<Письмо> Минфина России от 21.04.2015 N 21-03-05/22801
МИНИСТЕРСТВО ФИНАНСОВ РОССИЙСКОЙ ФЕДЕРАЦИИ
ПИСЬМО
от 21 апреля 2015 г. N 21-03-05/22801
В рамках реализации постановления Правительства Российской Федерации от 26 февраля 2014 г. N 151 "О формировании и ведении базовых (отраслевых) перечней государственных и муниципальных услуг и работ, формировании, ведении и утверждении ведомственных перечней государственных услуг и работ, оказываемых и выполняемых федеральными государственными учреждениями, и об общих требованиях к формированию, ведению и утверждению ведомственных перечней государственных (муниципальных) услуг и работ, оказываемых и выполняемых государственными учреждениями субъектов Российской Федерации (муниципальными учреждениями)" и приказов Министерства финансов Российской Федерации от 29 декабря 2014 г. N 174н "Об утверждении Порядка формирования (изменения) реестровых записей при формировании и ведении ведомственных перечней государственных (муниципальных) услуг и работ, оказываемых и выполняемых государственными учреждениями субъектов Российской Федерации (муниципальными учреждениями) и структуры их уникального номера, включая правила формирования информации и документов для включения в указанные реестровые записи", от 23 декабря 2014 г. N 163н "О порядке формирования и ведения реестра участников бюджетного процесса, а также юридических лиц, не являющихся участниками бюджетного процесса" формирование и ведение ведомственных перечней государственных (муниципальных) услуг и работ, оказываемых и выполняемых государственными учреждениями субъектов Российской Федерации (муниципальными учреждениями), и формирование предложений о внесении изменений в базовые (отраслевые) перечни (далее - ведение ведомственных перечней и формирование предложений о внесении изменений в базовые перечни), представление информации и документов в целях формирования и ведения реестра участников бюджетного процесса юридических лиц, не являющихся участниками бюджетного процесса (далее - ведение реестра участников бюджетного процесса), будет осуществляться в соответствующих компонентах государственной интегрированной информационной системы управления общественными финансами "Электронный бюджет" (далее - компоненты системы "Электронный бюджет").
При этом:
ведение ведомственных перечней и формирование предложений о внесении изменений в базовые перечни осуществляется органами государственной власти субъекта Российской Федерации, органами местного самоуправления, осуществляющими функции и полномочия учредителей бюджетных или автономных учреждений, а также главными распорядителями бюджетных средств, в ведении которых находятся казенные учреждения (далее - органы, осуществляющие полномочия учредителя);
согласование предложений о внесении изменений в базовые перечни и ведение реестра участников бюджетного процесса осуществляется финансовыми органами субъектов Российской Федерации и финансовыми органами муниципальных образований.
В целях организации работ по предоставлению доступа к компонентам системы "Электронный бюджет" сотрудников финансовых органов субъекта Российской Федерации, финансовых органов муниципальных образований, а также органов, осуществляющих полномочия учредителя (далее - пользователи), прошу в срок до 15 мая 2015 г. обеспечить проведение подготовительных мероприятий, включая формирование заявок на предоставление доступа к компонентам системы "Электронный бюджет", содержащих, в том числе, информацию о представителях финансовых органов субъекта Российской Федерации, финансовых органов муниципальных образований, а также органов, осуществляющих полномочия учредителя, ответственных за:
ведение ведомственных перечней и формирование предложений о внесении изменений в базовые перечни (по форме согласно приложению 1 к настоящему письму);
согласование предложений о внесении изменений в базовые перечни (по форме согласно приложению 2 к настоящему письму);
ведение реестра участников бюджетного процесса (по форме согласно приложению 3 к настоящему письму).
Доступ пользователей к компонентам системы "Электронный бюджет" разграничивается в зависимости от полномочий по вводу, согласованию, утверждению и просмотру данных, а также координации пользователей в организации.
Для подключения к компонентам системы "Электронный бюджет" используются специальные средства криптографической защиты информации, обеспечивающие создание защищенного соединения с компонентами системы "Электронный бюджет" и средства электронной подписи (далее - СКЗИ). СКЗИ будут предоставлены органом Федерального казначейства финансовому органу субъекта Российской Федерации, финансовому органу муниципального образования, а также органам, осуществляющим полномочия учредителя в соответствии с заявкой о выдаче СКЗИ, лицензионных ключей и эксплуатационной документации к СКЗИ (по форме согласно приложению 4 к настоящему письму).
Получение СКЗИ на всех пользователей финансового органа субъекта Российской Федерации, финансового органа муниципального образования, а также органа, осуществляющего полномочия учредителя, осуществляется ответственным за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей, действующим по доверенности (по форме согласно приложению 5 к настоящему письму) в течение 5 рабочих дней после предоставления в орган Федерального казначейства заявки о выдаче СКЗИ, лицензионных ключей и эксплуатационной документации к СКЗИ.
Для обеспечения юридически значимого электронного документооборота в компонентах системы "Электронный бюджет" используется усиленная квалифицированная электронная подпись. Квалифицированные сертификаты ключей проверки электронных подписей (далее - сертификат) должны быть выданы удостоверяющим центром, получившим аккредитацию на соответствие установленным законодательством Российской Федерации требованиям.
В случае необходимости сертификаты могут быть выданы органом Федерального казначейства в соответствии с Регламентом Удостоверяющего центра Федерального казначейства, размещенным на официальном сайте Федерального казначейства в разделе "Удостоверяющий центр/Нормативные документы".
Подробный перечень подготовительных мероприятий, которые необходимо выполнить финансовому органу субъекта Российской Федерации, финансовому органу муниципального образования, а также органу, осуществляющему полномочия учредителя, для подключения к компонентам системы "Электронный бюджет" приведен в приложении 6 к настоящему письму.
График представления в орган Федерального казначейства по месту нахождения организаций заявок на предоставление доступа к компонентам системы "Электронный бюджет" и заявок о выдаче СКЗИ будет доведен отдельным письмом.
Т.Г.НЕСТЕРЕНКО
Приложение N 1
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
ФОРМА ЗАЯВКИ
НА ПОДКЛЮЧЕНИЕ ОРГАНОВ, ОСУЩЕСТВЛЯЮЩИХ ПОЛНОМОЧИЯ
УЧРЕДИТЕЛЯ, К КОМПОНЕНТАМ СИСТЕМЫ "ЭЛЕКТРОННЫЙ БЮДЖЕТ"
ДЛЯ ВЕДЕНИЯ ВЕДОМСТВЕННЫХ ПЕРЕЧНЕЙ И ФОРМИРОВАНИЯ
ПРЕДЛОЖЕНИЙ О ВНЕСЕНИИ ИЗМЕНЕНИЙ В БАЗОВЫЕ ПЕРЕЧНИ
ОГРН
Наименование организации
_______________________
ИНН
Юридический адрес
_______________________
КПП
Контактный телефон организации
_______________________
Адрес электронной почты организации
_______________________
Номер приложения к Заявке на подключение
ФИО пользователя
Приложение N __
к Заявке на подключение органов,
осуществляющих полномочия учредителя,
к компонентам системы "Электронный
бюджет" для ведения ведомственных
перечней и формирования
предложений о внесении
изменений в базовые перечни
ФИО пользователя
Должность
Подразделение
СНИЛС
Информация о сертификате
<указывается наименование файла сертификата пользователя, предоставляемого совместно с заявкой на подключение>
Полномочие
Ввод данных
Согласование
Утверждение
Просмотр
Координатор
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Прекращение доступа пользователя к системе
Заполняется в случае необходимости прекратить доступ пользователя к системе
Приложение N 2
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
ФОРМА ЗАЯВКИ
НА ПОДКЛЮЧЕНИЕ ФИНАНСОВЫХ ОРГАНОВ СУБЪЕКТОВ РОССИЙСКОЙ
ФЕДЕРАЦИИ, ФИНАНСОВЫХ ОРГАНОВ МУНИЦИПАЛЬНЫХ ОБРАЗОВАНИЙ
К КОМПОНЕНТАМ СИСТЕМЫ "ЭЛЕКТРОННЫЙ БЮДЖЕТ" ДЛЯ СОГЛАСОВАНИЯ
ПРЕДЛОЖЕНИЙ О ВНЕСЕНИИ ИЗМЕНЕНИЙ В БАЗОВЫЕ ПЕРЕЧНИ
ОГРН
Наименование организации
_______________________
ИНН
Юридический адрес
_______________________
КПП
Контактный телефон организации
_______________________
Адрес электронной почты организации
_______________________
Номер приложения к Заявке на подключение
ФИО пользователя
Приложение N __
к Заявке на подключение финансовых
органов субъектов Российской
Федерации, финансовых органов
муниципальных образований
к компонентам системы "Электронный
бюджет" для согласования
предложений о внесении
изменений в базовые перечни
ФИО пользователя
Должность
Подразделение
СНИЛС
Информация о сертификате
<указывается наименование файла сертификата пользователя, предоставляемого совместно с заявкой на подключение>
Полномочие
Ввод данных
Согласование
Утверждение
Просмотр
Координатор
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Прекращение доступа пользователя к системе
Заполняется в случае необходимости прекратить доступ пользователя к системе
Приложение N 3
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
ФОРМА ЗАЯВКИ
НА ПОДКЛЮЧЕНИЕ ФИНАНСОВЫХ ОРГАНОВ СУБЪЕКТОВ РОССИЙСКОЙ
ФЕДЕРАЦИИ, ФИНАНСОВЫХ ОРГАНОВ МУНИЦИПАЛЬНЫХ ОБРАЗОВАНИЙ
К КОМПОНЕНТАМ СИСТЕМЫ "ЭЛЕКТРОННЫЙ БЮДЖЕТ" ДЛЯ ВЕДЕНИЯ
РЕЕСТРА УЧАСТНИКОВ БЮДЖЕТНОГО ПРОЦЕССА
ОГРН
Наименование организации
_______________________
ИНН
Юридический адрес
_______________________
КПП
Контактный телефон организации
_______________________
Адрес электронной почты организации
_______________________
Номер приложения к Заявке на подключение
ФИО пользователя
Приложение N __
к Заявке на подключение финансовых
органов субъектов Российской
Федерации, финансовых органов
муниципальных образований
к компонентам системы "Электронный
бюджет" для ведения реестра
участников бюджетного процесса
ФИО пользователя
СНИЛС
Должность
Подразделение
Информация о сертификате
<указывается наименование файла сертификата пользователя, предоставляемого совместно с заявкой на подключение>
Полномочие
Ввод данных
Согласование
Утверждение
Просмотр
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Добавить/
Исключить
Прекращение доступа пользователя к системе
Заполняется в случае необходимости прекратить доступ пользователя к системе
Приложение N 4
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
--------------------------------
<1> Оформляется на бланке письма организации.
Приложение N 5
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
ПРИМЕРНАЯ ФОРМА <1>
--------------------------------
<1> Оформляется на бланке письма организации.
Приложение N 6
к письму Министерства финансов
Российской Федерации
от "__" _______ 2015 г. N ____
ПЕРЕЧЕНЬ
МЕРОПРИЯТИЙ, КОТОРЫЕ НЕОБХОДИМО ВЫПОЛНИТЬ ФИНАНСОВЫМ
ОРГАНАМ СУБЪЕКТА РОССИЙСКОЙ ФЕДЕРАЦИИ, ФИНАНСОВЫМ ОРГАНАМ
МУНИЦИПАЛЬНЫХ ОБРАЗОВАНИЙ, А ТАКЖЕ ОРГАНАМ, ОСУЩЕСТВЛЯЮЩИМ
ПОЛНОМОЧИЯ УЧРЕДИТЕЛЯ, ДЛЯ ПОДКЛЮЧЕНИЯ К КОМПОНЕНТАМ
СИСТЕМЫ "ЭЛЕКТРОННЫЙ БЮДЖЕТ"
1. Подготовка информационно-технологической инфраструктуры к подключению к компонентам системы "Электронный бюджет".
При подготовке информационно-технологической инфраструктуры к подключению финансовых органов субъекта Российской Федерации, финансовых органов муниципальных образований, а также органов, осуществляющих полномочия учредителя, необходимо провести следующие мероприятия:
а) определить ответственного за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей;
б) оформить доверенность на получение специальных средств криптографической защиты информации, обеспечивающих создание защищенного соединения с компонентами системы "Электронный бюджет" (далее - СКЗИ), лицензионных ключей и эксплуатационной документации к СКЗИ ответственному за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей;
в) направить в орган Федерального казначейства заявку о выдаче СКЗИ, лицензионных ключей и эксплуатационной документации к СКЗИ. Заявка о выдаче СКЗИ, лицензионных ключей и эксплуатационной документации к СКЗИ предоставляется одновременно с заявкой на подключение к компонентам системы "Электронный бюджет" в соответствии с графиком представления заявок в орган Федерального казначейства, доведенным отдельным письмом;
г) получить СКЗИ, лицензионные ключи и эксплуатационную документацию к СКЗИ в органе Федерального казначейства;
д) обеспечить соответствие автоматизированных рабочих мест пользователей требованиям к автоматизированному рабочему месту, с которого осуществляется доступ к компонентам системы "Электронный бюджет" (приложение N 1 к настоящему Перечню), включая установку и настройку СКЗИ на автоматизированных рабочих местах пользователей;
е) выполнить требования по обеспечению информационной безопасности автоматизированного рабочего места, с которого осуществляется доступ к компонентам системы "Электронный бюджет" (приложение N 2 к настоящему Перечню).
2. Мероприятия по подключению пользователей.
Для подключения пользователей к компонентам системы "Электронный бюджет" финансовым органам субъекта Российской Федерации, финансовым органам муниципальных образований, а также органам, осуществляющим полномочия учредителя, необходимо провести следующие мероприятия:
а) определить ответственных за ведение ведомственных перечней, формирование, а также согласование предложений о внесении изменений в базовые перечни, ведение реестра участников бюджетного процесса (далее - пользователи);
б) обеспечить наличие у пользователей ключей электронных подписей и квалифицированных сертификатов ключей проверки электронных подписей (далее - сертификатов);
в) представить в орган Федерального казначейства по месту нахождения организации соответствующие заявки на подключение к компонентам системы "Электронный бюджет", подписанные руководителем или уполномоченным лицом финансового органа субъекта Российской Федерации, финансового органа муниципального образования, а также органа, осуществляющего полномочия учредителя, на бумажном носителе в двух экземплярах в соответствии с графиком представления заявок в орган Федерального казначейства, доведенным отдельным письмом (заявки представляются ответственным за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей).
Одновременно с заявкой на подключение к компонентам системы "Электронный бюджет" в орган Федерального казначейства предоставляются:
документ, подписанный руководителем или уполномоченным лицом финансового органа субъекта Российской Федерации, финансового органа муниципального образования, а также органа, осуществляющего полномочия учредителя, определяющий ответственного за подключение пользователей (представляется однократно);
заверенная в установленном порядке копия распорядительного документа или доверенность, подтверждающие право уполномоченного лица действовать от имени финансового органа субъекта Российской Федерации, финансового органа муниципального образования, а также органа, осуществляющего полномочия учредителя, в случае если заявка на подключение к компонентам системы "Электронный бюджет" подписана не руководителем, а уполномоченным лицом;
файл действующего сертификата каждого подключаемого пользователя (на съемном носителе информации);
согласие на обработку персональных данных каждого подключаемого пользователя (приложение N 3 к настоящему Перечню).
3. Мероприятия, проводимые органом Федерального казначейства, при рассмотрении заявки на подключение к компонентам системы "Электронный бюджет".
Орган Федерального казначейства в течение 3 (трех) рабочих дней со дня предоставления заявки на подключение к компонентам системы "Электронный бюджет" осуществляет проверку ее содержания на:
соответствие заявки на подключение к компонентам системы "Электронный бюджет" установленной форме;
наличие действующего на момент рассмотрения заявки на подключение к компонентам системы "Электронный бюджет" сертификата пользователя, включенного в Заявку на подключение;
идентичность сведений о пользователе, указанных в заявке на подключение к компонентам системы "Электронный бюджет", соответствующим сведениям в предоставленном сертификате;
соответствие сведений об организации, указанных в заявке на подключение, сведениям в Едином государственном реестре юридических лиц;
наличие документов, указанных в пункте 2 настоящего Перечня.
По результатам проверки заявки на подключение к компонентам системы "Электронный бюджет" и сертификата орган Федерального казначейства формирует информацию о результатах проверки отдельно по каждому пользователю, указанному в заявке на подключение к компонентам системы "Электронный бюджет".
В случае положительного результата проверки заявки на подключение к компонентам системы "Электронный бюджет" орган Федерального казначейства на основании сведений, содержащихся в заявке на подключение к компонентам системы "Электронный бюджет", предоставляет финансовому органу субъекта Российской Федерации, финансовому органу муниципального образования, а также органу, осуществляющему полномочия учредителя, и их пользователям доступ к компонентам системы "Электронный бюджет".
Не позднее 2 (двух) рабочих дней со дня предоставления доступа пользователю к компонентам системы "Электронный бюджет" орган Федерального казначейства уведомляет ответственного за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей о предоставлении доступа к компонентам системы "Электронный бюджет" посредством направления на бумажном носителе извещения Федерального казначейства о результатах отработки заявки на подключение к компонентам системы "Электронный бюджет" (приложение N 4 к настоящему Перечню).
В случае отрицательного результата проверки заявки на подключение к компонентам системы "Электронный бюджет" доступ пользователю к компонентам системы "Электронный бюджет" не предоставляется и орган Федерального казначейства не позднее 2 (двух) рабочих дней после проверки заявки на подключение к компонентам системы "Электронный бюджет" уведомляет ответственного за техническое обеспечение работы с компонентами системы "Электронный бюджет" и подключение пользователей об отказе в предоставлении доступа к компонентам системы "Электронный бюджет" с указанием выявленных несоответствий и (или) основания, по которым доступ не предоставлен, посредством направления на бумажном носителе извещения Федерального казначейства о результатах отработки заявки на подключение к компонентам системы "Электронный бюджет" (приложение N 4 к настоящему Перечню).
Приложение N 1
к Перечню мероприятий, которые
необходимо выполнить финансовым
органам субъекта Российской
Федерации, финансовым органам
муниципальных образований,
а также органам, осуществляющим
полномочия учредителя,
для подключения к компонентам
системы "Электронный бюджет"
ТРЕБОВАНИЯ
К АВТОМАТИЗИРОВАННОМУ РАБОЧЕМУ МЕСТУ, С КОТОРОГО
ОСУЩЕСТВЛЯЕТСЯ ДОСТУП К КОМПОНЕНТАМ СИСТЕМЫ
"ЭЛЕКТРОННЫЙ БЮДЖЕТ"
В целях подключения к компонентам системы "Электронный бюджет" автоматизированное рабочее место (далее - АРМ пользователя) должно соответствовать следующим техническим требованиям:
1. Минимальные аппаратные характеристики АРМ пользователя компонентов системы "Электронный бюджет" приведены в таблице 1.
Таблица 1. Минимальные аппаратные характеристики АРМ пользователя.
Параметр, (не менее)
Значение
Процессор, Ггерц
2.0
Объем ОЗУ, Мбайт
1024
Объем свободного места на жестком диске, Мбайт
500
Порт USB 2.0 или 3.0
1
2. Перечень операционных систем, которые могут быть установлены на АРМ пользователя:
- Microsoft Windows XP;
- Microsoft Windows Vista;
- Microsoft Windows 7;
- Microsoft Windows 8;
- Microsoft Windows 8.1;
- Microsoft Windows 2003 Server SP2;
- Microsoft Windows 2003 Server R2 SP2;
- Microsoft Windows 2008 Server SP2;
- Microsoft Windows 2008 Server R2 SP1.
Поддерживается как 32-битная, так и 64-битная архитектуры операционных систем.
Допускается применение любого официального пакета обновлений операционных систем.
3. Перечень веб-обозревателей и их версий, которые могут быть использованы для обеспечения входа в личный кабинет пользователя:
- Internet Explorer версии 10.0 или выше;
- Mozilla Firefox версии 32.0 или выше;
- Google Chrome версии 38.0 или выше;
- Opera версии 25.0 или выше.
4. Перечень обязательного к установке программного обеспечения:
- ПО "Windows Installer";
- Драйвер используемого носителя ключевой информации сертификата пользователя;
- Средство создания защищенного TLS-соединения "Континент TLS Клиент";
- Средство электронной подписи "Jinn-Client".
При работе с компонентами "Электронный бюджет" могут быть использованы следующие носители ключевой информации сертификата пользователя:
- USB флеш-накопитель;
- Rutoken S;
- eToken Pro;
- eToken PRO (Java).
Приложение N 2
к Перечню мероприятий, которые
необходимо выполнить финансовым
органам субъекта Российской
Федерации, финансовым органам
муниципальных образований,
а также органам, осуществляющим
полномочия учредителя,
для подключения к компонентам
системы "Электронный бюджет"
ТРЕБОВАНИЯ
ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
АВТОМАТИЗИРОВАННОГО РАБОЧЕГО МЕСТА, С КОТОРОГО
ОСУЩЕСТВЛЯЕТСЯ ДОСТУП К КОМПОНЕНТАМ СИСТЕМЫ
"ЭЛЕКТРОННЫЙ БЮДЖЕТ"
1. В настоящем приложении используются следующие термины и сокращения:
АО - аппаратное обеспечение;
АРМ - автоматизированное рабочее место пользователя компонентов системы "Электронный бюджет";
ВВК - воздействие вредоносного кода;
ВК - вредоносный код;
ЛВС - локальная вычислительная сеть;
НСД - несанкционированный доступ;
ОС - операционная система;
ПО - программное обеспечение;
ПАК - программного-аппаратный комплекс;
СЗИ - средства защиты информации;
СКЗИ - специальные средства криптографической защиты информации.
2. В целях защиты ПО и АО от НСД и ВВК необходимо:
- обеспечить применение СЗИ от НСД и ВВК;
- реализовать комплекс организационно-технических и административных мероприятий, связанных с обеспечением правильности функционирования технических средств обработки и передачи информации;
- установить соответствующие правила для обслуживающего персонала, допущенного к работе с информацией ограниченного доступа.
3. Защита информации от НСД должна обеспечиваться на всех технологических этапах обработки информации, в том числе при проведении ремонтных и регламентных работ. Защита информации от НСД должна предусматривать контроль эффективности средств защиты от НСД. Этот контроль может быть либо периодическим, либо инициироваться по мере необходимости пользователем или администратором информационной безопасности. В организации, эксплуатирующей АРМ пользователя, должен быть назначен администратор информационной безопасности, на которого возлагаются задачи организации работ по использованию АРМ пользователя, выработки соответствующих инструкций для пользователей, а также контроль за соблюдением описанных ниже требований.
4. При размещении технических средств с установленным АРМ пользователя:
должны быть приняты меры по исключению НСД в помещения, в которых размещены технические средства с установленным АРМ пользователя, посторонних лиц, по роду своей деятельности не являющихся персоналом, допущенным к работе в этих помещениях;
внутренняя планировка, расположение и укомплектованность рабочих мест в помещениях должны обеспечивать исполнителям работ сохранность доверенных им конфиденциальных документов и сведений, включая ключевую информацию.
5. К установке общесистемного и специального ПО допускаются лица, изучившие документацию на ПО. При установке ПО на АРМ пользователя необходимо соблюдать следующие требования:
1) на технических средствах, предназначенных для работы с АРМ пользователя, использовать только лицензионное ПО фирм-изготовителей;
2) установку ПО АРМ пользователя необходимо производить только с зарегистрированного, защищенного от записи носителя;
3) на АРМ пользователя не должны устанавливаться средства разработки ПО и отладчики;
4) предусмотреть меры, исключающие возможность несанкционированного необнаруживаемого изменения аппаратной части технических средств, на которых установлено ПО АРМ пользователя (например, путем опечатывания системного блока и разъемов АРМ пользователя);
5) после завершения процесса установки должны быть выполнены действия, необходимые для осуществления периодического контроля целостности установленного ПО на АРМ пользователя;
6) ПО, устанавливаемое на АРМ пользователя, не должно содержать возможностей, позволяющих:
- модифицировать содержимое произвольных областей памяти;
- модифицировать собственный код и код других подпрограмм;
- модифицировать память, выделенную для других подпрограмм;
- передавать управление в область собственных данных и данных других подпрограмм;
- не санкционированно модифицировать файлы, содержащие исполняемые коды при их хранении на жестком диске;
- повышать предоставленные привилегии;
- модифицировать настройки ОС;
- использовать не документированные фирмой-разработчиком функции ОС.
6. При организации работ по защите информации от НСД необходимо учитывать следующие требования:
1) необходимо разработать и применить политику назначения и смены паролей (для входа в ОС, BIOS, при шифровании на пароле и т.д.), использовать фильтры паролей в соответствии со следующими правилами:
- длина пароля должна быть не менее 8-ми символов;
- в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.);
- пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т.д.), а также общепринятые сокращения (USER, ADMIN, ALEX и т.д.);
- при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4-х позициях;
- личный пароль пользователь не имеет права сообщать никому;
- периодичность смены пароля определяется принятой политикой безопасности, но не должна превышать 6-и месяцев. Число неудачных попыток ввода пароля должно быть ограничено числом 10.
Указанная политика обязательна для всех учетных записей, зарегистрированных в ОС;
2) средствами BIOS должна быть исключена возможность работы на АРМ пользователя, если во время его начальной загрузки не проходят встроенные тесты;
3) запрещается:
- оставлять без контроля вычислительные средства, на которых эксплуатируется АРМ пользователя, после ввода ключевой информации либо иной информации ограниченного доступа;
- осуществлять не санкционированное администратором информационной безопасности копирование ключевых носителей;
- разглашать содержимое носителей ключевой информации или передавать сами носители лицам, к ним не допущенным, выводить ключевую информацию на дисплей, принтер и т.п. иные средства отображения информации;
- записывать на ключевые носители постороннюю информацию;
4) администратор информационной безопасности должен сконфигурировать ОС, в среде которой планируется использовать АРМ пользователя, и осуществлять периодический контроль сделанных настроек в соответствии со следующими требованиями:
- не использовать нестандартные, измененные или отладочные версии ОС;
- исключить возможность загрузки и использования ОС, отличной от предусмотренной штатной работой;
- исключить возможность удаленного управления, администрирования и модификации ОС и ее настроек;
- режимы безопасности, реализованные в ОС, должны быть настроены на максимальный уровень;
- всем пользователям и группам, зарегистрированным в ОС, необходимо назначить необходимые для нормальной работы права доступа;
- должно быть исключено попадание в систему программ, позволяющих, пользуясь ошибками ОС, повышать предоставленные привилегии;
- необходимо регулярно устанавливать пакеты обновления безопасности ОС (Service Packs, Hot fix и т.п.), обновлять антивирусные базы, а также исследовать информационные ресурсы по вопросам компьютерной безопасности с целью своевременной минимизации опасных последствий от возможного воздействия на ОС;
- необходимо организовать и использовать систему аудита, организовать регулярный анализ результатов аудита;
- необходимо организовать и использовать комплекс мероприятий антивирусной защиты;
- необходимо исключить одновременную работу ОС с загруженной ключевой информацией нескольких пользователей.
7. Для работы АРМ пользователя с компонентами системы "Электронный бюджет" требуется применять программно-аппаратные СЗИ от НСД не ниже 6 класса защищенности для СВТ, такие как "Secret Net", "Соболь", "Панцирь-С" и т.п.
8. При наличии технической возможности обновление средств защиты и сигнатурных баз производится централизованно, с рабочего места администратора программных средств защиты от воздействий вредоносного кода. При проведении централизованных обновлений используется механизм ведения протокола средств защиты. Обновление сигнатурных баз производится по мере их выпуска.
В целях обеспечения защиты от воздействий вредоносного кода пользователю АРМ запрещается:
- самостоятельно устанавливать программное обеспечение, в том числе командные файлы;
- использовать при работе "зараженный" вредоносным кодом либо с подозрением на "заражение" носитель и/или файл;
- использовать личные носители на АРМ пользователя;
- использовать служебные носители на домашних компьютерах и в неслужебных целях;
- самостоятельно проводить "лечение" носителя и/или файла;
- самостоятельно отключать, удалять и изменять настройки установленных средств защиты.
Пользователь АРМ обязан:
- проводить контроль на отсутствие ВК любых сменных и подключаемых носителей (CD-дисков, DVD-дисков, USB флеш-накопителей и т.п.) и файлов, за исключением ключевых носителей средств криптографической защиты информации;
- на компьютерах с отключенным антивирусным монитором (постоянной защитой) проводить полную проверку на отсутствие ВК еженедельно (в первый день после выходных);
- при появлении сообщений, формируемых средствами защиты информации, об обнаружении вредоносного кода пользователь АРМ должен немедленно прекратить работу и сообщить об этом руководителю и администратору информационной безопасности (или сотруднику, выполняющему эти функции);
- при невозможности запуска средств защиты информации или при ошибках в процессе их выполнения пользователь АРМ должен немедленно прекратить работу и сообщить об этом руководителю и администратору информационной безопасности (или сотруднику, выполняющему эти функции).
Правила и рекомендации пользователю АРМ по защите от воздействий вредоносного кода:
- первичный входной контроль на отсутствие ВК носителей, предназначенных для многоразовой записи информации (перезаписываемых компакт-дисков и DVD-дисков, USB флеш-накопителей и других подобных носителей), проводит пользователь при первом применении носителя на данном компьютере. Последующие контроли носителя производить перед каждым просмотром состава и содержимого файлов;
- в целях исключения автозапуска исполняемых файлов со сменных носителей (CD, DVD, USB флеш-накопителей и т.п.) пользователю рекомендуется при присоединении носителя к компьютеру (вставка CD/DVD в лоток, вставка USB флеш-накопителей в порт USB) удерживать некоторое время (20 - 30 секунд) нажатой клавишу Shift;
- входной контроль на отсутствие ВК компакт-дисков и DVD-дисков, предназначенных для одноразовой записи информации, проводит получатель (владелец) диска однократно с момента приобретения (получения) диска перед использованием его на компьютерах.
9. Для работы АРМ пользователя с компонентами системы "Электронный бюджет" требуется применять программные средства защиты от воздействия вредоносного кода не ниже 5 класса защищенности по типу Г, таких как: "Kaspersky Endpoint Security для Windows", "Security Studio Endpoint", "OfficeScan" и т.п.
10. Состав СЗИ, применяемых на АРМ пользователя, зависит от способа взаимодействия АРМ пользователя с компонентами системы "Электронный бюджет". По способу взаимодействия с компонентами системы "Электронный бюджет" АРМ пользователя подразделяется на следующие типы:
- Тип 1 - АРМ, взаимодействующий с компонентами системы "Электронный бюджет" посредством прямого подключения к сети Интернет.
- Тип 2 - АРМ, взаимодействующий с компонентами системы "Электронный бюджет" посредством подключения к сети Интернет через ЛВС организации.
- Тип 3 - АРМ, взаимодействующий с компонентами системы "Электронный бюджет" посредством подключения по выделенным каналам связи через ЛВС организации.
11. Взаимодействие АРМ Тип 1 с компонентами системы "Электронный бюджет" должно быть защищено с помощью:
- персонального средства межсетевого экранирования не ниже 4 класса защищенности, таких как: "Континент-АП", "Security Studio Endpoint Protection", "ViPNet Client" и т.п;
- персонального средства обнаружения вторжений не ниже 6 класса защищенности для СВТ.
В качестве средства обнаружения вторжений может быть использовано ПО "Security Studio Endpoint Protection" либо иное средство, сертифицированное по требуемому классу защищенности.
12. Взаимодействие АРМ Тип 2 и Тип 3 с компонентами системы "Электронный бюджет", объектами ЛВС организации и ресурсами сети Интернет должно быть защищено с помощью:
- сетевого (в составе ЛВС Организации) или персонального средства межсетевого экранирования не ниже 4 класса защищенности.
Примеры допустимых к использованию по классу защищенности средств межсетевого экранирования:
1) в составе ЛВС организации:
- АПКШ Континент;
- Check Point Firewall;
- ViPNet Coordinator и т.п.
2) персональные средства:
- Security Studio Endpoint Protection;
- Континент-АП;
- ViPNet Client (4 класс) и т.п.
- сетевого (в составе ЛВС организации) или персонального средства обнаружения вторжений не ниже 5 класса защищенности.
Примеры допустимых к использованию по классу защищенности средств обнаружения вторжений:
1) персональные средства или средства в составе ЛВС организации:
- Континент-ДА;
- Security Studio Endpoint Protection и т.п.
13. Установка, настройка и сопровождение СКЗИ осуществляется администратором информационной безопасности организации в соответствии с требованиями законодательства Российской Федерации и эксплуатационной документации к СКЗИ.
Первичная установка СКЗИ на автоматизированное рабочее место пользователя компонентов системы "Электронный бюджет" осуществляется с оформлением акта установки.
Формуляр на СКЗИ в электронном виде, находящийся в составе документации на СКЗИ, выводится администратором информационной безопасности организации на бумажный носитель и заполняется от руки в части раздела "Сведения о закреплении изделия при эксплуатации". Ответственное хранение формуляра осуществляется администратором информационной безопасности организации.
Запрещается полное или частичное воспроизведение, тиражирование и распространение оптических носителей, содержащих дистрибутивы СКЗИ, а также лицензионных ключей СКЗИ.
В случае прекращения доступа организации к компонентам системы "Электронный бюджет" оптические носители, содержащие дистрибутивы СКЗИ, и лицензионные ключи СКЗИ, а также заполненные установленным порядком формуляры возвращаются организацией в орган Федерального казначейства (по месту получения СКЗИ).
Приложение N 3
к Перечню мероприятий, которые
необходимо выполнить финансовым
органам субъекта Российской
Федерации, финансовым органам
муниципальных образований,
а также органам, осуществляющим
полномочия учредителя,
для подключения к компонентам
системы "Электронный бюджет"
ОБРАЗЕЦ СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Приложение N 4
к Перечню мероприятий, которые
необходимо выполнить финансовым
органам субъекта Российской
Федерации, финансовым органам
муниципальных образований,
а также органам, осуществляющим
полномочия учредителя,
для подключения к компонентам
системы "Электронный бюджет"