Доработанный текст проекта Приказа Министерства связи и массовых коммуникаций РФ "Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации" (подготовлен Минкомсвязью России 25.01.2018)

Досье на проект

В соответствии со статьей 12 и статьей 26 Федерального закона от 7 июля 2003 г. N 126-ФЗ "О связи" (Собрание законодательства Российской Федерации, 2003, N 28, ст. 2895; N 52, ст. 5038; 2004, N 35, ст. 3607; N 45, ст. 4377; 2005, N 19, ст. 1752; 2006, N 6, ст. 636; N 10, ст. 1069; N 31, ст. 3431, ст. 3452; 2007, N 1, ст. 8; N 7, ст. 835; 2008, N 18, ст. 1941; 2009, N 29, ст. 3625; 2010, N 7, ст. 705; N 15, ст. 1737; N 27, ст. 3408; N 31, ст. 4190; 2011, N 7, ст. 901; N 9, ст. 1205; N 25, ст. 3535; N 27, ст. 3873, ст. 3880; N 29, ст. 4284, ст. 4291; N 30, ст. 4590; N 45, ст. 6333; N 49, ст. 7061; N 50, ст. 7351, ст. 7366; 2012, N 31, ст. 4322, ст. 4328; N 53, ст. 7578; 2013, N 19, ст. 2326; N 27, ст. 3450; N 30, ст. 4062; N 43, ст. 5451; N 44, ст. 5643; N 48, ст. 6162; N 49, ст. 6339, ст. 6347; N 52, ст. 6961; 2014, N 6, ст. 560; N 14, ст. 1552; N 19, ст. 2302; N 26, ст. 3366, ст. 3377; N 30, ст. 4229, ст. 4273; N 49, ст. 6928; 2015, N 29, ст. 4342, ст. 4383, ст. 4389; 2016, N 10, ст. 1316, ст. 1318; N 15, ст. 2066; N 18, ст. 2498; N 26, ст. 3873; N 27, ст. 4213, ст. 4221; N 28, ст. 4558; 2017, N 17, ст. 2457; N 24, ст. 3479), приказываю:

1. Утвердить прилагаемые требования по защите сетей связи от несанкционированного доступа и передаваемой по ним информации.

2. Признать не подлежащим применению приказ Министерства информационных технологий и связи Российской Федерации от 09.01.2008 N 1 "Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации" (зарегистрирован Министерством юстиции Российской Федерации 23 января 2008 г., регистрационный N 10993).

3. Направить настоящий приказ на государственную регистрацию в Министерство юстиции Российской Федерации.

4. Установить, что настоящий приказ вступает в силу с 1 декабря 2019 года.

УТВЕРЖДЕНЫ
приказом Министерства связи и массовых
коммуникаций Российской Федерации
от ____________________ N______

Требования
по защите сетей связи от несанкционированного доступа и передаваемой по ним информации

I. Общие положения

1. Требования по защите сетей связи от несанкционированного доступа и передаваемой по ним информации (далее - требования) распространяются на сети электросвязи, входящие в состав сети связи общего пользования, за исключением сетей связи для трансляции телеканалов и (или) радиоканалов.

2. В целях защиты от несанкционированного доступа к сетям связи и передаваемой по ним информации операторы связи принимают организационные и технические меры, направленные на предотвращение доступа к линиям связи, сооружениям связи, средствам связи, находящимся как внутри, так и вне сооружений связи, и передаваемой по сетям связи информации, осуществляемого с нарушением установленного этими операторами связи порядка доступа.

3. Порядок доступа утверждается операторами связи и включает:

а) определение порядка организации пропускного режима на охраняемую территорию, в пределах которой размещаются сооружения связи (далее - охраняемая территория), и порядок охраны этой территории;

б) определение порядка применения на охраняемой территории технических средств защиты, обнаружения и сигнализации;

в) установление перечня и образцов документов, предоставляющих право находиться на охраняемой территории, а также в сооружениях связи и отдельных помещениях, расположенных в пределах охраняемой территории;

г) организационные процедуры оформления допуска к проведению работ со средствами связи и линиями связи, а также работ, связанных с технологической возможностью доступа к информации, передаваемой посредством сети связи, и установление списка лиц, имеющих право на проведение таких работ;

д) определение порядка регистрации событий, связанных с защитой средств связи, линий связи и сооружений связи от несанкционированного доступа и передаваемой по ним информации.

4. В случае, если сети связи и (или) узлы связи отнесены в установленном порядке к значимым объектам критической информационной инфраструктуры, оператор связи принимает дополнительные меры по защите сетей связи и (или) узлов связи, предусмотренные действующими нормативными актами по защите значимых объектов критической информационной инфраструктуры.

5. Узлы связи сетей связи подразделяются на узлы связи I, II, III категории защищенности. Категорирование узлов связи по защищенности приведено в приложении.

II. Требования по защите от несанкционированного доступа к средствам связи и линиям связи сетей связи
и передаваемой по ним информации

6. Для защиты узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи от доступа со стороны неуполномоченных физических лиц, операторы связи обеспечивают:

а) оснащение сооружений связи, в которых размещаются узлы связи, техническими средствами защиты, включая охранную сигнализацию;

б) наличие ограждений, исключающих случайный проход физических лиц и въезд транспорта на охраняемую территорию для узлов связи I и II категории защищенности;

в) организацию охраны узлов связи для узлов связи I и II категории защищенности;

г) оснащение сооружений связи средствами контроля доступа для узлов связи I и II категории защищенности;

д) наличие запирающих устройств для помещений, в которых размещены узлы связи III категории защищенности.

7. Для защиты от несанкционированного доступа к программным средствам узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) принятие мер, исключающих возможность доступа к сетям связи неуполномоченных физических лиц или пользователей, в том числе абонентов,, нарушающих установленный оператором связи порядок доступа к сети связи;

б) контроль подключения к узлам связи технических и программных средств, используемых в процессе эксплуатации узлов связи;

в) регистрацию и последующий контроль действий обслуживающего персонала в процессе эксплуатации узлов и линий связи в соответствии с установленным порядком доступа к средствам и линиям связи;

г) разграничение прав доступа, в том числе использование обслуживающим персоналом идентификационных и аутентификационных кодов;

д) регистрацию фактов доступа неуполномоченных лиц к средствам связи для узлов связи I и II категории защищенности;

е) применение процедуры идентификации пользовательского (оконечного) оборудования в сетях подвижной радиосвязи, сетях подвижной радиотелефонной связи, сетях подвижной спутниковой радиосвязи;

ж) применение процедуры регистрации подключения пользовательского (оконечного) оборудования в сетях передачи данных.

8. Для защиты от несанкционированного доступа к средствам связи, не входящим в состав узлов связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) оснащение контейнеров, в которых размещены средства связи, находящиеся вне сооружений связи, запирающими устройствами, тревожной и охранной сигнализацией;

б) установку распределительных устройств в местах, исключающих или существенно затрудняющих несанкционированный доступ к ним;

в) оборудование распределительных кабельных шкафов запирающими устройствами;

г) осмотр антенно-мачтовых сооружений, линейно-кабельных сооружений, в том числе колодцев кабельной канализации, оконечных кабельных устройств, размещенных в распределительных шкафах и коробках в соответствии с порядком, установленным оператором связи, не реже одного раза в год, и ведение журнала осмотра.

9. Для защиты от несанкционированного доступа к линиям связи, соединяющим узлы связи сетей фиксированной телефонной связи, сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, сетей передачи данных, сетей телеграфной связи операторы связи обеспечивают:

а) установление охранных зон для линий связи между узлами связи в соответствии с Правилами охраны линий и сооружений связи Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 9 июня 1995 г. N 578 (Собрание законодательства Российской Федерации, 1995, N 25, ст. 2396);

б) осмотр линий связи, проводимый в соответствии с порядком, установленным оператором связи, не реже одного раза в год, и ведение журнала осмотра;

в) применение мер организационного и (или) технического характера по обнаружению несанкционированного подключения к проводным линиям связи;

г) размещение линий связи, исключающее возможность доступа к ним без использования каких-либо инструментов или механизмов.

10. Для защиты от несанкционированного доступа к абонентским линиям связи сетей фиксированной телефонной связи, сетей телеграфной связи, сетей передачи данных операторы связи обеспечивают:

а) размещение линий связи затрудняющее возможность доступа к ним без использования каких-либо инструментов или механизмов;

б) осмотр линий связи, проводимый в соответствии с порядком, установленным оператором связи.

11. Для повышения защищенности сетей связи от несанкционированного доступа к программным средствам и программно-аппаратным комплексам средств связи, осуществляемого дистанционно, операторы связи обеспечивают:

а) использование механизмов разграничения доступа на основе перечня разрешенных для каждого субъекта объектов доступа, допустимого временного интервала доступа, типа подключения и иных признаков;

б) применение выделенных каналов, сетей связи или сегментов сетей, а также специализированных информационных систем, используемых для удалённого управления или мониторинга, реализующих требования подпункта "а" настоящего пункта;

в) использование для дистанционного доступа коммуникационных протоколов, не позволяющих в случае перехвата трафика получить доступ к передаваемой информации, если такой доступ реализуется с использованием открытых/публичных сетей связи, каналов связи или их фрагментов;

г) предоставление абоненту рекомендаций по обеспечению защиты от несанкционированного доступа в отношении оборудования и (или) программного обеспечения, в случае использования для оказания услуг связи оборудования и (или) программного обеспечения предоставляемых абонентом;

д) контроль и регистрацию событий, связанных с доступом к сетям связи в электронном или ином виде, пригодном для последующей обработки и анализа.

12. Для защиты от несанкционированного доступа к информации, передаваемой посредством сетей подвижной радиосвязи, сетей подвижной радиотелефонной связи, сетей подвижной спутниковой радиосвязи, операторы связи обеспечивают реализацию процедур аутентификации и идентификации абонентов с использованием средств криптографической защиты информации, удостоверенных сертификатами соответствия требованиям федерального органа исполнительной власти в области обеспечения безопасности к шифровальным (криптографическим) средствам класса КА для оборудования коммутации узлов связи и класса КС3 для модуля идентификации абонентов USIM (R-UIM) в составе абонентского оборудования.

13. Оператор связи в случае обнаружения признаков компьютерной атаки на средства связи оператора связи, а так же средства связи иных операторов связи при пропуске трафика, предпринимает меры по защите сетей и средств связи в соответствии с порядком, установленным оператором связи и действующими нормативными актами.

14. Факт обнаружения признаков компьютерной атаки регистрируется оператором связи в электронном или ином виде, пригодном для последующей обработки и анализа.

III. Требования к контролю и регистрации событий, связанных с несанкционированным доступом к сетям связи
и передаваемой по ним информации

15. События, связанные с несанкционированным доступом к сетям связи и передаваемой по ним информации (далее - события), регистрируются в электронном или ином виде, пригодном для последующей обработки и анализа.

Регистрационная запись события содержит:

а) указание на средство связи или линию связи к которым был осуществлен несанкционированный доступ и их условное обозначение;

б) описание события;

в) описание последствия события;

г) дату и время события и (или) регистрации события;

д) указание на техническое средство или лицо, выявившее событие.

16. Операторами связи проводится анализ выявленных событий, причин и условий их возникновения для предотвращения возникновения событий, связанных с несанкционированным доступом к сети связи и к передаваемой по ней информации, в процессе эксплуатации сети связи.

По результатам указанного анализа составляются заключение и план-график работ, направленных на предотвращение возникновения в дальнейшем событий, связанных с несанкционированным доступом к сети связи.

Результаты работ, проведенных в соответствии с планом-графиком, отражаются в эксплуатационных документах.

________________

Категорирование узлов связи по защищенности

_____________