Конституцией Российской Федерации, федеральными закон
| Вид материала | Закон |
- Конституцией Российской Федерации, Федеральными закон, 1872.5kb.
- Конституцией Российской Федерации, федеральными закон, 1522.9kb.
- Конституцией Российской Федерации, федеральными закон, 1471.68kb.
- Конституцией Российской Федерации, Федеральным закон, 111.26kb.
- Конституцией Российской Федерации, федеральными конституционными закон, 352.43kb.
- Конституцией Российской Федерации, федеральными закон, 1181.87kb.
- Конституцией Российской Федерации, настоящим Федеральным закон, 688.12kb.
- Принято Городской Думой города Салехарда 14 октября 2011 года Руководствуясь Конституцией, 49.54kb.
- Конституцией Российской Федерации, федеральным конституционным закон, 482.32kb.
- Конституцией Российской Федерации, Федеральными закон, 327.98kb.
Государственное образовательное учреждение
высшего профессионального образования
«Оренбургский
государственный
МИНИСТЕРСТВО ОБРАЗОВАНИЯ
РОССИЙСКОЙ ФЕДЕРАЦИИ
университет»
ИНСТРУКЦИЯ
___________ №__________
УТВЕРЖДАЮ
Ректор ГОУ ОГУ
__________________
В.А. Бондаренко
«__»__________2003г.
По защите информации в автоматизированных информационных системах государственного образовательного учреждения высшего профессионального образования «Оренбургский государственный университет»
- Общие положения
1. Настоящая инструкция определяет порядок организации работ по обеспечению защиты информации, обрабатываемой и хранимой в автоматизированных информационных системах (АИС) государственного образовательного учреждения высшего профессионального образования «Оренбургский государственный университет» (ГОУ ОГУ), определяет правовые последствия за нарушение правил информационной безопасности согласно Российского законодательства.
2. Инструкция разработана в соответствии с Конституцией Российской Федерации, федеральными законами и иными нормативно-правовыми актами Российской Федерации, приказами Министерства образования Российской Федерации, Типовым Положением о службе технической защиты информации вуза.
3. В своей работе субъекты доступа к информационным ресурсам АИС университета должны руководствоваться требованиями настоящей инструкции, приказом Министерства образования Российской Федерации 343-55-148 ин/сми от 03.07.02г., приказами по ГОУ ОГУ, а также другими документами о порядке разграничения доступа на ЭВМ и защиты информации ограниченного доступа, всей информационной системы в целом, локальных вычислительных сетей и т.д.
4. Термины и определения, употребляемые в настоящей инструкции:
Автоматизированная информационная система – организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы.
Программное обеспечение (ПО) – совокупность компьютерных программ, описаний и инструкций по их применению на ЭВМ.
Информационные ресурсы (ИР) – отдельные документы и отдельные массивы документов, документы и массивы документов в АИС.
Информационное обеспечение (ИО) – совокупность единой системы классификации и кодирования технико-экономической информации, унифицированной системы документации и информационных ресурсов.
База данных (БД) – объективная форма представления и организации совокупности данных (например, статей, расчётов), систематизированных таким образом, чтобы эти данные могли быть найдены и обработаны с помощью ЭВМ.
Администратор сетевых ресурсов - лицо, ответственное за администрирование университетских серверов, на которых хранятся информационные ресурсы, согласно приказам по ГОУ ОГУ.
Объект ЭВТ – электронно-вычислительная техника (ЭВМ, принтер и т.п.), группа ПЭВМ в одном помещении, выполняющая одну задачу, локальная сеть ЭВМ.
Подразделение-пользователь (также субъект доступа) - пользователь, получивший разрешение (доступ) к БД и информационным ресурсам ГОУ ОГУ.
Субъект доступа (пользователь) – лицо, непосредственно осуществляющее доступ к информационным ресурсам.
Собственник информационных ресурсов, автоматизированных информационных систем, технологий и средств обеспечения – субъект, осуществляющий владение и пользование указанными объектами и реализующий полномочия владения, пользования, распоряжения указанными объектами. Собственник ИР имеет право устанавливать в пределах своей компетенции режим и правила обработки, защиты автоматизированных ИР и доступа к ним, определять условия расположения документами при их копировании и распространении.
Ответственный за защиту информации – лицо, осуществляющее контроль за соблюдением информационной безопасности, назначенное приказом по ГОУ ОГУ.
Локальная вычислительная сеть (ЛВС) – объединенные в единый комплекс и расположенные на небольшом расстоянии друг от друга ЭВМ для оперативного обмена данными между пользователями.
II. Основные положения
2.1. Основными видами угроз безопасности информационных систем являются:
- противоправные действия третьих лиц;
- ошибочные действия пользователей и обслуживающего персонала АИС;
- отказы и сбои технических средств АИС, приводящие к её модификации, блокированию, уничтожению или несанкционированному копированию, а также нарушению правил эксплуатации ЭВМ и сетевого оборудования.
2.2. Реализация угроз безопасности информации сопровождается нарушением законных прав собственника ИР или пользователя этих ресурсов, нанесением ему материального ущерба.
2.3. Целью защиты информации является:
2.3.1. Предотвращение утечки, хищения, утраты, подделки информации, а также неправомерных действий по уничтожению, модификации, искажению, несанкционированному копированию, блокированию информации, предотвращение других форм незаконного вмешательства в ИР и информационные системы обеспечения правового режима документированной информации как субъекта собственности.
2.3.2. Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах.
2.3.3. Сохранение конфиденциальности информации в соответствии с законодательством Российской Федерации.
2.3.4. Обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.
2.4. Основанием для допуска субъектов доступа к работе с БД и проведению контрольных проверок программного обеспечения и другим ИР ГОУ ОГУ является приказ по ГОУ ОГУ.
2.5. Ответственность за соблюдение требований по защите информации ограниченного доступа и надлежащего порядка проводимых работ возлагается на субъекты доступа, лиц, ответственных за защиту информации и работу ЛВС университета в подразделениях-пользователях, руководителей подразделений-пользователей ЛВС университета, администраторов сети, в соответствии с назначенными им правами.
2.6. Ответственный за защиту информации обязан вести «Журнал выдачи паролей и учёта пользователей (субъектов доступа) ЛВС ГОУ ОГУ», в котором указываются виды конкретных работ и возможности доступа к БД и ИР ЛВС ГОУ ОГУ персонально каждого пользователя, а также отмечать в нем изменения в составе пользователей (приложение 2).
Новые пользователи (субъекты доступа) назначаются приказом по университету.
2.7. Субъекты доступа, получающие доступ к БД и другим ИР, должны изучить настоящую инструкцию и оставить письменное подтверждение (подпись) о неразглашении ими информации, к которой они имеют доступ, паролей, а также в том, что за нарушение правил информационной безопасности и данной инструкции они несут персональную ответственность в соответствии с законодательством Российской Федерации.
Форма регистрации ознакомления сотрудников с данной инструкцией и соблюдением правил, изложенных в ней, приведена в приложении 3.
2.8. Лица, ответственные за администрирование ИР и информационную безопасность, назначаются приказом по ГОУ ОГУ.
- Обеспечение сохранности информации
3.1. Для обеспечения сохранности электронных ИР ГОУ ОГУ необходимо соблюдать следующие требования:
- администраторы сетевых ресурсов должны иметь не менее 2-х резервных копий ПО для работы с ИР, хранимых в разных помещениях, а также описание процесса восстановления информации;
руководителем подразделения, в ведении которого находятся системы управления БД и ИР ЛВС ГОУ ОГУ, должны быть назначены лица, ответственные за резервное копирование конкретного вида информации;
-
резервное копирование ИР должно производится в соответствии с документацией на используемое ПО;
в случае сбоя или порчи восстановление ИР из резервных копий производится в соответствии с документацией на используемое ПО с составлением акта (приложение 4);
- на компьютерах локальных пользователей сети ГОУ ОГУ должны быть установлены средства защиты от компьютерных вирусов и других вредоносных программ;
- для копирования информации не должны использоваться непроверенные на наличие компьютерных вирусов и других вредоносных программ носители информации.
3.2. Субъектам доступа запрещается:
- установка и использование при работе с ЭВТ вредоносных программ, ведущих к блокированию работы сети;
- самовольное изменение:
- IP-адресов;
- mac- адресов сетевого адаптера;
- других сетевых настроек (разрешённых только администраторам ИР ГОУ ОГУ);
- вскрытие блоков объектов ЭВТ, модернизация или модификация объектов ЭВТ и ПО. При необходимости модернизация ЭВТ и ПО согласуется с администратором ресурсов университета;
- несанкционированная передача компьютеров с прописанными сетевыми настройками. Передача компьютеров из одного подразделения в другое производится только с предварительно удаленными сетевыми настройками и с обязательным уведомлением системного администратора университета и администратора сетевого ресурса (в произвольной письменной форме).
3.3. Сведения, содержащиеся в электронных документах и БД ГОУ ОГУ, должны использоваться только в служебных целях в рамках полномочий работника, работающего с соответствующими материалами.
3.3.1. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.
IV. Защита от несанкционированного доступа
4.1. Защита от несанкционированного доступа осуществляется:
4.1.1. Идентификацией и проверкой подлинности субъектов доступа при доступе к ИР (при несовпадении идентификаторов или паролей пользователей дальнейшая работа блокируется).
4.1.2. Разграничением доступа к обрабатываемым массивам данных. Субъект доступа имеет доступ только к тем ИР, которые разрешены для него согласно приказа по ГОУ ОГУ. Для осуществления доступа к ИР, администратор ресурса назначает конкретному лицу идентифицирующее имя пользователя и персональный пароль доступа, устанавливает разрешенные согласно приказа по ГОУ ОГУ права доступа к ИР университета.
4.2. Администраторы сетевых ресурсов должны осуществлять мероприятия по обеспечению защиты ИР от несанкционированного доступа и непреднамеренных изменений и разрушений, а также иметь в наличии средства восстановления, резервные копии, предусматривающие процедуру восстановления свойств информационных ресурсов после сбоев и отказов оборудования.
V. Требования к выбору и назначению паролей, выдаваемых субъектам доступа
- Длина пароля должна быть не менее 8 символов.
5.2. Запрещается использовать в качестве пароля «пустой» пароль, имя входа в систему, простые пароли типа «123», «111» и им подобные, а так же имена и даты рождения своей личности и своих родственников, клички домашних животных, номера автомобилей, телефонов и другие пароли, которые можно угадать, основываясь на информации о пользователе.
5.3. Запрещается записывать пароли на бумаге, в файле, электронной записной книжке и других носителях информации, в том числе на предметах.
5.4. Как можно чаще (не реже 1 раза в 2 месяца) менять пароль (чем больший период времени используется один и тот же пароль, тем больше вероятность его раскрытия).
5.5. Пароль выдается персонально лицу, которое в соответствии с приказом по ОГУ для исполнения своих служебных обязанностей будет необходимо работать с БД или другими ИР. Каждый пароль выдаётся конкретному физическому лицу - субъекту доступа, ответственность за сохранность пароля о возлагается на субъекта доступа - обладателя персонального пароля.
5.6. Удаление учетной записи должно производиться в случае прекращения полномочий (увольнение, переход на другую работу внутри ГОУ ОГУ) администраторов ИР и других сотрудников, которым по роду их работы были предоставлены различные права доступа к ресурсам АИС в целом и полномочия по управлению подсистемой защиты информации АИС, иных функций в части защиты информационной безопасности.
5.7. Первичная регистрация пароля производится администратором ресурса АИС университета. Выбор пароля субъектом доступа осуществляется с соблюдением данной инструкции. При этом сами пароли в журнале учёта пользователей АИС не фиксируются. Субъект доступа использует полученный пароль только лично и несёт персональную ответственность за его разглашение (приложение 1).
5.8. При увольнении (переходе на другую работу внутри ГОУ ОГУ) лиц, имеющих доступ к БД и другим ИР университета, администраторам сетевых ресурсов немедленно удалять учетные записи данных сотрудников, позволяющие им иметь доступ к ИР ГОУ ОГУ, а также своевременно вносить соответствующие изменения в БД.
| Согласовано: | |
| Проректор по информационным технологиям Советник ректора по информационным технологиям | В.Ю. Филиппов В.В. Быковский |
| Директор Центра информационных технологий | Ю.А. Кудинов |
| Начальник первого отдела | В.А. Харин |
| Начальник юридического отдела | Н.В. Гниломедова |
| Разработал: Ведущий инженер по защите информации сектора информационного обеспечения Центра информационных технологий | А.С. Паршуткина |
Приложение 1
КОДЕКС ОБ АДМИНИСТРАТИВНЫХ ПРАВОНАРУШЕНИЯХ
Статья 13.14. Разглашение информации с ограниченным доступом
Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, - влечет наложение административного штрафа на граждан в размере от пяти до десяти минимальных размеров оплаты труда; на должностных лиц – от сорока до пятидесяти минимальных размеров оплаты труда.
ГРАЖДАНСКИЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ
Статья 139. Служебная и коммерческая тайна
- Информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Сведения, которые не могут составлять служебную или коммерческую тайну, определяются законом или иными правовыми актами.
- Информация, составляющая служебную или коммерческую тайну, защищается способами, предусмотренными настоящим Кодексом и другими законами.
Лица, незаконными методами получившие информацию, которая составляет служебную или коммерческую тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, в том числе контракту, и на контрагентов, сделавших это вопреки гражданско-правовому договору.
УГОЛОВНЫЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ
Статья 272. Неправомерный доступ к компьютерной информации
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, -
наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.
2. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, -
наказывается штрафом в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.
Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ
1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами -
наказываются лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев.
2. Те же деяния, повлекшие по неосторожности тяжкие последствия, -
наказываются лишением свободы на срок от трех до семи лет.
Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети
1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, -
наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет.
2. То же деяние, повлекшее по неосторожности тяжкие последствия, -
наказывается лишением свободы на срок до четырех лет.
ТРУДОВОЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ
Статья 57. Содержание трудового договора
«В трудовом договоре могут предусматриваться условия об испытании, о неразглашении охраняемой законом тайны (государственной, служебной, коммерческой и иной), об обязанности работника отработать после обучения не менее установленного договором срока, если обучение производилось за счет средств работодателя, а также иные условия, не ухудшающие положение работника по сравнению с настоящим Кодексом, законами и иными нормативными правовыми актами, коллективным договором, соглашениями.»
Статья 85. Понятие персональных данных работника. Обработка персональных данных работника
Персональные данные работника - информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Обработка персональных данных работника - получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.
Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты
В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:
1) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, настоящим Кодексом и иными федеральными законами;
3) все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
4) работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;
5) работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом;
6) при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;
7) защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном федеральным законом;
8) работники и их представители должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;
9) работники не должны отказываться от своих прав на сохранение и защиту тайны;
10) работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.
Статья 87. Хранение и использование персональных данных работников
Порядок хранения и использования персональных данных работников в организации устанавливается работодателем с соблюдением требований настоящего Кодекса.
Статья 88. Передача персональных данных работника
При передаче персональных данных работника работодатель должен соблюдать следующие требования:
не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами;
осуществлять передачу персональных данных работника в пределах одной организации в соответствии с локальным нормативным актом организации, с которым работник должен быть ознакомлен под расписку;
разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.
Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника
Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
Приложение 2
Журнал выдачи паролей и учета пользователей (субъектов доступа) ЛВС университета (наименование подразделения ГОУ ОГУ)
| № п/п | ФИО | Имя пользователя | Место работы и должность | Дата выдачи разрешения/ пароля | Перечень ресурсов в соответствии с разрешением | Права доступа | Дата регистрации пользователя, подпись | Изменение прав доступа | Подпись |
| 1. | Губина Ольга Александровна | Olga | Ведущ. программист ЦИТ | 04.04.02 | Lanserv1: CIT Ias Lanserv2: Delphi6 Lanserv3: Fantasy M1 | Full Full Read Read Read | 06.04.02. | | |
Приложение 3
С настоящей инструкцией ознакомлен, о неразглашении пароля и полученной информации при осуществлении доступа к базам данных и иным информационным ресурсам, а также о персональной ответственности, предусмотренной за нарушение правил информационной безопасности, в соответствии с законодательством Российской Федерации и за соблюдение требований данной инструкции предупреждён1:
| №п/п | Ф.И.О. сотрудника | Личная подпись |
| | | |
Приложение 4
АКТ
о восстановлении информационных ресурсов
Мною, ______________________________________________________
(Ф.И.О., должность, администратора ресурса)
Дата выявления сбоя: __________________________________________
Проведена проверка ___________________________________________
(вид ИР)
В результате чего выявлено: ____________________________________
(указывать вид и причины)
Способ восстановления: _______________________________________
Используемая документация: ___________________________________
Подпись администратора
Дата
1 Перечень статей законодательства Российской Федерации, предусматривающих ответственность за нарушение норм по обработке и защите сведений, полученных при осуществлении доступа к охраняемой законом компьютерной информации см. Приложение 1.