Документы по требованиям ФСТЭК России: ИСПДн, государственные системы, КИИ

Что должно быть в должностной инструкции (положении) заместителя руководителя, ответственного за обеспечение информационной безопасности, по Указу Президента №250 и типовому положению (ПП №1272): квалификационные требования, полномочия, обязанности по реагированию на компьютерные инциденты и взаимодействию с НКЦКИ.

Что должно быть в положении о структурном подразделении, обеспечивающем информационную безопасность, по Указу Президента №250 и типовому положению (ПП №1272): задачи, функции, права, подчинённость и квалификационные требования к работникам (для субъектов КИИ — по приказу ФСТЭК №235).

Как разрабатывается модель угроз по методике ФСТЭК России от 05.02.2021: этапы, негативные последствия, объекты воздействия, источники угроз и сценарии реализации. Что должно быть в документе и чем он отличается от перечня угроз из банка данных.

Перечень ИСПДн оператора: какие сведения включать по каждой системе — назначение, категории субъектов и данных, число субъектов, уровень защищённости, места хранения и ответственные. Зачем перечень нужен для классификации по ПП-1119 и проверки Роскомнадзора.

Приказ о назначении администратора безопасности информационных систем персональных данных: чем его обязанности отличаются от обязанностей ответственного за организацию обработки ПДн, что включить в приказ и какие меры приказа ФСТЭК России от 18.02.2013 № 21 он закрывает.

Инструкция по обеспечению безопасности при работе в информационной системе персональных данных (ИСПДн) для сотрудников: обязанности пользователя, запреты, действия при инцидентах. Основа — 152-ФЗ и приказ ФСТЭК России № 21.

Инструкция по организации парольной защиты: требования к длине и сложности паролей, правила использования, смены и хранения. Основа — приказ ФСТЭК России № 21 (идентификация и аутентификация).

Инструкция по антивирусной (антивредоносной) защите рабочих мест и серверов: обязательное включённое антивирусное средство с актуальными базами, проверка носителей, действия при обнаружении вредоносного ПО. Основа — приказ ФСТЭК России № 21.

Инструкция по реагированию на инциденты информационной безопасности: что относится к инцидентам, порядок сообщения, действия оператора при утечке ПДн (уведомление Роскомнадзора 24/72 часа). Основа — приказ ФСТЭК России № 21 и статья 21 152-ФЗ.

Что должно быть в приказе о создании системы безопасности значимых объектов критической информационной инфраструктуры: силы обеспечения безопасности, ответственное подразделение или работник, требования к привлекаемым организациям. По приказу ФСТЭК России от 21.12.2017 № 235.

Что должно быть в приказе о назначении работника, ответственного за обеспечение безопасности значимых объектов КИИ: функции, права, порядок взаимодействия с ГосСОПКА. По приказу ФСТЭК России от 21.12.2017 № 235.

Что должно быть в положении о системе безопасности значимых объектов критической информационной инфраструктуры: цели и задачи системы, состав сил и средств, порядок функционирования, планирование и контроль. По приказу ФСТЭК России от 21.12.2017 № 235.

Что должно быть в плане мероприятий по защите информации в ГИС: мероприятия по стадиям жизненного цикла системы, периодичность, сроки и ответственные. По приказу ФСТЭК России от 11.04.2025 № 117.

Что должно быть в приказе о создании постоянно действующей комиссии по категорированию объектов КИИ по Федеральному закону от 26.07.2017 №187-ФЗ и Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 №127: состав комиссии по пункту 11 Правил, её задачи и порядок работы. Структура и частые ошибки.

Как оформить перечень объектов критической информационной инфраструктуры, подлежащих категорированию, по ПП РФ №127: какие графы нужны и как объекты связываются с критическими процессами. Во ФСТЭК России перечень не направляется — это рабочий документ комиссии.

Что фиксируется в протоколе заседания комиссии по категорированию объектов КИИ: состав присутствующих, повестка, рассмотренные объекты и решения о категориях значимости. Структура протокола по ПП РФ №127.

Что должно быть в акте категорирования объекта КИИ по Правилам, утверждённым постановлением Правительства РФ от 08.02.2018 №127: обязательные сведения об объекте и о категории значимости, а также разделы, которые комиссии обычно включают, — оценка по показателям, анализ угроз, меры. Кто подписывает и утверждает акт.