Про внесення змін до наказу Центрального управління Служби безпеки України від 22 липня 2019 року № 1132 «Про затвердження Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах Служби безпеки України»
Відповідно до статей 10, 13 Закону України «Про Службу безпеки України», Закону України «Про захист інформації в інформаційно-комунікаційних системах», Правил забезпечення захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року № 373, з метою вдосконалення порядку організації та проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України НАКАЗУЮ:
1. Внести до наказу Центрального управління Служби безпеки України від 22 липня 2019 року № 1132 «Про затвердження Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах Служби безпеки України», зареєстрованого в Міністерстві юстиції України 13 серпня 2019 року № 910/33881, такі зміни:
1) заголовок викласти в такій редакції:
«Про затвердження Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України»;
2) пункт 1 викласти в такій редакції:
«1. Затвердити Порядок проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України, що додається.».
2. Внести зміни до Порядку проведення державної експертизи комплексних систем захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах Служби безпеки України, затвердженого наказом Центрального управління Служби безпеки України від 22 липня 2019 року № 1132, зареєстрованого в Міністерстві юстиції України 13 серпня 2019 року за № 910/33881, виклавши його в новій редакції, що додається.
3. Начальникам Управління правового забезпечення та Головного управління внутрішньої безпеки Служби безпеки України забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України в установленому законодавством порядку.
4. Цей наказ набирає чинності з дня його офіційного опублікування.
ПОГОДЖЕНО: |
|
ЗАТВЕРДЖЕНО |
ПОРЯДОК
проведення державної експертизи комплексних систем захисту інформації в інформаційних, електронних комунікаційних та інформаційно-комунікаційних системах Служби безпеки України
1. Цей Порядок визначає особливості організації та проведення первинних або додаткових державних експертиз комплексних систем захисту інформації (далі - КСЗІ) або організаційно-технічних рішень на розгортання типової складової компоненти КСЗІ в інформаційних (автоматизованих), електронних комунікаційних та інформаційно-комунікаційних системах (далі - АС) Служби безпеки України (крім контрольних експертиз) шляхом експертних випробувань та аналізу декларацій про відповідність КСЗІ вимогам нормативних документів із технічного захисту інформації (далі - декларація) у системі Служби безпеки України (далі - СБУ).
2. Державна експертиза у сфері технічного захисту інформації (далі - експертиза) проводиться з метою дослідження, перевірки, аналізу та оцінки об’єктів експертизи щодо їх відповідності вимогам нормативних документів із технічного захисту інформації (далі - ТЗІ) та можливості їх використання для забезпечення ТЗІ.
3. Суб’єктами експертизи в СБУ є:
організатор - підрозділ Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, проводить експертизу КСЗІ або організаційно-технічного рішення на розгортання типової складової компоненти КСЗІ в АС СБУ, у тому числі в АС, в яких реалізуються вимоги щодо ТЗІ, спрямовані на запобігання кіберінцидентам, виявлення та захист від кібератак;
замовник - підрозділ в системі СБУ, який є власником (розпорядником) АС або розробником організаційно-технічного рішення для впровадження типової компоненти КСЗІ в АС СБУ;
експерт - співробітник організатора, до посадових обов’язків якого належить виконання завдань з проведення експертизи.
КСЗІ, яка є невід’ємною складовою АС, власником (розпорядником) якої є замовник;
організаційно-технічне рішення для впровадження типової компоненти КСЗІ в АС СБУ (далі - ОТР КСЗІ) - задокументоване уніфіковане рішення для багаторазового розгортання складових КСЗІ в АС, самодостатнє для вирішення певного завдання, що включає проєктні рішення програмно-технічного комплексу, організаційно-технічні рішення щодо регламенту функціонування типової компоненти АС та опис (алгоритм) процедури впровадження (розгортання) компоненти КСЗІ в АС.
5. Експертиза КСЗІ та ОТР КСЗІ є процедурою підтвердження їх відповідності вимогам нормативних документів із ТЗІ в обсязі функцій, зазначених у технічному завданні на створення КСЗІ АС СБУ та ОТР КСЗІ.
Експертиза КСЗІ проводиться шляхом аналізу декларації відповідно до розділу II цього Порядку або шляхом експертних випробувань згідно з розділом III цього Порядку.
Експертиза ОТР КСЗІ проводиться шляхом експертних випробувань згідно з розділом III цього Порядку.
6. Дія цього Порядку не поширюється на такі об’єкти експертизи:
технічні та програмні засоби, які реалізують функції ТЗІ або оцінки стану захисту інформації (далі - засоби ТЗІ), у тому числі у складі КСЗІ;
КСЗІ системи спеціального зв’язку;
технічні та програмні засоби, які реалізують функції криптографічного захисту інформації (далі - засоби КЗІ), у тому числі у складі КСЗІ.
Підтвердження відповідності та проведення державної експертизи зазначених об’єктів здійснюються відповідно до вимог законодавства.
7. Експертиза КСЗІ шляхом аналізу декларації проводиться у випадках, якщо:
1) КСЗІ створено в автоматизованій системі класу 1 (що класифікується згідно з нормативними документами із ТЗІ), у якій:
КСЗІ і її документацію розроблено, оформлено, узгоджено та затверджено відповідно до рекомендацій, розроблених (або погоджених) організатором;
впровадження заходів захисту інформації від витоку технічними каналами (за потреби створення комплексу ТЗІ) засвідчено актом атестації комплексу ТЗІ, зареєстрованим відповідно до вимог законодавства та чинним на момент подання декларації;
2) закінчився строк дії документів, що засвідчують результати експертизи в АС, яка згідно з нормативними документами із ТЗІ класифікується як автоматизована система класу 1;
3) КСЗІ в АС створена на основі ОТР КСЗІ та має у складі документації типову форму декларації для цієї КСЗІ, яка погоджена організатором або Адміністрацією Держспецзв’язку.
У всіх інших випадках експертиза КСЗІ в АС проводиться шляхом експертних випробувань.
8. Зареєстрована декларація або атестат відповідності є документами, що підтверджують відповідність створеної КСЗІ в АС СБУ вимогам нормативних документів із ТЗІ.
Чинний позитивний експертний висновок на ОТР КСЗІ є документом, що підтверджує його відповідність вимогам нормативних документів із ТЗІ.
9. Експертиза може бути первинною або додатковою.
Первинна експертиза є основним видом експертизи та проводиться після створення КСЗІ або ОТР КСЗІ.
Додаткова експертиза проводиться у зв’язку із закінченням строку дії документів, що засвідчують результати експертизи.
організовує та проводить первинні або додаткові експертизи шляхом аналізу декларацій та експертних випробувань;
приймає рішення щодо можливості та доцільності проведення експертизи або її припинення;
розглядає заяви на проведення експертизи, надає замовникам методичну допомогу щодо порядку та організації проведення експертизи;
розробляє програму та методики проведення експертизи;
здійснює заходи щодо реєстрації або скасування декларації в Адміністрації Держспецзв’язку, зупиняє дію декларації та інформує про зазначене Адміністрацію Держспецзв’язку;
взаємодіє з Адміністрацією Держспецзв’язку та її уповноваженими підрозділами з питань проведення експертиз;
здійснює контроль за станом функціонування КСЗІ.
передає організатору необхідні відомості, що стосуються КСЗІ або ОТР КСЗІ, надає доступ до об’єкта для проведення експертизи;
має право використовувати у своїй діяльності матеріали та документи, отримані під час проведення експертизи;
зберігає документи, що засвідчують результати експертизи, під час експлуатації АС, а також протягом 5 років після закінчення строку дії (скасування) атестата відповідності (декларації) або виведення АС з експлуатації;
зберігає документи, що засвідчують результати експертизи ОТР КСЗІ, та його документацію під час експлуатації АС, у складі яких побудовано (розгорнуто) КСЗІ за ОТР КСЗІ, а також протягом 5 років після закінчення строку дії (скасування) декларації останньої КСЗІ, побудованої (розгорнутої) за цим ОТР КСЗІ.
12. У разі, якщо у складі КСЗІ (ОТР КСЗІ) використовуються засоби ТЗІ (засоби КЗІ), які не мають підтвердження відповідності у сфері ТЗІ (КЗІ), власнику (розпоряднику) АС дозволяється залучати до проведення державної експертизи цих засобів або КСЗІ (ОТР КСЗІ) суб’єкта господарювання, який провадить ліцензовану діяльність у галузі ТЗІ (КЗІ), за його згодою та відповідно до вимог законодавства.
Залучення суб’єкта господарювання здійснюється на підставі рішення Голови СБУ або його заступника відповідно до розподілу функціональних обов’язків за попереднім погодженням із підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ.
II. Порядок організації та проведення експертизи шляхом аналізу декларації
1. Для проведення експертизи КСЗІ в АС шляхом аналізу декларації замовник надсилає супровідним листом до організатора оригінал та копію декларації про відповідність КСЗІ вимогам нормативних документів із ТЗІ за формою (додаток 1) до цього Порядку (далі - декларація) разом із формуляром АС, актом про завершення робіт зі створення КСЗІ.
2. Для проведення експертизи КСЗІ в АС, що створена на основі ОТР КСЗІ, замовник надсилає супровідним листом до організатора оригінал та копію декларації про відповідність КСЗІ вимогам нормативних документів із ТЗІ разом із документами до неї згідно із вимогами ОТР КСЗІ.
3. За результатами аналізу декларації організатор подає її на реєстрацію до Адміністрації Держспецзв’язку або повертає на доопрацювання. Після реєстрації оригінал декларації та інші подані документи організатор повертає замовнику. Копія декларації залишається у організатора.
4. Підстави для повернення декларації на доопрацювання:
надання неповного комплекту документів, визначених пунктами 1 або 2 цього розділу;
неповнота наданих відомостей у документах або їх невідповідність;
невідповідність порядку створення КСЗІ вимогам нормативних документів із ТЗІ.
Організатор повертає на доопрацювання декларацію та повідомляє замовнику причини. Після усунення причин, що стали підставою для повернення на доопрацювання декларації, замовник надсилає для повторного розгляду до організатора доопрацьовану декларацію.
5. Строк дії зареєстрованої декларації визначається організатором з урахуванням вимог нормативних документів із ТЗІ.
Строк дії декларацій на КСЗІ в АС, які створено на основі ОТР КСЗІ, встановлюється вимогами ОТР КСЗІ.
III. Порядок організації та проведення експертизи шляхом експертних випробувань
1. Для проведення експертизи шляхом експертних випробувань замовник надсилає до організатора заяву про проведення експертизи КСЗІ АС/ОТР КСЗІ за формою (додаток 2) до цього Порядку.
технічне завдання на створення КСЗІ/ОТР КСЗІ;
формуляр АС (для ОТР КСЗІ не надсилається).
2. За результатами розгляду заяви організатор приймає рішення про можливість та доцільність проведення експертизи і визначає експертів, які залучаються до виконання експертних робіт.
Експертами не може бути визначено осіб, які виконували роботи зі створення КСЗІ або ОТР КСЗІ (у тому числі надавали консультаційні послуги, які стосуються виконання окремих етапів робіт та вибору певних проектних рішень), експертизу якої планується провести.
3. Замовник надає організатору документацію на об’єкт експертизи, потрібну для проведення експертних випробувань (перелік таких документів організатор повідомляє замовнику).
4. Організатор за результатами аналізу наданих документів та з урахуванням загальних методик оцінювання задекларованих характеристик КСЗІ/ОТР КСЗІ формує програму і методики проведення експертизи.
5. Програма проведення експертизи погоджується із замовником.
6. Результати роботи за методиками оформлюються у вигляді протоколу виконання робіт за підписом експертів і їх безпосереднього керівника. Протокол затверджується керівником (заступником керівника) організатора.
Змістова частина протоколу викладається в обсязі виконаних робіт з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ.
7. У протоколі може бути зафіксовано особливу думку кожного експерта щодо результатів виконаних робіт.
8. У разі виявлення невідповідності об’єкта експертизи вимогам нормативних документів з ТЗІ організатор може запропонувати замовнику доопрацювати його.
Організатор формулює відомості, щодо яких потрібні доопрацювання, з посиланням на відповідні положення нормативно-правових актів, нормативних документів, технічного завдання та надає їх замовнику.
9. Після отримання відомостей щодо доопрацювань замовник визначає можливість доопрацювання об’єкта експертизи, його строк, обсяг робіт з доопрацювання, інші умови, про що в місячний строк письмово повідомляє організатора (у разі відсутності повідомлення організатор складає негативний експертний висновок та надсилає його замовнику).
10. За результатами проведених робіт організатор складає:
експертний висновок (додаток 3) та в разі позитивних результатів експертної оцінки - атестат відповідності (додаток 4) КСЗІ;
експертний висновок (додаток 5) для ОТР КСЗІ.
Результати робіт, визначених програмою, узагальнюються в змістовій частині експертного висновку і засвідчуються підписами експертів та їх безпосереднього керівника. Експертний висновок засвідчується керівником (його заступником) організатора.
11. Змістова частина експертного висновку викладається з урахуванням вимог нормативно-правових актів та нормативних документів з питань ТЗІ в обсязі виконаних робіт та містить:
загальні відомості щодо об’єкта експертизи;
загальну характеристику об’єкта експертизи;
нормативно-правові акти та нормативні документи з питань ТЗІ, на відповідність вимогам яких проводиться оцінка об’єкта експертизи;
назви програми та методик, згідно з якими здійснювалася оцінка об’єкта експертизи, ким розроблені та затверджені, реєстраційний номер та дату затвердження;
перелік документів і специфікацій програмних та технічних засобів ТЗІ/КЗІ, які замовник надав організатору;
результати експертних робіт щодо кожного пункту програми проведення експертизи об’єкта експертизи;
розгорнутий висновок щодо відповідності об’єкта експертизи вимогам нормативних документів із ТЗІ;
вимоги до умов експлуатації (сферу використання) об’єкта експертизи;
строк дії експертного висновку (для позитивного експертного висновку);
особливі думки експертів, зафіксовані в протоколі (за наявності).
12. Строк дії атестата відповідності КСЗІ, експертного висновку ОТР КСЗІ визначається організатором з урахуванням складності архітектури АС, засобів захисту, які використовуються під час побудови КСЗІ, та вимог нормативних документів із ТЗІ.
13. Атестат відповідності підписується керівником (заступником керівника) організатора та направляється для реєстрації до Адміністрації Держспецзв’язку.
У разі позитивних результатів експертизи ОТР КСЗІ засвідчений організатором експертний висновок ОТР КСЗІ направляється для реєстрації до Адміністрації Держспецзв’язку.
14. Документи, що засвідчують позитивні результати експертизи КСЗІ/ОТР КСЗІ, організатор направляє замовнику.
15. З метою скорочення строків зі створення КСЗІ в АС за письмовим вмотивованим зверненням замовника до організатора допускається проводити:
первинну експертизу одночасно з роботами зі створення КСЗІ;
експертизу кожної складової частини або модуля КСЗІ окремо.
IV. Порядок скасування (зупинення дії) зареєстрованої декларації, атестата відповідності КСЗІ та експертного висновку
1. Організатор зупиняє дію зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку. Адміністрація Держспецзв’язку скасовує зареєстровану декларацію, атестат відповідності КСЗІ та/або експертний висновок за поданням організатора.
2. Можливі умови для зупинення дії, скасування зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку:
подання заяви про скасування зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку. Заява складається у довільній формі із зазначенням реєстраційного номера документа про виведення АС (всіх АС, КСЗІ яких розгорнуто за ОТР). До заяви додаються декларація, атестат відповідності КСЗІ та/або експертний висновок, що скасовуються, для проставлення відповідної відмітки;
наявність фактів внесення змін до КСЗІ, не передбачених проектною документацією на КСЗІ, та/або порушення вимог з експлуатації КСЗІ;
висновки експертизи, за результатами якої зареєстровано декларацію, видано атестат відповідності КСЗІ або експертний висновок, суперечать вимогам чинних нормативно-правових актів у сфері ТЗІ;
наявність персональних спеціальних економічних та інших обмежувальних заходів (санкцій) до виробника (постачальника) засобів ТЗІ, які унеможливлюють використання засобів ТЗІ в обсязі, визначеному експертним висновком.
3. Рішення про зупинення дії зареєстрованої декларації, атестата відповідності КСЗІ та/або експертного висновку приймається у разі, якщо після вжиття погоджених з підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, коригувальних заходів, спрямованих на усунення виявлених недоліків, власник зареєстрованої декларації, атестата відповідності КСЗІ або експертного висновку без проведення додаткової експертизи може підтвердити відповідність КСЗІ/ОТР КСЗІ вимогам нормативних документів. В іншому випадку зареєстрована декларація, атестат відповідності КСЗІ та/або експертний висновок скасовуються шляхом подання відповідної заяви до Адміністрації Держспецзв’язку.
4. Організатор інформує замовника про скасування або зупинення дії зареєстрованої декларації, атестата відповідності КСЗІ або експертного висновку із зазначенням відповідних підстав.
5. Стан функціонування КСЗІ, яка має декларацію або атестат відповідності з безстроковим строком дії, перевіряється підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, у порядку здійснення контролю за станом ТЗІ в системі СБУ (без необхідності подання повідомлення про стан функціонування КСЗІ до Адміністрації Держспецзв’язку).
У разі виявлення змін, які впливають на реалізацію оцінених при проведенні експертизи КСЗІ заходів захисту інформації та/або призводять до втрати актуальності цих заходів і невжиття наданих підрозділом Центрального управління СБУ, який забезпечує ТЗІ в системі СБУ, вимог (рекомендацій), спрямованих на усунення виявлених недоліків, організатор подає заяву до Адміністрації Держспецзв’язку про скасування декларації або атестата відповідності КСЗІ з безстроковим строком дії.
За відсутності інформування Адміністрації Держспецзв’язку щодо скасування декларації або атестата відповідності КСЗІ з безстроковим строком дії вони вважаються чинними.
Додаток 1 |
ДЕКЛАРАЦІЯ
про відповідність КСЗІ вимогам нормативних документів із ТЗІ
(з додатком)
Додаток 2 |
Додаток 3 |
Додаток 4 |
