По поручению направляю Вам «Инструкцию по обеспечению режима секретности при обработке секретной информации на средствах вычислительной техники» для руководства в работе с секретной информацией. Инструкцию разрешается размножать в необходимом количестве и направлять в подчиненные органы управления.
    Приложение: «Инструкция по обеспечению режима ...», № СО-108ис/ДСП экз. №__, для служебного пользования, только в адрес.

    
    

    


Для служебного пользования
экз. №___

№ СО-108ис/ДСП

31 августа 2006г.

    
Инструкция
по обеспечению режима секретности при обработке секретной
информации на средствах вычислительной техники

    
I. Общие положения

    
    1.1. Настоящая инструкция разработана в соответствии со Специальными требованиями и рекомендациями по защите информации, составляющей государственную тайну, от утечки по техническим каналам и Инструкцией по обеспечению режима секретности в Российской Федерации, утвержденной постановлением Правительства Российской Федерации от 5 января 2004 г. № 3-1 (Инструкция № 3-1) и определяет единый порядок применения средств вычислительной техники (СВТ) для обработки информации, содержащей государственную тайну, в Министерстве транспорта Российской Федерации.
    1.2. Для СВТ, предназначенных для обработки секретной информации, создается система защиты секретной информации (СЗСИ), которая включает в себя совокупность организационных мероприятий, технических и программных средств, направленных на обеспечение сохранности секретной информации во время ее обработки путем предотвращения случаев несанкционированного доступа к ней или ее утечки за счет побочных электромагнитных излучений и наводок.
    1.3. Обработка секретной информации на СВТ разрешается только после завершения работ по созданию СЗСИ, проведения специальных исследований, специальных проверок и аттестационных испытаний на соответствие требованиям безопасности информации и введения в действие инструкции по эксплуатации СЗСИ.
    1.4. После приемки СЗСИ назначаются должностные лица, ответственные за ее эксплуатацию (приложение 2).
    1.5. Обработка секретной информации разрешается только в помещениях режимно-секретного и мобилизационного подразделений.
    1.6. Особенности обработки шифрованной информации на СВТ должны быть определены специальным нормативным документом.
    1.7. Запрещается обработка секретной информации на СВТ, имеющих выход в общедоступные (открытые, международные) и локальные (общего применения) телекоммуникационные сети.
    1.8. Контроль за выполнением требований настоящей инструкции осуществляется работниками режимно-секретного подразделения (РСП) и специалистами по защите информации.
    

II. Термины и определения

    
    2.1. Секретная информация - информация, имеющая гриф секретности «совершенно секретно» или «секретно», если степень ее секретности не оговаривается особо.
    2.2. Обработка секретной информации - сбор, подготовка, ввод, накопление, хранение, преобразование, вывод, отображение, а также прием и передача по каналам связи.
    2.3. Съемные Машинные носители информации (МНИ) - устройства, обеспечивающие хранение информации отдельно от СВТ. К таким устройствам относятся: дискеты, магнитооптические диски, съемные винчестеры и т.п.
    2.4. Машинные документы - входные, промежуточные и выходные документы, обрабатываемые на СВТ.
    2.5. Лица, эксплуатирующие СВТ - к ним относятся ответственные за эксплуатацию, пользователи, лица, производящие техническое обслуживание и ремонт.
    2.6. Пользователи СВТ - лица, производящие обработку секретной информации на СВТ.
    

III. Обязанности должностных лиц, эксплуатирующий СВТ,
предназначенные для обработки секретной информации

    
    3.1. Руководители организаций (подразделений организации), эксплуатирующих СВТ, предназначенные для обработки секретной информации, обязаны:
    - осуществлять мероприятия по обеспечению режима секретности при обработке на СВТ секретной информации, недопущению несанкционированного доступа (НСД) к секретной информации, предотвращению утечки и исключению случаев разрушения секретной информации;
    - назначать ответственных за эксплуатацию СВТ и пользователей, допущенных к работе на СВТ и секретной информации.
    - сообщать в режимно-секретный орган и органы Федеральной службы безопасности Российской Федерации о фактах и попытках несанкционированного доступа к секретной информации;
    - вносить предложения по совершенствованию режима секретности, системы защиты секретной информации для СВТ;
    - принимать необходимые меры к усилению информационной безопасности СВТ.
    3.2. Лица, эксплуатирующие СВТ, обязаны:
    - обеспечивать надежное хранение и правильное использование, полученных для работы секретных МНИ, осуществлять установленный режим разграничения доступа;
    - незамедлительно докладывать обо всех фактах и попытках НСД к секретной информации, а также о случаях утечки и разрушения обрабатываемой на СВТ секретной информации своему непосредственному руководителю и в РСП;
    - обеспечивают наличие и ведение необходимой документации для СВТ;
    - участвовать в проведении расследования выявленных случаев НСД к секретной информации, ее утечки, разрушения и утраты МНИ.
    Лицам, эксплуатирующим СВТ, запрещается проводить на СВТ обработку секретной информации и выполнять другие работы, не обусловленные заказом (заданием, запросом) и инструкциями по эксплуатации СВТ, обрабатывать секретную информацию, имеющую гриф «особой важности».
    3.3 Пользователи СВТ обязаны:
    - устанавливать степень секретности входных (до обработки на СВТ) и выходных (после обработки на СВТ) машинных документов и срок (время) их хранения;
    - соблюдать установленные требования по учету, хранению и пересылке предназначенных для обработки, а также получаемых после обработки на СВТ секретных МНИ и машинных документов;
    - совместно с руководителем подразделения, эксплуатирующего СВТ, соблюдать режим разграничения доступа;
    - использовать штатные средства технической защиты информации;
    - немедленно сообщать в РСП и руководителю подразделения, эксплуатирующего СВТ, о случаях получения из СВТ секретной информации, не соответствующей заказу (заданию, запросу).
    3.4. Ответственность за обеспечение режима секретности и информационной безопасности при использовании СВТ, предназначенных для обработки секретной информации, возлагается на руководителя организации, в ведении которого находится эта информация.
    Ответственность за обеспечение режима секретности во время проведения работ несет пользователь СВТ.
    

IV. Режим секретности при организации и проведении
работ на СВТ

    
    4.1. Помещения, в которых, размещаются СВТ, предназначенные для обработки секретной информации, должны удовлетворять требованиям, предъявляемым к режимным помещениям, в соответствии с разделом 12 Инструкции № 3-1 и исключать возможность проникновения посторонних лиц. В такие помещения допускаются лица по списку, определенному руководителем РСП. Уборка и ремонт в помещении ведутся под контролем ответственного за помещение.
    4.2. Размещение, установка, подключение и состав СВТ, а также их взаимное расположение с другим оборудованием и коммуникациями должны соответствовать, указанным в техническом паспорте. Меры по предотвращению утечки по техническим каналам должны определяться в ходе специальных исследований и устанавливаться в соответствии с рекомендациями раздела 5 СТР-97. Вокруг СВТ должна обеспечиваться контролируемая зона, установленная предписанием на эксплуатацию.
    4.3. Размещение СВТ на рабочих местах пользователей осуществляется таким образом, чтобы исключить возможность считывания информации с дисплеев лицами, не имеющими непосредственного отношения к обрабатываемой информации.
    4.4. Перемещение СВТ или переоборудование помещений, в которых они расположены (прокладка кабелей, изменение состава окружающего оборудования или его перемещение, изменение границ контролируемой зоны), проводятся с последующей проверкой эффективности мер и средств защиты, отражением изменений и результатов в техническом паспорте СВТ.
    4.5. На основании предписания по эксплуатации устанавливаются и используются сертифицированные средства защиты информации. Перед началом работы необходимо убедиться в подключении предусмотренных средств защиты информации. Недопустимо их сознательное отключение во время работы.
    4.6. Обработка информации обуславливается заданием руководителя организации и должна производится в соответствии с перечнем секретной информации, разрешенной к обработке с использованием СВТ (Перечень), который утверждается руководителем организации. Перечень формируется заказчиком (исполнителем), отражает наименование или номер СВТ, тематику информации, сведения об используемых типах МНИ, степень их секретности, данные о заказчике (исполнителе). Перечень согласуется с РСП.
    4.7. На основании Перечня формируется список исполнителей, допускаемых к обработке, секретной информации (приложение 2) распоряжением руководителя организации (в Министерстве, службе, агентстве - руководителя структурного подразделения) по согласованию с РСП. Эти лица должны иметь допуск к государственной тайне, оформленный в соответствии с требованиями, «Инструкции о порядке допуска должностных лиц и граждан Российской Федерации к государственной тайне», утвержденной постановлением Правительства Российской Федерации от 28 октября 1995 г. № 1050 (Инструкция № 1050).
    4.8. Установленная в организации система разграничения доступа должна обеспечивать контроль за использованием СВТ, избирательность доступа исполнителей к СВТ и информации в зависимости от ее тематики, роли исполнителей в технологическом процессе обработки информации, невозможность использования СВТ посторонними лицами, соответствовать классу СВТ. Система разграничения доступа реализуется с помощью организационных мероприятий и (или) технических средств, таких как: контроль посещения помещения, в котором установлены СВТ; надзор ответственного за эксплуатацию за пользователями; использование индивидуальных ключей и паролей для запуска СВТ; установка прав на использование технических и программных средств, информационных ресурсов; разграничение доступа с помощью встроенных сертифицированных средств защиты от НСД, в том числе аппаратно-программные модули доверенной загрузки. Эти мероприятия определяются, как правило, при проектировании технологии обработки информации или аттестации СВТ и отражаются в технической документации. Принятая система разграничения доступа должна быть утверждена руководителем организации и реализуется ответственным за эксплуатацию СВТ.
    4.9. Допуск к информационным ресурсам, техническим и программным средствам при коллективном пользовании СВТ должен дополнительно предусматривать четкое распределение их по уровням полномочий пользователей, совместным областям, и способу использования ресурсов и средств (просмотр, редактирование, ввод, вывод и др.), фиксацию процедур (действий пользователей).
    4.10. Санкционированный доступ к работе на СВТ и с секретной информацией обеспечивается применением индивидуального пароля (ключа), который регистрируется ответственным за эксплуатацию СВТ в журнале регистрации паролей (ключей) доступа к обработке секретной информации, с использованием СВТ (приложение 1).;
    В случае изменения пароля (ключа) исполнитель обязан поставить в известность работника РСП, который осуществляет его перерегистрацию.
    4.11. Проверка наличия в СВТ пароля (ключа) и его соответствия регистрационным данным проводятся работниками РСП не реже одного раза в квартал, о чем делается отметка в примечании журнала регистрации паролей (ключей) доступа к информации СВТ (приложение 1), с проставлением даты проверки.
    4.12. Порядок допуска к обработке информации и техническому обслуживанию СВТ сотрудников сторонних организаций (командированных лиц) осуществляется в соответствии с требованиями раздела 4 Инструкции № 1050 с предъявлением справок о форме допуска.
    4.13. На время проведения технического обслуживания или ремонта СВТ все носители секретной информации должны быть извлечены из СВТ. Проверка работоспособности СВТ и отладка программ проводится на несекретных массивах информации. При изменении состава вычислительной техники или модернизации СВТ необходимо повторное проведение аттестации СВТ.
    4.14. Для исключения несанкционированного доступа внутрь корпусов составных частей вычислительной техники они должны быть опечатаны печатью представителя органа аттестации (сертификации).
    4.15. Передача (направление) секретных МНИ, машинных и иных документов на другие объекты вычислительной техники осуществляется через РСП порядком, установленным для секретных документов.
    4.16. Запись секретной информации с использованием СВТ разрешается только на съемные МНИ, учтенные в режимно-секретном подразделении. Секретная информация, оставшаяся на рабочих (промежуточных) МНИ, оперативной памяти, после выполнения заказа (задания, запроса), должна стираться пользователем СВТ или автоматически (специальными программами).
    4.17. Отклонения в технологии обработки информации, работе СВТ и средств защиты, нарушения режима секретности, допущенные исполнителями, анализируются РСП, ответственным за эксплуатацию СВТ и при необходимости принимаются меры по их устранению. Случаи, требующие расследования, незамедлительно докладываются руководителю организации. По установленным фактам и попыткам несанкционированного доступа к секретной информации, появления вредоносных программ, а также случаям утечки секретной информации проводятся служебные расследования в соответствии с разделом 18 Инструкции № 3-1.
    

V. Учет, хранение, размножение, уничтожение подготовленных
документов магнитных и секретных носителей информации

    
    5.1. Степень секретности информации, содержащейся на рабочих (промежуточных) МНИ, машинных и иных документах, определяется разработчиком задачи (задания, запроса) по согласованию с пользователем СВТ в соответствии с разделом 4 Инструкции № 3-1. Количество необходимых рабочих (промежуточных) МНИ, их тип, и гриф секретности указывается разработчиком задачи или исполнителем, ответственным за выполнение заказа (задания, запроса).
    5.2. Запись и хранение секретной информации, обрабатываемой на СВТ, осуществляется только на съемных МНИ. Съемные МНИ, предназначенные для обработки и хранения секретной информации, учитываются в РСП в журнале учета МНИ и машинных документов (форма 25). Съемные жесткие диски должны быть сертифицированы (аттестованы) совместно с дисководом.
    5.3. МНИ, предназначенный для записи секретной информации, перед выдачей исполнителю (пользователю), согласно заказу (заданию, запросу), предварительно учитывается в РСП. Работник РСП, ответственный за их учет, регистрирует МНИ в журнале учета МНИ и машинных документов (форма 25), проставляет штамп для маркировки МНИ и машинных документов (далее именуется штамп) и заполняет реквизиты штампа. В штампе отражаются: наименование организации, учетный номер, гриф секретности, количество экземпляров и номер экземпляра, фамилия исполнителя, дата регистрации.
    Штамп проставляется: на гибком магнитном диске, магнитно-оптическом диске и съемном магнитном диске - на защитном корпусе; на лазерном диске - на лицевой (нерабочей) стороне.
    При невозможности проставления штампа допускается наклеивание ярлыка с его оттиском или нанесение его реквизитов от руки заметным красителем.
    5.4 Секретные МНИ и машинные документы хранятся в специальных хранилищах или металлических шкафах (сейфах), опечатываемых лицами, ответственными за их хранение. В хранилищах хранение МНИ и машинных документов осуществляется в папках, коробках, контейнерах и т.п., на которые могут наклеиваться ярлыки с копией штампа, стоящего на МНИ и машинных документах, хранящихся в них.
    5.5. Съемные МНИ, поступающие из других организаций, регистрируются в пакетно-контрольном журнале (форма 40), а затем в журнале учёта машинных носителей информации и машинных документов (форма 25).
    В случае поступления МНИ с сопроводительным письмом, после регистрации пакета в контрольно-пакетном журнале (форма 40), сопроводительное письмо с приложением учитывается в журнале учета входящих документов (форма 30), а приложение (МНИ) регистрируется в журнале учета МНИ и машинных документов (форма 25), в примечании в журнале учета входящих документов (форма 30) делается отметка о регистрации приложения и проставляется его учётный номер.
    5.6. Выдача учтённых МНИ исполнителям производится под расписку в журнале учета МНИ и машинных документов (форма 25) или по карточке учета выдачи носителей сведений, составляющих государственную тайну (форма 36).
    5.7. Для обеспечения гарантированного сохранения секретной информации, допускается ее запись (копирование) на резервных учтенных МНИ. Необходимость хранения одной и той же информации в двух экземплярах определяется исполнителем.;
    5.8. При необходимости долговременной работы исполнителя со съемным МНИ, он вносится им во внутреннюю опись документов, находящихся у исполнителя (форма 2) и хранится в его спецчемодане. После завершения работы МНИ сдаётся на хранение в РСП.
    5.9. Сменный МНИ должен иметь гриф секретности, соответствующий наивысшему грифу записанной на нем информации. Распечатанный документ не может иметь гриф секретности выше указанного на МНИ, с которого он печатается.
    5.10. Секретная информация, записанная на МНИ может стираться, если она устарела и не требуется в работе. Учет стирания осуществляется с составлением акта о стирании секретной информации, уничтожения машинных носителей секретной информации, машинных документов (форма 26) и отражается в журнале учета МНИ и машинных документов (форма 25).
    После удаления с МНИ секретной информации, они остаются на учете и хранении в РСП и в последующем могут использоваться для записи другой секретной информации.
    5.11. В случае порчи МНИ (невозможности доступа к секретной информации, размещенной на нем), или отсутствии надобности в нем, носитель уничтожается либо механическим путем (измельчением), либо путем сожжения с составлением- акта о стирании секретной информации, уничтожения машинных носителей секретной информации, машинных документов (Форма 26) и отражением этого в журнале учета МНИ и машинных документов (Форма 25).
    5.12. Учтенные МНИ могут использоваться в качестве блокнота для составления проектов секретных документов. В этом случае в графе 4 журнала учёта подготовленных документов (Форма 33) проставляется учётный номер магнитного носителя и имя файла. Отработанный файл стирается (специальной программой), а в графе 10 журнала учёта подготовленных документов (форма 33) делается отметка: «Файл стерт», дата стирания, подписи сотрудника РСП и исполнителя.
    5.13. МНИ, содержащие постоянные массивы информации (базы данных, справочники т. п.) должны иметь описи, в которых отражается структура информации, ее степень секретности и объем.
    5.14. Распечатка подготовленных на СВТ документов разрешается только в режимных помещениях, отвечающим требованиям раздела 12 Инструкции № 3-1 и на аттестованных СВТ. Документы оформляются в соответствии с требованиями, установленными для секретных документов.
    5.15. Для распечатки подготовленных документов, исполнителям выдаются учтенные в РСП листы (бланки). Учет подготовленных документов ведется в журнале учета подготовленных документов (форма 33). На отпечатанном секретном документе указывается учетный номер МНИ и имя файла.
    Забракованные при подготовке и обработке бланки и листы бумаги, с отпечатанными секретными сведениями, подлежат ежедневной сдаче в РСП для уничтожения.;
    5.16. Списание СВТ проводится следующим порядком: составляется акт об уничтожении, входящих в состав СВТ несъемных накопителей на жестких магнитных дисках (НЖМД), после чего НЖМД уничтожаются, а СВТ снимается с учета.
    
    
    

    Приложение № 1
    (к п. п. 4.10, 4.11)

    
Журнал учёта паролей (ключей) доступа к информации СВТ.

    
    
Приложение № 2
(к п.п. 1.4, 4.7)

    
РАСПОРЯЖЕНИЕ
о допуске к работе по обработке секретной информации и
назначении ответственного за эксплуатацию СВТ.

    
    1. ДЛЯ ВЫПОЛНЕНИЯ Задач (наименование) в соответствии с инструкцией по обеспечению режима секретности при обработке секретной информации на СВТ допустить:

к обработке (гриф секретности) Информации На СВТ (учетный номер),
установленной в помещении № ____ , Подразделения (наименование).
    2. Назначить ответственным за эксплуатацию СВТ (учетный номер) и
системы защиты секретной информации (наименование должности, фамилия, имя и отчество).
    
    Руководитель структурного
    подразделения (руководитель
    предприятия)
    
    Согласовано
    Руководитель РСП __________
    
    Примечание:

    
    
    Указанные в таблице формы документов, приведены в Инструкции № 3-1.