Класс защищенности автоматизированной системы - гражданское законодательство и судебные прецеденты

заключения контракта КГКУ «Хабаровскуправтодор» направило в адрес исполнителя письмо от 26.06.2020 № 4504-10, в котором вновь просило подтвердить соответствие информационной системы требованиям к защите персональных данных при их обработке в информационных системах, в соответствии с Приказом ФСТЭК России от 18.02.2013 № 21; предоставить сведения, подтверждающие оказание услуг с применением автоматизированного рабочего места, соответствующего третьему классу защищенности государственных информационных систем и третьему или четвертому уровню защищенности персональных данных, а также представить список лиц, допущенных к обработке персональных данных. Письмом от 26.06.2020 № 23/20П ООО «Паблисити» сообщило, что автоматизированное рабочее место соответствует третьему классу защищенности государственных информационных систем и соответствует четвертому уровню защищенных данных, и указало список лиц, допущенных к обработке персональных данных, не представив при этом подтверждающих документов. Учреждением в адрес исполнителя направлено требование от 29.06.2020 № 4569-10 о представлении документов, подтверждающих оказание услуг с применением автоматизированного рабочего места, отвечающего установленным требованиям, произвести подключение к защищенной локальной сети Заказчика, а также

целью оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации. Выбор мер защиты информации осуществляется исходя из класса защищенности информационной системы, определяющего требуемый уровень защищенности содержащийся в ней информации, и угроз безопасности информации, включенных в модель угроз безопасности информационной системы, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования. Акционерное общество «ЦентрИнформ» как действующий лицензиат ФСТЭК России (лицензия ФСТЭК России №0849 от 23 июля 2009г.) корректно выдало Аттестат соответствия. Выданный аттестат соответствия легитимен, потому что проведенные аттестационные испытания, в ходе которых осуществлялась проверка функций системы защиты информации АИС «УГНЖ» в реальных условиях на соответствие требованиям безопасности информации, на основании положительного Заключения (п. 3.1.1 «Выводы», п. 3.2. «Выводы» на стр. 11 и стр. 23 Протокола проведения аттестационных испытаний объекта информатизации - «Автоматизированная информационная система «Учет граждан, нуждающихся в жилых помещениях на территории Республики Башкортостан» на соответствие требованиям по безопасности информации № 94 /18 КТ

конкурсной документации. Предметом аукциона являлась поставка средств защиты конфиденциальной информации. Описание, количество и функционал средств защиты определяются техническим заданием. В разделе «Требования по стандартизации» пункта 12 «Техническое задание» документации об аукционе установлено требование, согласно которому аппаратный идентификатор должен иметь сертификат Федеральной службы по техническому и экспортному контролю, подтверждающий возможность применения для аутентификации пользователей в автоматизированных системах, обрабатывающих конфиденциальную информацию, и возможность использования при проектировании автоматизированных систем до класса защищенности 1Г включительно в соответствии с требованиями руководящего документа Государственной технической комиссии «Автоматизированные системы . Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации». В соответствии с требованиями руководящего документа «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации», утвержденного решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30.03.1992 года, в случае предполагаемого применения электронного ключа в автоматизированной системе, предназначенной для обработки информации ограниченного доступа, он должен

при выявлении ошибок в формате данных исправить их, для возможности корректной загрузки информации в АИС. 2. Установка АИС на оборудовании исполнителя. 3. Импорт выверенных данных по объектам в АИС. 4. Обучение сотрудников органов управления образования и образовательных организаций. Согласно подпункту 3.20.1 пункта 3 Раздела 2 тома 2 аукционной документации исполнитель должен обладать Платформой, на которой размещена АИС, соответствующей требованиям нормативной документации по организационно-технической защите информации, по защите информации от несанкционированного доступа по классу защищенности 1Г для автоматизированных систем , на платформе возможно обрабатывать персональные данные до класса К1 включительно. Исполнитель должен течение 20 дней представить документ, подтверждающий соответствие Платформы требованиям технического задания документации об Электронном аукционе. От платформы исполнителя должен быть организован канал передачи данных до центральной точки ведомственной сети передачи данных заказчика. Криптозащита канала передачи данных должна быть организована от Платформы исполнителя до центральной точки заказчика: <...>. Таким образом, потребностью заказчика является получение услуги по внедрению автоматизированной информационной системы,

выбора средств защиты информации. Следовательно, отсутствие информации о мерах защиты информации, подлежащих реализации в информационной системе, класса защищенности информационной системы не позволяет спрогнозировать количественный состав, требования к средствам защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, выбор которых осуществляется на этапе проектирования системы защиты в ходе выполнения работ. Тогда как, организация, имеющая исключительный доступ к информации (модель угроз, типовая модель угроз, требования), имеет возможность спрогнозировать состав, виды, тип и требования, предъявляемые к средствам защиты информации, включая затраты на выполнение работ, в отличие от иных потенциальных участников аукциона. В рассматриваемом случае, как указывалось выше, полнотой информации об особенностях исполнения контракта обладало только ФГУП «НПП «Гамма», которое фактически являлось разработчиком модели угроз безопасности персональных данных центрального сегмента, типовой модели угроз безопасности персональных данных удаленного рабочего места, требований к типовому удаленному автоматизированному рабочему месту. Изъявив желание на подачу заявки на участие в данных торгах, другие участники не обладали