Об утверждении критериев оценки степени риска в сфере частного предпринимательства в области информатизации, связи, за соблюдением законодательства Республики Казахстан об электронном документе и электронной цифровой подписи

Совместный приказ Министра связи и информации Республики Казахстан от 31 августа 2011 года № 263 и Министра экономического развития и торговли Республики Казахстан от 16 сентября 2011 года № 305. Зарегистрирован в Министерстве юстиции Республики Казахстан 17 октября 2011 года № 7262. Утратил силу совместным приказом Министра по инвестициям и развитию Республики Казахстан от 29 июня 2015 года № 735 и и.о. Министра национальной экономики Республики Казахстан от 30 июня 2015 года № 494

Сноска. Утратил силу совместным приказом Министра по инвестициям и развитию РК от 29.06.2015 № 735 и и.о. Министра национальной экономики РК от 30.06.2015 № 494 (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

В соответствии с пунктом 4 статьи 13 Закона Республики Казахстан от 6 января 2011 года "О государственном контроле и надзоре в Республике Казахстан", Законом от 11 января 2007 "Об информатизации", Законом от 7 января 2003 года "Об электронном документе и электронной цифровой подписи", Законом от 5 июля 2004 года "О связи", ПРИКАЗЫВАЕМ:
1. Утвердить Критерии оценки степени риска в сфере частного предпринимательства:
1) в области информатизации согласно приложению 1 к настоящему совместному приказу;
2) в области связи согласно приложению 2 к настоящему совместному приказу;
3) за соблюдением законодательства Республики Казахстан об электронном документе и электронной цифровой подписи согласно приложению 3 к настоящему совместному приказу.
2. Комитету связи и информатизации Министерства связи и информации Республики Казахстан (Нуршабеков Р.Р.) в установленном законодательством порядке обеспечить:
1) государственную регистрацию настоящего совместного приказа в Министерстве юстиции Республики Казахстан;
2) после государственной регистрации настоящего совместного приказа его официальное опубликование в средствах массовой информации;
3) опубликование настоящего совместного приказа на официальном интернет-ресурсе Министерства связи и информации Республики Казахстан.
3. Признать утратившим силу совместный приказ Председателя Агентства Республики Казахстан по информатизации и связи от 17 февраля 2010 года № 65 и Министра экономики и бюджетного планирования Республики Казахстан от 19 февраля 2010 года № 88 "Об утверждении критериев оценки степени риска в области информатизации и связи" (зарегистрированный в Реестре государственной регистрации нормативных правовых актов от 24 февраля 2010 года за № 6091, опубликованный в газете "Казахстанская правда" от 13 марта 2010 года № 58-60).
4. Контроль за исполнением настоящего совместного приказа возложить на вице-министра связи и информации Республики Казахстан Сарсенова С.С.
5. Настоящий совместный приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

Министр связи и информации И.о. Министра экономического
Республики Казахстан развития и торговли Республики
________________ А. Жумагалиев Казахстан
_______________ М. Кусаинов

Приложение 1
к совместному приказу
Министра связи и информации
Республики Казахстан
от 31 августа 2011 года № 263 и
И.о. Министра экономического
развития и торговли
Республики Казахстан
от 16 сентября 2011 года № 305

Критерии
оценки степени риска в сфере частного предпринимательства
в области информатизации

1. Настоящие Критерии оценки степени риска в сфере частного предпринимательства в области информатизации (далее - Критерии оценки степени риска) разработаны в соответствии с Законами Республики Казахстан "О государственном контроле и надзоре в Республике Казахстан" от 6 января 2011 года, "Об информатизации" от 11 января 2007 года и "Об электронном документе и электронной цифровой подписи" от 7 января 2003 года.
2. Настоящие Критерии оценки степени риска определяют совокупность количественных и качественных показателей риска, на основании которых осуществляется отнесение субъектов информатизации к различным степеням риска.
3. В настоящих Критериях оценки степени риска используются следующие понятия:
1) риск - вероятность причинения вреда в результате деятельности проверяемых субъектов информатизации законным интересам личности, общества, государства, с учетом степени тяжести его последствий при использовании электронных информационных ресурсов и информационных технологий;
2) проверяемые субъекты информатизации (далее - проверяемые субъекты) - собственники и владельцы электронных информационных ресурсов и информационных систем.
4. Критерии оценки степени риска подразделяются на два вида:
1) объективные - основаны на значимости рисков, возможных при осуществлении деятельности проверяемых субъектов;
2) субъективные - определяются в зависимости от допущенных проверяемыми субъектами нарушений установленных требований.
5. Первичное отнесение проверяемых субъектов к группам риска осуществляется на основе объективных критериев оценки степени риска, в зависимости от осуществляемого вида деятельности:
1) к высокой группе риска отнесены - субъекты, осуществляющие деятельность кредитного бюро, а также владельцы контрольно-кассовых машин, являющихся компьютерной системой;
2) к средней группе риска отнесены - субъекты, являющиеся владельцами негосударственных информационных систем, интегрируемых с государственными информационными системами, владельцами электронных информационных ресурсов и информационных систем;
3) к незначительной группе риска отнесены - субъекты, являющиеся поставщиками информации и получателями кредитных историй.
6. Последующее отнесение проверяемых субъектов к группам риска осуществляется с учетом субъективных критериев, к которым относятся грубые, значительные и незначительные нарушения.
7. К грубым нарушениям относятся:
1) отсутствие аттестата соответствия информационной системы требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам;
2) отсутствие обеспечения физической защиты информационных систем с использованием средств защиты информации, в том числе криптографической, а также систем контроля доступа и регистрации фактов доступа к информации;
3) отсутствие обеспечение особого режима допуска на территории (в помещения), где может быть осуществлен доступ к информации (к материальным носителям информации), а также разграничение доступа к информации по кругу лиц и характеру информации.
8. К значительным нарушениям относятся:
1) отсутствие исходных программных кодов, инсталляционного пакета и нормативно-технической документации (оригиналов и копий);
2) отсутствие нормативно-технической документации на программные продукты, информационные системы, информационные ресурсы;
3) несоответствие нормативно-технической документации требованиям стандартов.
9. К незначительным нарушениям относится:
1) несвоевременное представление сообщения о снятии с учета в Государственном регистре информационных ресурсов и информационных систем, снятых с эксплуатации по тем или иным причинам или переданных в другое ведомство;
2) несвоевременное представление сообщения о снятии с учета в Депозитарии программных кодов и нормативно-технической документации, снятых с эксплуатации по тем или иным причинам или переданных в другое ведомство;
3) нарушение ежегодной актуализации сведений об электронных информационных ресурсах и информационных систем зарегистрированных в Государственном регистре;
4) нарушение ежегодной актуализации сведений о программных продуктах находящиеся в депозитарии (30 апреля).
10. Определение степени риска и распределение по группам степени риска проверяемых субъектов для осуществления плановых проверок осуществляется ежегодно.
11. Последующее отнесение проверяемых субъектов по группам риска осуществляется на основе анализа результатов предыдущих проверок (за предшествующий год).
12. Проверяемые субъекты, входящие в незначительную группу риска, при совершении в течении проверяемого периода двух и более грубых нарушений или более двух значительных нарушений или более трех незначительных нарушений переводятся в среднюю группу риска.
13. Проверяемые субъекты, входящие в среднюю группу риска, при совершении в течении проверяемого периода одного и более грубых или двух и более значительных нарушений или более двух незначительных нарушений переводятся в высокую степень риска.
14. При не выявлении последней плановой проверкой нарушений, проверяемые субъекты переводятся в группу меньшей степени риска.
15. Основаниями для приоритетного планирования проверок проверяемых субъектов одной группы риска являются:
1) наибольший непроверенный период (при определении непроверенного периода не берутся в расчет внеплановые проверки);
2) наибольшее количество выявленных грубых и значительных нарушений за прошедший период;
3) наличие наибольшего количества информационных систем и электронных информационных ресурсов.

Приложение 2
к совместному приказу
Министра связи и информации
Республики Казахстан
от 31 августа 2011 года № 263 и
И.о. Министра экономического
развития и торговли
Республики Казахстан
от 16 сентября 2011 года № 305

Критерии оценки степени риска
в сфере частного предпринимательства в области связи

1. Настоящие Критерии оценки степени риска в области связи (далее - Критерии) разработаны в соответствии с законами Республики Казахстан "О государственном контроле и надзоре в Республике Казахстан" от 6 января 2011 года и "О связи" от 5 июля 2004 года.
2. Настоящие Критерии определяют совокупность количественных и качественных показателей риска, на основании которых осуществляется отнесение субъектов в области связи к различным степеням риска.
3. В настоящих Критериях используются следующие понятия:
1) риск - вероятность причинения вреда в результате деятельности Субъектов в области связи законным интересам физических и юридических лиц и государства, общества с учетом степени тяжести его последствий, а именно:
бесконтрольное использование платного ограниченного ресурса радиочастотного спектра, которое может привести к недопоступлению обязательных платежей в государственный бюджет;
использование радиочастотного спектра без разрешительных документов, которое может привести к возникновению радиопомех и невозможности использования его законными владельцами;
эксплуатация оборудования на сетях телекоммуникаций без технических средств проведения специальных оперативно-розыскных мероприятий, которая может привести к невозможности проведения органами оперативно-розыскной деятельности необходимых мероприятий;
2) субъект контроля - оператор связи (физическое или юридическое лицо, получившее лицензию на предоставление услуг связи); хозяйствующие субъекты, осуществляющие деятельность в области связи (операторы связи, владельцы специальных, ведомственных и корпоративных сетей телекоммуникаций, отдельного коммутационного оборудования, подключаемого к сети телекоммуникаций общего пользования, владельцы радиоэлектронных средств, являющиеся пользователями радиочастотным спектром).
4. Отнесение субъектов контроля к степени рисков осуществляется в два этапа:
первый этап - на основании объективных критериев степени риска;
второй этап - на основании субъективных критериев степени риска.
5. Объективные критерии степени риска:
1) к высокой степени группы риска отнесены - субъекты, получившие лицензии на предоставление следующих услуг связи: междугородная, международная, сотовая; а также местная и передача данных имеющих радиочастотный спектр для предоставления услуг связи;
2) к средней степени группы риска отнесены - субъекты, получившие лицензии на предоставление следующих услуг связи: передача данных, IP-телефония, местная посредством проводной связи, телекоммуникации по выделенной сети связи, спутниковая подвижная связь, мобильная телекоммуникационная связь, предоставление каналов связи;
3) к незначительной степени группы риска отнесены - хозяйствующие субъекты, использующие радиочастотный спектр в производственных целях.
6. Субъективные критерии оценки степени риска подразделяются на:
грубые нарушения;
значительные нарушения;
незначительные нарушения.
7. К грубым нарушениям относятся:
1) предоставление услуг связи без соответствующей лицензии;
2) использование радиочастотного спектра без соответствующего разрешения;
3) использование ресурса нумерации без соответствующего разрешения либо нарушение принципа нумерации;
4) отсутствие технических средств проведения специальных оперативно-розыскных мероприятий (далее - ОРМ) на телекоммуникационном оборудовании и нарушение обязательств по сбору и хранению служебной информации об абонентах, для обеспечения ОРМ.
8. К значительным нарушениям относятся:
1) использование не сертифицированного оборудования;
2) эксплуатация радиоэлектронных средств и высокочастотных устройств без разрешения на эксплуатацию;
3) нарушения порядка присоединения к сети телекоммуникаций общего пользования;
4) не соблюдение условий действия лицензий, а также несоответствие установленным квалификационным требованиям операторов связи;
5) не продление сроков действия разрешения на использование радиочастотного спектра;
6) отсутствие регистрации радиоэлектронных средств и высокочастотных устройств;
7) Несоответствие эксплуатационно-технических характеристик РЭС и ВЧУ данным, указанным в разрешениях на использование радиочастотного спектра и на эксплуатацию РЭС и ВЧУ;
8) отсутствие метрологической базы (внесенной в реестр государственной системы измерения Республики Казахстан) для проведения контрольно-измерительных и испытательных работ (принадлежащей заявителю на правах собственности либо аренды при условии наличия соответствующего договора).
9. К незначительным нарушениям относится:
1) не продление сроков действия разрешения на эксплуатацию на радиоэлектронное средство и высокочастотное устройство;
2) отсутствие разрешений на приобретение радиоэлектронных средств и высокочастотных устройств, в случае приобретения их на территории Республики Казахстан;
3) не предоставление следующей информации о:
территории, на которой предоставляются услуги, по этапам создания и/или развития сети телекоммуникации с привязкой к административно-территориальному делению Республики Казахстан;
степени самостоятельности во взаимоотношениях с потребителями услуг (осуществляется самостоятельно или требуются посредники - "поставщики услуг");
используемых стандартах и протоколах при строительстве типа сети;
емкости сети, в том числе по этапам создания и/или развития;
наличии схемы организации связи в привязке к административным пунктам создания сети;
взаимодействии с сетью телекоммуникаций общего пользования, другими сетями связи на территории Республики Казахстан;
способах организации межстанционных соединений (по собственным средствам сети связи заявителя с указанием конкретных технических средств, по арендованным каналам других сетей);
наличии системы учета трафика;
праве владения, пользования, распоряжения средствами связи (на правах собственности либо на правах аренды);
использовании аппаратуры повременного учета стоимости местных телефонных соединений, аппаратуры определения номера (требование для операторов связи, осуществляющих деятельность по предоставлению услуги местной телефонной связи);
порядке предоставления услуг почтовой связи (в случае предоставлении услуги почтовой связи);
порядке предъявления на таможенный досмотр международных почтовых отправлений (в случае предоставлении услуги почтовой связи).
10. Определение степени риска и распределение по группам степени риска субъектов в области связи для осуществления плановых проверок будет осуществляться ежегодно.
11. Распределение субъектов в области связи по степени риска будет осуществляться на основе анализа по результатам предыдущих проверок (за предшествующий год).
12. Субъекты контроля, входящие в незначительную степень риска, при совершении в течении проверяемого периода до двух грубых или более двух значительных нарушений переводятся в среднюю степень риска, а при совершении трех грубых нарушений - в высокую степень риска.
13. Субъекты контроля, входящие в среднюю степень риска, при совершении в течении проверяемого периода одного и более грубых или двух и более значительных нарушений переводятся в высокую степень риска.
14. При невыявлении последней плановой проверкой нарушений, субъекты регулирования переводятся в группу незначительной степени риска.
15. Субъекты высокой или средней группы риска в зависимости от соблюдения требований норм законодательства в области связи будет переводиться из одной группы в другую и, соответственно, будет меняться периодичность их проверки.
16. Отбор субъектов внутри одной степени риска осуществляется уполномоченным органом в области связи следующим образом:
1) наибольший непроверенный период (при определении непроверенного периода не берутся в расчет внеплановые тематические проверки);
2) степень тяжести выявленных нарушений за прошедший период;
3) наличие наибольшего количества радиоэлектронных средств.

Приложение 3
к совместному приказу
Министра связи и информации
Республики Казахстан
от 31 августа 2011 года № 263 и
И.о. Министра экономического
развития и торговли
Республики Казахстан
от 16 сентября 2011 года № 305

Критерии
оценки степени риска в сфере частного предпринимательства
за соблюдением законодательства Республики Казахстан об
электронном документе и электронной цифровой подписи

1. Настоящие Критерии оценки степени риска в сфере частного предпринимательства за соблюдением законодательства Республики Казахстан об электронном документе и электронной цифровой подписи (далее - Критерии оценки степени риска) разработаны в соответствии с законами Республики Казахстан "О государственном контроле и надзоре в Республике Казахстан" от 6 января 2011 года, "Об информатизации" от 11 января 2007 года и "Об электронном документе и электронной цифровой подписи" от 7 января 2003 года.
2. Настоящие Критерии оценки степени риска определяют совокупность количественных и качественных показателей риска, на основании которых осуществляется отнесение субъектов информатизации к различным степеням риска.
3. В настоящих Критериях оценки степени риска используются следующие понятия:
1) риск - вероятность причинения вреда в результате деятельности проверяемых субъектов законным интересам личности, общества, государства, с учетом степени тяжести его последствий при использовании электронных документов и электронной цифровой подписи;
2) проверяемые субъекты (далее - проверяемые субъекты) - удостоверяющие центры;
3) удостоверяющий центр - юридическое лицо, удостоверяющее соответствие открытого ключа электронной цифровой подписи закрытому ключу электронной цифровой подписи, а также подтверждающее достоверность регистрационного свидетельства.
4. Критерии оценки степени риска подразделяются на два вида:
1) объективные - основаны на значимости рисков, возможных при осуществлении деятельности проверяемых субъектов;
2) субъективные - определяются в зависимости от допущенных проверяемыми субъектами нарушений установленных требований.
5. Первично все проверяемые субъекты относятся к высокой группе риска.
6. Последующее отнесение проверяемых субъектов к группам риска осуществляется с учетом субъективных критериев, к которым относятся грубые, значительные и незначительные нарушения.
7. К грубым нарушениям относятся:
1) отсутствие сертифицированных средств криптографической защиты информации для аппаратно-программного комплекса удостоверяющего центра;
2) отсутствие свидетельства об аккредитации удостоверяющего центра;
3) отсутствие аппаратно-программного комплекса, необходимого для осуществления заявленного вида деятельности;
4) отсутствие сертификата соответствия на используемые СКЗИ по СТ РК 1073-2007, которые применяется в данном удостоверяющем центре и его пользователями.
8. К значительным нарушениям относятся:
1) отсутствие технических помещений для размещения и эксплуатации программно-аппаратных средств удостоверяющего центра;
2) отсутствие лицензии на реализацию (в том числе иной передаче) средств криптографической защиты информации;
3) отсутствие разрешения на проведение работ с использованием сведений, составляющих государственные секреты Республики Казахстан, выдаваемого органами национальной безопасности Республики Казахстан, или заключенного в установленном законодательством порядке договора на выполнение совместных секретных работ;
9. К незначительным нарушениям относится:
1) отсутствие квалифицированного инженерно-технического персонала не менее трех человек, отвечающих соответствующему профессиональному уровню и имеющих стаж работы в соответствии с квалификацией не менее 3-х лет, а также документов подтверждающих соответствие удостоверяющего центра квалификационным требованиям (дипломы, сертификаты и иного рода свидетельства о присвоении квалификации соответствующей профилю деятельности удостоверяющего центра);
2) отсутствие схемы взаимодействия модулей (компонент) удостоверяющего центра и схемы электронной цифровой подписи с данными о применяемых алгоритмах криптографических преобразований и другими исходными данными (основными требованиями) по реализации процесса формирования электронной цифровой подписи и требованиями к отдельным параметрам и удостоверяющему центру, утвержденные заявителем;
3) отсутствие утвержденных нормативно-технических документов, согласно подпункту 6) пункта 5 Правил проведения аккредитации удостоверяющих центров, утвержденных Постановлением Правительства Республики Казахстан № 1222 от 19 ноября 2010 года;
4) наличие фактов некорректной работы функционирующего программного обеспечения, реализующего функции электронной цифровой подписи.
10. Определение степени риска и распределение по группам степени риска проверяемых субъектов для осуществления плановых проверок осуществляется ежегодно.
11. Последующее отнесение проверяемых субъектов по группам риска осуществляется на основе анализа результатов предыдущих проверок (за предшествующий год).
12. Проверяемые субъекты, входящие в незначительную группу риска, при совершении в течении проверяемого периода одной и более грубых нарушений или более двух значительных нарушений или более трех незначительных нарушений переводятся в среднюю группу риска.
13. Проверяемые субъекты, входящие в среднюю группу риска, при совершении в течении проверяемого периода одного и более значительных нарушений или более двух незначительных нарушений переводятся в высокую степень риска.
14. При не выявлении последней плановой проверкой нарушений, проверяемые субъекты переводятся в группу меньшей степени риска.
15. Основаниями для приоритетного планирования проверок проверяемых субъектов одной группы риска являются:
1) наибольший непроверенный период (при определении непроверенного периода не берутся в расчет внеплановые проверки);
2) наибольшее количество выявленных грубых и значительных нарушений за прошедший период.

Ақпараттандыру, байланыс саласындағы, электрондық құжат және электрондық цифрлық қолтаңба туралы Қазақстан Республикасы заңнамасының сақталуына жеке кәсіпкерлік саласындағы тәуекел дәрежесін бағалау өлшемдерін бекіту туралы

Қазақстан Республикасы Байланыс және ақпарат министрінің 2011 жылғы 31 тамыздағы № 263 және Қазақстан Республикасы Экономикалық даму және сауда министрінің м.а. 2011 жылғы 16 қыркүйектегі № 305 Бірлескен бұйрығы. Қазақстан Республикасы Әділет Министрлігінде 2011 жылы 17 қазанда № 7262 тіркелді. Күші жойылды - Қазақстан Республикасы Инвестициялар және даму министрінің 2015 жылғы 29 маусымдағы № 735 және Қазақстан Республикасы Ұлттық экономика министрінің м.а. 2015 жылғы 30 маусымдағы № 494 бірлескен бұйрығымен

Ескерту. Күші жойылды - ҚР Инвестициялар және даму министрінің 29.06.2015 № 735 және ҚР Ұлттық экономика министрінің м.а. 30.06.2015 № 494 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) бірлескен бұйрығымен.

"Қазақстан Республикасындағы мемлекеттік бақылау және қадағалау туралы" 2011 жылғы 6 қаңтардағы Қазақстан Республикасы Заңы 13 бабының 4 тармағына, "Ақпараттандыру туралы" 2007 жылғы 11 қаңтардағы Заңына, "Электрондық құжат және электрондық цифрлық қолтаңба туралы" 2003 жылғы 7 қаңтардағы Заңына, "Байланыс туралы" 2004 жылғы 5 шілдедегі Заңына сәйкес БҰЙЫРАМЫН:
1. Жеке кәсіпкерлік саласындағы:
1) осы бірлескен бұйрықтың 1-қосымшасына сәйкес ақпараттандыру саласындағы;
2) осы бірлескен бұйрықтың 2-қосымшасына сәйкес байланыс саласындағы;
3) осы бірлескен бұйрықтың 3-қосымшасына сәйкес электрондық құжат және электрондық цифрлық қолтаңба туралы Қазақстан Республикасы заңнамасының сақталуына тәуекел дәрежесін бағалау өлшемдері бекітілсін.
2. Қазақстан Республикасы Байланыс және ақпарат министрлігінің Байланыс және ақпараттандыру комитеті (Р.Р. Нұршабеков) белгіленген заңнамалық тәртіпте:
1) осы бірлескен бұйрықты Қазақстан Республикасы Әділет министрлігінде мемлекеттік тіркеуді;
2) осы бірлескен бұйрық мемлекеттік тіркелгеннен кейін бұқаралық ақпарат құралдарында оны ресми жариялауды;
3) осы бірлескен бұйрықты Қазақстан Республикасы Байланыс және ақпарат министрлігінің ресми интернет-ресурсында жариялауды қамтамасыз етсін.
3. "Ақпараттандыру және байланыс саласындағы тәуекел дәрежесін бағалау өлшемдерін бекіту туралы" Қазақстан Республикасы Ақпараттандыру және байланыс агенттігінің 2010 жылғы 17 ақпандағы № 65 және Қазақстан Республикасы Экономика және бюджеттік жоспарлау министрлігінің 2010 жылғы 19 ақпандағы № 88 (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде 2010 жылғы 24 ақпанда № 6091 тіркелген, "Егемен Қазақстан" газетінде 2010 жылғы 13 наурызда № 58-60 жарияланған) бірлескен бұйрығының күші жойылды деп танылсын.
4. Осы бірлескен бұйрықтың атқарылуын бақылау Қазақстан Республикасы Байланыс және ақпарат вице-министрі С.С.Сарсеновке жүктелсін.
5. Осы бірлескен бұйрық алғаш рет ресми жарияланғаннан кейiн он күнтiзбелiк күн өткен соң қолданысқа енгізіледі.

Қазақстан Республикасы Қазақстан Республикасы
Байланыс және ақпарат Экономикалық даму және
министрі сауда министрінің
___________ А. Жұмағалиев міндетін атқарушы
____________ М. Құсайынов

Қазақстан Республикасы
Байланыс және ақпарат
министрінің
2011 жылғы 31 тамыздағы № 263 және
Қазақстан Республикасы
Экономикалық даму және сауда
министрінің міндетін атқарушысының
2011 жылғы 16 қыркүйектегі № 305
бірлескен бұйрығына
1-қосымша

Ақпараттандыру саласындағы жеке кәсіпкерлік саласының тәуекел дәрежесін бағалау өлшемдері

1. Осы ақпараттандыру саласындағы жеке кәсіпкерлік саласының тәуекел дәрежесін бағалау өлшемдері (бұдан әрі – Тәуекелдің дәрежесін бағалау өлшемдері) "Қазақстан Республикасында мемлекеттік бақылау және қадағалау туралы" 2011 жылғы 6 қаңтардағы, "Ақпараттандыру туралы" 2007 жылғы 11 қаңтардағы, "Электрондық құжат және электрондық цифрлық қолтаңба туралы" 2003 жылғы 7 қаңтардағы Қазақстан Республикасы заңдарымен сәйкес әзірленген.
2. Осы Тәуекелдің дәрежесін бағалау өлшемдері тәуекел көрсеткіштерінің сандық және сапалы жиынтығын анықтайды, соның негізінде ақпараттандыру субъектілерін тәуекел әртүрлі дәрежелеріне жатқызу жүзеге асырылады.
3. Осы Тәуекел дәрежесін бағалау өлшемдерінде мынадай түсініктемелер пайдаланылады:
1) Тәуекел – ақпараттандыру субъектілерін іс-әрекетін тексеру нәтижесінде электрондық ақпараттық ресурстарды және ақпараттық технологияларды пайдаланудағы салдарының ауыр дәрежесін есепке ала отырып тұлғаның, қоғамның, мемлекеттің заңды мүддесіне зиян келтіру мүмкіншілігі.
2) тексерілетін ақпараттандыру субъектілері (бұдан әрі – тексерілетін субъектілер) – электрондық ақпараттық ресурстарының және ақпараттық жүйелердің меншік иелері және иелері.
4. Тәуекел дәрежесін бағалау өлшемдері екі түрге бөлінеді:
1) объективті – тексерілетін субъектілер іс-әрекеті жүзеге асырудағы мүмкін қауіп-қатерлердің маңыздылығына негізделген;
2) субъективті – тексерілетін субъектілердің белгіленген талаптарды бұзушылықтарына байланысты анықталады.
5. Тексерілетін субъектерді тәуекел топтарына алғашқы жатқызуы жүзеге асырылатын іс-әрекет түрлеріне байланысты тәуекелдің дәрежесін бағалаудағы объективті белгілерінің негізінде жүзеге асырылады:
1) жоғары тәуекел тобына жатады – кредиттік бюроның іс-әрекетін жүзеге асыратын субъектілер,
2) орта тәуекел тобына жатады - мемлекеттiк ақпараттық жүйелермен интеграцияланатын мемлекеттiк емес ақпараттық жүйелердiң иелері, электрондық ақпараттық ресурстарының және ақпараттық жүйелердің иелері болып табылатын субъектілері
3) елеусіз тәуекел тобына жатады – ақпаратты жеткізушілер және кредиттік тарихтардың алушылары болып табылатын субъектілер.
6. Тексерілетін субъектерді тәуекел топтарына кейінгі жатқызуы өрескел, едәуір және елеусіз бұзушылықтар жататын субъективті белгілерді есепке алып жүзеге асырылады.
7. Өрескел бұзушылықтарға жатады:
1) ақпараттық жүйенiң оның ақпараттық қауiпсiздiк талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкес аттестатын болмауы;
2) ақпаратты қорғау құралдарын пайдалануымен ақпараттық жүйені физикалық қорғауды қамтамасыз етуі, соның ішінде криптографиялық, сонымен қатар қол жеткізуді бақылау жүйесі және ақпараттқа қол жеткізу фактілерін тіркеуді болмау;
3) ақпаратқа (ақпаратты материалдық жеткізушілерге) қол жеткізу жүзеге асырылуы мүмкін аумаққа (үй-жайға) кірудің ерекше режимін сонымен қатар тұлғалар тобы және ақпараттың сипаттамасы бойынша ақпаратқа қол жеткізуді шектеудің қамтамасыз етілмеуі.
8. Едәуір бұзушылықтарға жатады:
1) ақпараттық жүйелердің, бастапқы бағдарламалық кодтардың, орнату пакетінің және нормативтік-құжаттамалық құжаттаманың (түпнұсқасы мен көшірмелері) болмауы;
2) бағдарламалық өнімдерге, ақпараттық жүйелерге, ақпараттық ресурстарға нормативтік-техникалық құжаттаманың болмауы;
3) нормативтік-техникалық құжаттаманың стандарттар талаптарына сәйкес келмеуі.
9. Елеусіз бұзушылықтарға жатады:
1) осы немесе өзге себептер бойынша пайдаланудан шығарылған немесе басқа ведомствоға берілген, бағдарламалық кодтар мен нормативтік-техникалық құжаттаманы Депозитарийде есептен шығару туралы хабарламаларды дер уақтылы ұсынуды бұзушылық;
2) Мемлекеттік тіркелімде тіркелген электрондық ақпараттық ресурстар мен ақпараттық жүйелер туралы мәліметтерді жыл сайын өзектілендіру бойынша бұзушылық;
3) депозитарийде жатқан бағдарламалық өнімдер туралы мәліметтерді жыл сайын өзектілендіру бойынша бұзушылық (30 сәуір).
10. Жоспарлы тексерулерді жүзеге асыру үшін тексерілетін субъектілердің қауіп-қатерлер дәрежесін анықтау және қауіп-қатер дәрежесіне қарай топтарға бөлу жыл сайын жүзеге асырылады.
11. Тексерілетін субъектілерді соңынан қауіп-қатерлер топтарына жатқызу алдыңғы тексерулердің (алдыңғы жыл үшін) нәтижелерін талдау негізінде жүзеге асырылады.
12. Елеусіз қауіп-қатер тобына жататын, тексерілетін субъектілер тексеру кезеңінде екі және одан көп өрескел бұзушылықтар немесе екіден аса едәуір бұзушылықтар немесе үштен аса елеусіз бұзушылықтар жасалған кезде орта қауіп-қатер тобына жатады.
13. Орта қауіп-қатер тобына жататын, тексерілетін субъектілер тексеру кезеңінде бір және одан көп өрескел немесе екі және аса едәуір бұзушылықтар немесе екіден аса елеусіз бұзушылықтар жасалған кезде жоғары қауіп-қатер дәрежесіне ауыстырылады.
14. Бұзушылықтарды соңғы жоспарлы тексеру анықталмаған кезде, тексерілетін субъектілер ең аз дәрежелі қауіп-қатер тобына ауыстырылады.
15. Бір қауіп-қатер тобының тексерілетін субъектілерін тексерулерді басым жоспарлауға негіз болатын:
1) ең көп тексерілмеген кезең (тексерілмеген кезеңді анықтаған кезде жоспардан тыс тексерулер есепке алынбайды);
2) өткен кезеңде айқындалған едәуір және өрескел бұзушылықтардың аса көп саны;
3) ақпараттық жүйелер мен электрондық ақпараттық ресурстарының аса көп санының бар болуы.

Қазақстан Республикасы Байланыс
және ақпарат министрінің
2011 жылғы 31 тамыздағы № 263,
және Қазақстан Республикасы
Экономикалық даму және сауда
министрінің міндетін атқарушысының
2011 жылғы 16 қыркүйектегі № 305
бірлескен бұйрығына
2-қосымшасы

Байланыс саласындағы жеке кәсіпкерлік саласындағы тәуекелдік дәрежесінің баға критерийлері

1. Осы байланыс саласындағы тәуекелдік дәрежесінің баға критерийлері (бұдан әрі – Критерийлер) "Қазақстан Республикасындағы мемлекеттік бақылау және қадағалау туралы" 2011 жылғы 6 қаңтардағы және "Байланыс туралы" 2004 жылғы 5 шілдедегі Қазақстан Республикасының Заңдарына сәйкес әзірленген.
2. Осы Критерийлер тәуекелдіктердің есептік және сапалық көрсеткіштерінің жиынтығын анықтайды, соның негізінде байланыс саласындағы субъектілерді әр түрлі тәуекелдік дәрежелеріне жатқызуы жүзеге асырылады.
3. Осы Критерийлерде мынадай ұғымдар қолданылады:
1) тәуекел – жеке және заңды тұлғалардың және мемлекеттің, қоғамның заңды мүдделіктеріне, оның салдарының ауырлық дәрежесін ескере отырып, байланыс саласындағы субъектілерінің қызметінің нәтижесінде зиян келтірудің ықтималдығы, атап айтқанда:
радиожиілік спектрдің ақылы шектелген ресурстың бақылаусыз қолданылуы мемлекеттік бюджетке міндетті төлемдердің түспеуіне әкелуі мүмкін;
радиожиілік спектрді рұқсат ететін құжаттарсыз қолданылуы радиокедергілердің туындауына және оның заңды иелерімен пайдалану мүмкіндігінің болмауына әкелуі мүмкін;
АЖІІ техникалық құралдарсыз телекоммуникация желілерінде жабдықтарды пайдалану ЖІӘ органдарымен қажетті іс-шараларды өткізілу мүмкіндігі болмауына әкелуі мүмкін;
2) бақылау субъектісі - байланыс операторы (байланыс қызметiн көрсетуге лицензия алған жеке немесе заңды тұлға); байланыс саласындағы қызметтi жүзеге асыратын шаруашылық етуші субъектiлер (байланыс операторлары, арнаулы, ведомстволық және корпоративті телекоммуникация желiлерiнiң, ортақ пайдаланылатын телекоммуникация желiсiне қосылатын жеке коммутациялық жабдықтың иелерi, радиожиiлiк спектрiн пайдаланушылары болып табылатын радиоэлектрондық құралдар иелерi);
4. Тәуекелдік дәрежесіне бақылау субъектілерін жатқызу 2 кезеңде жүзеге асырылады:
бірінші кезең – тәуекелдік дәрежесінің объективті критерийлер негізінде;
екінші кезең – тәуекелдік дәрежесінің объективті критерийлер негізінде.
5. Тәуекелдік дәрежесінің объективті критерийлері:
1) тәуекелдік дәрежесінің жоғарғы тобына жатқызылды – мынадай байланыс қызметтерін беруге лицензиялар алған субъектілер:
қалааралық, халықаралық, ұялы; сондай-ақ, жергілікті және байланыс қызметтерін беру үшін РЖС бар деректерін беру;
2) тәуекелдік дәрежесінің орта тобына жатқызылды – мынадай байланыс қызметтерін беруге лицензиялар алған субъектілер: деректерді беру, ІР-телефония, сымды байланыс арқылы жергілікті, бөлінген байланыс желісі бойынша телекоммуникациялар, жерсеріктік жылжымалы байланыс, ұтқыр телекоммуникациялық байланыс, байланыс арналарын беру;
3) тәуекелдік дәрежесінің елеусіз тобына жатқызылды – радиожиілік спектрін өндірістік мақсаттарында қолданылатын, шаруашылық етуші субъектілер.
6. Тәуекелдік дәрежесінің субъективті баға критерийлері бөлінеді:
өрескел бұзушылыққа;
едәуір бұзушылыққа;
елеусіз бұзушылыққа.
7. Өрескел бұзушылыққа жатады:
1) тиісті лицензиясыз байланыс қызметтерін беру;
2) рұқсат ететін құжаттарсыз радиожиілік спектрін қолдану;
3) рұқсат ететін тиісті құжаттарсыз нөмірлеу ресурсын қолдану не болмаса нөмірлеу қағидасын бұзу;
4) телекоммуникациялық жабдықта арнайы жедел-іздестіру шаралар (бұдан әрі – ЖІШ) өткізу техникалық құралдарының болмауы және ЖІШ өткізуді қамтамасыз ету үшін абоненттер туралы қызметтік ақпаратты жинау және сақтауды жүзеге асыру талаптарын бұзу.
8. Едәуір бұзушылықтарға жатады:
1) сертификатталмаған жабдықтарды қолдану;
2) пайдалануға рұқсатсыз радиоэлектрондық құралдар мен жоғары жиілікті құрылғыларды пайдалану;
3) жалпы пайдаланылатын телекоммуникация желісіне қосу тәртібін бұзу;
4) Лицензияны пайдалану шарттарын сақтамауы, сондай-ақ байланыс операторларының қойылатын біліктілік талаптарына сәйкес келмеуі;
5) радиожиілік спектрді қолдануға рұқсаттың жарамдылық мерзімдерін ұзартпау;
6) РЭҚ және ЖЖҚ тіркеуінің болмауы;
7) Радиожиілік спектрін қолдану және радиоэлектрондық құралдар және жоғары жиілікті құрылғылардың пайдалану рұқсаттарындағы белгіленген деректеріне радиоэлектрондық құралдар және жоғары жиілікті құрылғылардың пайдалану-техникалық сипаттамаларының сәйкес болмауы;
8) Бақылау-өлшеу және сынақ жұмыстарын жүргізу үшін (тиісті шарт болған жағдайда өтініш берушіге меншік не болмаса жалдау құқықтарында тиесілі) метрологиялық базаның болмауы (Қазақстан Республикасының мемлекеттік өлшеу жүйесінің тізіліміне енгізілген);
9. Елеусіз бұзушылыққа жатады:
1) радиоэлектрондық құрал мен жоғары жиілікті құрылғыны пайдалануға рұқсаттың жарамдылық мерзімдерін ұзартпауы;
2) Қазақстан Республикасы аумағында РЭҚ, ЖЖҚ сатып алған жағдайда, радиоэлектрондық құралдар және жоғары жиілікті құрылғылардың сатып алуға рұқсатының болмауы;
3) келесі ақпараттарды ұсынбауы:
Телекоммуникация желілерін құру және/немесе даму кезеңдері бойынша және Қазақстан Республикасының әкімшілік-аумақтық бөлінуіне байланыстыра отырып, қызметтер ұсынылатын аумақтар;
қызметтер тұтынушыларымен өзара қатынастарында дербестік дәрежелері (дербес жүзеге асырылады немесе делдалдар - "қызметтер жеткізушілері" талап етіледі);
желі түрін құрастырған кезде қолданылған стандарттар мен хаттамалар;
желі сыйымдылықтары, оның ішінде құру және/немесе даму кезеңдері бойынша;
желінің әкімшілік пункттеріне байланыстыруында байланыстың ұйымдастыру сызбасының бар болуы;
ортақ пайдаланылатын телекоммуникациялар желісімен Қазақстан Республикасы аумағында басқа да байланыс желілерімен өзара іс-әрекет;
станцияаралық қосылуларды ұйымдастыру тәсілдері (жалға берілген басқа желілер бойынша нақты техникалық құралдарды көрсетуімен өтініш берушінің меншікті байланыс желісінің құралдары бойынша);
трафик есебінің жүйесі бар болуы;
байланыс құралдарын иелену, пайдалану, өкім беру құқығы (меншік құқығында не болмаса жалдау құқықтарында);
жергілікті телефон қосылулардың, нөмірді анықтау аппаратурасының уақтылы бағаларын есепке алу аппаратурасын қолдану;
пошта қызметін беру тәртібі (пошта қызметін көрсеткен жағдайда);
халықаралық пошта жөнелтімдерін кедендік тексеруге беру тәртібі (пошта қызметін көрсеткен жағдайда).
10. Жоспарлы тексерістерді жүзеге асыру үшін байланыс саласындағы субъектілердің тәуекелдік дәреже топтары бойынша бөлу және дәрежесін анықтау.
11. Байланыс саласындағы субъектілерді тәуекелдік дәрежесі бойынша бөлу алдыңғы (өткен жылғы) тексерістердің нәтижелері бойынша талдау негізінде жүзеге асырылатын болады.
12. Тәуекелдік дәрежесінің елеусіз тобына кіретін реттеу субъектілері, тексеру кезеңі ішінде бір өрескел немесе екі едәуір бұзушылықтарды жасаған кезде орта тәуекелдік дәрежесіне ауысады, ал үш өрескел бұзушылық жасалған кезде – жоғары тәуекелдік дәрежесіне ауысады.
13. Тәуекелдік дәрежесінің орта тобына кіретін реттеу субъектілері, тексеру кезеңі ішінде бір өрескел немесе екі едәуір бұзушылықтарды жасаған кезде жоғары тәуекелдік дәрежесіне ауысады.
14. Соңғы жоспарлы тексеріспен бұзушылықтар айқындалмаған кезде, реттеу субъектілері тәуекелдік дәрежесінің елеусіз тобына ауысады.
15. Тәуекелдіктің жоғары немесе орта тобы субъектілері байланыс саласындағы заңнама нормаларының талаптарын сақтауына байланысты бір топтан басқа топқа ауысатын болады және, олардың тексеріс кезеңдігі өзгеретін болады.
16. Тәуекелдік дәрежесінің бірінің ішінде субъектілердің іріктелуі байланыс саласындағы уәкілеттік органмен келесі ретте жүзеге асырылады:
1) аса көп тексерілмеген кезең (тексерілмеген кезеңді анықтаған кезде жоспардан тыс тақырыптық тексерістер есепке алынбайды);
2) өткен жылдың анықталған бұзушылықтардың ауыртпалық дәрежесі;
3) радиоэлектрондық құралдар мөлшерлерінің аса көп болуы.

Қазақстан Республикасы Байланыс
және ақпарат министрінің
2011 жылғы 31 тамыздағы № 263,
және Қазақстан Республикасы
Экономикалық даму және сауда
министрінің міндетін атқарушысының
2011 жылғы 16 қыркүйектегі № 305
бірлескен бұйрығына
3-қосымшасы

Электрондық құжат және электрондық цифрлық қолтаңба туралы Қазақстан Республикасы заңнамасының сақталуына жеке кәсіпкерлік саласының тәуекел дәрежесін бағалау өлшемдері

1. Осы электрондық құжат және электрондық цифрлық қолтаңба туралы Қазақстан Республикасы заңнамасының сақталуына саласындағы жеке кәсіпкерлік саласының тәуекел дәрежесін бағалау өлшемдері (бұдан әрі – Тәуекелдің дәрежесін бағалау өлшемдері) "Қазақстан Республикасында мемлекеттік бақылау және қадағалау туралы" 2011 жылғы 6 қаңтардағы, "Ақпараттандыру туралы" 2007 жылғы 11 қаңтардағы, "Электрондық құжат және электрондық цифрлық қолтаңба туралы" 2003 жылғы 7 қаңтардағы Қазақстан Республикасы заңдарымен сәйкес әзірленген.
2. Осы Тәуекелдің дәрежесін бағалау өлшемдері тәуекел көрсеткіштерінің сандық және сапалы жиынтығын анықтайды, соның негізінде ақпараттандыру субъектілерін тәуекел әртүрлі дәрежелеріне жатқызу жүзеге асырылады.
3. Осы Тәуекел дәрежесін бағалау өлшемдерінде мынадай түсініктемелер пайдаланылады:
1) тәуекел – ақпараттандыру субъектілерін іс-әрекетін тексеру нәтижесінде электрондық ақпараттық ресурстарды және ақпараттық технологияларды пайдаланудағы салдарының ауыр дәрежесін есепке ала отырып тұлғаның, қоғамның, мемлекеттің заңды мүддесіне зиян келтіру мүмкіншілігі;
2) тексерілетін субъектілері (бұдан әрі – тексерілетін субъектілер) – куәландырушы орталықтары;
3) куәландырушы орталық – электрондық цифрлық қолтаңбаның ашық кілтінің электрондық цифрлық қолтаңбаның жабық кілтіне сәйкестігін куәландыратын, сондай-ақ тіркеу куәлігінің дұрыстығын растайтын заңды тұлға.
4. Тәуекел дәрежесін бағалау өлшемдері екі түрге бөлінеді:
1) объективті – тексерілетін субъектілер іс-әрекеті жүзеге асырудағы мүмкін қауіп-қатерлердің маңыздылығына негізделген;
2) субъективті – тексерілетін субъектілердің белгіленген талаптарды бұзушылықтарына байланысты анықталады.
5. Алғашқы барлық тексеріске жататын субъектілер тәуекелі аса жоғары топқа қатысады.
6. Тексерілетін субъекттерді тәуекел топтарына кейінгі жатқызуы өрескел, едәуір және елеусіз бұзушылықтар жататын субъективті белгілерді есепке алып жүзеге асырылады.
7. Өрескел бұзушылықтарға жатады:
1) куәландыратын орталықтың аппаратты-бағдарламалық кешені үшін сертификатталған ақпараты криптографиялық қорғау құралдарының болмауы;
2) электрондық цифрлық қолтаңбаның ашық кілтінің электрондық цифрлық қолтаңбаның жабық кілтіне сәйкестігі куәлігі бойынша, сонымен қатар тіркеу куәлігінің растығын дәлелдеу бойынша әрекетіне лицензияның болмауы;
3) Іс-әрекеттің өтініш берілген түрін жүзеге асыру үшін қажетті аппаратты-бағдарламалы кешеннің болмауы;
4) аталған куәландырушы орталықта және оның пайдаланушыларымен пайдаланылатын, ҚР СТ 1073-2007 бойынша АКҚҚ сәйкестік сертификатының болмауы.
8. Едәуір бұзушылықтарға жатады:
1) куәландырушы орталықтың бағдарламалық-аппараттық құралдарын пайдалану және орналастыруға арналған техникалық үй-жайлардың болмауы;
2) ақпаратты криптографиялық қорғау құралдарын (оның ішінде өзге жіберулер) іске асыруға лицензиясы болмау;
3) Қазақстан Республикасы Ұлттық қауіпсіздік органдарымен берілетін немесе бірлесіп құпия жұмыстарын жасауға заңнамалық тәртіппен қойылған келісім-шартпен жасалған Қазақстан Республикасы мемлекеттік құпиясын құрастыратын мәліметтерді пайдалануымен жұмыстар жүргізу рұқсатының болмауы.
9. Елеусіз бұзушылықтарға жатады:
1) 3 жылдан кем емес біліктілігіне сәйкес жұмыс өтілі бар және тиісті кәсіби деңгейге жауап беретін, үш адамнан кем емес білікті инженерлік-техникалық персоналдың, сондай-ақ куәландыратын орталықтың біліктілік талаптарына сәйкестігін растайтын құжаттардың (дипломдар, сертификаттар және куәландырушы орталықтың қызмет бейініне тиісті біліктілік тағайындау туралы өзге де куәліктер) болмауы;
2) куәландырушы орталықтар модульдері (құрауыш) мен электрондық цифрлық қолтаңба схемаларының қолданылатын криптографиялық түрленулердің алгоритмдері туралы деректермен және басқа да электрондық цифрлық қолтаңбаны қалыптастыру процесін іске асыру жөніндегі бастапқы деректермен (негізгі талаптармен) және өтініш берушімен бекітілген куәландырушы орталыққа және жекелеген параметрлерге қойылатын талаптармен өзара іс-қимылдар схемасының болмауы;
3) Қазақстан Республикасы Үкіметінің 2010 жылғы 19 қарашадағы № 1222 Қаулысымен бекітілген "Куәландырушы орталықтарды аккредиттеуді жүргізу қағидасын бекіту туралы" ережесінің 5 тармағы 6 тармақшасына сәйкес нормативтік-техникалық құжаттардың болмауы;
4) электронды цифрлық қолтаңбаның функциясын іске асыратын пайдаланылатын бағдарламалық қамтамасыз етуде бұрыс жұмыс фактілерінің болуы.
10. Жоспарлы тексерулерді жүзеге асыру үшін тексерілетін субъектілердің қауіп-қатерлер дәрежесін анықтау және қауіп-қатер дәрежесіне қарай топтарға бөлу жыл сайын жүзеге асырылады.
11. Тексерілетін субъектілерді соңынан қауіп-қатерлер топтарына жатқызу алдыңғы тексерулердің (алдыңғы жыл үшін) нәтижелерін талдау негізінде жүзеге асырылады.
12. Елеусіз қауіп-қатер тобына жататын, тексерілетін субъектілер тексеру кезеңінде бір және одан көп өрескел бұзушылықтар немесе екіден аса едәуір бұзушылықтар немесе үштен аса елеусіз бұзушылықтар жасалған кезде орта қауіп-қатер тобына жатады.
13. Орта қауіп-қатер тобына жататын, тексерілетін субъектілер тексеру кезеңінде бір және аса едәуір бұзушылықтар немесе төрттен аса елеусіз бұзушылықтар жасалған кезде жоғары қауіп-қатер дәрежесіне ауыстырылады.
14. Бұзушылықтарды соңғы жоспарлы тексеру анықталмаған кезде, тексерілетін субъектілер ең аз дәрежелі қауіп-қатер тобына ауыстырылады.
15. Бір қауіп-қатер тобының тексерілетін субъектілерін тексерулерді басым жоспарлауға негіз болатын:
1) ең көп тексерілмеген кезең (тексерілмеген кезеңді анықтаған кезде жоспардан тыс тексерулер есепке алынбайды);
2) өткен кезеңде айқындалған едәуір және өрескел бұзушылықтардың аса көп саны.