Оглавление:

Приказ Министерства промышленности и торговли РФ от 17 ноября 2017 г. N 3985 «О переходе Министерства промышленности и торговли Российской Федерации на использование отечественного офисного программного обеспечения»

В соответствии с абзацем третьим пункта 3 распоряжения Правительства Российской Федерации от 26 июля 2016 г. N 1588-р и приказом Министерства связи и массовых коммуникаций Российской Федерации от 29 июня 2017 г. N 334 «Об утверждении методических рекомендаций по переходу федеральных органов исполнительной власти и государственных внебюджетных фондов на использование отечественного офисного программного обеспечения, в том числе ранее закупленного офисного программного обеспечения» в целях перехода Министерства промышленности и торговли Российской Федерации и подведомственных предприятий, учреждений и организаций на использование отечественного офисного программного обеспечения приказываю:

План-график перехода на период 2017-2018 годов и на плановый период до 2020 года Министерства промышленности и торговли Российской Федерации на использование отечественного офисного программного обеспечения (далее — План-график Министерства) согласно приложению N 1 к настоящему приказу;

Перечень мероприятий по информатизации на период 2017-2018 годов и на плановый период до 2020 года Министерства промышленности и торговли Российской Федерации с целью перехода на использование отечественного офисного программного обеспечения (далее — Перечень мероприятий Министерства) согласно приложению N 2 к настоящему приказу.

2. Административному департаменту (Валуев С.В.), Департаменту международного сотрудничества (Господарев А.Н.), Департаменту развития внутренней торговли, легкой промышленности и легализации оборота продукции (Рыжов Е.В.), Департаменту бюджетной политики и финансов (Труфанов М.Ю.), Департаменту учета и контроля (Маркова И.Н.), Департаменту стратегического развития и корпоративного управления (Ученов А.А.) и Департаменту развития промышленности социально значимых товаров (Колобов Д.В.) обеспечить реализацию Перечня мероприятий Министерства и достижение показателей в соответствии с Планом-графиком Министерства в установленные сроки.

3. Руководителям структурных подразделений Министерства промышленности и торговли Российской Федерации:

а) при подготовке требований к характеристикам выполняемых работ по созданию и развитию информационных систем обеспечить включение требований по использованию отечественного офисного программного обеспечения с даты утверждения настоящего приказа;

б) с целью перехода подведомственных предприятий, учреждений и организаций на использование отечественного офисного программного обеспечения организовать работу по утверждению ими соответствующих планов-графиков перехода на период 2017-2018 годов и на плановый период до 2020 года (далее — Планы-графики) в соответствии с приказом Министерства связи и массовых коммуникаций Российской Федерации от 29 июня 2017 г. N 334 «Об утверждении методических рекомендаций по переходу федеральных органов исполнительной власти и государственных внебюджетных фондов на использование отечественного офисного программного обеспечения, в том числе ранее закупленного офисного программного обеспечения» и в срок до 15 декабря 2017 г. предоставить утвержденные Планы-графики в Административный департамент.

4. Административному департаменту (Валуев С.В.):

а) обеспечить мониторинг и подготовку ежегодного отчета о ходе реализации Плана-графика Министерства;

б) обеспечить размещение Плана-графика Министерства на официальном сайте Министерства промышленности и торговли Российской Федерации в информационно-телекоммуникационной сети Интернет и федеральной государственной информационной системе координации информатизации.

5. Признать утратившим силу приказ Минпромторга России от 27 февраля 2017 г. N 571 «Об утверждении Плана-графика перехода Министерства промышленности и торговли Российской Федерации в 2017-2018 годах на использование отечественного офисного программного обеспечения».

6. Контроль за исполнением настоящего приказа оставляю за собой.

www.garant.ru

Об обучении программному продукту «ЭРА-Воздух» специалистов Управления

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ ЗАЩИТЫ ПРАВ

ПОТРЕБИТЕЛЕЙ И БЛАГОПОЛУЧИЯ ЧЕЛОВЕКА

Управление Федеральной службы по надзору

в сфере защиты прав потребителей и благополучия человека

по Красноярскому краю

ПРИКАЗ

« 19 » сентября 2011 г. г. Красноярск № 385

Об обучении программному продукту «ЭРА-Воздух» специалистов Управления

В целях совершенствования деятельности Управления Роспотребнадзора по Красноярскому краю в области оценки достоверности результатов расчетов в проектных материалах ПДВ и расчетов рассеивания загрязняющих веществ для проектов организации СЗЗ

1. Утвердить график обучения специалистов отдела надзора за коммунальной гигиеной Управления Роспотребнадзора по Красноярскому краю (далее – Управление) в соответствии с Приложением 1.

2. Утвердить список специалистов, подлежащих обучению в соответствии с Приложением 2.

3. Начальнику отдела информационных технологий А.А. Гилёву подготовить оборудование ситуационного центра для проведения обучения специалистов отделов на территории Управления в соответствии с графиком обучения.

4. Заместителю начальника отдела надзора за коммунальной гигиеной В. В. Черненко направить специалистов по списку (Приложение 2) на обучение в соответствии с графиком (Приложение 1).

5. Заместителю начальника отдела обеспечения деятельности А.Л. Григорьевой направить данный приказ заместителям руководителя Г.М. Дмитриевой, А.Н. Еремину, Д.В. Горяеву, Т.Ф. Арсенян, начальнику отдела А.А. Гилёву, заместителю начальника В.В. Черненко.

6. Контроль за исполнением настоящего оставляю за собой.

24.rospotrebnadzor.ru

Оформление приказа на приобретение программы

Вопрос: ОАО занимается научно-исследовательскими и проектными работами. Для осуществления своей деятельности обществом приобретаются неисключительные права на программные продукты.

В целях бухгалтерского учета, учитывая длительность использования программных продуктов и их высокую стоимость (от 30 000 руб. до 150 000 руб. за единицу) данные, программные продукты учитываются обществом по счету 97 «Расходы будущих периодов».

1. На каком счете в бухгалтерском учете учитываются неисключительные права на программные продукты, приобретенные на основании договоров?

2. В каком порядке списывать в целях бухгалтерского и налогового учета расходы по приобретению программных продуктов, предполагающих длительный срок использования (более 12 месяцев)?

3. В каком порядке учитываются расходы по поддержанию, обновлению и модификации данных программных продуктов (списываются единовременно либо увеличивают стоимость программного продукта)?

Ответ: Департамент налоговой и таможенно-тарифной политики рассмотрел письмо по вопросу порядка отражения расходов на приобретение программных продуктов в целях налогообложения прибыли организаций и сообщает следующее.

Перечень объектов, квалифицируемых в качестве нематериальных активов, установлен пунктом 3 статьи 257 Налогового кодекса Российской Федерации (далее — Кодекс). При этом программы для ЭВМ, на которые организация не имеет исключительных прав, не включаются в состав нематериальных активов.

В соответствии со статьей 252 Кодекса расходами признаются обоснованные и документально подтвержденные затраты (а в случаях, предусмотренных статьей 265 Кодекса, убытки), осуществленные (понесенные) налогоплательщиком.

Под обоснованными расходами понимаются экономически оправданные затраты, оценка которых выражена в денежной форме.

Под документально подтвержденными расходами понимаются затраты, подтвержденные документами, оформленными в соответствии с законодательством РФ, либо документами, оформленными в соответствии с обычаями делового оборота, применяемыми в иностранном государстве, на территории которого были произведены соответствующие расходы, и (или) документами, косвенно подтверждающими произведенные расходы (в том числе таможенной декларацией, приказом о командировке, проездными документами, отчетом о выполненной работе в соответствии с договором). Расходами признаются любые затраты при условии, что они произведены для осуществления деятельности, направленной на получение дохода.

Расходы в зависимости от их характера, а также условий осуществления и направлений деятельности налогоплательщика подразделяются на расходы, связанные с производством и реализацией, и внереализационные расходы.

В соответствии с пунктом 1 статьи 272 Кодекса при применении метода начисления расходы, принимаемые для целей налогообложения с учетом положений главы 25 Кодекса, признаются таковыми в том отчетном (налоговом) периоде, к которому они относятся, независимо от времени фактической выплаты денежных средств и (или) иной формы их оплаты и определяются с учетом положений статьей 318-320 Кодекса.

Подпунктом 26 пункта 1 статьи 264 Кодекса (в редакции, действовавшей до 01.01.2012 г.) предусмотрено, что расходы, связанные с приобретением права на использование программ для ЭВМ и баз данных по договорам с правообладателем (по лицензионным соглашениям), учитываются при определении налоговой базы по налогу на прибыль организаций в составе прочих расходов, связанных с производством и реализацией. К указанным расходам также относятся расходы на приобретение исключительных прав на программы для ЭВМ стоимостью менее 20 000 руб. и обновление программ для ЭВМ и баз данных.

Расходы по внедрению и доработке программного продукта для ЭВМ также учитываются в составе прочих расходов согласно подпункту 26 пункта 1 статьи 264 Кодекса.

Организации, применяющие метод начисления, расходы на приобретение программы для ЭВМ учитывают в составе прочих расходов, связанных с производством и (или) реализацией, в следующем порядке:

— если по условиям договора на приобретение неисключительных прав установлен срок использования программ для ЭВМ, то расходы, относящиеся к нескольким отчетным (налоговым) периодам, учитываются при исчислении налоговой базы равномерно в течение этих периодов;

— если из условий договора на приобретение неисключительных прав нельзя определить срок использования программ для ЭВМ, то произведенные расходы распределяются с учетом принципа равномерности признания доходов и расходов. При этом налогоплательщик в налоговом учете вправе самостоятельно определить период, в течение которого указанные расходы подлежат учету для целей налогообложения прибыли.

Таким образом, при наличии в договоре о приобретении неисключительной лицензии на использование программного обеспечения указания на срок, в течение которого могут быть использованы полученные по ней неисключительные права, налогоплательщик распределяет расходы, осуществленные по такому договору, в течение срока действия лицензии.

По нашему мнению, аналогичный порядок признания в целях налогообложения прибыли следует применять в отношении расходов по работам, связанным с обновлением и модификацией программ для ЭВМ, результаты которых будут использоваться налогоплательщиком в течение срока использования программного продукта.

Заместитель директора Департамента

Что касается приказа, то при приобретении программных продуктов я составляла приказ. Согласна, возможно он и лишний, но мне так спокойнее.
Текст приказа: «О вводе в эксплуатацию программных продуктов. «
В связи с приобретением программных продуктов . (название) у . (наименование поставщика либо номер договора) ПРИКАЗЫВАЮ:
1. «___»_______ года ввести в эксплуатацию программные продукты:
. (перечисляем название ПО)
2. Расходы на приобретение неисключительных прав на программный продукт отнести на счет 97 «Расходы будущих периодов».
3. В течение срока полезного использования, указанного в договоре №___ (реквизиты договора) производить равномерное списание стоимости указанных выше программных продуктов:
— в бухгалтерском учете — на счет учета общехозяйственных расходов;
— в налоговом учете – в составе прочих расходов, связанных с производством и реа-лизацией.
4. Главному бухгалтеру обеспечить надлежащий учет и контроль за использованием введенных в эксплуатацию программных продуктов.
Руководитель _____________ ФИО»

www.buhonline.ru

Учет расходов на приобретение программных продуктов

Учет расходов на приобретение программных продуктов Трудно сегодня найти организацию, которая не использовала бы в своей деятельности персональные компьютеры. А раз есть компьютеры, значит, для них необходимо приобретать программное обеспечение. Поэтому затраты на приобретение программных продуктов (бухгалтерских программ, правовых систем, текстовых редакторов и т.п.) являются сегодня одним из наиболее распространенных видов затрат.
В настоящей статье мы подробно рассмотрим порядок бухгалтерского и налогового учета таких расходов.
БУХГАЛТЕРСКИЙ УЧЕТ

В целях ведения бухгалтерского учета расходы на приобретение компьютерных программ по общему правилу признаются расходами по обычным видам деятельности.
Исключением из общего правила является случай, когда организация приобретает программный продукт по авторскому договору, предусматривающему полную передачу исключительного права на программу для ЭВМ (базу данных). В этом случае приобретенные права подлежат учету в составе нематериальных активов организации в соответствии с нормами ПБУ 14/2000 (подробнее см. с. 6). Далее этот случай мы не рассматриваем.
Во всех остальных ситуациях независимо от гражданско-правового оформления сделки по приобретению программного продукта расходы организации на его приобретение в состав нематериальных активов не включаются. Программный продукт организация может приобретать на основании как договора купли-продажи, так и авторского договора о передаче неисключительных прав либо о частичной передаче исключительных прав. В любом из этих случаев расходы на приобретение программы в состав нематериальных активов включаться не должны (см. письмо Минфина России от 30 апреля 2003 г. N 04-02-05/3/40).
Как правило, приобретенный программный продукт используется в деятельности организации в течение определенного (более месяца) периода времени.
Порядок бухгалтерского учета расходов на приобретение программы определяется условиями договора об оплате.
На практике возможны два варианта оплаты:
— оплата периодическими платежами (роялти) в течение всего срока использования программы;
— уплата разового фиксированного платежа.
Если оплата производится периодическими платежами, то они в полном объеме включаются организацией-пользователем в расходы отчетного периода (п. 26 ПБУ 14/2000).
Если платежи за программу производятся в виде фиксированного разового платежа, то они отражаются организацией-пользователем как расходы будущих периодов (по дебету счета 97 «Расходы будущих периодов») с последующим списанием на затраты в течение срока использования программы. Такой позиции на сегодняшний день придерживаются и налоговые органы (см. письмо Управления МНС России по г. Москве от 15 ноября 2001 г. N 03-12/52588), и Минфин России (см. письмо Минфина России от 30 апреля 2003 г. N 04-02-05/3/40).
Как определить срок списания расходов на приобретение программы?
Если программа приобретена на основании авторского договора, то расходы на ее приобретение списываются в течение срока действия договора.
Если же в документах на приобретение программы срок использования не определен, то организации следует установить его самостоятельно исходя из предполагаемого срока полезного использования этой программы.
ПРИМЕР 1.
Организация в июне 2003 г. приобрела программу автоматизации складского учета стоимостью 15 000 руб. (без НДС).
В бухгалтерском учете организации в июне должны быть сделаны проводки:
Д-т счета 97 — К-т счета 51 — 15 000 руб. — расходы на приобретение программы отражены в составе расходов будущих периодов.
В соответствии с приказом руководителя организации срок использования программы — 5 лет. В этом случае ежемесячно начиная с июня в состав расходов списывается сумма в размере 250 руб. (15 000 руб. : : 5 лет : 12 мес.):
Д-т счета 26 (20, другие
счета учета затрат) —
К-т счета 97 — 250 руб.
Большинство программных продуктов требует постоянного обслуживания и обновления. Особенно это касается различных программ автоматизации бухгалтерского и налогового учета, а также справочно-правовых систем.
Организации, использующие справочно-правовые системы, чаще всего заключают с соответствующими фирмами договоры на информационное обслуживание этих систем. Производители бухгалтерских программ предлагают пользователям приобретать новые версии своих продуктов по льготным ценам (с зачетом стоимости уже приобретенной версии).
На сегодняшний день сформировался следующий подход к порядку учета расходов организации по обслуживанию программного обеспечения.
Если речь идет об информационном пополнении справочно-правовых систем, то расходы организации признаются в том отчетном периоде, в котором они имели место. При этом факт оказания информационных услуг должен подтверждаться соответствующим документом (актом, подписанным обеими сторонами).
Если же речь идет об обновлении самой программной оболочки (установка новой версии, дополнительных модулей и т.п. ), что влечет за собой качественное изменение программного продукта, расходы организации подлежат отнесению на счет 97 (увеличивают стоимость программы) с последующим списанием на затраты в течение срока использования программы.
ПРИМЕР 2.
Организация приобрела справочно-правовую систему и заключила с фирмой-разработчиком договор на информационное обслуживание, предусматривающий еженедельное информационное обновление приобретенной системы. В соответствии с договором стоимость информационного обслуживания — 3000 руб. в месяц (без НДС).
В бухгалтерском учете организации ежемесячно делаются проводки:
Д-т счета 26 (20, другие
счета затрат) —
К-т счета 60 — 3000 руб. — отражена ежемесячная плата за информационное обслуживание.
ПРИМЕР 3.
Организация в январе 2002 г. приобрела программу автоматизации бухгалтерского учета стоимостью 60 000 руб. (без НДС). Срок полезного использования программы, установленный приказом руководителя, — 5 лет.
В январе 2003 г. по договору с фирмой-разработчиком был приобретен дополнительный модуль, предназначенный для ведения налогового учета, стоимостью 15 000 руб. (без НДС). Срок полезного использования программы не пересматривался.
В бухгалтерском учете организации должны быть сделаны следующие проводки.
Январь 2002 г.:
Д-т счета 97 — К-т счета 60 — 60 000 руб. — приобретена бухгалтерская программа;
Д-т счета 26 — К-т счета 97 — 1000 руб. — отражена сумма, подлежащая списанию в состав расходов в январе (60 000 руб. : 5 лет : 12 мес.).
Январь 2003 г.:
Д-т счета 97 — К-т счета 60 — 15 000 руб. — стоимость дополнительного модуля отнесена на увеличение стоимости программы.
Организации необходимо пересчитать сумму расходов, подлежащую ежемесячному списанию в состав затрат. За 12 месяцев использования программы на расходы было списано 12 000 руб., поэтому к январю 2003 г. на счете 97 осталась сумма в размере 48 000 руб. После установки нового модуля сумма расходов на счете 97 увеличилась на 15 000 руб. и составила 63 000 руб. Поскольку срок полезного использования программы в организации не пересматривался, ежемесячная сумма, подлежащая списанию в состав затрат, будет равна 1312,5 руб. (63 000 руб. : 4 года : 12 мес.).
С января 2003 г. ежемесячно в бухгалтерском учете делается проводка:
Д-т счета 26 — К-т счета 97 — 1312,5 руб. — отражена сумма, подлежащая ежемесячному списанию.

НАЛОГ НА ДОБАВЛЕННУЮ СТОИМОСТЬ

В соответствии с правилами бухгалтерского учета расходы на приобретение программных продуктов, как правило, учитываются в составе расходов будущих периодов. В этой связи возникает вопрос: в какой момент организация имеет право принять к вычету НДС, уплаченный при приобретении программы: полностью в момент приобретения или постепенно по мере списания стоимости программы на затраты?
Глава 21 НК РФ не устанавливает никаких особых правил применения налоговых вычетов по расходам, являющимся расходами будущих периодов. Поэтому вычеты НДС по этим расходам осуществляются в общеустановленном порядке при выполнении следующих условий:
1) товары (работы, услуги) приняты к учету (выполнены, оказаны);
2) суммы НДС уплачены поставщику;
3) приобретенные товары (работы, услуги) предназначены для использования в деятельности, облагаемой НДС;
4) имеется надлежащим образом оформленный счет-фактура поставщика с выделенной суммой НДС.
При этом определяющим условием в данном случае должен являться факт принятия к учету товаров (выполненных работ, оказанных услуг).
Если товары налогоплательщиком получены (работы выполнены, услуги оказаны), то он имеет право предъявить к вычету всю сумму «входного» НДС, относящуюся к этим товарам (работам, услугам), независимо от того, когда их стоимость будет отнесена на издержки (включена в себестоимость).
Таким образом, сумма НДС, уплаченная организацией при приобретении компьютерной программы, может быть принята к вычету в полном объеме в том периоде, когда программа была приобретена (принята к учету на счете 97). При этом обязательными условиями для вычета являются наличие счета-фактуры с выделенной суммой НДС и использование программы для осуществления операций, облагаемых НДС.
ПРИМЕР 4.
Организация в апреле 2003 г. приобрела программу автоматизации складского учета. Стоимость программы с учетом услуг поставщика по установке и настройке — 9000 руб. (в том числе НДС — 1500 руб.). Счет поставщика был оплачен в апреле 2003 г. В этом же месяце программа была установлена и настроена, о чем сторонами был подписан соответствующий акт. Счет-фактура на сумму 9000 руб., включая НДС — 1500 руб., получен от поставщика также в апреле.
Организация осуществляет деятельность, облагаемую НДС. Налоговым периодом является месяц.
В рассматриваемой ситуации программа была приобретена и принята на учет в апреле 2003 г. (обязательства поставщика перед организацией были выполнены в полном объеме). Поэтому организация имеет право в апреле 2003 г. предъявить к вычету всю сумму НДС по приобретенной программе в размере 1500 руб.
В бухгалтерском учете организации в апреле 2003 г. должны быть сделаны проводки:
Д-т счета 60 — К-т счета 51 — 9000 руб. — оплачен счет поставщика;
Д-т счета 97 — К-т счета 60 — 7500 руб. — после подписания сторонами акта, подтверждающего оказание услуг по установке и настройке программы, расходы на приобретение программы (без учета НДС) отражены в составе расходов будущих периодов;
Д-т счета 19 — К-т счета 60 — 1500 руб. — отражен НДС по расходам на приобретение программы;
Д-т счета 68 — К-т счета 19 — 1500 руб. — вся сумма НДС по приобретенной программе предъявлена к вычету.
Аналогичным образом решается вопрос о принятии к вычету НДС по расходам на обслуживание и обновление компьютерных программ. Для целей исчисления НДС не важно, на каком счете в бухгалтерском учете отражаются произведенные расходы. Важен момент оказания услуг (выполнения работ), который подтверждается соответствующими актами, подписанными сторонами.
Сумма НДС, уплаченная организацией при приобретении программы, к вычету не принимается в следующих случаях:
— если организация не является плательщиком НДС;
— если организация освобождена от уплаты НДС в соответствии со ст. 145 НК РФ;
— если программа используется для осуществления операций, не облагаемых НДС.
В этих случаях «входной» НДС учитывается в стоимости приобретенной программы.

[advert=54]налог на прибыль[/advert]

Если оплата за использование программного продукта осуществляется организацией путем внесения периодических платежей в течение срока использования, то такие платежи включаются в состав прочих расходов, связанных с производством и реализацией, на основании подп. 37 п. 1 ст. 264 НК РФ.
Такие расходы признаются для целей налогообложения в следующем порядке:
— при использовании метода начисления — в том периоде, к которому они относятся (подп. 3 п. 7 ст. 272 НК РФ);
— при использовании кассового метода — в том периоде, когда они фактически были уплачены (п. 3 ст. 273 НК РФ).
Если оплата осуществляется разовым платежом, то расходы на приобретение программы для ЭВМ также включаются в состав прочих расходов, связанных с производством и реализацией, но уже на основании подп. 26 п. 1 ст. 264 НК РФ. Этим подпунктом предусмотрено включение в состав прочих расходов для целей налогообложения также и расходов на приобретение исключительных прав на программы для ЭВМ стоимостью до 10 000 руб.
Сегодня и Минфин России (письмо Минфина России от 26 августа 2002 г. N 04-02-06/3/62), и налоговые органы (разд. 3 Методических рекомендаций по применению главы 25 «Налог на прибыль организаций» части второй Налогового кодекса Российской Федерации, утвержденных Приказом МНС России от 20 декабря 2002 г. N БГ-3-02/729) придерживаются следующего подхода к учету таких расходов при использовании метода начисления.
Если на основании договора (иного документа) можно достоверно определить, к какому конкретному периоду относятся данные расходы, то такие расходы для целей налогообложения учитываются при расчете налоговой базы в течение конкретного указанного периода.
Если же из условий договора нельзя определить период, к которому относятся произведенные расходы, то они признаются таковыми для целей налогообложения в момент их возникновения.
ПРИМЕР 5.
Организация на основании лицензионного соглашения приобрела за 600 000 руб. (без учета НДС) права на использование программы для ЭВМ сроком на 3 года с 1 июня 2003 г. по 1 июня 2006 г.
В бухгалтерском учете организации в июне 2003 г. должны быть сделаны проводки:
Д-т счета 97 — К-т счета 60 — 600 000 руб. — отражена сумма расходов на приобретение прав пользования программой;
Д-т счета 20 (26, другие
счета учета затрат) —
К-т счета 97 — 16 667 руб. — отражена сумма расходов, подлежащая ежемесячному списанию в состав затрат (600 000 руб. : 3 года : 12 мес.).
Поскольку в договоре указан срок действия прав (3 года), для целей налогообложения прибыли расходы на приобретение программы будут учитываться так же, как для целей бухгалтерского учета — в течение трех лет начиная с июня 2003 г. в состав прочих расходов ежемесячно будет списываться сумма в размере 16 667 руб.
ПРИМЕР 6.
Организация в июне 2003 г. приобрела программу автоматизации складского учета стоимостью 15 000 руб. (без НДС).
В бухгалтерском учете организации в июне 2003 г. должны быть сделаны проводки:
Д-т счета 97 — К-т счета 51 — 15 000 руб. — расходы на приобретение программы отражены в составе расходов будущих периодов.
В соответствии с приказом руководителя организации срок использования программы — 5 лет. В этом случае ежемесячно начиная с июня в состав расходов будет списываться сумма в размере 250 руб. (15 000 руб. : 5 лет : 12 мес.):
Д-т счета 26 — К-т счета 97 — 250 руб.
Поскольку из договора нельзя достоверно определить период, к которому относятся расходы на приобретение программы, для целей налогообложения эти расходы будут включаться в состав затрат, уменьшающих налоговую базу по [advert=56]налогу на прибыль[/advert], в полном объеме в том периоде, в котором была приобретена программа.
В данном случае в налоговом учете в июне 2003 г. в состав прочих расходов должна быть включена вся сумма расходов на приобретение программы в размере 15 000 руб.
Различия в порядке признания расходов на программы для ЭВМ для целей бухгалтерского и налогового учета влекут за собой необходимость применения норм ПБУ 18/02.
Так, в условиях примера 6 в бухгалтерском учете расходы на приобретение программы будут списаны на затраты в течение 5 лет использования программы, а в налоговом учете — единовременно в момент приобретения программы.
Поэтому при составлении отчетности за тот период, в котором программа была приобретена, организации необходимо будет отразить в бухгалтерском учете налогооблагаемую временную разницу в сумме, равной разнице между всей суммой расходов на приобретение программы и той суммой, которая участвует в формировании бухгалтерской прибыли отчетного периода. Выявленная налогооблагаемая временная разница будет уменьшаться (погашаться) в течение срока использования программы (постепенно по мере списания расходов на приобретение программы со счета 97).
ПРИМЕР 7.
В условиях примера 6 предположим, что в соответствии с учетной политикой организации общехозяйственные расходы, учтенные на счете 26, ежемесячно списываются непосредственно в дебет счета 90*. Ставка [advert=55]налога на прибыль[/advert] — 24%.

* Если общехозяйственные расходы списываются в бухгалтерском учете в дебет счета 20 и участвуют в формировании себестоимости готовой продукции, то учет временных разниц намного усложняется в связи с тем, что часть их попадет в остатки НЗП и готовой продукции на складе, т.е. не будет участвовать в формировании бухгалтерской прибыли отчетного периода.

В этом случае механизм образования и дальнейшего уменьшения налогооблагаемой временной разницы в 2003 г. можно представить следующей таблицей:

www.klerk.ru

Акты (приказы, распоряжения и другие акты) ФСТЭК России; сведения о внесении в них изменений, признании их утратившими силу, о государственной регистрации этих актов в случаях, установленных законодательством Российской Федерации

Приказ ФСТЭК России от 11 февраля 2013 г. N 17

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

11 февраля 2013 г. N 17

ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 15.02.2017 N 27)

В соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328) и Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818), ПРИКАЗЫВАЮ:

1. Утвердить прилагаемые Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.

2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г.

Федеральной службы по техническому

и экспортному контролю

приказом ФСТЭК России

от 11 февраля 2013 г. N 17

ТРЕБОВАНИЯ

О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

(в редакции приказа ФСТЭК России от 15 февраля 2017 г. N 27)

I. Общие положения

1. Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328), а также с учетом национальных стандартов Российской Федерации в области защиты информации и в области создания автоматизированных систем (далее — национальные стандарты).

2. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее — информация), от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее — защита информации) при обработке указанной информации в государственных информационных системах.

Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации».

В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных (криптографических) средств защиты информации.

3. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.

Настоящие Требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации.

4. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы (далее — заказчики) и операторов государственных информационных систем (далее — операторы).

Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации (заказчика) или оператора и (или) предоставляющее им вычислительные ресурсы (мощности) для обработки информации на основании заключенного договора (далее — уполномоченное лицо), обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями.

5. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации
от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).

6. По решению обладателя информации (заказчика) или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.

7. Защита информации, содержащейся в государственной информационной системе (далее — информационная система), обеспечивается путем выполнения обладателем информации (заказчиком) и (или) оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе.

II. Требования к организации защиты информации, содержащейся в информационной системе

8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства (в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации), общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.

9. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.

10. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации (заказчиком) и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ «О лицензировании отдельных видов деятельности» (Собрание законодательства Российской Федерации, 2011, N 19, ст. 2716; N 30, ст. 4590; N 43, ст. 5971; N 48, ст. 6728; 2012, N 26, ст. 3446; N 31, ст. 4322; 2013, N 9, ст. 874).

11. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» (Собрание законодательства Российской Федерации, 2002, N 52, ст. 5140; 2007, N 19, ст. 2293; N 49, ст. 6070; 2008, N 30, ст. 3616; 2009, N 29, ст. 3626; N 48, ст. 5711; 2010, N 1, ст. 6; 2011, N 30, ст. 4603; N 49, ст. 7025; N 50, ст. 7351; 2012, N 31, ст. 4322; 2012, N 50, ст. 6959).

12. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях (этапах) ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации в информационной системе, в рамках системы (подсистемы) защиты информации информационной системы (далее — система защиты информации информационной системы).

Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение:

неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);

неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);

неправомерного блокирования информации (обеспечение доступности информации).

13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:

формирование требований к защите информации, содержащейся в информационной системе;

разработка системы защиты информации информационной системы;

внедрение системы защиты информации информационной системы;

аттестация информационной системы по требованиям защиты информации (далее — аттестация информационной системы) и ввод ее в действие;

обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы;

обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Формирование требований к защите информации, содержащейся в информационной системе

14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации (заказчиком).

Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения» (далее — ГОСТ Р 51583) и ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования» (далее — ГОСТ Р 51624) и в том числе включает:

принятие решения о необходимости защиты информации, содержащейся в информационной системе;

классификацию информационной системы по требованиям защиты информации (далее — классификация информационной системы);

определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;

определение требований к системе защиты информации информационной системы.

14.1. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется:

анализ целей создания информационной системы и задач, решаемых этой информационной системой;

определение информации, подлежащей обработке в информационной системе;

анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации (заказчика), оператора и уполномоченных лиц.

14.2. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы (федеральный, региональный, объектовый).

Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс — третий, самый высокий — первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов (составных частей). Требование к классу защищенности включается в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» (далее — ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624.

Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации.

Результаты классификации информационной системы оформляются актом классификации.

14.3. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).

В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации (bdu.fstec.ru), ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211) (далее – банк данных угроз безопасности информации ФСТЭК России), а также иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации.

При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.

По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации.

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818).

14.4. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации.

Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583 и ГОСТ Р 51624, и должны в том числе содержать:

цель и задачи обеспечения защиты информации в информационной системе;

класс защищенности информационной системы;

перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

перечень объектов защиты информационной системы;

требования к мерам и средствам защиты информации, применяемым в информационной системе;

стадии (этапы работ) создания системы защиты информационной системы;

требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации;

функции заказчика и оператора по обеспечению защиты информации в информационной системе;

требования к защите средств и систем, обеспечивающих функционирование информационной системы (обеспечивающей инфраструктуре);

требования к защите информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации (заказчика), а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации (заказчика).

Разработка системы защиты информации информационной системы

15. Разработка системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы с учетом ГОСТ 34.601 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания» (далее — ГОСТ 34.601), ГОСТ Р 51583 и ГОСТ Р 51624 и в том числе включает:

проектирование системы защиты информации информационной системы;

разработку эксплуатационной документации на систему защиты информации информационной системы;

макетирование и тестирование системы защиты информации информационной системы (при необходимости).

Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.

При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

15.1. При проектировании системы защиты информации информационной системы:

определяются типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа);

определяются методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе;

выбираются меры защиты информации, подлежащие реализации в системе защиты информации информационной системы;

определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации;

определяется структура системы защиты информации информационной системы, включая состав (количество) и места размещения ее элементов;

осуществляется выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы;

определяются требования к параметрам настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации;

определяются меры защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы), разрабатываемых с учетом ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» (далее — ГОСТ 34.201).

Проектная документация на информационную систему и (или) ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы.

При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка (доработка) средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации.

15.2. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624 и должна в том числе содержать описание:

структуры системы защиты информации информационной системы;

состава, мест установки, параметров и порядка настройки средств защиты информации, программного обеспечения и технических средств;

правил эксплуатации системы защиты информации информационной системы.

15.3. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются:

проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами;

проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы;

корректировка проектных решений, разработанных при создании информационной системы и (или) системы защиты информации информационной системы.

Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.

Внедрение системы защиты информации информационной системы

16. Внедрение системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает:

установку и настройку средств защиты информации в информационной системе;

разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации (далее — организационно-распорядительные документы по защите информации);

внедрение организационных мер защиты информации;

предварительные испытания системы защиты информации информационной системы;

опытную эксплуатацию системы защиты информации информационной системы;

анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению;

приемочные испытания системы защиты информации информационной системы.

К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы.

16.1. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации.

16.2. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:

управления (администрирования) системой защиты информации информационной системы;

выявления инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации (далее — инциденты), и реагирования на них;

управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы;

контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации.

16.3. При внедрении организационных мер защиты информации осуществляются:

реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения;

проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации;

отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации.

16.4. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем» (далее — ГОСТ 34.603) и включают проверку работоспособности системы защиты информации информационной системы, а также принятие решения о возможности опытной эксплуатации системы защиты информации информационной системы.

16.5. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34.603 и включает проверку функционирования системы защиты информации информационной системы, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты информации информационной системы.

16.6. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации.

Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы.

При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.

В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.

По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование (эксплуатация) нарушителем невозможно.

16.7. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 и включают проверку выполнения требований к системе защиты информации информационной системы в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Аттестация информационной системы и ввод ее в действие

17. Аттестация информационной системы организуется обладателем информации (заказчиком) или оператором и включает проведение комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.

Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и (или) внедрение системы защиты информации информационной системы, не допускается.

17.1. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

17.2. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний.

При проведении аттестационных испытаний должны применяться следующие методы проверок (испытаний):

экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы;

анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой (конфигурированием) программного обеспечения и средств защиты информации;

испытания системы защиты информации путем осуществления попыток несанкционированного доступа (воздействия) к информационной системе в обход ее системы защиты информации.

17.3. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации.

В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания.

Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации.

Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы.

В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации.

Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.

17.4. Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия.

17.5. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.601 и при наличии аттестата соответствия.

17.6. Информационные системы, функционирующие на базе общей инфраструктуры (средств вычислительной техники, серверов телекоммуникационного оборудования) в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры.

В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы.

При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы.

Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы

18. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает:

управление (администрирование) системой защиты информации информационной системы;

выявление инцидентов и реагирование на них;

управление конфигурацией аттестованной информационной системы и ее системы защиты информации;

контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в информационной системе.

18.1. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе;

управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;

установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;

централизованное управление системой защиты информации информационной системы (при необходимости);

регистрация и анализ событий в информационной системе, связанных с защитой информации (далее — события безопасности);

информирование пользователей об угрозах безопасности информации, о правилах эксплуатации системы защиты информации информационной системы и отдельных средств защиты информации, а также их обучение;

сопровождение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации;

18.2. В ходе выявления инцидентов и реагирования на них осуществляются:

определение лиц, ответственных за выявление инцидентов и реагирование на них;

обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами;

анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;

планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

планирование и принятие мер по предотвращению повторного возникновения инцидентов.

18.3. В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:

поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);

определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее системы защиты информации на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы;

определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее системы защиты информации в эксплуатационную документацию на систему защиты информации информационной системы;

принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

18.4. В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:

контроль за событиями безопасности и действиями пользователей в информационной системе;

контроль (анализ) защищенности информации, содержащейся в информационной системе;

анализ и оценка функционирования системы защиты информации информационной системы, включая выявление, анализ и устранение недостатков в функционировании системы защиты информации информационной системы;

периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации;

документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) системы защиты информации информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации

19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает:

архивирование информации, содержащейся в информационной системе;

уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

19.1. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.

19.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.

При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.

III. Требования к мерам защиты информации, содержащейся в информационной системе

20. Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать:

идентификацию и аутентификацию субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защиту машинных носителей информации;

регистрацию событий безопасности;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности информации;

целостность информационной системы и информации;

защиту среды виртуализации;

защиту технических средств;

защиту информационной системы, ее средств, систем связи и передачи данных.

Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности информационных систем приведены в приложении N 2 к настоящим Требованиям.

20.1. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

20.2. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил.

20.3. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.

20.4. Меры по защите машинных носителей информации (средства обработки (хранения) информации, съемные машинные носители информации) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации.

20.5. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.

20.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

20.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.

20.8. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации.

20.9. Меры по обеспечению целостности информационной системы и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации.

20.10. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы.

20.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

20.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее — средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.

20.13. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.

21. Выбор мер защиты информации для их реализации в информационной системе в рамках ее системы защиты информации включает:

определение базового набора мер защиты информации для установленного класса защищенности информационной системы в соответствии с базовыми наборами мер защиты информации, приведенными в приложении N 2 к настоящим Требованиям;

адаптацию базового набора мер защиты информации применительно к структурно-функциональным характеристикам информационной системы, информационным технологиям, особенностям функционирования информационной системы (в том числе предусматривающую исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);

уточнение адаптированного базового набора мер защиты информации с учетом не выбранных ранее мер защиты информации, приведенных в приложении N 2 к настоящим Требованиям, в результате чего определяются меры защиты информации, обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации, включенных в модель угроз безопасности информации;

дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.

Для выбора мер защиты информации для соответствующего класса защищенности информационной системы применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

22. В информационной системе соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 21 настоящих Требований и обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации.

При этом в информационной системе должен быть, как минимум, реализован адаптированный базовый набор мер защиты информации, соответствующий установленному классу защищенности информационной системы.

23. При невозможности реализации в информационной системе в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации.

В этом случае в ходе разработки системы защиты информации информационной системы должно быть проведено обоснование применения компенсирующих мер защиты информации, а при аттестационных испытаниях оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации.

24. Меры защиты информации выбираются и реализуются в информационной системе в рамках ее системы защиты информации с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений.

25. Организационные меры и средства защиты информации, применяемые в информационной системе, должны обеспечивать:

в информационных системах 1 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с высоким потенциалом;

в информационных системах 2 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже усиленного базового;

в информационных системах 3 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже базового.

Потенциал нарушителей определяется в ходе оценки их возможностей, проводимой при определении угроз безопасности информации в соответствии с пунктом 14.3 настоящих Требований.

Оператором может быть принято решение о применении в информационной системе соответствующего класса защищенности мер защиты информации, обеспечивающих защиту от угроз безопасности информации, реализуемых нарушителями с более высоким потенциалом.

26. Технические меры защиты информации реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности. При этом:

в информационных системах 1 класса защищенности применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 2 класса защищенности применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 3 класса защищенности применяются средства защиты информации 6 класса, а также средства вычислительной техники не ниже 5 класса.

В информационных системах 1 и 2 классов защищенности применяются средства защиты информации, прошедшие проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Классы защиты определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

В информационных системах применяются средства защиты информации, сертифицированные на соответствие обязательным требованиям по безопасности информации, установленным ФСТЭК России, или на соответствие требованиям, указанным в технических условиях (заданиях по безопасности). При этом функции безопасности таких средств должны обеспечивать выполнение настоящих Требований.

27. В случае обработки в информационной системе информации, содержащей персональные данные, реализуемые в соответствии с пунктами 21 и 22 настоящих Требований меры защиты информации:

для информационной системы 1 класса защищенности обеспечивают 1, 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 2 класса защищенности обеспечивают 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 3 класса защищенности обеспечивают 3 и 4 уровни защищенности персональных данных 1 .

28. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 23 настоящих Требований.

1 Устанавливается в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.

к Требованиям о защите информации,

не составляющей государственную тайну,

содержащейся в государственных

Определение класса защищенности информационной системы

1. Класс защищенности информационной системы (первый класс (К1), второй класс (К2), третий класс (К3)) определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый).

Класс защищенности (К) = [уровень значимости информации; масштаб системы].

2. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.

УЗ = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)],

где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами и может быть:

высокой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции;

средней, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций;

низкой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.

Информация имеет высокий уровень значимости (УЗ 1), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена высокая степень ущерба. Информация имеет средний уровень значимости (УЗ 2), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена средняя степень ущерба и нет ни одного свойства, для которого определена высокая степень ущерба. Информация имеет низкий уровень значимости (УЗ 3), если для всех свойств безопасности информации (конфиденциальности, целостности, доступности) определены низкие степени ущерба.

При обработке в информационной системе двух и более видов информации (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в информационной системе, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации.

3. Информационная система имеет федеральный масштаб, если она функционирует на территории Российской Федерации (в пределах федерального округа) и имеет сегменты в субъектах Российской Федерации, муниципальных образованиях и (или) организациях.

Информационная система имеет региональный масштаб, если она функционирует на территории субъекта Российской Федерации и имеет сегменты в одном или нескольких муниципальных образованиях и (или) подведомственных и иных организациях.

Информационная система имеет объектовый масштаб, если она функционирует на объектах одного федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, муниципального образования и (или) организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях.

4. Класс защищенности информационной системы определяется в соответствии с таблицей:

fstec.ru

Это интересно:

  • Совместное заявление о заключении брака Статья 26. Заявление о заключении брака Положения статьи 26 настоящего Федерального закона (в редакции Федерального закона от 28 июля 2012 г. N 133-ФЗ) в части использования многофункциональных центров предоставления государственных […]
  • Правила застройки и землепользования иркутска Решение Думы города Иркутска от 28 октября 2016 г. N 006-20-260430/6 "Об утверждении правил землепользования и застройки части территории города Иркутска, за исключением территории в границах исторического поселения город Иркутск" (с […]
  • Ростовская областная коллегия адвокатов в 2 Ростовская Областная Коллегия Адвокатов № 2 информация актуальна на 10.08.2018 на карточке организациис учетом всех используемыхисточников данных."> разделы Анкета Ликвидация Реквизиты Учредители Арбитраж Связи […]
  • Федеральным законом рф no 93-фз Федеральный закон от 30 июня 2006 г. N 93-ФЗ "О внесении изменений в некоторые законодательные акты Российской Федерации по вопросу оформления в упрощенном порядке прав граждан на отдельные объекты недвижимого имущества" (с […]
  • Приказ минфина россии 135н от 22 октября 2012 Приказ Минфина РФ от 22 октября 2012 г. N 135н "Об утверждении форм Книги учета доходов и расходов организаций и индивидуальных предпринимателей, применяющих упрощенную систему налогообложения, Книги учета доходов индивидуальных […]
  • Закон об отходах производства и потребления 2013 Федеральный закон от 31 декабря 2017 г. N 503-ФЗ "О внесении изменений в Федеральный закон "Об отходах производства и потребления" и отдельные законодательные акты Российской Федерации" Комментарии Российской Газеты Принят […]