Требования к созданию систем кибербезопасности объектов критической информационной инфраструктуры Кыргызской Республики и обеспечению их функционирования (к постановлению Кабинета Министров КР)

Приложение

(к постановлению Кабинета Министров Кыргызской Республики от 9 декабря 2024 года № 746)

ТРЕБОВАНИЯ к созданию систем кибербезопасности объектов критической информационной инфраструктуры Кыргызской Республики и обеспечению их функционирования

1. Общие положения

1. Настоящие Требования устанавливают порядок создания субъектами критической информационной инфраструктуры Кыргызской Республики (далее - КИИ) систем кибербезопасности объектов КИИ (далее - системы кибербезопасности) и обеспечения их функционирования с учетом законодательства Кыргызской Республики.

2. Системы кибербезопасности создаются субъектами КИИ и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение кибербезопасности объектов КИИ.

3. Создание и функционирование систем кибербезопасности должно быть направлено на обеспечение устойчивого функционирования объектов КИИ.

Системы кибербезопасности создаются в отношении всех объектов КИИ, в том числе эксплуатируемых в обособленных подразделениях (филиалах, представительствах) субъекта КИИ.

4. Системы кибербезопасности включают силы и средства обеспечения кибербезопасности объектов КИИ.

К силам обеспечения кибербезопасности объектов КИИ относятся:

- руководитель субъекта КИИ;

- подразделения кибербезопасности и/или офицер кибербезопасности субъекта КИИ;

- подразделения и/или работники, эксплуатирующие объекты КИИ;

- подразделения и/или работники, обеспечивающие функционирование (сопровождение, обслуживание, ремонт) объектов КИИ;

- иные подразделения и/или работники, участвующие в обеспечении кибербезопасности объектов КИИ.

К средствам обеспечения кибербезопасности объектов КИИ относятся программные, программно-аппаратные и иные средства, применяемые для обеспечения кибербезопасности объектов КИИ.

5. Системы кибербезопасности должны функционировать в соответствии с организационно-распорядительными документами по обеспечению кибербезопасности объектов КИИ, разрабатываемыми субъектами КИИ в соответствии с законодательством Кыргызской Республики в сфере обеспечения кибербезопасности и иными нормативными документами Кыргызской Республики в сфере обеспечения кибербезопасности (далее - организационно-распорядительные документы по кибербезопасности).

6. Системы кибербезопасности должны обеспечивать:

- предотвращение неправомерного доступа к информации, обрабатываемой объектами КИИ, уничтожения такой информации, ее модификации, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;

- осуществление непрерывного мониторинга состояния кибербезопасности объекта КИИ;

- недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование объектов КИИ;

- восстановление функционирования объектов КИИ, в том числе за счет создания и хранения резервных копий;

- непрерывное взаимодействие с уполномоченным государственным органом в сфере обеспечения кибербезопасности.

7. Создаваемые системы кибербезопасности должны включать в себя требования, предъявляемые к:

- силам обеспечения кибербезопасности объектов КИИ;

- средствам обеспечения кибербезопасности объектов КИИ;

- организационно-распорядительным документам по кибербезопасности;

- организации работ по обеспечению кибербезопасности объектов КИИ.

2. Требования к силам обеспечения кибербезопасности объектов КИИ

8. Руководитель субъекта КИИ создает систему кибербезопасности, организует и контролирует ее функционирование.

9. Руководитель субъекта КИИ утверждает состав и структуру системы кибербезопасности, функции ее участников при обеспечении кибербезопасности объекта КИИ, а также определяет особенности деятельности субъекта КИИ.

Создаваемая система кибербезопасности должна включать подразделения кибербезопасности и/или офицеров кибербезопасности объектов КИИ, в том числе в обособленных подразделениях (филиалах, представительствах) субъектов КИИ, в которых эксплуатируются объекты КИИ.

10. Руководитель субъекта КИИ создает или определяет структурное подразделение, ответственное за обеспечение кибербезопасности объектов КИИ (далее - структурное подразделение по кибербезопасности) и назначает офицера кибербезопасности объектов КИИ.

Структурное подразделение по кибербезопасности и/или офицер кибербезопасности должны осуществлять следующие функции:

- разрабатывать организационно-распорядительные документы по обеспечению кибербезопасности и вносить предложения по их совершенствованию;

- проводить анализ киберугроз в отношении объектов КИИ и выявлять уязвимости в них;

- реализовывать требования по обеспечению кибербезопасности объектов КИИ;

- обеспечивать в соответствии с требованиями по кибербезопасности реализацию организационных мер и эксплуатацию средств защиты информации;

- осуществлять реагирование на киберинциденты;

- организовывать проведение внутреннего аудита кибербезопасности объектов КИИ;

- готовить предложения по совершенствованию функционирования систем кибербезопасности объектов КИИ.

11. По решению руководителя субъекта КИИ в обособленных подразделениях (филиалах, представительствах) субъекта КИИ, в которых эксплуатируются объекты КИИ, создаются (определяются) структурные подразделения по кибербезопасности и/или назначается офицер кибербезопасности.

Координацию и контроль выполнения функций по обеспечению кибербезопасности обособленных подразделений (филиалов, представительств) осуществляют структурные подразделения по кибербезопасности или офицер кибербезопасности субъекта КИИ.

12. Работники структурного подразделения по кибербезопасности или офицер кибербезопасности должны соответствовать следующим требованиям:

- наличие у руководителя структурного подразделения по кибербезопасности высшего образования и документа, подтверждающего прохождение обучения в сфере кибербезопасности или информационной безопасности, а также опыта работы не менее трех лет в областях информационных технологий и/или кибербезопасности или информационной безопасности;

- наличие у штатных работников структурного подразделения и/или офицера кибербезопасности высшего образования в сфере информационных технологий и документа, подтверждающего прохождение обучения в сфере кибербезопасности или информационной безопасности.

13. Обязанности, возлагаемые на работников структурного подразделения по кибербезопасности и/или офицера кибербезопасности, должны быть определены в их должностных регламентах (инструкциях, обязанностях) в рамках деятельности по обеспечению кибербезопасности.

14. Работники, эксплуатирующие объекты КИИ (пользователи), а также работники, обеспечивающие функционирование объектов КИИ, должны выполнять свои обязанности на объектах КИИ в соответствии с правилами кибербезопасности, установленными организационно-распорядительными документами по кибербезопасности (инструкциями, руководствами).

До работников должны быть доведены положения организационно-распорядительных документов по кибербезопасности объектов КИИ в части, их касающейся. Координацию и контроль деятельности вышеуказанных работников по вопросам обеспечения кибербезопасности объектов КИИ должны осуществлять структурное подразделение по кибербезопасности и/или офицер кибербезопасности. Субъект КИИ должен проводить не менее одного раза в год организационные мероприятия, направленные на повышение уровня подготовки сотрудников структурного подразделения по кибербезопасности и/или офицера кибербезопасности по вопросам обеспечения кибербезопасности.

15. Субъект КИИ может привлекать организации для разработки, внедрения, модификации, эксплуатации и обеспечения функционирования объектов КИИ исключительно по согласованию с уполномоченным государственным органом в сфере обеспечения кибербезопасности.

Организации, привлекаемые субъектом КИИ для эксплуатации и обеспечения функционирования объектов КИИ, должны соблюдать требования организационно-распорядительных документов по кибербезопасности и законодательства в сфере обеспечения кибербезопасности.

3. Требования к средствам обеспечения кибербезопасности объектов КИИ

16. К программным и программно-аппаратным средствам, применяемым для обеспечения кибербезопасности объектов КИИ, относятся средства защиты информации, в том числе средства защиты информации от несанкционированного доступа, межсетевые экраны, средства обнаружения (предотвращения) вторжений (кибератак), средства антивирусной защиты, средства (системы) контроля (анализа) защищенности, средства управления событиями кибербезопасности, средства защиты каналов передачи данных, средства от целенаправленных атак и иные.

17. Для обеспечения кибербезопасности объектов КИИ должны применяться сертифицированные средства защиты информации.

18. Средства защиты информации должны применяться в соответствии с технической и эксплуатационной документацией, разработанной производителями (разработчиками) этих средств, и иной документацией на средства защиты информации.

19. Применяемые средства защиты информации должны быть обеспечены гарантийной, технической поддержкой.

20. Порядок применения средств защиты информации определяется субъектом КИИ в организационно-распорядительных документах по кибербезопасности с учетом особенностей деятельности субъекта КИИ.

4. Требования к организационно-распорядительным документам по кибербезопасности

21. Руководителем субъекта КИИ должны быть утверждены организационно-распорядительные документы по кибербезопасности, в том числе объектов КИИ, которые эксплуатируются в подразделениях (филиалах, представительствах) субъекта КИИ.

22. Организационно-распорядительные документы по кибербезопасности должны определять:

а) цели и задачи обеспечения кибербезопасности объектов КИИ, основные киберугрозы, основные организационные и технические мероприятия по обеспечению кибербезопасности объектов КИИ, состав и структуру системы кибербезопасности и функции ее участников;

б) план мероприятий по обеспечению кибербезопасности объектов КИИ, модель киберугроз (включающая модели нарушителя и уязвимостей) в отношении объектов КИИ, порядок применения средств защиты информации, порядок реагирования на киберинциденты и иные нештатные ситуации, а также порядок обучения работников подразделений (эксплуатирующих и обеспечивающих функционирование объектов КИИ), порядок взаимодействия подразделений (работников) субъекта КИИ при решении задач обеспечения кибербезопасности объектов КИИ;

в) правила безопасной работы работников субъекта КИИ на объектах КИИ, действия работников субъекта КИИ при возникновении киберинцидентов и иных нештатных ситуаций.

Состав и формы организационно-распорядительных документов по кибербезопасности определяются субъектом КИИ с учетом особенностей его деятельности.

5. Требования к функционированию системы кибербезопасности в части организации работ по обеспечению кибербезопасности объектов КИИ

23. В рамках функционирования системы кибербезопасности субъектом КИИ должны быть внедрены следующие процессы:

- планирование, разработка и реализация мероприятий по обеспечению кибербезопасности объектов КИИ;

- внутренний аудит кибербезопасности объектов КИИ;

- совершенствование кибербезопасности объектов КИИ.

24. В рамках планирования мероприятий по обеспечению кибербезопасности объектов КИИ осуществляются разработка и утверждение ежегодного плана мероприятий по обеспечению кибербезопасности объектов КИИ (далее - план мероприятий).

По решению субъекта КИИ план мероприятий может разрабатываться на более длительный срок с учетом имеющихся программ (планов) по модернизации, оснащению объектов КИИ. В план мероприятий должны включаться мероприятия по обеспечению кибербезопасности объектов КИИ, функционирующих в обособленных подразделениях (филиалах, представительствах) субъекта КИИ.

25. План мероприятий должен содержать наименования мероприятий по обеспечению кибербезопасности объектов КИИ, сроки их выполнения, наименования подразделений (работников и офицеров кибербезопасности), ответственных за реализацию каждого мероприятия.

В план мероприятий включаются мероприятия по обеспечению функционирования системы кибербезопасности, а также организационные и технические мероприятия по обеспечению кибербезопасности объектов КИИ, направленные на решение задач, установленных пунктом 6 настоящих Требований.

26. Разработка мероприятий по обеспечению кибербезопасности объектов КИИ осуществляется в соответствии с настоящими Требованиями и законодательством в сфере обеспечения кибербезопасности, а также организационно-распорядительными документами по кибербезопасности.

План мероприятий утверждается руководителем субъекта КИИ и доводится до подразделений (работников и офицеров кибербезопасности) в части, их касающейся.

27. Результаты реализации мероприятий по обеспечению кибербезопасности объектов КИИ подлежат документированию в порядке, установленном субъектом КИИ.

28. В рамках внутреннего аудита кибербезопасности объектов КИИ должна осуществляться проверка организации работ по обеспечению кибербезопасности объектов КИИ и эффективности принимаемых организационных и технических мер.

В ходе проведения внутреннего аудита проверяется выполнение настоящих Требований и требований законодательства в сфере обеспечения кибербезопасности, а также организационно-распорядительных документов по кибербезопасности.

6. Ответственность за нарушение настоящих Требований

29. Нарушение настоящих Требований влечет за собой ответственность в соответствии с законодательством Кыргызской Республики.