КАБIНЕТ МIНIСТРIВ УКРАЇНИ

ПОСТАНОВА
Київ

вiд 8 лютого 2021 р.	N 92

Питання забезпечення захисту iнформацiї в iнформацiйних, телекомунiкацiйних та iнформацiйно-телекомунiкацiйних системах

     Кабiнет Мiнiстрiв України постановляє:

     1. Внести до Правил забезпечення захисту iнформацiї в iнформацiйних, телекомунiкацiйних та iнформацiйно-телекомунiкацiйних системах, затверджених постановою Кабiнету Мiнiстрiв України вiд 29 березня 2006 р. N 373 (Офiцiйний вiсник України, 2006 р., N 13, ст. 878, N 50, ст. 3324; 2011 р., N 69, ст. 2624), змiни, що додаються.

     2. Установити, що атестати вiдповiдностi на комплекснi системи захисту iнформацiї, якi чиннi на момент набрання чинностi цiєю постановою, зберiгають чиннiсть протягом строку їх дiї.

     3. Визнати такою, що втратила чиннiсть, постанову Кабiнету Мiнiстрiв України вiд 12 квiтня 2002 р. N 522 "Про затвердження Порядку пiдключення до глобальних мереж передачi даних" (Офiцiйний вiсник України, 2002 р., N 16, ст. 864).

     4. Адмiнiстрацiї Державної служби спецiального зв'язку та захисту iнформацiї у тримiсячний строк з дати набрання чинностi цiєю постановою затвердити вимоги до засобiв криптографiчного захисту iнформацiї, призначених для захисту таємної iнформацiї, яка не становить державної таємницi, та конфiденцiйної iнформацiї в державних органах, органах мiсцевого самоврядування, на пiдприємствах, в установах та органiзацiях, якi належать до сфери їх управлiння, вiйськових формуваннях, якi створенi вiдповiдно до закону.

Прем'єр-мiнiстр України

Д. ШМИГАЛЬ

Iнд. 49

 

ЗАТВЕРДЖЕНО постановою Кабiнету Мiнiстрiв України вiд 8 лютого 2021 р. N 92

ЗМIНИ,
що вносяться до Правил забезпечення захисту iнформацiї в iнформацiйних, телекомунiкацiйних та iнформацiйно-телекомунiкацiйних системах

     1. Пункт 2 викласти в такiй редакцiї:

     "2. Дiя цих Правил не поширюється на захист iнформацiї в системах урядового та спецiальних видiв зв'язку, в технiчних засобах i їх складових, необхiдних для здiйснення уповноваженими органами оперативно-розшукових, розвiдувальних заходiв та негласних слiдчих (розшукових) дiй.".

     2. Пункт 9 викласти в такiй редакцiї:

     "9. Забезпечення технiчного та криптографiчного захисту iнформацiї з обмеженим доступом, а також вiдкритої iнформацiї, вимога щодо захисту якої встановлена законом, здiйснюється в системi з дотриманням вимог, що висуваються для забезпечення захисту такої iнформацiї, якщо iнше не передбачене законом.

     Криптографiчний захист в системi таємної iнформацiї, яка не становить державної таємницi, та конфiденцiйної iнформацiї в органах державної влади, органах мiсцевого самоврядування, на пiдприємствах, в установах та органiзацiях, якi належать до сфери їх управлiння, вiйськових формуваннях, якi створенi вiдповiдно до закону, здiйснюється з використанням засобiв криптографiчного захисту iнформацiї, якi вiдповiдають вимогам до засобiв криптографiчного захисту iнформацiї, призначених для захисту таємної iнформацiї, яка не становить державної таємницi, та конфiденцiйної iнформацiї, що пiдтверджуються експертним висновком у сферi криптографiчного захисту iнформацiї або документом про вiдповiднiсть.".

     3. Абзац дев'ятий пункту 11 викласти в такiй редакцiї:

     "Реєстрацiя спроб несанкцiонованих дiй з iнформацiєю, що становить державну таємницю, i службовою iнформацiєю повинна супроводжуватися повiдомленням про них адмiнiстратору безпеки (вiдповiдальнiй особi).".

     4. Пункти 13 i 14 викласти в такiй редакцiї:

     "13. Передача конфiденцiйної iнформацiї, службової та таємної iнформацiї через незахищене середовище (середовище, в якому циркулює iнформацiя, стосовно якої вiдсутнє пiдтвердження вiдповiдностi захисту вiд усiх можливих загроз, iмовiрнiсть прояву яких iснує у цьому середовищi) здiйснюється у зашифрованому виглядi або захищеними каналами зв'язку згiдно з вимогами законодавства у сферi технiчного та криптографiчного захисту iнформацiї, за винятком iнформацiї, що передається через канали (лiнiї) зв'язку, якi перебувають в межах контрольованої зони (територiя (простiр), на якiй (в якому) унеможливлено несанкцiоноване i неконтрольоване перебування стороннiх осiб, розмiщення технiчних i транспортних засобiв).

     14. Пiдключення систем, у яких обробляється службова iнформацiя та iнформацiя, що становить державну таємницю, до глобальних мереж передачi даних здiйснюється з використанням засобiв криптографiчного захисту iнформацiї, якi допущенi до експлуатацiї для криптографiчного захисту iнформацiї вiдповiдного ступеня обмеження доступу, та/або апаратних, апаратно-програмних засобiв технiчного захисту iнформацiї, якi мають позитивний експертний висновок за результатами державної експертизи у сферi технiчного захисту iнформацiї та реалiзують функцiї безпеки односпрямованої (односторонньої) передачi даних та/або двоспрямованої передачi даних з урахуванням їх змiстовного аналiзу.

     В апаратно-програмних засобах технiчного захисту iнформацiї, якi реалiзують функцiї односпрямованої (односторонньої) передачi даних та або мiжмережевого екранування (фiльтрацiї) даних, що забезпечують захист службової iнформацiї та iнформацiї, що становить державну таємницю, рiвень гарантiї коректностi надання функцiональних послуг безпеки повинен бути не нижче третього.

     Достатнiсть впроваджених засобiв захисту iнформацiї обґрунтовується на етапi технiчного проектування системи захисту iнформацiї та оцiнюється пiд час проведення державної експертизи комплексної системи захисту iнформацiї.".

     5. Пункт 16 доповнити абзацами такого змiсту:

     "Державнi iнформацiйнi ресурси та iнформацiя з обмеженим доступом, крiм державної таємницi, службової iнформацiї та державних i єдиних реєстрiв, створення та забезпечення функцiонування яких визначено законами, можуть оброблятися в системi без застосування комплексної системи захисту iнформацiї. Умови, за яких можна не застосовувати комплексну систему захисту iнформацiї, визначенi Законом України "Про захист iнформацiї в iнформацiйно-телекомунiкацiйних системах".

     У таких системах повиннi бути виконанi технiчнi та органiзацiйнi вимоги iз захисту iнформацiї, визначенi цими Правилами.".

     6. Пункт 22 викласти в такiй редакцiї:

     "22. Порядок проведення державної експертизи системи захисту, державної експертизи засобiв технiчного i криптографiчного захисту iнформацiї встановлюється Адмiнiстрацiєю.

     Органи виконавчої влади, вiйськовi формування, створенi вiдповiдно до закону, якi мають дозвiл на проведення робiт з технiчного захисту iнформацiї для власних потреб, мають право органiзовувати проведення державної експертизи систем захисту на пiдприємствах, в установах, органiзацiях, закладах, вiйськових з'єднаннях та частинах, якi належать до їх сфери управлiння або пiдпорядкованi їм. Порядок проведення такої експертизи встановлюється органом виконавчої влади, вiйськовим формуванням, створеним вiдповiдно до закону, за погодженням з Адмiнiстрацiєю.".

     7. Пункт 23 виключити.