ИПС "Әділет"

Қазақстан Республикасының Үкіметі ҚАУЛЫ ЕТЕДІ:

1. "Ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптарды бекіту туралы" Қазақстан Республикасы Үкіметінің 2016 жылғы 20 желтоқсандағы № 832 қаулысына мынадай өзгерістер мен толықтырулар енгізілсін:

көрсетілген қаулымен бекітілген ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптарда:

1-тармақ мынадай редакцияда жазылсын:

"1. Ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (бұдан әрі – БТ) "Ақпараттандыру туралы" Қазақстан Республикасы Заңының (бұдан әрі – Заң) 6-бабының 3) тармақшасына сәйкес әзірленді және ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы талаптарды айқындайды.";

6-тармақ мынадай редакцияда жазылсын:

"6. Осы БТ мақсаттары үшін оларда мынадай анықтамалар пайдаланылады:

1) ақпаратты өңдеу құралдарымен байланысты активті таңбалау – активті кейіннен сәйкестендіру (тану), оның қасиеттері мен сипаттамаларын көрсету мақсатында оған шартты белгілерді, әріптерді, сандарды, графикалық белгілерді немесе жазуларды түсіру;

2) ақпаратты криптографиялық қорғау құралы (бұдан әрі – АКҚҚ) – криптографиялық түрлендіру алгоритмдерін, шифрлау кілттерін генерациялауды, қалыптастыруды, бөлуді немесе басқаруды іске асыратын бағдарламалық қамтылым немесе аппараттық-бағдарламалық кешен;

3) ақпаратты өңдеу құралдарымен байланысты активтер (бұдан әрі – актив) – ақпарат болып табылатын немесе ақпаратты қамтитын немесе ақпаратты өңдеу, сақтау, беру үшін қызмет ететін және ұйымның мақсаттарына қол жеткізу және оның қызметінің үздіксіздігі мүддесі үшін құндылығы бар материалдық немесе материалдық емес объект;

4) ақпараттық қауіпсіздік жөніндегі техникалық құжаттама (бұдан әрі – АҚ ТҚ) – ақпараттандыру объектілерінің және (немесе) ұйымның АҚ-ны қамтамасыз ету процестеріне қатысты саясатты, қағидаларды, қорғау шараларын белгілейтін құжаттама;

5) ақпараттық қауіпсіздік оқиғаларының мониторингі (бұдан әрі – АҚ оқиғаларының мониторингі) – ақпараттық қауіпсіздік оқиғаларын анықтау және сәйкестендіру мақсатында ақпараттандыру объектісін ұдайы қадағалау;

6) масштабталу – ақпараттандыру объектісінің өңделетін ақпарат көлемінің және (немесе) бір мезгілде жұмыс істейтін пайдаланушылар санының өсуіне қарай өзінің өнімділігін арттыру мүмкіндігін қамтамасыз ету қабілеті;

7) бағдарламалық робот – іздеу жүйесінің немесе мониторинг жүйесінің веб-беттерді автоматты түрде және (немесе) берілген кесте бойынша қарап шығуды орындайтын, веб-беттерде табылған сілтемелермен өтіп, олардың мазмұнын оқитын және индекстейтін бағдарламалық қамтылымы;

8) жабдықты жүктелмеген (суық) резервтеу – ақпараттық жүйені немесе электрондық ақпараттық ресурсты жедел қалпына келтіру мақсатында жұмысқа дайындалған және белсенді емес режимде тұрған қосымша серверлік және телекоммуникациялық жабдықты, бағдарламалық қамтылымды пайдалану;

9) жабдықты жүктелген (қызу) резервтеу – ақпараттық жүйенің, электрондық ақпараттық ресурстың өткізу қабілетін, сенімділігі мен істен шығуға төзімділігін икемді және жедел ұлғайту мақсатында қосымша (артық) серверлік және телекоммуникациялық жабдықты, бағдарламалық қамтылымды пайдалану және оларды белсенді режимде ұстау;

10) жұмыс станциясы – қолданбалы міндеттерді шешуге арналған жергілікті желі құрамындағы стационарлық компьютер;

11) жүйелік бағдарламалық қамтылым – есептеу жабдығының жұмысын қамтамасыз етуге арналған бағдарламалық қамтылым жиынтығы;

12) интернет-браузер – интернет-ресурстардың мазмұнын көрнекі көрсетуге және онымен интерактивті өзара іс-қимыл жасауға арналған қолданбалы бағдарламалық қамтылым;

13) кодталған байланыс – кодтау құжаттары мен техникасы пайдаланылатын қорғалған байланыс;

14) көпфакторлы аутентификациялау – әртүрлі параметрлер комбинациясының, оның ішінде парольдерді немесе аутентификациялық белгілерді (цифрлық сертификаттарды, токендерді, смарт-карталарды, бірреттік парольдердің генераторларын және биометриялық сәйкестендіру құралдарын) генерациялаудың және енгізудің көмегімен пайдаланушының шынайылығын тексеру тәсілі;

15) кростық үй-жай – қосу, тарату пункттері мен құрылғыларын орналастыруға арналған телекоммуникациялық үй-жай;

16) қолданбалы бағдарламалық қамтылым (бұдан әрі – ҚБҚ) – нақты саладағы белгілі бір топтың қолданбалы міндеттерін орындауға арналған бағдарламалық қамтылым кешені;

17) құпияландырылған байланыс – құпияландыру аппаратурасы пайдаланылатын қорғалған байланыс;

18) мемлекеттік органдардың серверлік орталығы (бұдан әрі – МО серверлік орталығы) – меншік иесі немесе иеленушісі "электрондық үкіметтің" ақпараттық-коммуникациялық инфрақұрылымының операторы болып табылатын, "электрондық үкіметтің" ақпараттандыру объектілерін орналастыруға арналған серверлік үй-жай (деректерді өңдеу орталығы);

19) оқиғаларды журналдау – ақпараттандыру объектісімен болып жатқан бағдарламалық немесе аппараттық оқиғалар туралы ақпаратты оқиғаларды тіркеу журналына жазу процесі;

20) серверлік үй-жай (деректерді өңдеу орталығы) – серверлік, активті және пассивті желілік (телекоммуникациялық) жабдықты және құрылымдалған кәбілдік жүйелердің жабдығын орналастыруға арналған үй-жай;

21) сыртқы шеңбердің жергілікті желісі (бұдан әрі – сыртқы шеңбердің ЖЖ) – уәкілетті орган айқындаған ақпараттандыру субъектілерінің жергілікті желісі, ол ақпараттандыру субъектілері үшін қолжетімділікті байланыс операторлары Интернетке қол жеткізудің бірыңғай шлюзі арқылы ғана ұсынатын Интернетке қосылған ақпараттандыру субъектілері телекоммуникациялық желісінің сыртқы шеңберіне жатқызылған;

22) терминалдық жүйе – қосымшалармен терминалдық ортада немесе талғампаз клиент-бағдарламалар мен клиенттік-серверлік архитектурада жұмыс істеуге арналған талғампаз немесе нөлдік клиент;

23) уақыт көзінің инфрақұрылымы – серверлердің, жұмыс станцияларының және телекоммуникациялық жабдықтың ішкі сағаттарын синхрондау міндеттерін орындайтын, уақытты синхрондаудың желілік хаттамасын пайдаланатын иерархиялық байланысқан серверлік жабдық;

24) үкіметтік байланыс – мемлекеттік басқару қажеттеріне арналған арнайы қорғалған байланыс;

25) ұйым – мемлекеттік заңды тұлға, квазимемлекеттік сектор субъектісі, мемлекеттік органдардың ақпараттық жүйелерімен интеграцияланатын немесе мемлекеттік электрондық ақпараттық ресурстарды қалыптастыруға арналған мемлекеттік емес ақпараттық жүйелердің меншік иелері және иеленушілері, сондай-ақ ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің меншік иесі мен иеленушісі;

26) федеративті сәйкестендіру – сенімді қатынастар орнатқан жүйелердегі және желілердегі электрондық ақпараттық ресурстарға қол жеткізу үшін пайдаланушының бірыңғай атын және аутентификациялық сәйкестендіргішті пайдалануға мүмкіндік беретін технологиялар кешені;

27) шифрланған байланыс – қол шифрларын, шифрлау машиналарын, желілік шифрлау аппаратурасын және есептеу техникасының арнаулы құралдарын пайдалана отырып қорғалған байланыс;

28) ішкі шеңбердің жергілікті желісі (бұдан әрі – ішкі шеңбердің ЖЖ) – уәкілетті орган айқындаған ақпараттандыру субъектілерінің жергілікті желісі, ол мемлекеттік органдардың бірыңғай көліктік ортасына қосылған ақпараттандыру субъектілерінің телекоммуникациялық желісінің ішкі шеңберіне жатқызылған;

29) "электрондық үкіметтің" сыртқы шлюзі (бұдан әрі – ЭҮСШ) – "электрондық үкімет" шлюзінің МО БКО-да орналасқан ақпараттық жүйелердің МО БКО-дан тыс орналасқан ақпараттық жүйелермен өзара іс-қимылын қамтамасыз етуге арналған кіші жүйесі;

30) ақпараттық қауіпсіздіктің ішкі аудиті – ұйымдағы ақпараттандыру объектілерінің ақпараттық қауіпсіздігінің ағымдағы жай-күйінің сапалық және сандық сипаттамаларын бақылаудың әділ, құжатталған, өз мүдделерінде ұйым өзі жүзеге асыратын процесі;

31) желіаралық экран – ақпараттық-коммуникациялық инфрақұрылымда жұмыс істейтін, берілген қағидаларға сәйкес желілік трафикті бақылау мен електен өткізуді жүзеге асыратын ақпараттық-бағдарламалық немесе бағдарламалық кешен;

32) уәкілетті орган айқындаған ақпараттандыру субъектілері – жергілікті (Интернетке қолжетімділігі бар жергілікті желілерді қоспағанда), ведомстволық және корпоративтік желілердің өзара іс-қимылын қамтамасыз ету үшін мемлекеттік органдардың бірыңғай көліктік ортасын пайдаланатын мемлекеттік органдар, олардың ведомстволық бағынысты ұйымдары мен жергілікті өзін-өзі басқару органдары, сондай-ақ өзге де ақпараттандыру субъектілері.

25-тармақ мынадай редакцияда жазылсын:

"25. МО және ЖАО қызметшілеріне Интернетке қолжетімділік МО және ЖАО сыртқы шеңберінің ЖЖ-не қосылған, Қазақстан Республикасының мемлекеттік құпияларын қорғау жөніндегі нұсқаулыққа сәйкес айқындалатын режимдік үй-жайлардан тыс орналасқан жұмыс станцияларынан беріледі.";

29-1-тармақ мынадай редакцияда жазылсын:

"29-1. Елдің қорғанысы мен мемлекеттің қауіпсіздігі үшін АҚ-ны қамтамасыз ету талаптарын іске асыру мақсатында тауарларды сатып алу Қазақстан Республикасының мемлекеттік сатып алу, квазимемлекеттік сектордың жекелеген субъектілерінің сатып алуы туралы заңнамасына сәйкес сенім білдірілген бағдарламалық қамтылым мен электрондық өнеркәсіп өнімінің тізілімінен жүзеге асырылады.

Бұл ретте сенім білдірілген бағдарламалық қамтылым мен электрондық өнеркәсіп өнімінің тізілімінде қажетті өнім болмаған жағдайда тауарларды Қазақстан Республикасының мемлекеттік сатып алу, квазимемлекеттік сектордың жекелеген субъектілерінің сатып алуы туралы заңнамасына сәйкес сатып алуға жол беріледі.";

50-1-тармақ мынадай редакцияда жазылсын:

"50-1. Мемлекеттік органдардың ақпараттық жүйелерімен интеграцияланатын мемлекеттік емес ақпараттық жүйелердің меншік иелері немесе иеленушілері мемлекеттік органдардың ақпараттық жүйелерімен интеграцияланғанға дейін ақпараттық қауіпсіздіктің меншікті жедел орталығын құрады және оның жұмыс істеуін қамтамасыз етеді немесе ақпараттық қауіпсіздіктің жедел орталығының көрсетілетін қызметтерін Қазақстан Республикасының Азаматтық кодексіне сәйкес үшінші тұлғалардан сатып алады, сондай-ақ оның Ақпараттық қауіпсіздіктің ұлттық үйлестіру орталығымен өзара іс-қимылын қамтамасыз етеді.

Ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің меншік иелері ақпараттық қауіпсіздіктің меншікті жедел орталығын құрады және оның жұмыс істеуін қамтамасыз етеді немесе ақпараттық қауіпсіздіктің жедел орталығының көрсетілетін қызметтерін Қазақстан Республикасының Азаматтық кодексіне сәйкес үшінші тұлғалардан сатып алады.

Мемлекеттік органдарды, жергілікті өзін-өзі басқару органдарын, мемлекеттік заңды тұлғаларды, квазимемлекеттік сектор субъектілерін қоспағанда, ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің меншік иелері немесе иеленушілері, ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің тізбесіне енгізілген күннен бастап бір жыл ішінде ақпараттық қауіпсіздіктің меншікті жедел орталығын құрады және оның жұмыс істеуін қамтамасыз етеді немесе ақпараттық қауіпсіздіктің жедел орталығының көрсетілетін қызметтерін Қазақстан Республикасының Азаматтық кодексіне сәйкес үшінші тұлғалардан сатып алады, сондай-ақ оның Ақпараттық қауіпсіздіктің ұлттық үйлестіру орталығымен өзара іс-қимылын қамтамасыз етеді.";

54-1-тармақ мынадай редакцияда жазылсын:

"54-1. Мемлекеттік органдардың ақпараттандыру объектілерін қорғау үшін деректердің таралып кетуін болдырмау жүйелері (DLP) қолданылады.

Бұл ретте мыналар:

іс-қимылдарға жүргізілетін бақылау туралы пайдаланушыны визуалды хабардар ету;

жергілікті желі шегінде деректердің таралып кетуін болғызбау жүйесінің басқару орталығы мен серверлерін орналастыру қамтамасыз етіледі.";

65-тармақ мынадай редакцияда жазылсын:

"65. МО немесе ЖАО ЭАР пайдаланылмаған кезде оны "Ұлттық архив қоры және архивтеу туралы" Қазақстан Республикасы Заңында (бұдан әрі – Архив туралы заң) белгіленген тәртіппен архивке беруді қамтамасыз етеді.";

80-тармақ мынадай редакцияда жазылсын:

"80. Қолданбалы БҚ "Электрондық құжат және электрондық цифрлық қолтаңба туралы" Қазақстан Республикасы Заңының 5-бабы 1-тармағының 10) тармақшасына сәйкес уәкілетті орган бекіткен электрондық цифрлық қолтаңбаның төлнұсқалығын тексеру қағидаларына сәйкес ЭЦҚ ашық кілтінің және электрондық құжатқа қол қойған адамның тіркеу куәлігінің тиесілілігі мен жарамдылығын растауды тексеруді орындайды.";

мынадай мазмұндағы 87-1-тармақпен толықтырылсын:

"87-1. Ақпараттық қауіпсіздік талаптарына сәйкестік тұрғысынан сынақтар Заңның 49-бабына сәйкес жүргізіледі.";

89-тармақ мынадай редакцияда жазылсын:

"89. МО немесе ЖАО АЖ өнеркәсіптік пайдалану кезінде:

1) іркіліс болған немесе зақым келген жағдайда ЭАР-дың сақталуы, қорғалуы, қалпына келтірілуі;

2) резервтік көшіру және ЭАР-дың уақтылы өзектілендірілуін бақылау;

3) МО немесе ЖАО АЖ-ға өтініштер туралы мәліметтердің автоматтандырылған есепке алынуы, сақталуы және мезгіл-мезгіл архивтелуі;

4) БҚ, серверлік және телекоммуникациялық жабдықтың конфигурациялық баптауларындағы өзгерістерді тіркеу;

5) өнімділіктің функционалдық сипаттамаларын бақылау және реттеу;

6) АЖ-ны сүйемелдеу;

7) АЖ-ның пайдаланылатын лицензиялық БҚ техникалық қолдау;

8) кепілді мерзім кезеңінде анықталған АЖ қателері мен кемшіліктерін жоюды қамтитын әзірлеушінің АЖ-ға кепілдікті қызмет көрсетуі (кепілдікті қызмет көрсету АЖ өнеркәсіптік пайдалануға енгізілген күннен бастап кемінде бір жыл мерзімге қамтамасыз етіледі);

9) пайдаланушыларды АЖ-ға қосу, сондай-ақ АЖ-ның өзара іс-қимылының домендік атауларды пайдалана отырып жүзеге асырылуы;

10) жүйелік-техникалық қызмет көрсету;

11) мемлекеттік функцияларды жүзеге асыру және мемлекеттік қызметтер көрсету кезінде қағаз жеткізгіштегі құжаттардың пайдаланылуын, сондай-ақ оларды ұсыну жөніндегі талаптарды қысқарту (болғызбау) қамтамасыз етіледі.";

мынадай мазмұндағы 92-4-тармақпен толықтырылсын:

"92-4. МО және ЖАО АЖ-ның меншік иелері, иеленушілері және пайдаланушылары ЭАР-ды толықтырып отыруды жүзеге асырады, оның анықтығы мен өзектілігін қамтамасыз етеді.";

95-тармақ мынадай редакцияда жазылсын:

"95. АЖ пайдаланудан алынғаннан кейін МО немесе ЖАО Архив туралы заңның 18-бабы 1-1-тармағының 3) тармақшасына сәйкес Қазақстан Республикасы Үкіметінің қаулысымен бекітілген Ұлттық архив қорының құжаттарын және басқа да архивтік құжаттарды ведомстволық және жеке архивтердің қабылдау, сақтау, есепке алу және пайдалану қағидаларына сәйкес пайдаланудан алынған МО немесе ЖАО АЖ электрондық құжаттарын, техникалық құжаттамасын, журналдарын және архивтелген дерекқорын ведомстволық архивке тапсырады.".

108-тармақ мынадай редакцияда жазылсын:

"108. Қазақстан Республикасының заңнамасында белгіленген тәртіппен АҚ бойынша бірлескен жұмыстар шартын ресімдей отырып, қызмет көрсету қауіпсіздігі мен сапасын қамтамасыз ету үшін МО және ЖАО ақпараттандыру объектілерінің АБК серверлік жабдығы:

бірінші сыныпты – тек МО серверлік орталығында орналастырылады;

екінші және үшінші сыныптардағы – МО, ЖАО немесе тартылатын заңды тұлғаның осы БТ-да белгіленген серверлік үй-жайларға қойылатын талаптарға сәйкес жабдықталған және өзінің иелігінде ақпараттық қауіпсіздіктің жедел орталығы бар серверлік орталығында орналастырылады.";

мынадай мазмұндағы 108-1-тармақпен толықтырылсын:

"108-1. МО мен ЖАО-ның ақпараттандыру объектілерінің АБК қолжетімділігін және істен шығуға төзімділігін қамтамасыз ету үшін деректерді өңдеудің аппараттық-бағдарламалық құралдарын, деректерді сақтау жүйелерін, деректерді сақтау желілерінің құрамдастарын резервтеу МО-ның, ЖАО-ның немесе тартылатын заңды тұлғаның бірінші, екінші және үшінші сыныптардағы ақпараттандыру объектілері үшін Қазақстан Республикасының заңнамасында белгіленген тәртіппен АҚ бойынша бірлескен жұмыстар шартын ресімдей отырып, осы БТ-да белгіленген серверлік үй-жайларға қойылатын талаптарға сәйкес жабдықталған және өзінің иелігінде ақпараттық қауіпсіздіктің жедел орталығы бар резервтік серверлік үй-жайында жүзеге асырылады.";

128 және 129-тармақтар мынадай редакцияда жазылсын:

"128. АҚ-ны қамтамасыз ету мақсатында:

1) жергілікті желілерді біріктіретін бөлінген байланыс арнасын ұйымдастыру кезінде АКҚҚ пайдаланылып, ақпаратты қорғаудың, оның ішінде криптографиялық шифрлаудың бағдарламалық-техникалық құралдары қолданылады;

2) бөлінген байланыс арнасы жергілікті желіге жазылған маршруттау қағидалары және қауіпсіздік саясаттары бар шектес шлюз арқылы қосылады. Шектес шлюз мынадай ең төмен функциялар жиынтығын қамтамасыз етеді:

желі тораптарын орталықтандырылған авторландыру;

әкімшілердің артықшылық деңгейлерін конфигурациялау;

әкімшілердің іс-қимылдарын хаттамалау;

желілік мекенжайларды статикалық тарату;

желілік шабуылдардан қорғау;

физикалық және логикалық порттардың жай-күйін бақылау;

әр интерфейсте кіріс және шығыс пакеттерді електен өткізу;

АКҚҚ пайдалана отырып, берілетін трафикті криптографиялық қорғау;

3) ведомстволық (корпоративтік) телекоммуникациялар желісін және АС жергілікті желілерін өзара қосқан кезде:

ақпараттық ағындарды бөлу және оқшаулау құралдары;

АҚ-ны және қауіпсіз басқаруды қамтамасыз ететін құрамдастары бар жабдық;

бөлінген және МО БКО периметрін қорғау мақсатында әрбір қосылу нүктесінде орнатылған, қол жеткізу жабдығымен интеграцияланған желіаралық экрандар пайдаланылады;

4) ведомстволық (корпоративтік) телекоммуникациялар мен жергілікті желілерді Интернетке МО-ның, ЖАО-ның ИҚБШ арқылы қосқан кезде мемлекеттік заңды тұлғалар, квазимемлекеттік сектор субъектілері, сондай-ақ АКИ-дің аса маңызды объектілерінің иелері АКИ операторының немесе ИҚБШ жабдығында резервтелген байланыс арналары бар басқа байланыс операторының көрсетілетін қызметтерін пайдаланады.

Ведомстволық (корпоративтік) телекоммуникациялар желісін және жергілікті желілерді Интернетке ИҚБШ арқылы қосу ақпараттық қауіпсіздікті қамтамасыз ету саласындағы уәкілетті орган бекіткен Интернетке қол жеткізудің бірыңғай шлюзінің жұмыс істеу қағидаларына сәйкес жүзеге асырылады;

5) МО-ның, ЖАО-ның қызметшілері және мемлекеттік заңды тұлғалардың, квазимемлекеттік сектор субъектілерінің жұмыскерлері, сондай-ақ АКИ-дің аса маңызды объектілері иеленушісі өздерінің қызметтік міндеттерін атқару кезінде жедел ақпарат алмасуды электрондық нысанда жүзеге асыру үшін:

ведомстволық электрондық поштаны, лездік хабарламалар қызметін және өзге сервистерді;

егер уәкілетті орган өзгеше белгілемесе, басқару орталықтары мен серверлері іс жүзінде Қазақстан Республикасының аумағында орналастырылған электрондық поштаны, лездік хабарламалар қызметін және өзге сервистерді;

шетелдік жеке және заңды тұлғалармен коммуникация жасау мақсатында қолжетімді бұлтты бейнеконференцбайланыстың онлайн-сервистерін пайдаланады;

6) МО мен ЖАО ведомстволық электрондық поштасының сыртқы электрондық пошта жүйелерімен өзара іс-қимылы электрондық поштаның бірыңғай шлюзі арқылы ғана жүзеге асырылады;

7) МО-ның, ЖАО-ның қызметшілері және мемлекеттік заңды тұлғалардың, квазимемлекеттік сектор субъектілерінің жұмыскерлері, сондай-ақ АКИ-дің аса маңызды объектілері иеленушісі сыртқы шеңбердің ЖЖ-нен ИР-ға ЕБҚ болып табылатын және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы уәкілетті орган бекіткен ИҚБШ-ның жұмыс істеу қағидаларының талаптарына сәйкес келетін веб-шолғышты пайдалана отырып, ИҚБШ арқылы ғана қол жеткізуді жүзеге асырады;

8) МО-ның, ЖАО-ның қызметшілері және мемлекеттік заңды тұлғалардың жұмыскерлері интернет-ресурстарға қол жеткізуді дистрибутивінде Қазақстан Республикасының ұлттық куәландырушы орталығының және Қазақстан Республикасының негізгі куәландырушы орталығының алдын ала орнатылған тіркеу куәліктері бар интернет-браузер арқылы жүзеге асырады.

129. АС-ны МО БКО-ға қосу уәкілетті орган айқындайтын МО БКО арқылы МО БКО-ға қосу және интранет-ресурсқа қол жеткізуді ұсыну қағидаларына сәйкес жүзеге асырылады.";

148-тармақ мынадай редакцияда жазылсын:

"148. Жабдықты орналастыру кезінде:

1) "Электр энергетикасы туралы" Қазақстан Республикасы Заңының (бұдан әрі – Электр энергетикасы туралы заң) 5-бабының 27) тармақшасына сәйкес энергетика саласындағы уәкілетті орган бекіткен Тұтынушылардың электр қондырғыларын техникалық пайдалану қағидаларын орындау қамтамасыз етіледі;

2) жабдық пен коммуникациялардың салмағы ескеріліп, жабдықты жеткізушілердің және (немесе) өндірушінің орнатуға (монтаждауға), жабындар мен фальшеденге түсетін жүктемеге қойылатын талаптарын орындау қамтамасыз етіледі;

3) жабдыққа қызмет көрсету үшін еркін қызметтік өту жолдарының болуы қамтамасыз етіледі;

4) микроклиматты қамтамасыз ету жүйесінің ауа ағындарын ұйымдастыру ескеріледі;

5) фальшедендер мен фальштөбелер жүйесін ұйымдастыру ескеріледі.";

162-тармақ мынадай редакцияда жазылсын:

"162. Серверлік үй-жайдың жерге тұйықтау жүйесі ғимараттың қорғаныштық жерге тұйықтауынан бөлек орындалады. Серверлік үй-жайдың барлық металл бөліктері мен конструкциялары ортақ жерге тұйықтау шинасымен жерге тұйықталады. Жабдығы бар әрбір шкаф (таған) ортақ жерге тұйықтау шинасымен жалғанатын жеке өткізгішпен жерге тұйықталады. Ақпаратты өңдеу жабдығының ашық ток өткізгіш бөліктері электр қондырғысының бас жерге тұйықтау қысқышына жалғануға тиіс.

Асқын кернеуден қорғау құрылғыларын бас жерге тұйықтау шинасымен жалғайтын жерге тұйықтау өткізгіштері ең қысқа және тік (бұрыштары жоқ) болуға тиіс.

Жерге тұйықтау жүйесін құру және пайдалану кезінде мыналарды:

Электр энергетикасы туралы заңның 5-бабының 19) тармақшасына сәйкес энергетика саласындағы уәкілетті органның бұйрығымен бекітілген Электр қондырғыларын орнату қағидаларын;

ҚР СТ ХЭК 60364-5-548-96 "Ғимараттардың электр қондырғылары. 5-бөлім. Электр жабдығын таңдау және монтаждау". 548-бөлім "Құрылғыларды және ақпаратты өңдеу жабдығы қамтылған электр қондырғыларындағы электр әлеуетін теңестіру жүйесін жерге тұйықтау" Қазақстан Республикасының стандартын;

ҚР СТ ХЭК 60364-7-707-84 "Ғимараттардың электр қондырғылары. 7-бөлім. Арнайы электр қондырғыларына қойылатын талаптар". 707-бөлім "Ақпаратты өңдеу жабдығын жерге тұйықтау" Қазақстан Республикасының стандартын;

ҚР СТ МемСТ 12.1.030-81 "ЕҚСЖ. Электр қауіпсіздігі. Қорғаныштық жерге тұйықтау, нөлге қою" Қазақстан Республикасының стандартын;

ҚР СТ МемСТ 464-79 "Сымды байланыстың стационарлық құрылғыларына, радиорелелік станцияларға, сымды хабар таратудың радиотрансляциялық тораптарына және телевизияны ұжымдық қабылдау жүйесінің антенналарына арналған жерге тұйықтау. Қарсылық нормалары" Қазақстан Республикасының стандартын басшылыққа алу қажет.".

2. Осы қаулы алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі.

Қазақстан Республикасының
Премьер-Министрі

Ә. Смайылов

Правительство Республики Казахстан ПОСТАНОВЛЯЕТ:

1. Внести в постановление Правительства Республики Казахстан от 20 декабря 2016 года № 832 "Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности" следующие изменения и дополнения:

в единых требованиях в области информационно-коммуникационных технологий и обеспечения информационной безопасности, утвержденных указанным постановлением:

пункт 1 изложить в следующей редакции:

"1. Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности (далее – ЕТ) разработаны в соответствии с подпунктом 3) статьи 6 Закона Республики Казахстан "Об информатизации" (далее – Закон) и определяют требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности.";

пункт 6 изложить в следующей редакции:

"6. Для целей настоящих ЕТ в них используются следующие определения:

1) маркировка актива, связанного со средствами обработки информации, – нанесение условных знаков, букв, цифр, графических знаков или надписей на актив с целью его дальнейшей идентификации (узнавания), указания его свойств и характеристик;

2) средство криптографической защиты информации (далее – СКЗИ) – программное обеспечение или аппаратно-программный комплекс, реализующие алгоритмы криптографических преобразований, генерацию, формирование, распределение или управление ключами шифрования;

3) активы, связанные со средствами обработки информации, (далее – актив) – материальный или нематериальный объект, который является информацией или содержит информацию, или служит для обработки, хранения, передачи информации и имеющий ценность для организации в интересах достижения целей и непрерывности ее деятельности;

4) техническая документация по информационной безопасности (далее –ТД ИБ) – документация, устанавливающая политику, правила, защитные меры, касающиеся процессов обеспечения ИБ объектов информатизации и (или) организации;

5) мониторинг событий информационной безопасности (далее – мониторинг событий ИБ) – постоянное наблюдение за объектом информатизации с целью выявления и идентификации событий информационной безопасности;

6) масштабируемость – способность объекта информатизации обеспечивать возможность увеличения своей производительности по мере роста объема обрабатываемой информации и (или) количества одновременно работающих пользователей;

7) программный робот – программное обеспечение поисковой системы или системы мониторинга, выполняющее автоматически и (или) по заданному расписанию просмотр веб-страниц, считывающее и индексирующее их содержимое, следуя по ссылкам, найденным в веб-страницах;

8) не нагруженное (холодное) резервирование оборудования – использование подготовленного к работе и находящегося в неактивном режиме дополнительного серверного и телекоммуникационного оборудования, программного обеспечения с целью оперативного восстановления информационной системы или электронного информационного ресурса;

9) нагруженное (горячее) резервирование оборудования – использование дополнительного (избыточного) серверного и телекоммуникационного оборудования, программного обеспечения и поддержание их в активном режиме с целью гибкого и оперативного увеличения пропускной способности, надежности и отказоустойчивости информационной системы, электронного информационного ресурса;

10) рабочая станция – стационарный компьютер в составе локальной сети, предназначенный для решения прикладных задач;

11) системное программное обеспечение – совокупность программного обеспечения для обеспечения работы вычислительного оборудования;

12) интернет-браузер – прикладное программное обеспечение, предназначенное для визуального отображения содержания интернет-ресурсов и интерактивного взаимодействия с ним;

13) кодированная связь – защищенная связь с использованием документов и техники кодирования;

14) многофакторная аутентификация – способ проверки подлинности пользователя при помощи комбинации различных параметров, в том числе генерации и ввода паролей или аутентификационных признаков (цифровых сертификатов, токенов, смарт-карт, генераторов одноразовых паролей и средств биометрической идентификации);

15) кроссовое помещение – телекоммуникационное помещение, предназначенное для размещения соединительных, распределительных пунктов и устройств;

16) прикладное программное обеспечение (далее – ППО) – комплекс программного обеспечения для решения прикладной задачи определенного класса предметной области;

17) засекреченная связь – защищенная связь с использованием засекречивающей аппаратуры;

18) серверный центр государственных органов (далее – серверный центр ГО) – серверное помещение (центр обработки данных), собственником или владельцем которого является оператор информационно-коммуникационной инфраструктуры "электронного правительства", предназначенное для размещения объектов информатизации "электронного правительства";

19) журналирование событий – процесс записи информации о происходящих с объектом информатизации программных или аппаратных событиях в журнал регистрации событий;

20) серверное помещение (центр обработки данных) – помещение, предназначенное для размещения серверного, активного и пассивного сетевого (телекоммуникационного) оборудования и оборудования структурированных кабельных систем;

21) локальная сеть внешнего контура (далее – ЛС внешнего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внешнему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с Интернетом, доступ к которому для субъектов информатизации предоставляется операторами связи только через единый шлюз доступа к Интернету;

22) терминальная система – тонкий или нулевой клиент для работы с приложениями в терминальной среде либо программами - тонкими клиентами в клиент-серверной архитектуре;

23) инфраструктура источника времени – иерархически связанное серверное оборудование, использующее сетевой протокол синхронизации времени, выполняющее задачу синхронизации внутренних часов серверов, рабочих станций и телекоммуникационного оборудования;

24) правительственная связь – специальная защищенная связь для нужд государственного управления;

25) организация – государственное юридическое лицо, субъект квазигосударственного сектора, собственник и владелец негосударственных информационных систем, интегрируемых с информационными системами государственных органов или предназначенных для формирования государственных электронных информационных ресурсов, а также собственник и владелец критически важных объектов информационно-коммуникационной инфраструктуры;

26) федеративная идентификация – комплекс технологий, позволяющий использовать единое имя пользователя и аутентификационный идентификатор для доступа к электронным информационным ресурсам в системах и сетях, установивших доверительные отношения;

27) шифрованная связь – защищенная связь с использованием ручных шифров, шифровальных машин, аппаратуры линейного шифрования и специальных средств вычислительной техники;

28) локальная сеть внутреннего контура (далее – ЛС внутреннего контура) – локальная сеть субъектов информатизации, определенных уполномоченным органом, отнесенная к внутреннему контуру телекоммуникационной сети субъектов информатизации, имеющая соединение с единой транспортной средой государственных органов;

29) внешний шлюз "электронного правительства" (далее – ВШЭП) – подсистема шлюза "электронного правительства", предназначенная для обеспечения взаимодействия информационных систем, находящихся в ЕТС ГО с информационными системами, находящимися вне ЕТС ГО;

30) внутренний аудит информационной безопасности – объективный, документированный процесс контроля качественных и количественных характеристик текущего состояния информационной безопасности объектов информатизации в организации, осуществляемый самой организацией в своих интересах;

31) межсетевой экран – аппаратно-программный или программный комплекс, функционирующий в информационно-коммуникационной инфраструктуре, осуществляющий контроль и фильтрацию сетевого трафика в соответствии с заданными правилами;

32) субъекты информатизации, определенные уполномоченным органом, – государственные органы, их подведомственные организации и органы местного самоуправления, а также иные субъекты информатизации, использующие единую транспортную среду государственных органов для взаимодействия локальных (за исключением локальных сетей, имеющих доступ к Интернету), ведомственных и корпоративных сетей.";

пункт 25 изложить в следующей редакции:

"25. Доступ к Интернету служащим ГО и МИО предоставляется с рабочих станций, подключенных к ЛС внешнего контура ГО и МИО, размещенных за пределами режимных помещений, определяемых в соответствии с Инструкцией по защите государственных секретов Республики Казахстан.";

пункт 29-1 изложить в следующей редакции:

"29-1. Приобретение товаров в целях реализации требований обеспечения ИБ для обороны страны и безопасности государства осуществляется из реестра доверенного программного обеспечения и продукции электронной промышленности в соответствии с законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.

При этом, в случае отсутствия в реестре доверенного программного обеспечения и продукции электронной промышленности необходимой продукции, допускается приобретение товаров в соответствии с законодательством Республики Казахстан о государственных закупках, закупках отдельных субъектов квазигосударственного сектора.";

пункт 50-1 изложить в следующей редакции:

"50-1. Собственники или владельцы негосударственных информационных систем, интегрируемых с информационными системами государственных органов, до интеграции с информационными системами государственных органов создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.

Владельцы критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан.

Собственники или владельцы критически важных объектов информационно-коммуникационной инфраструктуры, за исключением государственных органов, органов местного самоуправления, государственных юридических лиц, субъектов квазигосударственного сектора, в течение года со дня включения в перечень критически важных объектов информационно-коммуникационной инфраструктуры создают собственный оперативный центр информационной безопасности и обеспечивают его функционирование или приобретают услуги оперативного центра информационной безопасности у третьих лиц в соответствии с Гражданским кодексом Республики Казахстан, а также обеспечивают взаимодействие его с Национальным координационным центром информационной безопасности.";

пункт 54-1 изложить в следующей редакции:

"54-1. Для защиты объектов информатизации государственных органов применяются системы предотвращения утечки данных (DLP).

При этом обеспечиваются:

визуальное уведомление пользователя о проводимом контроле действий;

размещение центра управления и серверов системы предотвращения утечки данных в пределах локальной сети.";

пункт 65 изложить в следующей редакции:

"65. ГО или МИО при неиспользовании ЭИР обеспечивает его передачу в архив в порядке, установленном Законом Республики Казахстан "О Национальном архивном фонде и архивах" (далее – Закон об архивах).";

пункт 80 изложить в следующей редакции:

"80. Прикладное ПО выполняет проверки подтверждения принадлежности и действительности открытого ключа ЭЦП и регистрационного свидетельства лица, подписавшего электронный документ, в соответствии с Правилами проверки подлинности электронной цифровой подписи, утвержденными уполномоченным органом в соответствии с подпунктом 10) пункта 1 статьи 5 Закона Республики Казахстан "Об электронном документе и электронной цифровой подписи".";

дополнить пунктом 87-1 следующего содержания:

"87-1. Испытания на соответствие требованиям информационной безопасности проводятся в соответствии со статьей 49 Закона.";

пункт 89 изложить в следующей редакции:

"89. При промышленной эксплуатации ИС ГО или МИО обеспечиваются:

1) сохранность, защита, восстановление ЭИР в случае сбоя или повреждения;

2) резервное копирование и контроль за своевременной актуализацией ЭИР;

3) автоматизированный учет, сохранность и периодическое архивирование сведений об обращениях к ИС ГО или МИО;

4) фиксация изменений в конфигурационных настройках ПО, серверного и телекоммуникационного оборудования;

5) контроль и регулирование функциональных характеристик производительности;

6) сопровождение ИС;

7) техническая поддержка используемого лицензионного ПО ИС;

8) гарантийное обслуживание разработчиком ИС, включающее устранение ошибок и недочетов ИС, выявленных в период гарантийного срока (Гарантийное обслуживание обеспечивается сроком не менее года со дня введения в промышленную эксплуатацию ИС);

9) подключение пользователей к ИС, а также взаимодействие ИС осуществляется с использованием доменных имен;

10) системно-техническое обслуживание;

11) сокращение (исключение) использования документов на бумажном носителе, а также требований по их представлению при осуществлении государственных функций и оказании государственных услуг.";

дополнить пунктом 92-4 следующего содержания:

"92-4. Собственники, владельцы и пользователи ИС ГО и МИО осуществляют наполнение, обеспечивают достоверность и актуальность ЭИР.";

пункт 95 изложить в следующей редакции:

"95. После снятия ИС с эксплуатации ГО или МИО сдают в ведомственный архив электронные документы, техническую документацию, журналы и архивированную базу данных снятой с эксплуатации ИС ГО или МИО в соответствии с Правилами приема, хранения, учета и использования документов Национального архивного фонда и других архивных документов ведомственными и частными архивами, утвержденными постановлением Правительства Республики Казахстан в соответствии с подпунктом 3) пункта 1-1 статьи 18 Закона об архивах.";

пункт 108 изложить в следующей редакции:

"108. Для обеспечения безопасности и качества обслуживания с оформлением договора совместных работ по ИБ в порядке, установленном законодательством Республики Казахстан, серверное оборудование АПК объектов информатизации ГО и МИО:

первого класса размещается только в серверном центре ГО;

второго и третьего классов размещается в серверном центре ГО, МИО или привлекаемого юридического лица, оборудованном в соответствии с требованиями к серверным помещениям, установленными в настоящих ЕТ, и имеющем в своем распоряжении оперативный центр информационной безопасности.";

дополнить пунктом 108-1 следующего содержания:

"108-1. Для обеспечения доступности и отказоустойчивости АПК объектов информатизации ГО и МИО резервирование аппаратно-программных средств обработки данных, систем хранения данных, компонентов сетей хранения данных осуществляется с оформлением договора совместных работ по ИБ в порядке, установленном законодательством Республики Казахстан для объектов информатизации первого, второго и третьего классов в резервном серверном помещении ГО, МИО или привлекаемого юридического лица, оборудованном в соответствии с требованиями к серверным помещениям, установленными в настоящих ЕТ, и имеющем в своем распоряжении оперативный центр информационной безопасности.";

пункты 128 и 129 изложить в следующей редакции:

"128. В целях обеспечения ИБ:

1) при организации выделенного канала связи, объединяющего локальные сети, применяются программно-технические средства защиты информации, в том числе криптографического шифрования, с использованием СКЗИ;

2) выделенный канал связи подключается к локальной сети посредством пограничного шлюза с прописанными правилами маршрутизации и политиками безопасности. Пограничный шлюз обеспечивает следующий минимальный набор функций:

централизованную авторизацию узлов сети;

конфигурацию уровней привилегий администраторов;

протоколирование действий администраторов;

статическую трансляцию сетевых адресов;

защиту от сетевых атак;

контроль состояния физических и логических портов;

фильтрацию входящих и исходящих пакетов на каждом интерфейсе;

криптографическую защиту передаваемого трафика с использованием СКЗИ;

3) при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей СИ между собой используются:

средства разделения и изоляции информационных потоков;

оборудование с компонентами, обеспечивающими ИБ и безопасное управление;

выделенные и интегрированные с оборудованием доступа межсетевые экраны, установленные в каждой точке подключения, с целью защиты периметра ЕТС ГО;

4) при подключении ведомственной (корпоративной) сети телекоммуникаций и локальных сетей к Интернету через ЕШДИ ГО, МИО, государственные юридические лица, субъекты квазигосударственного сектора, а также владельцы критически важных объектов ИКИ используют услуги оператора ИКИ или другого оператора связи, имеющего зарезервированные каналы связи на оборудовании ЕШДИ.

Подключение ведомственной (корпоративной) сети телекоммуникаций и локальных сетей к Интернету через ЕШДИ осуществляется в соответствии с Правилами функционирования единого шлюза доступа к Интернету, утвержденными уполномоченным органом в сфере обеспечения информационной безопасности;

5) служащие ГО, МИО и работники государственных юридических лиц, субъектов квазигосударственного сектора, а также владельцы критически важных объектов ИКИ для осуществления оперативного информационного обмена в электронной форме при исполнении ими служебных обязанностей используют:

ведомственную электронную почту, службу мгновенных сообщений и иные сервисы;

электронную почту, службу мгновенных сообщений и иные сервисы, центры управления и серверы которых физически размещены на территории Республики Казахстан, если иное не установлено уполномоченным органом;

доступные облачные онлайн-сервисы видеоконференцсвязи в целях коммуникаций с иностранными физическими и юридическими лицами;

6) взаимодействие ведомственной электронной почты ГО и МИО с внешними электронными почтовыми системами осуществляется только через единый шлюз электронной почты;

7) служащие ГО, МИО и работники государственных юридических лиц, субъектов квазигосударственного сектора, а также владельцы критически важных объектов ИКИ осуществляют доступ к ИР из ЛС внешнего контура только через ЕШДИ с использованием веб-обозревателя, являющегося СПО и соответствующего требованиям Правил функционирования ЕШДИ, утвержденных уполномоченным органом в сфере обеспечения информационной безопасности;

8) служащими ГО, МИО и работниками государственных юридических лиц доступ к интернет-ресурсам осуществляется посредством интернет-браузера, дистрибутив которого имеет предустановленные регистрационные свидетельства национального удостоверяющего центра Республики Казахстан и корневого удостоверяющего центра Республики Казахстан.

129. Подключение СИ к ЕТС ГО осуществляется в соответствии с правилами подключения к ЕТС ГО и предоставления доступа к интранет-ресурсу через ЕТС ГО, определяемыми уполномоченным органом.";

пункт 148 изложить в следующей редакции:

"148. При размещении оборудования:

1) обеспечивается исполнение Правил технической эксплуатации электроустановок потребителей, утвержденных уполномоченным органом в сфере энергетики в соответствии с подпунктом 27) статьи 5 Закона Республики Казахстан "Об электроэнергетике" (далее – Закон об электроэнергетике);

2) обеспечивается исполнение требований поставщиков и (или) производителя оборудования к установке (монтажу), нагрузке на перекрытия и фальшпол, с учетом веса оборудования и коммуникаций;

3) обеспечивается наличие свободных служебных проходов для обслуживания оборудования;

4) учитывается организация воздушных потоков системы обеспечения микроклимата;

5) учитывается организация системы фальшполов и фальшпотолков.";

пункт 162 изложить в следующей редакции:

"162. Система заземления серверного помещения выполняется отдельно от защитного заземления здания. Все металлические части и конструкции серверного помещения заземляются с общей шиной заземления. Каждый шкаф (стойка) с оборудованием заземляется отдельным проводником, соединяемым с общей шиной заземления. Открытые токопроводящие части оборудования обработки информации должны быть соединены с главным заземляющим зажимом электроустановки.

Заземляющие проводники, соединяющие устройства защиты от перенапряжения с главной заземляющей шиной, должны быть самыми короткими и прямыми (без углов).

При построении и эксплуатации системы заземления необходимо руководствоваться:

Правилами устройства электроустановок, утвержденными приказом уполномоченного органа в сфере энергетики в соответствии с подпунктом 19) статьи 5 Закона об электроэнергетике;

стандартом Республики Казахстан СТ РК МЭК 60364-5-548-96 "Электроустановки зданий. Часть 5. Выбор и монтаж электрооборудования". Раздел 548 "Заземление устройства и системы уравнивания электрических потенциалов в электроустановках, содержащих оборудование обработки информации";

стандартом Республики Казахстан СТ РК МЭК 60364-7-707-84 "Электроустановки зданий. Часть 7. Требования к специальным электроустановкам". Раздел 707 "Заземление оборудования обработки информации";

стандартом Республики Казахстан СТ РК ГОСТ 12.1.030-81 "ССБТ. Электробезопасность. Защитное заземление, зануление";

стандартом Республики Казахстан СТ РК ГОСТ 464-79 "Заземление для стационарных установок проводной связи, радиорелейных станций, радиотрансляционных узлов проводного вещания и антенн систем коллективного приема телевидения. Нормы сопротивления".".

2. Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

Премьер-Министр
Республики Казахстан

А. Смаилов