи и информации при Президенте Российской Федерации от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» и другими нормативными правовыми актами.

2. Обеспечение безопасности Информации от уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении Информации достигается, в том числе, установлением правил доступа в помещения, где обрабатывается Информация с использованием и/или без использования средств автоматизации.

3. Размещение информационных систем (далее - ИС), в которых обрабатывается Информация, должно осуществляться в пределах контролируемых зон, регламентированных эксплуатационной и технической документацией к средствам криптографической защиты информации. Для помещений, в которых обрабатывается Информация (далее - Помещения) и расположены средства криптографической защиты информации (далее - СКЗИ), организуется режим обеспечения безопасности, при котором обеспечивается сохранность носителей Информации и средств защиты информации, криптосредств и ключевых документов к ним, а также исключается возможность неконтролируемого проникновения и пребывания в этих помещениях посторонних лиц и просмотра ведущихся там работ.

2. Допуск в помещения, в которых ведется обработка информации ограниченного доступа

4. В помещения, где размещены технические средства, позволяющие осуществлять обработку Информации, а также хранятся носители Информации, допускаются только работники, уполномоченные на обработку Информации (в соответствии с Перечнем лиц, имеющих доступ в помещения, в которых расположены технические средства ИС, и доступ к обработке информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, обрабатываемой в информационных системах), а также только лица, имеющие право доступа в помещения министерства, где осуществляется обработка Информации (в соответствии с перечнем лиц, имеющих право доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой и парольной информации СКЗИ информационных систем министерства образования Новосибирской области).

5. При оборудовании Помещений должны выполняться требования к размещению, монтажу криптосредств, а также другого оборудования, функционирующего с криптосредствами.

6. Нахождение в помещениях с ИС лиц, не включенных в перечни, указанные в пункте 4 настоящего порядка, возможно только в присутствии работника, уполномоченного на обработку Информации в данном помещении. Время нахождения в помещениях ограничивается временем решения вопросов, в рамках которого возникла необходимость пребывания в помещении.

7. Работники, допущенные к обработке Информации, не должны покидать Помещение, не убедившись, что доступ посторонних лиц к Информации невозможен. Запрещается оставлять материальные носители Информации без присмотра в незапертом помещении.

8. Помещения, в которых ведется обработка Информации и расположены средства криптографической информации, должны быть оснащены входными дверьми с замками. Кроме того, должно быть обеспечено постоянное закрытие дверей таких помещений на замок и их открытие только для санкционированного прохода, а также опечатывание помещений по окончании рабочего дня или оборудование помещений соответствующими техническими устройствами, сигнализирующими о несанкционированном вскрытии помещений.

9. Помещения должны быть оснащены охранной сигнализацией, связанной со службой охраны здания или дежурным по организации.

10. После окончания рабочего дня дверь каждого помещения, в котором ведется обработка Информации, закрывается на ключ и ставится на сигнализацию.

11. В нерабочее время помещения, в которых осуществляется функционирование СКЗИ, должны ставиться на охрану, при этом все окна и двери должны быть надежно закрыты, ключевые документы убраны в запираемые шкафы (сейфы).

12. Пользователи СКЗИ получают/сдают ключ на технические устройства, сигнализирующие о несанкционированном вскрытии помещений, сотруднику, ответственному за ведение журнала учета ключей помещений, под роспись при назначении/увольнении на должность. Ключ выдается сотрудником, ответственным за ведение журнала учета ключей от помещений.

3. Допуск лиц в помещения

13. Для предотвращения просмотра извне окна Помещений должны быть защищены шторами или жалюзи.

14. Окна Помещений, расположенных на первых или последних этажах зданий, а также окна, находящиеся около пожарных лестниц и других мест, откуда возможно проникновение в Помещения посторонних лиц, оборудуются металлическими решетками, или ставнями, или охранной сигнализацией, или другими средствами, препятствующими неконтролируемому проникновению в Помещения.

15. При утрате ключа от хранилища или от входной двери в помещение замок необходимо заменить или переделать его секрет с изготовлением к нему новых ключей. Факт изготовления новых ключей должен быть документально оформлен в виде акта в произвольной форме. Если замок от хранилища переделать невозможно, то такое хранилище необходимо заменить.

16. Внутренний контроль за соблюдением порядка доступа в помещения, проводится в порядке, определенном в плане проведения внутреннего контроля соответствия требованиям по защите. Контроль и управление физическим доступом к информационным системам и средствам криптографической защиты должны предусматривать:

- поддерживание в актуальном состоянии Перечня лиц, имеющих доступ в помещения, в которых расположены технические средства ИС, и доступ к обработке информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, обрабатываемой в информационных системах и Перечня лиц, имеющих право доступа в помещения, где размещены используемые СКЗИ, хранятся СКЗИ и (или) носители ключевой и парольной информации СКЗИ информационных систем министерства;

- санкционирование физического доступа к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены - выдача ключей от помещений строго в соответствии с утвержденным перечнем лиц;

- учет физического доступа к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены - выдача ключей от помещений под роспись в соответствующем журнале.

17. В обычных условиях помещения и находящиеся в них опечатанные хранилища могут быть вскрыты только пользователями СКЗИ или ответственным пользователем СКЗИ.

При обнаружении признаков, указывающих на возможное несанкционированное проникновение в эти помещения или хранилища посторонних лиц, о случившемся должно быть немедленно сообщено ответственному пользователю СКЗИ. Прибывший ответственный пользователь СКЗИ должен оценить возможность компрометации хранящихся ключевых и других документов, составить акт и принять, при необходимости, меры к локализации последствий компрометации информации ограниченного доступа и к замене скомпрометированных криптоключей.

18. Ответственность за соблюдение порядка доступа в помещения, в которых ведется обработка Информации и расположены средства криптографической информации, возлагается на сотрудников структурных подразделений, уполномоченных на обработку Информации в министерстве, а также руководителей структурных подразделений министерства.

19. В случае нарушения настоящего Порядка работники могут быть привлечены к дисциплинарной и/или иной ответственности в соответствии с законодательством Российской Федерации.