УПРАВЛЕНИЕ ОБРАЗОВАНИЯ ГРЯЗОВЕЦКОГО МУНИЦИПАЛЬНОГО РАЙОНА ВОЛОГОДСКОЙ ОБЛАСТИ
ПРИКАЗ
05.11.2014 № 863
Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов
В соответствии с Федеральным законом от 29.12.2012 года № 273-ФЗ «Об образовании в Российской Федерации», Федеральным законом от 27.07.2010г. № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», распоряжением Правительства РФ от 17.12.2009г. № 1993-р «Об утверждении сводного перечня первоочередных государственных и муниципальных услуг, предоставляемых в электронном виде», постановлением Правительства Вологодской области от 19.05.2014 N 418 "Об утверждении Положения о государственной информационной системе области "Система образования Вологодской области"
с целью обеспечения доступа к ГИС «Образование»,
ПРИКАЗЫВАЮ:
Утвердить список сотрудников Управления образования Грязовецкого муниципального района, БУ «Центр обеспечения деятельности образовательных учреждений», уполномоченных на работу с информационными ресурсами ГИС «Образование» (приложение 1).
Назначить Мистюкову И.Ю., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений», Шарабошкину О.А., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений», ответственными за актуализацию информационных ресурсов.
Назначить Зубкову И.Н., начальника отдела общего и дополнительного образования, Мистюкову И.Ю., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений», Шарабошкину О.А., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений», администраторами муниципального уровня ГИС «Образование».
Назначить Баранова А.Ю., инженера электронщика БУ «Центр обеспечения деятельности ОУ», специалистом по организации антивирусной защиты муниципального уровня ГИС «Образование».
Назначить Мистюкову И.Ю., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений», Шарабошкину О.А., ведущего методиста БУ «Центр обеспечения деятельности образовательных учреждений» ответственными за организацию учета, хранения и выдачи машинных носителей персональных данных.
Утвердить Инструкцию администратора муниципального уровня ГИС «Образование» (приложение 2).
Утвердить Инструкцию по организации парольной защиты в государственной информационной системе области «Система образования Вологодской области», эксплуатируемой в Управлении образования Грязовецкого муниципального района (приложение 3).
Утвердить Инструкцию пользователя государственной информационной системы области «Система образования Вологодской области» (приложение 4).
Утвердить Инструкцию по организации антивирусной защиты государственной информационной системы области «Система образования Вологодской области» (приложение 5).
Утвердить Инструкцию по организации учета, хранения и выдачи машинных носителей персональных данных (приложение 6).
Утвердить Инструкцию по выявлению инцидентов и реагированию на них в государственной информационной системе области «Система образования Вологодской области» (приложение 7).
Руководителям ОУ заключить с БУ СО ВО «Центр информатизации и оценки качества образования» соглашение об информационном взаимодействии по использованию ГИС «Образование», издать приказ «Об организации доступа к ГИС «Образование» и утверждении инструкций.
Начальник Управления образования
Грязовецкого муниципального района Т.А.Патракеева
Приложение № 1 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
Список сотрудников Управления образования Грязовецкого муниципального района, БУ «Центр обеспечения деятельности образовательных учреждений», уполномоченных на работу с информационными ресурсами ГИС «Образование»
ФИО
|
Должность
|
Администратор
/сотрудник ГИС «Образование
|
Патракеева Татьяна Александровна
|
начальник Управления образования Грязовецкого муниципального района
|
сотрудник
|
Зубкова Ирина Николаевна
|
начальник отдела общего и дополнительного образования
|
администратор
|
Мистюкова Ирина Юрьевна
|
ведущий методист БУ «Центр обеспечения деятельности образовательных учреждений»
|
администратор
|
Шарабошкина Ольга Анатольевна
|
ведущий методист БУ «Центр обеспечения деятельности образовательных учреждений»
|
администратор
|
Приложение №2 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
администратора муниципального уровня
государственной информационной системы области
«Система образования Вологодской области»
1. Общие положения
1.1. Настоящая Инструкция разработана в соответствии со следующими нормативными правовыми актами:
Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
Методический документ ФСТЭК России от 11.02.2014 г. «Меры защиты информации в государственных информационных системах».
1.2. Администратор муниципального уровня (далее - администратор МУ) - лицо, выполняющее функции по сопровождению информационных ресурсов и технических средств на территории муниципального образования Грязовецкое, входящих в состав государственной информационной системы области «Система образования Вологодской области» (далее – ГИС «Образование»).
1.3. Администратор МУ в пределах своих функциональных обязанностей обеспечивает безопасность информации, обрабатываемой в ГИС «Образование».
1.4. Администратор МУ в своей работе руководствуется законодательством Российской Федерации об информации и защите информации, а также локальными актами Управления образования Грязовецкого муниципального района по вопросам обработки и защиты информации, содержащейся в ГИС «Образование», в том числе положениями настоящей Инструкции.
1.5. Администраторы МУ назначаются в установленном порядке приказом Управления образования.
2. Обязанности администратора МУ
Администратор МУ обязан:
2.1. Знать и выполнять требования действующих нормативных правовых актов Российской Федерации, а также локальных актов Управления образования Грязовецкого муниципального района, регламентирующих деятельность по обработке информации, содержащейся в ГИС «Образование».
2.4. Создавать, вести учет, закрепление и выдачу пользователям (в пределах муниципального образования) атрибутов доступа к техническим средствам и информационным ресурсам ГИС «Образование». Генерировать личные идентификаторы для пользователей ГИС «Образование».
2.5. Генерировать первичный пароль пользователям системы (в пределах муниципального образования) в момент создания идентификатора и выдавать пользователю под роспись.
2.6. Обеспечивать смену паролей пользователей (в пределах муниципального образования) с периодичностью не реже одного раза в год.
2.7. Изменять свой собственный пароль не реже одного раза в месяц.
2.8. Принимать меры по обеспечению внеплановой смены паролей в случае их компрометации, заблокировать доступ пользователя, владельца скомпрометированного пароля к ГИС «Образование.
2.9. Выявлять и пресекать действия пользователей, которые могут привести к компрометации паролей.
2.10. Вносить предложения по изменению содержания локальных актов Управления образования Грязовецкого муниципального района, с целью соответствия реальным условиям или в случае изменения требований законодательства.
3. Права администратора МО
Администратор МУ имеет право:
3.1. Требовать от пользователей (в пределах муниципального образования) ГИС «Образование» выполнения установленной технологии обработки информации, содержащейся в ГИС «Образование», и выполнения инструкций.
3.2. Приостанавливать обработку информации в ГИС «Образование» в случаях подтвержденного нарушения установленной технологии обработки данных или инструкций.
4. Ответственность
4.1. На администратора МУ возлагается персональная ответственность за качество и полноту проводимых им работ в соответствии с его функциональными обязанностями.
4.2 Администратор МУ несет ответственность по действующему законодательству Российской Федерации.
Приложение № 3 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
по организации парольной защиты в государственной информационной системе области «Система образования Вологодской области», эксплуатируемой в Управлении образования Грязовецкого муниципального района.
Общие положения
1.1. Настоящая Инструкция разработана в соответствии со следующими нормативными правовыми актами:
Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
Методический документ ФСТЭК России от 11.02.2014 г. «Меры защиты информации в государственных информационных системах».
1.2. Настоящая Инструкция регламентирует организационные и технические вопросы применения парольной защиты в государственной информационной системе области «Система образования Вологодской области», (далее - ГИС «Образование»), эксплуатируемой в Управлении образования Грязовецкого муниципального района.
1.3. Настоящая Инструкция применяется для всех систем и средств, которые обеспечивают безопасность информации при ее автоматизированной обработке.
1.4. Цель настоящей Инструкции – установить правила применения парольной защиты в Управлении образования Грязовецкого муниципального района, обязанности и ответственность участвующих в процессе парольной защиты лиц.
2. Порядок создания, использования, изменения и прекращения действия атрибутов доступа к информационной системе
2.1. Каждому субъекту (пользователю) ГИС «Образование», допущенному в установленном порядке к обработке информации или к работам с ГИС «Образование», присваиваются персональные идентификаторы (логины, имена пользователей) для доступа к техническим средствам и информационным ресурсам ГИС «Образование».
2.2. Персональный идентификатор создает администратор регионального уровня или администратор муниципального уровня (далее администратор МУ) на основании утвержденных списков сотрудников образовательных организаций, уполномоченных на работу с информационными ресурсами ГИС «Образование». Персональному идентификатору соответствуют определенные полномочия в ГИС «Образование» и пароль, обеспечивающий аутентификацию (проверку подлинности) в ГИС «Образование».
2.3. Первичный пароль генерируется администратором МУ в момент создания идентификатора и выдается пользователю под роспись.
2.4. При первом доступе пользователь обязан изменить выданный ему пароль, руководствуясь требованиями к сложности пароля, указанными в настоящей Инструкции (п. 2.6).
2.5. Пользователь несет ответственность за все действия, совершенные в ГИС «Образование» с использованием его атрибутов доступа (идентификатора и пароля).
2.6. Требования к сложности пароля:
длина пароля должна быть не менее восьми символов;
в числе символов пароля обязательно должны присутствовать строчные (хотя бы одна) и прописные буквы, цифры и специальные символы (-,_,. и т.п.);
пароль не должен включать в себя легко вычисляемые значения символов (имена, фамилии, имена детей или домашних животных, наименования информационных систем, типичных для организации профессиональных терминов, номера телефонов, номера или марки автомобилей, адреса и т. д.), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т.п.);
при смене пароля новое значение должно отличаться от предыдущего не менее чем тремя символами.
2.7. Пароль действует не более одного года, по истечении которых пользователь обязан заменить его новым.
2.8. В ГИС «Образование» осуществляется защита аутентификационной информации в процессе её ввода от возможного использования лицами, не имеющими на это полномочий. Защита обеспечивается исключением отображения для пользователя действительного значения аутентификационной информации. Вводимые символы пароля могут отображаться условными знаками «*», «» или иными знаками.
3. Обязанности пользователя ГИС «Образование»
3.1. Помнить свой идентификатор и пароль.
3.2. Держать свой пароль в тайне, а именно: не сообщать, не разглашать и любым другим способом не доводить до чьего-либо сведения (в том числе руководителей) личный пароль.
3.3. Осуществлять ввод пароля только в условиях, исключающих его просмотр.
3.4. Не хранить записки-памятки с личным паролем на видном и/или легкодоступном месте: на столе, на мониторе, под клавиатурой, в верхнем ящике стола и т.п.
3.5. Своевременно сообщать администратору МУ о фактах компрометации пароля (когда пароль стал или может быть известен еще кому-либо, кроме его владельца).
Приложение № 4 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
пользователя государственной информационной системы области
«Система образования Вологодской области»
1. Общие положения
1.1. Настоящая Инструкция разработана в соответствии со следующими нормативными правовыми актами:
Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
Методический документ ФСТЭК России от 11.02.2014 г. «Меры защиты информации в государственных информационных системах».
1.2. Пользователями государственной информационной системы области «Система образования Вологодской области», эксплуатируемой в Управлении образования Грязовецкого муниципального района, являются должностные лица, выполняющие свои должностные обязанности с использованием информации, информационных технологий и технических средств ГИС «Образование» и которым в ГИС «Образование» присвоены учетные записи.
1.3. Настоящая Инструкция определяет права, обязанности, задачи и ответственность пользователей ГИС «Образование».
2. Обязанности пользователя
Пользователь обязан:
2.1. Знать и выполнять требования действующих нормативных правовых актов Российской Федерации, а также локальных актов Управления образования Грязовецкого муниципального района, регламентирующих деятельность по обработке и защите информации, содержащейся в ГИС «Образование». Обеспечивать конфиденциальность информации ограниченного доступа, ставшей известной в результате выполнения им служебных (должностных) обязанностей.
2.2. При эксплуатации ГИС «Образование» пользователь обязан:
2.2.1. Руководствоваться положениями настоящей инструкции.
2.2.2. Помнить личные пароли и идентификаторы и обеспечивать их конфиденциальность.
2.2.3. Соблюдать установленную технологию обработки информации в ГИС «Образование».
2.2.4. Использовать для вывода на печать документов, содержащих информацию ограниченного доступа, только устройства печати, разрешенные к использованию, сводя к минимуму возможность доступа к ним посторонних лиц. Пользователь обязан незамедлительно изымать распечатанные документы, содержащие информацию ограниченного доступа, из лотка принтера.
2.3. Минимизировать возможность неконтролируемого доступа к техническим средствам ГИС «Образование» посторонних лиц, а также возможность просмотра посторонними лицами ведущихся на технических средствах работ. В случаях кратковременного отсутствия (перерыв, обед) при выходе в течение рабочего дня из помещения, в котором размещаются технические средства ГИС «Образование», пользователь обязан блокировать ввод-вывод информации на своем рабочем месте или выключить техническое средство.
2.4. Соблюдать конфиденциальность информации ограниченного доступа.
2.5. Докладывать своему непосредственному руководителю и администратору системы ГИС «Образование» муниципального уровня:
о фактах имевшегося или предполагаемого несанкционированного доступа к информации, содержащейся в ГИС «Образование», носителям информации, техническим средствам ГИС «Образование», помещениям, в которых располагаются технические средства ГИС «Образование»;
об утрате носителей информации, паролей и идентификаторов, ключей от помещений, где ведется обработка информации;
о попытках получения информации лицами, не имеющими к ним допуска;
об иных нештатных ситуациях, связанных с угрозой конфиденциальности информации или безопасности ГИС «Образование».
2.6. Пользователю ЗАПРЕЩАЕТСЯ:
входить в систему или работать в ней под чужой учетной записью;
подключать к техническим средствам ГИС «Образование» нештатные устройства;
сообщать устно, письменно или иным способом (показ и т.п.) другим лицам идентификаторы и пароли, передавать ключи от помещений и другие реквизиты доступа к ГИС «Образование»;
использовать для записи информации ограниченного доступа машинные носители информации.
3. Права
Пользователь ГИС «Образование» имеет право:
3.1. Обращаться к администратору муниципального уровня ГИС «Образование» по любым организационным вопросам, касающимся обработки и защиты информации в ГИС «Образование» (выполнение режимных мер, установленной технологии обработки информации, инструкций и других документов по обеспечению безопасности информации).
3.2. Обращаться к администратору регионального уровня ГИС «Образование» по вопросам, касающимся обработки и защиты информации в ГИС «Образование» (выполнение режимных мер, инструкций и других документов по обеспечению безопасности информации).
4. Ответственность
4.1. На пользователя возлагается персональная ответственность:
за соблюдение установленной технологии обработки информации;
за соблюдение режима конфиденциальности информации;
за правильность понимания и полноту выполнения задач, функций, прав и обязанностей, возложенных на него при работе в ГИС «Образование»;
за соблюдение требований локальных актов Управления образования Грязовецкого муниципального района
по вопросам обработки и защиты информации в ГИС «Образование».
4.2 Пользователь несет ответственность, предусмотренную законодательством Российской Федерации.
Приложение № 5 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
по организации антивирусной защиты
государственной информационной системы области
«Система образования Вологодской области»
-
Общие требования
Настоящая инструкция определяет требования к организации защиты персональных данных в государственной информационной системе области «Система образования Вологодской области» (далее ГИС «Образование») от разрушающего воздействия компьютерных вирусов и устанавливает ответственность работников, эксплуатирующих и сопровождающих ГИС «Образование», за их выполнение.
К использованию в ГИС «Образование» допускаются только лицензионные антивирусные средства.
Установка и настройка средств антивирусного контроля на рабочих местах пользователей осуществляется в соответствии с руководствами по применению конкретных антивирусных средств.
-
Применение средств антивирусного контроля
Обязательному антивирусному контролю подлежит любая информация (текстовые файлы любых форматов, файлы данных) перед копированием в ГИС «Образование».
Устанавливаемое (изменяемое) программное обеспечение должно быть предварительно проверено на отсутствие вирусов.
При возникновении подозрения на наличие компьютерного вируса (нетипичная работа программ, появление графических и звуковых эффектов, искажений данных, пропадание файлов, частое появление сообщений о системных ошибках) работник организации должен провести внеочередной антивирусный контроль своего рабочего места.
В случае обнаружения при проведении антивирусной проверки зараженных компьютерными вирусами файлов работники обязаны:
- приостановить работу;
- провести анализ необходимости дальнейшего использования зараженных файлов; провести лечение или уничтожение зараженных файлов.
-
Ответственность
Ответственность за организацию и проведение мероприятий антивирусного контроля в соответствии с требованиями настоящей Инструкции возлагается на специалиста по организации антивирусной защиты муниципального уровня ГИС «Образование».
Ответственность за соблюдение требований настоящей Инструкции возлагается на всех работников, являющихся пользователями ГИС «Образование».
Периодический контроль за состоянием антивирусной защиты в ГИС «Образование», а также за соблюдением установленного порядка антивирусного контроля и выполнением требований настоящей Инструкции осуществляется администратором информационной безопасности.
Приложение № 6 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
по организации учета, хранения и выдачи машинных носителей персональных данных
1.Общие положения
1.1 Настоящая инструкция определяет порядок учета, хранения и выдачи машинных носителей персональных данных (ПДн), обрабатываемых в государственной информационной системе области «Система образования Вологодской области», (далее - ГИС Образование»).
Приказом Управления образования назначаются ответственные за организацию учета, хранения и выдачи машинных носителей персональных данных.
Учету подлежат все машинные носители, на которые могут быть записаны персональные данные, обрабатываемые в ГИС «Образование».
Под машинными носителями в настоящей инструкции понимаются:
съемные носители информации (флэш-память, съемные жесткие диски).
-
Порядок хранения и использования машинных носителей персональных данных
Машинные носители персональных данных используются лицами, имеющими право доступа к ГИС «Образование», только для выполнения должностных обязанностей. Выдача машинного носителя регистрируется в установленном порядке (раздел 4 настоящей инструкции).
О повреждении или утрате машинного носителя необходимо незамедлительно сообщить лицу, ответственному за учет машинных носителей, который в свою очередь докладывает об этом руководителю Учреждения.
При завершении использования машинного носителя (в т.ч. при выходе носителя из строя) принимаются меры по предотвращению возможного считывания с носителя хранившихся на нем персональных данных.
-
Порядок учета машинных носителей персональных данных
Машинные носители персональных данных, подлежат обязательному учету.
Каждому машинному носителю присваивается уникальный учетный номер. Способ присвоения номеров и маркировки носителей выбирается лицом, ответственным за учет машинных носителей.
Машинные носители регистрируются в журнале учета и выдачи машинных носителей персональных данных (далее - Журнал) установленной формы. Журнал содержит перечень машинных носителей персональных данных, а также отметки о снятии с учета, выдаче и возврате машинного носителя персональных данных. При поступлении нового машинного носителя персональных данных, который будет использоваться для хранения или передачи персональных данных, данный носитель заносится в перечень машинных носителей.
При завершении использования машинного носителя в журнал вносится отметка о снятии с учета машинного носителя.
-
Регистрация выдачи и возврата машинных носителей персональных данных
Учет выдачи и возврата машинных носителей ведется в Журнале путем внесения отметок о выдаче и возврате машинного носителя персональных данных.
При выдаче машинного носителя персональных данных в Журнале фиксируется учетный номер и цель использования носителя. Если выдача сопровождается изданием исходящего документа, в отметке ставится его номер. Лицо, которому выдан носитель, ставит подпись в его получении.
При возвращении машинного носителя в место хранения напротив отметки о выдаче ставится отметка о возвращении носителя.
-
Ответственность
Ответственность за соблюдение требований настоящей инструкции несет лицо, ответственное за учет машинных носителей персональных данных.
Пользователи ГИС «Образование» несут ответственность за сохранность этих машинных носителей, а также за персональные данные, хранящиеся на них.
Приложение № 7 к приказу № 863 от о5.11.2014 «Об организации доступа к государственной информационной системе области "Система образования Вологодской области" (ГИС «Образование»), утверждении документов»
ИНСТРУКЦИЯ
по выявлению инцидентов и реагированию на них
в государственной информационной системе области
«Система образования Вологодской области»
1. Общие положения
1.1. Настоящая Инструкция разработана в соответствии со следующими нормативными правовыми актами:
Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
Методический документ ФСТЭК России от 11.02.2014 г. «Меры защиты информации в государственных информационных системах».
1.2. Настоящая инструкция регламентирует организационные и технические вопросы по выявлению инцидентов и реагированию на них в государственной информационной системе области «Система образования Вологодской области» (далее - ГИС «Образование»).
1.3. Настоящая Инструкция применяется для ГИС «Образование» и средств, которые обеспечивают безопасность информации (при ее автоматизированной обработке).
1.4. Цель настоящей Инструкции – выявление инцидентов и реагирование на них, распределение обязанностей и ответственности участвующих в процессе выявления инцидентов и реагированию на них.
1.5. Инцидентом называется событие (или группа событий), которое может привести к сбоям или нарушению функционирования ГИС «Образование» и (или) к возникновению угроз безопасности информации (далее – инцидент). Инцидентом, в общем случае, называется любое нарушение инструкций и приказов.
1.6. Требования настоящей инструкции обязательны для выполнения всеми пользователями ГИС «Образование» и администратором системы муниципального уровня.
2. Выявление инцидентов информационной безопасности
2.1. Инциденты затрагивают следующие свойства информации:
нарушение конфиденциальности;
нарушение целостности;
нарушение доступности.
Инциденты могут преследовать нарушение дополнительных (производных) свойств информации:
нарушение надежности;
нарушение достоверности;
нарушение принципа неотказуемости.
2.2. Основными источниками информации об инцидентах являются:
факты, выявленные администратором системы муниципального уровня, а также другими сотрудниками организации.
результаты работы средств мониторинга информационной безопасности, результаты проверок и аудита (внутреннего или внешнего);
обращения субъектов информации с указанием инцидента;
другие источники информации.
2.3. Пользователь ГИС «Образование» может выявить признаки наличия инцидента путем анализа текущей ситуации на предмет ее соответствия. Выявленные несоответствия дают основания предполагать факт возникновения инцидента. Любые сведения о происшествие или инциденте должны быть незамедлительно переданы выявившим их сотрудником администратору системы муниципального уровня любым доступным способом.
3. Анализ исходной информации и принятие решения о проведении разбирательства.
3.1. Администратор системы муниципального уровня после получения информации о предполагаемом инциденте незамедлительно проводит первоначальный анализ полученных данных. В процессе анализа, администратор системы муниципального уровня проводит проверку наличия в выявленном факте нарушений.
3.2. В случае наличия признаков инцидента в полученной информации, администратор системы муниципального уровня определяет предварительную степень важности инцидента и принимает решение о необходимости проведения разбирательства.
3.3. В срок не более 3 (трех) рабочих дней с момента поступления информации об инциденте, администратор системы муниципального уровня определяет и инициирует первоочередные меры, направленные на локализацию инцидента и на минимизацию его последствий.
4. Разбирательство инцидента информационной безопасности
4.1. Целями разбирательства инцидентов являются:
выработка организационных и технических решений, направленных на снижение рисков нарушения информационной безопасности, предотвращение и минимизацию подобных нарушений в будущем;
обеспечение безопасности информации в ГИС «Образование»;
предотвращение несанкционированного доступа к информации и (или) передачи их лицам, не имеющим права доступа к такой информации.
4.1.1. Разбирательство инцидента состоит из следующих этапов:
подтверждение/опровержение факта возникновения инцидента;
подтверждение/корректировка уровня значимости инцидента;
уточнение дополнительных обстоятельств (деталей) инцидента;
получение (сбор) доказательств возникновения инцидента, обеспечение их сохранности и целостности;
минимизация последствий инцидента;
информирование и консультирование сотрудников по действиям обнаружения, устранения последствий и предотвращения инцидентов;
разработка мероприятий по обнаружению и/или предупреждению инцидентов.
4.2. В процессе проведения разбирательства инцидента обязательными для установления являются:
дата и время совершения инцидента;
ФИО, должность нарушителя;
уровень критичности инцидента;
обстоятельства и мотивы совершения инцидента;
информационные ресурсы, затронутые инцидентом;
характер и размер реального и потенциального ущерба;
обстоятельства, способствовавшие совершению инцидента.
4.2.1. После получения необходимой информации по инциденту администратор системы муниципального уровня проводит анализ полученных данных.
5. Завершение разбирательства, превентивные мероприятия
5.1. По завершению разбирательства инцидента, осуществляющий разбирательство сотрудник передает имеющиеся материалы (в объеме, достаточном для принятия решения) вышестоящему руководителю для решения вопроса о целесообразности привлечения нарушителя к дисциплинарной ответственности.
5.2. На основании полученных результатов разбирательства руководитель в срок не более 3 (трех) рабочих дней организовывает проведение одного или нескольких мероприятий, направленных на снижение рисков информационной безопасности в будущем:
повторное ознакомление нарушителя с инструкциями;
анализ и пересмотр имеющихся прав доступа к информационным ресурсам у нарушителя;
доведение до всех сотрудников структурного подразделения требований внутренних нормативных документов;
обсуждение инцидента;
проведение мероприятий, направленных на предотвращение несанкционированного доступа к информации и (или) передачи их лицам, не имеющим права доступа к такой информации;
другие обоснованные мероприятия.
5.3. О результатах проведенного разбирательства инцидента администратор системы муниципального уровня по необходимости инициирует подготовку сообщения об инциденте на имя руководителя.
6. Права, обязанности и ответственности участников разбирательства
6.1. Администратор системы муниципального уровня имеет право:
6.1.1. По согласованию с непосредственным руководителем нарушителя требовать предоставлений письменных объяснений по обстоятельствам инцидента у нарушителя.
6.1.2. Запрашивать и получать устные и письменные разъяснения и иную информацию, необходимую для проведения разбирательства инцидента.
6.1.3.Инициировать процедуры привлечения нарушителя к дисциплинарной/материальной ответственности.
6.2. Администратор системы муниципального уровня обязан:
6.2.1. Объективно и основательно проводить разбирательство каждого инцидента.
6.2.2.Определять первоочередные меры, направленные на локализацию инцидента и минимизацию негативных последствий.
6.2.3. Проводить анализ обстоятельств, способствовавших совершению каждого инцидента, и на его основе, разрабатывать рекомендации по снижению ущерба от подобных инцидентов и минимизации возможности их повторения в будущем.
6.3. Руководители и сотрудники образовательных учреждений обязаны:
6.3.1. Предоставлять по запросам проводящего разбирательство сотрудника устные и письменные разъяснения и иную информацию в рамках своей компетенции, необходимую для проведения разбирательства инцидента;
6.3.2. Информировать администратора системы муниципального уровня о выявленных инцидентах.
|