РФ. Методические рекомендации по документации в области обеспечения информационной безопасности в соответствии с требованиями СТО БР ИББС-1.0". 7.1.2. Положения подразделов 7.2 - 7.11 настоящего стандарта образуют базовый набор требований к СИБ, применимый к большинству организаций БС РФ. В соответствии с особенностями конкретной организации БС РФ данный базовый набор требований может быть расширен путем выполнения деятельности в рамках процессов СМИБ организации БС РФ, например, определения области действия СОИБ организации БС РФ, анализа и оценки рисков нарушения ИБ. 7.1.3. Требования к СИБ должны быть сформированы в том числе для следующих областей: - назначения и распределения ролей и обеспечения доверия к персоналу; - обеспечения ИБ на стадиях ЖЦ АБС; - защиты от НСД и НРД, управления доступом и регистрацией всех действий в АБС, в телекоммуникационном оборудовании, автоматических телефонных станциях и т.д.; - антивируснойзащиты ; - использования ресурсов сети Интернет; - использования СКЗИ; - защиты банковских платежных и информационных технологических процессов, в
от 26.10.2020 были истребованы материалы дела из Арбитражного суда города Москвы. Согласно положениям части 7 статьи 291.6 Арбитражного процессуального кодекса Российской Федерации кассационная жалоба подлежит передаче для рассмотрения в судебном заседании Судебной коллегии Верховного Суда Российской Федерации, если изложенные в ней доводы подтверждают наличие существенных нарушений норм материального права и (или) норм процессуального права, повлиявших на исход дела, и являются достаточным основанием для пересмотра оспариваемых судебных актов в кассационном порядке. При изучении доводов кассационной жалобы по материалам истребованного дела и принятых по делу судебных актов установлены основания для передачи упомянутой жалобы вместе с делом для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации. Как следует из материалов дела, между истцом (государственный заказчик) и ответчиком (исполнитель) заключен государственный контракт от 18.03.2016 № 1616187148191592562001539 (далее – контракт) на оказание услуг по комплексу антивируснойзащиты для средств вычислительной техники «Антивирус» для нужд Министерства обороны Российской Федерации, по
дело на новое рассмотрение в суд первой инстанции. Определением судьи Верховного Суда Российской Федерации Першутова А.Г. от 10.12.2020 кассационная жалоба истца вместе с делом передана для рассмотрения в судебном заседании Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации. Изучив материалы дела, проверив в соответствии с положениями статьи 291.14 Арбитражного процессуального кодекса Российской Федерации законность обжалуемых судебных актов в пределах доводов, изложенных в кассационной жалобе и отзыве на нее, выслушав представителей участвующих в деле лиц, судебная коллегия установила следующее. Между истцом (государственный заказчик) и ответчиком (исполнитель) заключен государственный контракт от 18.03.2016 № 1616187148191592562001539 (далее – контракт) на оказание услуг по комплексу антивируснойзащиты для средств вычислительной техники «Антивирус» для нужд Министерства обороны Российской Федерации, по условиям которого срок исполнения обязательств не позднее 31.03.2016. Поскольку обязательства по контракту были исполнены ответчиком с нарушением срока, истец направил ответчику претензию от 12.05.2016 № 212/6/1508 об уплате неустойки в размере 3 768 188
части 3 статьи 66 названного Федерального закона. Учитывая необходимость детализации функций программного продукта для нужд Учреждения Минтруда и актуальное продление действующей лицензии, отсутствие требований законодательства к составу первой части заявки на закупку результатов интеллектуальной деятельности, пунктом 38 документации об аукционе были установлены определенные, перечисленные выше требования к содержанию первой части заявки. Между тем, Бюро экспертизы производилась закупка услуги без товара, что предусмотрено положениями пункта 2 части 3 статьи 66 Закона о контрактной системе. Предметом закупки являлась услуга по продлению неисключительных (ограниченных) прав на программное обеспечение для антивируснойзащиты , уже установленной Организатором аукциона. Из материалов дела также следует, что в описании объекта закупки содержится указание на товарный знак производителя (Kaspersky Endpoint Security) без указания возможности поставки эквивалента с конкретными характеристиками, в связи с чем в силу подпункта «б» пункта 2 части 3 статьи 66 названного Федерального закона информация о таких конкретных показателях товара не должна включаться в состав первой части
в силу приведенных норм Положения №254-П перечень мер, являющихся достаточными для подтверждения целевого использования заемщиком полученной ссуды, определяется банком самостоятельно. В этой связи каких-либо препятствий обществу проанализировать свои внутренние документы и дополнить их с учетом результатов инспекционной проверки не имеется. Как уже было указано выше, нарушение абзаца 2 пункта 2.7.1 Положения №382-П, отраженное в абзаце 2 пункта 6 оспариваемого предписания, сложилось на счет неприменения обществом к рабочим станциям, включенным в локальную вычислительную сеть банка, антивирусного программного обеспечения. Согласно пункту 2.7.1 данного Положения оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры, на средствах вычислительной техники, включая банкоматы и платежные терминалы, при наличии технической возможности. Из материалов дела следует, что в банке в качестве рабочих станций сотрудником по обслуживанию клиентов банка используются современные офисные ПЭВМ, в
обществу, что доводы последнего со ссылкой на п. 1.6 Положения о сертификации средств защиты информации по требованиям безопасности информации, утвержденного Приказом Гостехкомиссии РФ от 27.10.1995 № 199 (далее – Положение о сертификации) являются необоснованными. Суд указывает, что Перечень средств защиты информации, подлежащей обязательной сертификации, приведен в приложении № 1 к Положению о сертификации. В соответствии с приложением № 1 к Положению о сертификации к средствам защиты информации, подлежащим обязательной сертификации, относятся антивирусные программы, межсетевые экраны, средства автоматизированного анализа защищенности, обнаружения атак и уязвимостей АС, средства контроля эффективности применения защиты информации (пункты 2.6, 2.15, 2.19, 3). Таким образом, программный продукт общества содержит средства защиты информации, которые входят в Перечень средств защиты информации, подлежащей обязательной сертификации. Следовательно, очевидно, что программное обеспечение общества подлежит обязательной сертификации. Кроме того, в соответствии с п. 1 Положения о сертификации средств защиты информации, утвержденного постановлением Правительства РФ от 26.06.1995 № 608 (далее - Положение) технические, криптографические,
по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной обеспечивают использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры, на средствах вычислительной техники, включая банкоматы и платежные терминалы, при наличии технической возможности. В соответствии с требованиями Положения № 382-П в Банке «ИТУРУП» (ООО) установлено специализированное антивирусное ПО на серверах, рабочих станциях, непосредственно с которых осуществляется направление электронных сообщений в целях перевода денежных средств, а также на рабочих станциях, на которых предоставлен доступ в сеть Интернет. Ссылаясь на пункт 2.7.1 Положения № 382-П, заявитель указал, что технические средства защиты информации должны быть установлены на средствах вычислительной техники при наличии технической возможности, что не исследовано проверкой. Предписание не содержит конкретный перечень ПЭВМ, на которых отсутствует антивирусное программное обеспечение. Рабочей группой проверки не установлено отсутствие во внутренних документах Банка «ИТУРУП» (ООО) информации, предусмотренной требованиями пункта 2.9.3. Положения № 382-П. В
