В целях определения требований к порядку реализации мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации государственных информационных систем и дальнейшему хранению содержащейся в их базах данных информации, осуществляемых органами исполнительной власти Донецкой Народной Республики, руководствуясь статьей 23 Закона Донецкой Народной Республики от 30 ноября 2018 года № 02-IIHC «О Правительстве Донецкой Народной Республики», Правительство Донецкой Народной Республики

ПОСТАНОВЛЯЕТ:

1. Утвердить прилагаемые Требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации (далее — Требования).

2. Органам исполнительной власти Донецкой Народной Республики руководствоваться Требованиями при реализации мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации государственных информационных систем (далее — ГИС) и дальнейшему хранению содержащейся в их базах данных информации.

3. Рекомендовать органам государственной власти, иным государственным органам и органам местного самоуправления Донецкой Народной Республики руководствоваться Требованиями при реализации мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации ГИС (информационных систем органов местного самоуправления) и дальнейшему хранению содержащейся в их базах данных информации.

4. Определить, что до вступления в силу нормативного правового акта, устанавливающего требования о защите информации, содержащейся в ГИС, мероприятия по защите информации, предусмотренные Требованиями, реализуются органами исполнительной власти Донецкой Народной Республики по согласованию с Министерством государственной безопасности Донецкой Народной Республики.

5. Установить, что до вступления в силу нормативного правового акта, который определяет порядок аттестации ГИС по требованиям защиты информации, подтверждение соответствия ГИС требованиям по защите информации осуществляется путем получения заключений Министерства государственной безопасности Донецкой Народной Республики и Министерства связи Донецкой Народной Республики об уровне защиты ГИС, предоставляемых в пределах компетенции данных органов исполнительной власти Донецкой Народной Республики, в соответствии с утвержденным ими порядком.

6. Контроль исполнения настоящего Постановления возложить на заместителя Председателя Правительства Донецкой Народной Республики Солнцева Е.А.

7. Настоящее Постановление вступает в силу со дня его подписания.

ТРЕБОВАНИЯ
к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации

I. Общие положения

1.1. Настоящий производный нормативный правовой акт определяет требования к порядку реализации мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации государственных информационных систем (далее — ГИС) и дальнейшему хранению содержащейся в их базах данных информации, осуществляемых органами исполнительной власти Донецкой Народной Республики (далее — ОИВ) в целях повышения эффективности реализации полномочий таких органов в результате использования информационно-коммуникационных технологий.

1.2. При реализации ОИВ мероприятий по созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации ГИС и дальнейшему хранению содержащейся в их базах данных информации должны выполняться:

а) требования о защите информации, содержащейся в ГИС, устанавливаемые Министерством государственной безопасности Донецкой Народной Республики (далее — требования о защите информации);

б) требования о защите персональных данных, предусмотренные частью 3 статьи 20 Закона Донецкой Народной Республики «О персональных данных» (в случае наличия в ГИС персональных данных).

1.3. В целях выполнения требований о защите информации, ОИВ устанавливают требования к защите информации, содержащейся в ГИС ОИВ, для чего осуществляют:

а) определение информации, подлежащей защите от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий в отношении такой информации;

б) анализ нормативных правовых актов, методических документов и стандартов, которым должна соответствовать ГИС;

в) классификацию ГИС в соответствии с требованиями о защите информации;

г) определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в ГИС, и разработку на их основе модели угроз безопасности информации;

д) определение требований к информационной системе (подсистеме) защиты информации, содержащейся в ГИС.

1.4. Создание, развитие, ввод в эксплуатацию, эксплуатация и вывод из эксплуатации ГИС и дальнейшее хранение содержащейся в их базах данных информации осуществляется с учетом методических рекомендаций по составу, структуре и содержанию организационного, методического, технического, математического, программного, информационного, документационного, правового и иных видов обеспечения ГИС, утверждаемых Министерством связи Донецкой Народной Республики.

1.5. Утвержденные, в соответствии с пунктом 1.4 настоящих Требований, методические рекомендации подлежат публикации на официальном сайте Министерства связи Донецкой Народной Республики в срок, не превышающий 5 (пять) рабочих дней со дня их утверждения.

1.6. В настоящих Требованиях используются понятия в следующих значениях:

а) жизненный цикл информационной системы — совокупность взаимосвязанных процессов последовательного изменения состояния информационной системы от формирования потребности в ней до окончания выполнения всех предусмотренных мероприятий по выводу ее из эксплуатации;

б) техническая документация — комплект взаимоувязанных документов, включая программную документацию, формируемых и утверждаемых на соответствующем этапе жизненного цикла информационной системы, полностью определяющих технические требования к информационной системе (к программе для электронных вычислительных машин, входящей в ее состав в качестве компоненты), проектные и организационные решения по ее созданию (развитию) и функционированию (эксплуатации), а также документов, в соответствии с которыми осуществляется проверка выполнения заданных функций информационной системы (программы для электронных вычислительных машин), определение и проверка соответствия требованиям технического задания на информационную систему (программу для электронных вычислительных машин);

в) методическая документация — совокупность документов, описывающих методы выбора и применения пользователями технологических приемов для решения задач посредством использования информационной системы (программы для электронных вычислительных машин).

II. Требования к порядку создания ГИС

2.1. Основанием для создания ГИС является:

а) обязанность ОИВ по созданию ГИС, предусмотренная нормативными правовыми актами Донецкой Народной Республики;

б) нормативный правовой акт ОИВ о создании ГИС с целью обеспечения реализации возложенных на него полномочий.

2.2. Проекты нормативных правовых актов, указанных в пункте 2.1 настоящих Требований, которые являются основанием для создания ГИС, разрабатываются с учетом концепции создания ГИС (далее — Концепция), включающей в себя технико-экономическое обоснование реализации ГИС. Концепция является документом технической документации на ГИС и содержит обоснование вариантов построения ГИС, условия и мероприятия по ее созданию, на основе которых принимается решение о необходимости и целесообразности создания ГИС, формируются требования к ней, а также обеспечиваются единый контекст и взаимосвязь результатов реализации требований к ГИС на последующих этапах жизненного цикла информационной системы, в том числе при разработке технического задания на ГИС. В Концепции приводятся в том числе:

а) результаты анализа нормативных правовых актов, методических документов и стандартов, действующих на территории Донецкой Народной Республики, в соответствии с которыми разрабатывается ГИС;

б) классификация ГИС в соответствии с требованиями о защите информации;

в) описание выявленных проблем, решение которых возможно средствами ГИС, описание требований к ГИС, включая определение требований к информационной системе (подсистеме) защиты информации и допустимых затрат на разработку, ввод в действие и эксплуатацию ГИС, описание эффекта, ожидаемого от создания ГИС, условий создания и функционирования ГИС, а также описание автоматизируемых процессов деятельности (как существующих, так и планируемых к реализации посредством создания ГИС) и архитектуры ГИС;

г) цели и задачи создания ГИС, архитектура ГИС, включая состав, выполняемые функции и взаимосвязи компонентов ГИС, состав сведений, подлежащих размещению в ГИС, обоснование выбранного варианта построения ГИС;

д) показатели степени автоматизации процессов и их значений, которые должны быть достигнуты в результате создания ГИС, а также критерии оценки достижения целей создания ГИС;

е) оценка финансовых, трудовых и материальных ресурсов, необходимых для реализации требований, указанных в подпункте «в» настоящего пункта (технико-экономическое обоснование), включая оценку указанных ресурсов для создания ГИС, ввода ее в эксплуатацию, эксплуатации и в случае, если установлен срок эксплуатации ГИС, оценку необходимых ресурсов для вывода ГИС из эксплуатации и дальнейшего хранения содержащейся в ее базах данных информации.

2.3. Создание ГИС осуществляется в соответствии с разрабатываемым согласно Концепции техническим заданием с учетом модели угроз безопасности информации, предусмотренной подпунктом «г» пункта 1.3 настоящих Требований, уровней защищенности персональных данных при их обработке в информационных системах персональных данных, в зависимости от угроз безопасности этих данных и настоящих Требований.

2.4. Техническое задание на создание ГИС и (или) модель угроз безопасности информации подлежит согласованию с Министерством государственной безопасности Донецкой Народной Республики и Министерством связи Донецкой Народной Республики в пределах компетенции данных ОИВ.

2.5. Техническое задание на создание ГИС должно включать в себя сформированные, в соответствии с пунктом 1.2 настоящих Требований, требования о защите информации, содержащейся в ГИС.

2.6. Концепция, техническое задание на создание ГИС и модель угроз безопасности информации утверждаются руководителем ОИВ, обеспечивающего создание ГИС.

2.7. Порядок создания ГИС включает следующие последовательно реализуемые этапы:

а) разработка документации на ГИС и ее части;

б) разработка рабочей документации на ГИС и ее части;

в) разработка или адаптация программного обеспечения;

г) пусконаладочные работы;

д) проведение предварительных испытаний ГИС;

е) проведение опытной эксплуатации ГИС;

ж) проведение приемочных испытаний ГИС.

2.8. Этап разработки документации на ГИС и ее части включает разработку, согласование и утверждение технической документации в объеме, необходимом для описания полной совокупности проектных решений (в том числе по защите информации) и достаточном для дальнейшего выполнения работ по созданию ГИС, в том числе описания проектных решений по автоматизируемым процессам деятельности, реализуемым посредством ГИС, решений по архитектуре ГИС, решений по содержанию, структуре и ограничениям целостности, используемых для создания базы данных ГИС.

2.9. Этап разработки рабочей документации на ГИС и ее части включает разработку, согласование и утверждение технической документации, необходимой для выполнения работ по вводу ГИС в эксплуатацию и ее эксплуатации, методической документации и порядка эксплуатации ГИС, содержащего сведения, необходимые для выполнения работ по поддержанию уровня эксплуатационных характеристик (качества) ГИС (в том числе по защите информации), установленных в проектных решениях, указанных в пункте 2.8 настоящих Требований, в том числе:

а) перечень действий сотрудников при выполнении задач по эксплуатации ГИС, включая перечень, виды, объемы и периодичность выполнения работ по обеспечению функционирования ГИС;

б) контроль работоспособности ГИС и компонентов, обеспечивающих защиту информации;

в) перечень неисправностей, которые могут возникнуть в процессе эксплуатации ГИС, и рекомендации в отношении действий при их возникновении;

г) перечень режимов работы ГИС и их характеристики, а также порядок и правила перевода ГИС с одного режима работы на другой с указанием необходимого для этого времени.

2.10. Этап разработки или адаптации программного обеспечения включает разработку программного обеспечения ГИС, выбор и адаптацию приобретаемого программного обеспечения, а также в установленных случаях и порядке, сертификацию разработанного программного обеспечения ГИС и средств защиты информации по требованиям безопасности информации.

2.11. Этап пусконаладочных работ включает автономную наладку технических средств и программного обеспечения частей ГИС, загрузку информации в ее базу данных, комплексную наладку технических средств и программного обеспечения ГИС, включая средства защиты информации.

2.12. Этап проведения предварительных испытаний включает:

а) разработку программы и методики предварительных испытаний, в соответствии с которыми осуществляется проверка ГИС на работоспособность и соответствие техническому заданию на ее создание;

б) проверку ГИС на работоспособность и соответствие техническому заданию на ее создание;

в) устранение выявленных при проведении таких испытаний неисправностей и внесение изменений в документацию и рабочую документацию на ГИС;

г) оформление протокола испытаний и акта о приемке ГИС в опытную эксплуатацию.

2.13. Этап проведения опытной эксплуатации включает:

а) разработку программы и методики опытной эксплуатации;

б) опытную эксплуатацию ГИС в соответствии с программой и методикой опытной эксплуатации;

в) доработку программного обеспечения ГИС и дополнительную наладку технических средств в случае выявления недостатков на этапе опытной эксплуатации ГИС;

г) оформление акта о завершении опытной эксплуатации, включающего перечень недостатков, которые необходимо устранить до начала эксплуатации ГИС.

2.14. Этап проведения приемочных испытаний включает:

а) испытания ГИС на соответствие техническому заданию на ее создание в соответствии с программой и методикой приемочных испытаний;

б) анализ результатов устранения недостатков, указанных в акте о завершении опытной эксплуатации; в) оформление акта о приемке ГИС в эксплуатацию.

III. Требования к порядку ввода ГИС в эксплуатацию

3.1. Основанием для ввода ГИС в эксплуатацию является нормативный правовой акт ОИВ о вводе ГИС в эксплуатацию, определяющий перечень мероприятий по обеспечению ввода ГИС в эксплуатацию и устанавливающий срок начала ее эксплуатации.

3.2. Нормативный правовой акт ОИВ о вводе ГИС в эксплуатацию включает:

а) мероприятия по разработке и утверждению организационно — распорядительных документов, определяющих мероприятия по защите информации в ходе эксплуатации ГИС, разработка которых предусмотрена нормативными правовыми актами и методическими документами Министерства государственной безопасности Донецкой Народной Республики, а также стандартами в области защиты информации, действующими на территории Донецкой Народной Республики;

б) мероприятия в рамках аттестации ГИС по требованиям защиты информации, в результате которых в установленных законодательством Донецкой Народной Республики случаях подтверждается соответствие защиты информации, содержащейся в ГИС, требованиям, предусмотренным законодательством Донецкой Народной Республики об информации, информационных технологиях и о защите информации;

в) мероприятия по подготовке ОИВ к эксплуатации ГИС;

г) мероприятия по подготовке должностных лиц ОИВ к эксплуатации ГИС, включая лиц, ответственных за обеспечение защиты информации;

д) мероприятия по оформлению прав на использование компонентов ГИС, являющихся объектами интеллектуальной собственности.

3.3. Ввод ГИС в эксплуатацию не допускается в следующих случаях:

а) невыполнение установленных законодательством Донецкой Народной Республики требований о защите информации, включая отсутствие действующего аттестата соответствия требованиям безопасности информации;

б) размещение технических средств ГИС за пределами территории Донецкой Народной Республики;

в) невыполнение требований настоящего раздела;

г) отсутствие надлежащего оформления прав на использование компонентов ГИС, являющихся объектами интеллектуальной собственности.

3.4. Срок начала эксплуатации ГИС не может быть ранее срока окончания последнего мероприятия, предусмотренного нормативным правовым актом ОИВ о вводе ГИС в эксплуатацию.

3.5. Мероприятия по развитию ГИС осуществляются в соответствии с требованиями, установленными для создания ГИС, за исключением требования к разработке Концепции.

IV. Требования к порядку эксплуатации ГИС

4.1. Основанием для начала эксплуатации ГИС является наступление срока, установленного нормативным правовым актом ОИВ о вводе ГИС в эксплуатацию, указанным в пункте 3.1 настоящих Требований.

4.2. ОИВ осуществляет эксплуатацию ГИС в соответствии с рабочей документацией, указанной в пункте 2.9 настоящих Требований.

4.3. Эксплуатация ГИС не допускается в случаях, указанных в части 7 статьи 16 Закона Донецкой Народной Республики «Об информации, информационных технологиях» и пункте 3.3 настоящих Требований.

V. Требования к порядку вывода ГИС из эксплуатации и дальнейшего хранения содержащейся в ее базах данных информации

5.1. Основанием для вывода ГИС из эксплуатации является:

а) завершение срока эксплуатации ГИС, в случае если такой срок был установлен нормативным правовым актом ОИВ о вводе ГИС в эксплуатацию;

б) нецелесообразность эксплуатации ГИС, в том числе низкая эффективность используемых технических средств и программного обеспечения, изменение правового регулирования, принятие управленческих решений, а также наличие иных изменений, препятствующих эксплуатации ГИС;

в) финансово-экономическая неэффективность эксплуатации ГИС.

5.2. При наличии одного или нескольких оснований для вывода ГИС из эксплуатации, указанных в пункте 5.1 настоящих Требований, ОИВ утверждает нормативный правовой акт о выводе ГИС из эксплуатации.

5.3. Нормативный правовой акт о выводе ГИС из эксплуатации включает:

а) основание для вывода ГИС из эксплуатации;

б) перечень и сроки реализации мероприятий по выводу ГИС из эксплуатации;

в) порядок, сроки, режим хранения и дальнейшего использования информационных ресурсов, включая порядок обеспечения доступа к информационным ресурсам выводимой из эксплуатации ГИС и обеспечения защиты информации, содержащейся в выводимой из эксплуатации ГИС;

г) порядок, сроки и способы информирования пользователей о выводе ГИС из эксплуатации.

5.4. Перечень мероприятий по выводу ГИС из эксплуатации включает:

а) подготовку нормативных правовых актов, связанных с выводом ГИС из эксплуатации;

б) работы по выводу ГИС из эксплуатации, в том числе работы по деинсталляции программного обеспечения ГИС, по реализации прав на программное обеспечение ГИС, демонтажу и списанию технических средств ГИС, обеспечению хранения и дальнейшего использования информационных ресурсов ГИС;

в) обеспечение защиты информации в соответствии с документацией на ГИС и организационно-распорядительными документами по защите информации, в том числе архивирование информации, содержащейся в ГИС, уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

5.5. Если нормативными правовыми актами Донецкой Народной Республики не установлено иное, то сроки хранения информации, содержащейся в базах данных ГИС, определяются ОИВ и не могут быть меньше сроков хранения информации, которые установлены для хранения документов в бумажном виде, содержащих такую информацию.

5.6. Срок вывода ГИС из эксплуатации не может быть ранее срока окончания последнего мероприятия, предусмотренного правовым актом о выводе ГИС из эксплуатации.