Приказ РБ 408 06.12.2019 Об изменении приказов Оперативно-аналитического центра при Президенте Республики Беларусь от 2 августа 2010 г. № 60 и от 17 декабря 2010 г. № 92

ПРИКАЗ ОПЕРАТИВНО-АНАЛИТИЧЕСКОГО ЦЕНТРА ПРИ ПРЕЗИДЕНТЕ РЕСПУБЛИКИ БЕЛАРУСЬ

6 декабря 2019 г. № 408

Об изменении приказов Оперативно-аналитического центра при Президенте Республики Беларусь от 2 августа 2010 г. № 60 и от 17 декабря 2010 г. № 92

На основании Указа Президента Республики Беларусь от 18 сентября 2019 г. № 350 «Об особенностях использования национального сегмента сети Интернет» ПРИКАЗЫВАЮ:

1.Внести изменения в следующие приказы Оперативно-аналитического центра при Президенте Республики Беларусь:

1.1.в приказе Оперативно-аналитического центра при Президенте Республики Беларусь от 2 августа 2010 г. № 60 «Об утверждении Положения о порядке определения поставщиков интернет-услуг, уполномоченных оказывать интернет-услуги государственным органам и организациям, использующим в своей деятельности сведения, составляющие государственные секреты»:

название изложить в следующей редакции:

«Об утверждении Положения о порядке определения уполномоченных поставщиков интернет-услуг»;

в преамбуле слова «В соответствии с пунктом» заменить словами «На основании пункта»;

пункт 1 изложить в следующей редакции:

«1. Утвердить Положение о порядке определения уполномоченных поставщиков интернет-услуг (прилагается).»;

Положение о порядке определения поставщиков интернет-услуг, уполномоченных оказывать интернет-услуги государственным органам и организациям, использующим в своей деятельности сведения, составляющие государственные секреты, утвержденное этим приказом, изложить в новой редакции (прилагается);

1.2.в приказе Оперативно-аналитического центра при Президенте Республики Беларусь от 17 декабря 2010 г. № 92 «Об утверждении перечня поставщиков интернет- услуг, уполномоченных оказывать интернет-услуги государственным органам и организациям, использующим в своей деятельности сведения, составляющие государственные секреты»:

название изложить в следующей редакции:

«Об утверждении перечня уполномоченных поставщиков интернет-услуг»;

в преамбуле слова «В соответствии с пунктом» заменить словами «На основании пункта»;

пункт 1 изложить в следующей редакции:

«1. Утвердить перечень уполномоченных поставщиков интернет-услуг (прилагается).»;

перечень поставщиков интернет-услуг, уполномоченных оказывать интернет-услуги государственным органам и организациям, использующим в своей деятельности сведения, составляющие государственные секреты, утвержденный этим приказом, изложить в новой редакции (прилагается).

2.Поставщики интернет-услуг, оказывающие интернет-услуги государственным органам и организациям, указанным в части первой пункта 7 Указа Президента Республики Беларусь от 1 февраля 2010 г. № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет» (далее – государственные органы и организации), в том числе не уполномоченные на дату вступления в силу пункта 2 Указа Президента Республики Беларусь от 18 сентября 2019 г. № 350 «Об особенностях использования национального сегмента сети Интернет» оказывать такие услуги государственным органам и организациям, при намерении продолжить оказание интернет-услуг государственным органам и организациям обеспечивают не позднее 1 апреля 2020 г.:

выполнение требований к уполномоченным поставщикам интернет-услуг, установленных в приказе Оперативно-аналитического центра при Президенте Республики Беларусь от 2 августа 2010 г. № 60 (с учетом изменений, внесенных в него настоящим приказом) (далее – требования);

представление в Оперативно-аналитический центр при Президенте Республики Беларусь информации о выполнении требований.

При невыполнении требований и (или) непредставлении информации об их выполнении в сроки, установленные в части первой настоящего пункта:

уполномоченные поставщики интернет-услуг подлежат исключению из перечня уполномоченных поставщиков интернет-услуг в соответствии с Положением о порядке определения уполномоченных поставщиков интернет-услуг, утвержденным приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 2 августа 2010 г. № 60. Такие поставщики интернет-услуг обеспечивают прекращение оказания интернет-услуг государственным органам и организациям не позднее дня, следующего за днем официального опубликования приказа Оперативно-аналитического центра при Президенте Республики Беларусь об изменении указанного перечня;

поставщики интернет-услуг, не включенные в перечень уполномоченных поставщиков интернет-услуг, обеспечивают прекращение оказания интернет-услуг государственным органам и организациям со 2 апреля 2020 г.

Возможности поставщиков интернет-услуг, представивших согласно части первой настоящего пункта в Оперативно-аналитический центр при Президенте Республики Беларусь информацию о выполнении требований, подлежат оценке на предмет соответствия их данным требованиям, проводимой в порядке, установленном Положением о порядке определения уполномоченных поставщиков интернет-услуг.

3.Признать утратившими силу:

приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 29 июня 2010 г. № 52 «Об утверждении Положения о порядке определения государственных органов и организаций, которым поставщики интернет-услуг не ограничивают доступ к информации, размещаемой и распространяемой в сети Интернет»;

приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 31 января 2014 г. № 10 «О внесении изменений в приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 29 июня 2010 г. № 52».

4.Настоящий приказ вступает в силу после его официального опубликования.

Начальник    А.Ю.Павлюченко

 

УТВЕРЖДЕНО

Приказ Оперативно-аналитического центра при

Президенте Республики Беларусь 02.08.2010 № 60

(в редакции приказа Оперативно-аналитического центра при

Президенте Республики Беларусь 06.12.2019 № 408)

 

ПОЛОЖЕНИЕ

o порядке определения уполномоченных поставщиков интернет-услуг

1.В настоящем Положении устанавливается порядок определения Оперативно- аналитическим центром при Президенте Республики Беларусь (далее – ОАЦ) поставщиков интернет-услуг, уполномоченных оказывать интернет-услуги:

государственным органам и иным государственным организациям, подчиненным (подотчетным) Президенту Республики Беларусь, Совету Республики и Палате представителей Национального собрания Республики Беларусь, Конституционному Суду Республики Беларусь, Верховному Суду Республики Беларусь, Аппарату Совета Министров Республики Беларусь, республиканским органам государственного управления и иным государственным организациям, подчиненным Правительству Республики Беларусь, местным исполнительным и распорядительным органам, судам;

организациям, подчиненным (входящим в состав, систему) государственным органам и организациям, указанным в абзаце втором настоящего пункта;

иным государственным организациям, определяемым ОАЦ.

2.Для целей настоящего Положения термины используются в значениях, определенных в указах Президента Республики Беларусь от 1 февраля 2010 г. № 60 и от 16 апреля 2013 г. № 196 «О некоторых мерах по совершенствованию защиты информации», Законе Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации».

3.Поставщиками интернет-услуг, уполномоченными оказывать интернет-услуги государственным органам и организациям, указанным в пункте 1 настоящего Положения (далее – государственные органы и организации), могут быть определены только юридические лица Республики Беларусь.

4.Поставщики интернет-услуг, не имеющие права на оказание интернет-услуг государственным органам и организациям, для получения такого права направляют в ОАЦ заявление в произвольной форме, подписанное руководителем юридического лица, в котором указывается полное наименование юридического лица и место его нахождения.

К заявлению прилагаются:

копия документа, подтверждающего государственную регистрацию юридического лица (без нотариального засвидетельствования);

копия специального разрешения (лицензии) на осуществление деятельности в области связи (без нотариального засвидетельствования) – для поставщиков интернет- услуг, оказывающих услуги доступа в сеть Интернет;

описание реализованных в соответствии с требованиями согласно приложению (далее – предъявляемые требования) организационных, программных и (или) программно- технических решений для оказания интернет-услуг государственным органам и организациям;

список должностных лиц, ответственных за обеспечение безопасности при оказании интернет-услуг государственным органам и организациям, с указанием фамилии, собственного имени, отчества (если таковое имеется), данных документа, удостоверяющего личность (серия, номер, когда и кем выдан), места жительства, а также копии документов об образовании, переподготовке, повышении квалификации этих лиц.

5.ОАЦ в течение 30 календарных дней со дня поступления заявления поставщика интернет-услуг проводит оценку соответствия его возможностей оказывать интернет- услуги государственным органам и организациям (далее – оценка).

Оценка проводится путем изучения и анализа документов, представленных поставщиком интернет-услуг, и при необходимости выезда уполномоченных на ее проведение лиц по месту нахождения поставщика интернет-услуг. При этом уполномоченные на проведение оценки лица предъявляют руководителю поставщика интернет-услуг или его уполномоченному представителю служебные удостоверения. О проведении оценки с выездом по месту нахождения поставщика интернет-услуг ОАЦ письменно уведомляет поставщика интернет-услуг не менее чем за пять рабочих дней до ее проведения.

По результатам оценки принимается решение о соответствии или несоответствии предъявляемым требованиям возможностей поставщика интернет-услуг оказывать интернет-услуги государственным органам и организациям.

6.Основаниями для отказа поставщику интернет-услуг в предоставлении права оказывать интернет-услуги государственным органам и организациям являются:

непредставление всех документов, определенных в пункте 4 настоящего Положения; указание в заявлении или документах недостоверных сведений;

выявленное в ходе оценки несоответствие предъявляемым требованиям реализованных организационных, программных и (или) программно-технических решений для оказания интернет-услуг государственным органам и организациям.

В случае принятия решения об отказе в предоставлении права оказывать интернет- услуги государственным органам и организациям ОАЦ в течение трех рабочих дней со дня принятия такого решения письменно информирует об этом поставщика интернет- услуг с указанием причин отказа.

Поставщики интернет-услуг, которым отказано в предоставлении права оказывать интернет-услуги государственным органам и организациям, вправе вновь обратиться в ОАЦ с заявлением о предоставлении такого права не ранее чем через шесть месяцев со дня принятия ОАЦ соответствующего решения.

7.Поставщики интернет-услуг, которым предоставлено право оказывать интернет- услуги государственным органам и организациям, включаются в перечень уполномоченных поставщиков интернет-услуг. Такие поставщики интернет-услуг вправе оказывать интернет-услуги государственным органам и организациям со дня, следующего за днем официального опубликования приказа ОАЦ об утверждении (изменении) указанного перечня.

8.ОАЦ вправе провести повторную оценку соответствия возможностей уполномоченного поставщика интернет-услуг предъявляемым требованиям (далее – повторная оценка) при наличии хотя бы одного из следующих условий:

наличия сведений, в том числе полученных от государственного органа или организации, которым уполномоченный поставщик интернет-услуг оказывает интернет- услуги, об имеющихся уязвимостях в программных, программно-технических средствах или ином оборудовании поставщика интернет-услуг или невыполнении предъявляемых требований;

изменения организационных, программных и (или) программно-технических решений для оказания интернет-услуг;

изменения предъявляемых требований;

изменения места нахождения уполномоченного поставщика интернет-услуг.

9.О проведении повторной оценки ОАЦ письменно информирует уполномоченного поставщика интернет-услуг не менее чем за три рабочих дня до ее проведения.

Повторная оценка проводится ОАЦ в течение 15 рабочих дней со дня направления поставщику интернет-услуг уведомления о ее проведении.

10.Уполномоченный поставщик интернет-услуг подлежит исключению из перечня уполномоченных поставщиков интернет-услуг:

если по результатам повторной оценки будет установлено несоответствие его возможностей предъявляемым требованиям;

в добровольном порядке на основании письменного заявления уполномоченного поставщика интернет-услуг.

Поставщик интернет-услуг считается исключенным из перечня уполномоченных поставщиков интернет-услуг со дня, следующего за днем официального опубликования приказа ОАЦ об утверждении (изменении) данного перечня.

11.Поставщик интернет-услуг, исключенный из перечня уполномоченных поставщиков интернет-услуг, вправе вновь обратиться в ОАЦ с заявлением о предоставлении права оказывать интернет-услуги государственным органам и организациям не ранее чем через шесть месяцев со дня исключения его из указанного перечня.

12.Решения ОАЦ об отказе в предоставлении права оказывать интернет-услуги государственным органам и организациям, об исключении из перечня уполномоченных поставщиков интернет-услуг могут быть обжалованы поставщиком интернет-услуг в суд в порядке, установленном законодательными актами.

Приложение

к Положению о порядке определения уполномоченных поставщиков интернет-услуг

ТРЕБОВАНИЯ

к уполномоченным поставщикам интернет-услуг

1.Поставщики интернет-услуг при оказании интернет-услуг государственным органам и организациям обязаны:

1.1.использовать оборудование, размещенное на территории Республики Беларусь;

1.2.применять средства защиты информации, прошедшие подтверждение соответствия требованиям технического регламента Республики Беларусь

«Информационные технологии. Средства защиты информации. Информационная безопасность» (ТР 2013/027/BY) в форме сертификации или декларирования соответствия;

1.3.обеспечить наличие в штате работников, имеющих высшее образование в области защиты информации либо высшее или профессионально-техническое образование и прошедших переподготовку или повышение квалификации по вопросам технической и криптографической защиты информации не реже одного раза в три года, предоставить им права и возложить на них обязанности в объеме, необходимом для выполнения настоящих требований;

1.4.разработать и внедрить план бесперебойного функционирования и восстановления работоспособности информационной системы, с использованием которой осуществляется оказание интернет-услуг, включающий:

описание возможных нештатных ситуаций, которые могут повлиять на качество оказываемых услуг (перерывы в электроснабжении, вредоносные воздействия различного характера, выход из строя оборудования и другое);

порядок действий по устранению нештатных ситуаций с определением ответственных за их выполнение;

описание временных показателей на период устранения нештатных ситуаций и выполнения запланированных мероприятий;

1.5.обеспечить передачу в ОАЦ:

структурных и функциональных схем информационных систем, с использованием которых осуществляется оказание интернет-услуг;

сведений о настройках и состоянии оборудования, используемого для маршрутизации и коммутации сети передачи данных;

информации об абонентах и оказываемых им услугах и сервисах (порты, протоколы, DNS-запросы, фрагменты сетевого трафика);

сведений об обнаружении критических событий безопасности.

Порядок, сроки представления сведений, указанных в части первой настоящего подпункта, их перечень и формат определяются поставщиком интернет-услуг по согласованию с ОАЦ в ходе проведения оценки и (или) повторной оценки;

1.6.определить доверенный сетевой сегмент и организационные, программные и (или) программно-технические решения по его защите;

1.7.реализовать иные организационные, программные и (или) программно- технические решения, позволяющие обеспечить:

1.7.1.доступ к настройкам средств межсетевого экранирования, активного сетевого оборудования и системы безопасности только работникам поставщика интернет-услуг из доверенного сетевого сегмента и хранение соответствующей информации не менее одного года;

1.7.2.документирование изменений конфигурационных файлов сетевого оборудования, программных, программно-аппаратных средств защиты информации, конфигураций системного и прикладного программного обеспечения, идентификационной информации субъектов информационной системы, с использованием которой осуществляется оказание интернет-услуг, и хранение соответствующей информации не менее одного года;

1.7.3.обновление используемого для оказания интернет-услуг программного обеспечения в порядке, установленном у поставщика интернет-услуг;

1.7.4.ведение и анализ журнала событий безопасности и хранение информации о событиях безопасности не менее одного года;

1.7.5.синхронизацию системного времени на серверном и активном сетевом оборудовании от единого (общего) источника (в качестве основного источника должны использоваться данные республиканского унитарного предприятия «Белорусский государственный институт метрологии»);

1.7.6.межсетевое экранирование по портам протоколов транспортного уровня в соответствии с договором об оказании интернет-услуг;

1.7.7.выдачу государственным органам и организациям и хранение реквизитов удаленного доступа в порядке, установленном у поставщика интернет-услуг;

1.7.8.систему обработки DNS-запросов пользователей с исключением прямого использования иностранных DNS-серверов;

1.7.9.фильтрацию трафика государственных органов и организаций от вредоносного программного обеспечения и вторжений;

1.7.10.защиту от распределенных атак, направленных на нарушение доступности оказываемых услуг, с порогом противодействия, равным пропускной способности всех имеющихся у поставщика интернет-услуг каналов подключения к сети Интернет либо не менее 40 Гбит/сек;

1.7.11.глубокий анализ сетевых пакетов государственных органов и организаций с возможностью в режиме реального времени:

осуществлять полный анализ содержимого пакетов на уровнях сетевой модели OSI от 2-го до 7-го уровня по протоколам (включая служебные), приложениям, сервисам;

классифицировать идентифицированные протоколы и приложения; выявлять трафик виртуальных частных сетей (VPN);

поддерживать для управления трафиком интернет-протоколы версий 4 и 6;

осуществлять полную поддержку управления трафиком (приоритезация, маркировка, ограничение скорости (в том числе иерархическое), блокировка, изменение параметров качества, логирование, запись дампа) по протоколам, приложениям, сервисам, включая VoIP-приложения и сервисы;

обеспечивать контроль доступа к «черным» и «белым» спискам IP-адресов и URL с перенаправлением на определенный ресурс (для http);*

* Положения подпункта 1.7.11 пункта 1 настоящих требований не распространяются на поставщиков интернет-услуг, оказывающих услуги хостинга официальных сайтов и электронной почты государственных органов и организаций.

1.7.12.оповещение ОАЦ и должностных лиц государственного органа и организации, определенных в договоре об оказании интернет-услуг (либо информация об определении (назначении) которых передана поставщику интернет-услуг), об обнаружении уязвимостей систем защиты информации, работы вредоносного программного обеспечения в информационных системах данного органа и организации, атак на информационные системы, а также оперативное принятие мер по нейтрализации выявленных угроз;

1.7.13.учет и хранение сведений об абонентах, оказываемых им услугах и сервисах;

1.8.предоставлять государственным органам и организациям статические IP-адреса либо IP-адреса из подсетей, специально выделенных для этих целей поставщиком интернет-услуг и согласованных с ОАЦ;

1.9.письменно информировать ОАЦ об изменении сведений, указанных в заявлении о предоставлении права оказывать интернет-услуги государственным органам и организациям либо прилагаемых к нему документах, в течение пяти рабочих дней со дня изменения таких сведений;

1.10.осуществлять внутренний аудит, контроль эффективности защищенности собственных систем защиты информации и ежегодно до 1 сентября представлять в ОАЦ заключение по результатам этих мероприятий;

1.11.предусматривать в договоре об оказании интернет-услуг информацию о выполнении настоящих требований;

1.12.до начала оказания интернет-услуг истребовать от государственного органа (организации) информацию в письменном виде о назначении контактного лица (контактных лиц) для взаимодействия по техническим вопросам.

2.Для выполнения обязанностей, предусмотренных в подпунктах 1.7.10 и 1.7.11 пункта 1 настоящих требований, могут быть использованы возможности иных поставщиков интернет-услуг Республики Беларусь на основании заключаемых с ними гражданско-правовых договоров. В этом случае выполнение поставщиком интернет-услуг обязанностей, предусмотренных в подпунктах 1.7.1–1.7.5 пункта 1 настоящих требований, является необязательным.

3.Поставщики интернет-услуг, помимо обязанностей, предусмотренных в пункте 1 настоящих требований, при оказании услуг хостинга официальных сайтов и электронной почты государственных органов и организаций обязаны:

3.1.оказывать эти услуги с использованием информационной системы, система защиты информации которой аттестована по классу типовой информационной системы не ниже 3-фл и 3-юл;

3.2.организовать выделение сетевых сегментов, предназначенных для оказания услуг хостинга по различным технологиям, с применением средств межсетевого экранирования;

3.3.предоставлять доступ к административной части официальных сайтов и серверам электронной почты государственных органов и организаций только по портам протоколов транспортного уровня с сетевых адресов, определенных в договоре об оказании интернет-услуг;

3.4.осуществлять полное резервное копирование информации официальных сайтов государственных органов и организаций в порядке, установленном у поставщика интернет-услуг, но не реже одного раза в неделю;

3.5.предоставлять систему обмена электронной почтой с возможностью блокирования незапрашиваемой информации (спама) и антивирусной защитой передаваемых сообщений;

3.6.обеспечить защиту от атак на веб-приложения с использованием технологии инспекции SSL/TLS соединений в соответствии с планом, разработанным поставщиком интернет-услуг и согласованным с ОАЦ;

3.7.обеспечить функционирование системы аудита и протоколирования событий безопасности официальных сайтов государственных органов и организаций. При этом журналы аудита должны содержать сведения о функционировании серверного, телекоммуникационного и сетевого оборудования, программного обеспечения, средств защиты и контроля защищенности информации. Срок хранения данной информации составляет не менее одного года;

3.8.организовать дежурную смену, которая обеспечит круглосуточный мониторинг работоспособности официальных сайтов государственных органов и организаций, серверов, телекоммуникационного оборудования и средств защиты информации с оповещением ОАЦ о выявленных нарушениях;

3.9.устранять выявленные нарушения безопасности официальных сайтов государственных органов и организаций. При невозможности устранения таких нарушений собственными силами в течение одного часа информировать ОАЦ и назначенное контактное лицо (назначенных контактных лиц) государственного органа (организации).

 

УТВЕРЖДЕНО

Приказ Оперативно-аналитического центра при

Президенте Республики Беларусь 17.12.2010 № 92

(в редакции приказа Оперативно-аналитического центра при

Президенте Республики Беларусь 06.12.2019 № 408)

 

ПЕРЕЧЕНЬ

уполномоченных поставщиков интернет-услуг

Поставщики интернет-услуг, уполномоченные оказывать услуги по предоставлению доступа к сети Интернет

Республиканское унитарное предприятие электросвязи «Белтелеком».

Государственное учреждение «Главное хозяйственное управление» Управления делами Президента Республики Беларусь.

Государственное научное учреждение «Объединенный институт проблем информатики Национальной академии наук Беларуси».

Учреждение «Главный информационно-аналитический центр Министерства образования Республики Беларусь».

Совместное общество с ограниченной ответственностью «Мобильные ТелеСистемы».

Общество с ограниченной ответственностью «Деловая сеть». Закрытое акционерное общество «ГлобалВанБел».

Общество с ограниченной ответственностью «АйПи ТелКом». Унитарное предприятие по оказанию услуг «А1».

Совместное общество с ограниченной ответственностью «КОСМОС ТВ».

Совместное общество с ограниченной ответственностью «Белорусские облачные технологии».

Открытое акционерное общество «Минские телевизионные информационные сети».

Поставщики интернет-услуг, уполномоченные оказывать услуги хостинга официальных интернет-сайтов и электронной почты

Республиканское унитарное предприятие электросвязи «Белтелеком».

Государственное учреждение «Главное хозяйственное управление» Управления делами Президента Республики Беларусь.

Государственное научное учреждение «Объединенный институт проблем информатики Национальной академии наук Беларуси».

Общество с ограниченной ответственностью «АйПи ТелКом».

Совместное общество с ограниченной ответственностью «Белорусские облачные технологии».

Республиканское унитарное предприятие «Национальный центр электронных услуг».

Общество с ограниченной ответственностью «Надежные программы».