УТВЕРЖДЕНА
приказом начальника Управления
«24»сентября 2014 г. № 110 о/д
ИНСТРУКЦИЯ
администратора безопасности в Муниципальном учреждении «Управление социальной поддержки населения администрации города Пятигорска»
1. Общие положения
1.1. Настоящая инструкция администратора безопасности в Муниципальном учреждении «Управление социальной поддержки населения администрации города Пятигорска»(далее-Управление) определяет общие функции, права и обязанности администратора безопасности по вопросам обеспечения информационной безопасности при обработке персональных данных в информационных системах персональных данных, входящих в состав автоматизированных рабочих мест Управления (далее – Инструкция, администратор безопасности, ИСПДн, АРМ).
1.2. Администратор безопасности назначается приказом начальника Управления и обеспечивает правильное использование и функционирование установленных средств защиты информации от несанкционированного доступа (далее – СЗИ, НСД).
1.3. Администратор безопасности имеет все права администратора ИСПДн и администратора СЗИ от НСД.
1.4. Администратор безопасности в своей деятельности руководствуется Федеральными законами «Об информации, информационных технологиях и о защите информации», «О персональных данных», Постановлением Правительства Российской Федерации от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», руководящими и нормативными документами Федеральной службы по техническому и экспортному контролю (ФСТЭК России), локальными актами Управления в области защиты персональных данных, эксплуатационной документацией на установленные СЗИ от НСД.
2. Основные функции администратора безопасности
2.1. Основными функциями администратора безопасности являются:
1) поддержание необходимого уровня безопасности ИСПДн Управления;
2) контроль за выполнением требований действующих нормативных и руководящих документов по защите персональных данных, при проведении работ на АРМ и обработке персональных данных в ИСПДн;
3) обеспечение руководства по функционированию системы парольной защиты;
4) выдача пользователям персонального логина и пароля для доступа к АРМ и ИСПДн;
5) работа с учетными записями пользователей (удаление, регистрация новых пользователей), их правильная настройка и разграничение прав доступа пользователей к защищаемым ресурсам ИСПДн согласно разрешительной системе доступа;
6) контроль доступа пользователей к работе на АРМ в ИСПДн, в соответствии с утвержденным приказом начальника Управления перечнем должностей, имеющих право доступа к информационным системам персональных данных Управления;
7) просмотр системного журнала СЗИ от НСД;
8) своевременная корректировка разрешительной системы доступа:
изменение списка постоянных пользователей (ввод или удаление пользователя из ИСПДн);
изменение прав доступа к защищаемым программным ресурсам или портам ввода-вывода ИСПДн;
настройка и сопровождение подсистемы регистрации и учета действий пользователей при работе на АРМ, в том числе и в части периодического контроля за печатью файлов пользователей на принтере и соблюдением установленных правил и параметров регистрации и учета документов, бумажных и машинных носителей информации персональных данных;
9) реализация политики в части настройки средств криптографической защиты информации, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь получает возможность работать с элементами ИСПДн;
10) периодический контроль за отсутствием на машинных носителях информации остаточной информации по окончании работы пользователей;
11) осуществление контроля за регистрацией и порядком работы пользователей с магнитными и электронными носителями информации, поступающими из сторонних организаций;
12) поддержание установленного порядка и правил антивирусной защиты информации, обрабатываемой на АРМ;
13) контроль за соблюдением пользователями инструкции по организации антивирусного контроля в Управлении;
14) контроль срока действия сертификатов соответствия ФСТЭК России на СЗИ от НСД, установленных на ИСПДн;
15) контроль над реализацией требований по обеспечению безопасности информации при использовании паролей и их своевременную смену в АРМ и ИСПДн;
16) проведение проверки целостности носителей с использованием стандартных средств операционной системы, установленных на АРМ;
17) ведение журналов:
поэкземплярного учёта средств криптографической защиты информации (СКЗИ) по форме приложения 1.
журнал учета паролей пользователей ПК по форме приложения 2.
3. Права администратора безопасности
3.1. Администратор безопасности ИСПДн имеет право:
1) требовать от сотрудников Управления соблюдения установленной технологии обработки информации и исполнения настоящей Инструкции;
2) участвовать в анализе ситуаций, касающихся функционирования средств защиты информации, и расследованиях фактов (попыток) НСД;
3) требовать от пользователей прекращения обработки информации в ИСПДн в случае:
нарушения установленного порядка работ;
нарушения работоспособности средств и систем защиты информации или окончания срока действия сертификатов соответствия ФСБ России или ФСТЭК России;
4. Обязанности администратора безопасности
4.1. Администратор безопасности обязан:
1) знать и выполнять требования действующих нормативных и руководящих документов, а также локальных актов Управления в области защиты персональных данных;
2) обеспечивать доступ пользователей к ресурсам ИСПДн в строгом соответствии с перечнем Муниципальных служащих, имеющих право доступа к информационным системам;
3) обеспечивать установку, настройку и своевременное обновление:
элементов ИСПДн;
программного обеспечения АРМ и серверов (операционные системы, прикладное и специальное программное обеспечение);
аппаратных средств;
аппаратных и программных средств защиты;
4) обеспечивать работоспособность элементов ИСПДн и локальной вычислительной сети;
5) обеспечивать правильное функционирование и поддерживать работоспособность СЗИ от НСД в пределах возложенных на него функций;
6) принимать меры в случае отказа работоспособности технических средств и программного обеспечения элементов ИСПДн, в том числе средств защиты информации, по их своевременному восстановлению и выявлению причин, приведших к отказу работоспособности;
7) обеспечивать резервное копирование и восстановление баз данных ИСПДН;
8) осуществлять контроль за порядком учета, создания, хранения и использования резервных и архивных копий массивов данных, машинных (выходных) документов в структурных подразделениях Управления;
9) обеспечить установку программных средств системы антивирусной защиты ИСПДн с последующей проверкой их работоспособности;
10) обеспечить сопровождение, включающее регулярное обновление программных средств системы антивирусной защиты. При возникновении внештатных ситуаций организовать оперативное восстановление системы защиты антивирусной защиты ИСПДн;
11) осуществлять не реже одного раза в неделю обновление антивирусных баз на АРМ в ИСПДн;
12) регистрировать и анализировать факты, связанные с обнаружением вредоносных программ в ИСПДн;
13) при выявлении проявлений действий вредоносных программ, приостановить доступ пользователей к ресурсам ИСПДн до устранения последствий;
14) проводить периодический контроль принятых мер по защите, в пределах возложенных на него функций;
15) хранить, осуществлять прием и выдачу персональных паролей пользователей;
16) обеспечивать постоянный контроль за выполнением пользователями установленного комплекса мероприятий по обеспечению безопасности информации;
17) информировать ответственного за организацию обработки и защиту персональных данных, о фактах и попытках НСД к ИСПДн, о неправомерных действиях пользователей ИСПДн или иных лиц, приводящих к нарушению требований по защите информации, а также об иных нарушениях требований информационной безопасности ИСПДн;
18) обеспечивать строгое выполнение требований по обеспечению безопасности информации при организации обслуживания технических средств и отправке их в ремонт. Техническое обслуживание и ремонт средств вычислительной техники, предназначенных для обработки персональных данных, проводятся организациями, имеющими соответствующие лицензии. При проведении технического обслуживания и ремонта запрещается передавать ремонтным организациям узлы и блоки с элементами накопления и хранения информации;
19) присутствовать при выполнении технического обслуживания элементов ИСПДн сторонними физическими людьми и организациями;
20) принимать меры по реагированию, в случае возникновения внештатных ситуаций и аварийных ситуаций, с целью ликвидации их последствий;
21) проводить инструктаж пользователей по правилам работы на АРМ с установленной СЗИ от НСД;
22) вносить изменения в документацию ИСПДн в соответствии с требованиями нормативных документов в части, касающейся СЗИ от НСД;
23) проводить работу по выявлению возможных каналов утечки конфиденциальной информации, вести их учёт и принимать меры к их устранению;
24) контролировать целостность (неизменность, сохранность) программного обеспечения, разрешительной системы доступа, а при обнаружении фактов изменения проверяемых параметров немедленно докладывать ответственному за организацию обработки и защиту персональных данных;
25) вводить полномочия сотрудников Управления в разрешительную систему доступа, обеспечивать их своевременную корректировку.
5. Ответственность
5.1. Администратору безопасности необходимо отвечать за свои действия (бездействия) в рамках зафиксированных в пунктах. 3, 4 настоящей Инструкции прав и обязанностей.
5.2. Администратор безопасности, виновный в несоблюдении настоящей Инструкции, расценивается как нарушитель Федерального закона «О персональных данных» и несет гражданскую, уголовную, дисциплинарную и иную ответственность в порядке, предусмотренном законодательством Российской Федерации.
|
|
Заместитель начальника Управления Н.С.Кунцевич
Приложение 1
к инструкции администратора
безопасности в Муниципальном учреждении «Управление
социальной поддержки населения администрации города Пятигорска»
«___»__________201 г. №___
Форма
Муниципальное учреждение «Управление социальной поддержки населения администрации города Пятигорска»
Отдела автоматизации обработки информации
ДЕЛО № _____
ЖУРНАЛ
поэкземплярного учета средств криптографической защиты информации (СКЗИ)
Журнал начат «____» _______________________ 201_ г.
|
Журнал завершён «____» _____________________ 201_ г.
|
|
|
Ответственный за ведение журнала: ведущий специалист отдела автоматизации обработки информации
_________________________ _____________________ / _________________________ /
(ФИО) (подпись) (расшифровка подписи)
_________________________ _____________________ / _________________________ /
(ФИО) (подпись) (расшифровка подписи)
|
На _____ листах
№
п/п
|
Наименование СКЗИ, эксплуатационной и технической документации к ним, ключевых документов
|
Регистрационные номера СКЗИ, эксплуатационной и технической документации к ним, номера серий ключевых документов
|
Номера экземпляров (криптографические номера) ключевых документов
|
Отметка о получении
|
Отметка о выдаче
|
От кого получены
(ФИО)
|
Дата и номер сопроводительного письма
|
Ф.И.О. пользователя СКЗИ
|
Дата и расписка в получении
|
1
|
2
|
3
|
4
|
5
|
6
|
7
|
8
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Отметка о подключении (установке) СКЗИ
|
Отметка об изъятии СКЗИ из аппаратных средств, уничтожении ключевых документов
|
Примечание
|
Ф.И.О. сотрудника, производившего подключение (установку) СКЗИ
|
Дата подключения (установки) СКЗИ и подписи лиц, произведших подключение (установку)
|
Номера аппаратных средств, в которые установлены или к которым подключены СКЗИ
|
Дата изъятия (уничтожения)
|
Ф.И.О. сотрудника, производившего изъятие (уничтожение)
|
Номер акта или расписка об уничтожении
|
9
|
10
|
11
|
12
|
13
|
14
|
15
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Приложение 2
к инструкции администратора
безопасности в Муниципальном учреждении «Управление
социальной поддержки населения администрации города Пятигорска»
Муниципальное учреждение «Управление социальной поддержки населения администрации города Пятигорска»
Отдела автоматизации обработки информации
ЖУРНАЛ
Учета паролей пользователей ПК
Журнал начат «____» _______________________ 201_ г.
|
Журнал завершён «____» _____________________ 201_ г.
|
|
|
Ответственный за ведение журнала: ведущий специалист отдела автоматизации обработки информации
______________ _____________________ / _________________________ /
(ФИО) (подпись) (расшифровка подписи)
|
-
№ п/п
|
Фамилия,Имя,Отчество пользователя
|
Занимаемая
должность
|
Имя компьтера
|
Пароль входа в операционную систему
|
Пароль входа в ИСПДн
|
Дата
установки
|
Подпись
|
Прочее
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
