Образцы документов: Государственные ИС (приказ № 117)

Что должно быть в плане мероприятий по защите информации в ГИС: мероприятия по стадиям жизненного цикла системы, периодичность, сроки и ответственные. По приказу ФСТЭК России от 11.04.2025 № 117.

Что должно быть в приказе о комиссии по классификации государственной информационной системы: состав, задача определить класс защищённости по приказу ФСТЭК России от 11.04.2025 № 117, срок и оформление результата актом.

Что входит в политику защиты информации государственной информационной системы: цели и задачи защиты, класс защищённости, состав мер, распределение ответственности, порядок контроля и пересмотра.

Что входит в регламент защиты информации государственной системы: правила работы пользователей и администраторов, управление доступом и обновлениями, резервное копирование, реагирование на инциденты и контроль выполнения правил.

Как организовать контроль уровня защищённости информации в государственной информационной системе: что проверяется, с какой периодичностью, кто проводит контроль, как оформляются результаты и устраняются недостатки.

Как оформить матрицу доступа государственной информационной системы: роли и группы пользователей, информационные ресурсы, права доступа, порядок предоставления и отзыва прав, пересмотр матрицы.

Что включить в план совершенствования защиты информации государственной системы: устранение выявленных недостатков, развитие средств защиты, обучение персонала, сроки, ответственные и источники финансирования.

Что входит в инструкцию администратора безопасности государственной системы: управление учётными записями, контроль средств защиты, анализ уязвимостей и обновлений, работа с журналами событий, действия при инцидентах и запреты.

Как установить границы контролируемой зоны государственной информационной системы и перечень защищаемых помещений: описание границ, режим доступа, требования к помещениям и порядок пересмотра.

Что должно быть в приказе о вводе государственной информационной системы в эксплуатацию: класс защищённости, реквизиты аттестата соответствия, ответственные за эксплуатацию системы и средств защиты, условия обработки информации.

Какие графы должны быть в журнале учёта действий администратора с максимальными правами и зачем он нужен: без записи действие при разборе инцидента считается непроведённым. Готовая форма и пример заполнения.

Какие графы должны быть в журнале заявок на доступ: кто запросил права, кто согласовал, когда выполнено и когда доступ прекращён. Заявка — основание прав работника; без неё права ничем не объяснены.

Какие графы должны быть в журнале учёта съёмных носителей: учётный номер, тип, кому выдан, даты выдачи и возврата, отметка об уничтожении. Неучтённый носитель к работе не допускается.

Какие графы должны быть в журнале доступа в помещения, где размещены технические средства: помещение, кто вошёл, время входа и выхода, сопровождающий. Посетители и подрядчики записываются отдельно.

Что включить в отчёт по результатам контроля уровня защищённости информации в государственной информационной системе: что проверяли, что нашли, что устранено и какие меры предложены. Форма для приложения к порядку контроля.

Что должен знать и делать обычный работник, работающий в государственной информационной системе: вход и пароль, съёмные носители, сообщение об инцидентах, запреты. Ознакомление под подпись.

Что написать в положении о подразделении по защите информации государственной системы: задачи, функции, права, взаимодействие с другими подразделениями и подчинённость руководителю.

Как организовать обучение работников защите информации: виды мероприятий, периодичность, охват, проверка знаний и учёт проведённого. Порядок, по которому ведётся журнал мероприятий.

Короткая памятка для рабочего места: правила пароля, работа с почтой и ссылками, съёмные носители, что делать при подозрении на инцидент. Одна страница, которую действительно читают.

Какие графы нужны в журнале учёта занятий, рассылок и тренировок по защите информации: вид мероприятия, тема, охват, результат. Незаписанное мероприятие на проверке считается непроведённым.