О внесении изменения в приказ Министра оборонной и аэрокосмической промышленности Республики Казахстан от 28 марта 2018 года № 52/НҚ «Об утверждении Правил проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры»
ПРИКАЗЫВАЮ:

1. Внести в приказ Министра оборонной и аэрокосмической промышленности Республики Казахстан от 28 марта 2018 года № 52/НҚ «Об утверждении Правил проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры» (зарегистрирован в Реестре государственной регистрации нормативных правовых актов за № 17019, опубликован 15 июня 2018 года в Эталонном контрольном банке нормативных правовых актов Республики Казахстан) следующее изменение:
Правила проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры, утвержденные указанным приказом, изложить в новой редакции согласно приложению к настоящему приказу.

2) в течение десяти календарных дней со дня государственной регистрации настоящего приказа направление его копии на казахском и русском языках в Республиканское государственное предприятие на праве хозяйственного ведения «Институт законодательства и правовой информации Республики Казахстан» для официального опубликования и включения в Эталонный контрольный банк нормативных правовых актов Республики Казахстан;

4) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1), 2) и 3) настоящего пункта.

«СОГЛАСОВАН»
Комитет национальной безопасности
Республики Казахстан
«___» ______________ 2019 года

Приложение
к приказу Министра
цифрового развития, инноваций и
аэрокосмической промышленности
Республики Казахстан
от « » 2019 года
№
Утверждены
приказом Министра оборонной
и аэрокосмической промышленности
Республики Казахстан
от «28» марта 2018 года
№ 52/НҚ
Правила проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры

1. Настоящие Правила проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры (далее – Правила) разработаны в соответствии с подпунктом 7 статьи 7-1 Закона Республики Казахстан от 24 ноября 2015 года «Об информатизации» (далее – Закон) и определяют порядок проведения мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» и критически важных объектов информационно-коммуникационной инфраструктуры.

5) система управления событиями информационной безопасности – программное обеспечение или аппаратно-программный комплекс, предназначенные для автоматизированного выявления событий информационной безопасности и инцидентов информационной безопасности путем сбора и анализа журналов регистрации событий объекта информатизации;

10) инцидент информационной безопасности – отдельно или серийно возникающие сбои в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающие угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования электронных информационных ресурсов;

12) критически важные объекты информационно-коммуникационной инфраструктуры (далее – КВОИКИ) – объекты информационно-коммуникационной инфраструктуры, в том числе информационно-коммуникационной инфраструктуры «электронного правительства», нарушение или прекращение функционирования которых приводит к чрезвычайной ситуации социального и (или) техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства, инфраструктуры Республики Казахстан или для жизнедеятельности населения, проживающего на соответствующей территории;

15) объекты информатизации «электронного правительства» (далее – ОИ ЭП) – государственные электронные информационные ресурсы, программное обеспечение государственных органов, интернет-ресурсы государственного органа, объекты информационно-коммуникационной инфраструктуры «электронного правительства», в том числе сервисный программный продукт, программное обеспечение и информационные системы иных лиц, предназначенные для формирования государственных электронных информационных ресурсов в рамках осуществления государственных функций и оказания государственных услуг;

16) мониторинг обеспечения информационной безопасности объектов информатизации «электронного правительства» (далее – МОИБ) – отслеживание полноты и качества реализации собственниками и (или) владельцами объектов информатизации технических и организационных мероприятий по обеспечению ИБ ОИ ЭП посредством выявления угроз и инцидентов ИБ;

17) система мониторинга обеспечения информационной безопасности объектов информатизации «электронного правительства» (далее – система мониторинга обеспечения информационной безопасности) – организационные и технические мероприятия, направленные на проведение мониторинга безопасного использования информационно-коммуникационных технологий, включая мониторинг событий информационной безопасности и реагирование на инциденты информационной безопасности;

18) архитектурный портал «электронного правительства» – информационная система, предназначенная для осуществления регистрации, учета, хранения и систематизации сведений об объектах информатизации «электронного правительства» в соответствии с классификатором и дальнейшего использования государственными органами для мониторинга, анализа и планирования в сфере информатизации.
Иные понятия, используемые в настоящих Правилах, применяются в соответствии с Законом.

мониторинг реагирования на инциденты ИБ;
мониторинг обеспечения защиты;
мониторинг обеспечения безопасного функционирования.

электронных информационных ресурсов, содержащих сведения, составляющие государственные секреты;
информационных систем в защищенном исполнении, отнесенных к государственным секретам;
объектов информатизации Национального банка Республики Казахстан, не интегрируемых с ОИ ЭП.

6. МОИБ ОИ ЭП, отнесенных к КВОИКИ, осуществляется на основании договорных отношений между Комитетом национальной безопасности Республики Казахстан (далее – КНБ РК) и республиканским государственным предприятием на праве хозяйственного ведения «Государственная техническая служба» Комитета национальной безопасности Республики Казахстан, реализующего задачи и функции НКЦИБ.

7. НКЦИБ для проведения МОИБ в качестве первичной информации использует сведения об объекте МОИБ из архитектурного портала «электронного правительства», а также сведения, полученные на этапах проведения испытаний сервисного программного продукта, информационно-коммуникационной платформы «электронного правительства», интернет-ресурса государственного органа и информационной системы на соответствие требованиям информационной безопасности, включая:

8. Собственник или владелец объекта МОИБ уведомляет официальным письмом НКЦИБ о вводе в промышленную эксплуатацию, либо о прекращении эксплуатации объекта МОИБ в течение 10 рабочих дней со дня его ввода в промышленную эксплуатацию, либо прекращения эксплуатации, и предоставляет в бумажном и электронном виде сведения об ОИ ЭП по форме, согласно приложению 1 настоящих Правил (далее – Сведения).

анализ объекта МОИБ на предмет определения перечня журналов регистрации событий, необходимых для передачи в систему управления событиями ИБ НКЦИБ;
установку агентов системы управления событиями ИБ на систему сбора журналов регистрации событий объекта МОИБ и, при необходимости, на иные объекты информационно-коммуникационной инфраструктуры собственника или владельца объекта МОИБ;
сбор журналов регистрации событий объекта МОИБ и относящихся к нему средств защиты информации, в системе управления событиями ИБ НКЦИБ, их обработку и анализ с целью выявления событий ИБ и инцидентов ИБ;
первичный анализ событий ИБ или инцидентов ИБ, выявленных на объекте МОИБ;
уведомление ответственных лиц за обеспечение ИБ объекта МОИБ с предоставлением перечня данных об инциденте ИБ, согласно приложению 2 настоящих Правил (далее – Перечень данных), в течение 30 минут с момента выявления события ИБ или инцидента ИБ, КНБ РК – в течение 24 часов;
выдачу первичных рекомендаций по приостановлению распространения инцидента ИБ собственнику или владельцу объекта МОИБ;
направление, при необходимости, к месту размещения объекта МОИБ работника НКЦИБ в рамках реагирования на инцидент ИБ (необходимость определяется КНБ РК или НКЦИБ самостоятельно);
уведомление уполномоченного органа и КНБ РК о неустранении собственником или владельцем объекта МОИБ или уполномоченным им лицом причин и последствий инцидента ИБ по истечении 48 часов с момента выявления инцидента ИБ;

обследование объектов МОИБ на предмет наличия уязвимостей (далее – обследование на уязвимости), включая анализ исходного кода программного обеспечения объекта МОИБ, согласно графику проведения работ по МОИБ;
предоставление результатов обследования на уязвимости и рекомендаций по устранению уязвимостей объектов МОИБ собственникам или владельцам объектов МОИБ в течение 10 рабочих дней после завершения работ по обследованию на уязвимости;
консультирование собственников или владельцев объектов МОИБ по вопросам устранения уязвимостей объектов МОИБ, выявленных в рамках обследования на уязвимости;

обследование объекта МОИБ на предмет исполнения требований технической документации по информационной безопасности (далее – ТД по ИБ), приведенной в приложении 3 настоящих Правил, согласно графику проведения работ по МОИБ;
предоставление результатов обследования объекта МОИБ на предмет исполнения требований ТД по ИБ и рекомендаций по устранению выявленных нарушений ТД по ИБ собственникам или владельцам объектов МОИБ в течение 10 рабочих дней со дня завершения данного обследования.

физический доступ работникам НКЦИБ к объекту МОИБ, к системе сбора журналов регистрации событий объекта МОИБ в сопровождении работников собственника или владельца объекта МОИБ или уполномоченного им лица;
два рабочих места для работников НКЦИБ с предоставлением круглосуточного сетевого доступа к объекту МОИБ на безвозмездной основе;
сетевой доступ для НКЦИБ к системе сбора журналов регистрации событий объекта МОИБ с правами на исполнение всех без исключения операций;
доступ к технической документации по информационной безопасности, утвержденной собственником или владельцем объекта МОИБ, заверенной его подписью и печатью (при наличии).

организует журналирование событий объекта МОИБ и относящихся к нему средств защиты информации, в соответствии с форматами и типами записей журналов регистрации событий ОИ ЭП, приведенными в приложении 4 настоящих Правил;
организует систему сбора журналов регистрации событий в контуре телекоммуникационной сети, в котором функционирует объект МОИБ;
организует передачу журналов регистрации событий объекта МОИБ и относящихся к нему средств защиты информации, в систему сбора журналов регистрации событий объекта МОИБ;
уведомляет НКЦИБ о планируемых работах по внесению изменений в журналирование событий объекта МОИБ за 5 рабочих дней до внесения изменений. К уведомлению прикладываются образцы изменяемых журналов регистрации событий и их описание;
обеспечивает условия, согласованные с НКЦИБ, для передачи журналов регистрации событий объекта МОИБ из системы сбора журналов регистрации событий объекта МОИБ в систему управления событиями ИБ НКЦИБ;
уведомляет НКЦИБ о самостоятельно выявленном инциденте ИБ на объекте МОИБ в течение 15 минут с момента выявления;
предоставляет в НКЦИБ Перечень данных в течение 24 часов с момента обнаружения инцидента ИБ.

направляет в НКЦИБ информацию о мерах, принятых для устранения уязвимостей объекта МОИБ, в течение двадцати календарных дней со дня получения результатов обследования на наличие уязвимостей;
в случае самостоятельного обнаружения уязвимости объекта МОИБ, предоставляет в НКЦИБ перечень данных об уязвимости ОИ ЭП по форме согласно приложению 5 настоящих Правил в течение 24 часов с момента выявления уязвимости объекта МОИБ;
в случае неустранения уязвимости объекта МОИБ может присвоить уязвимости одну из категорий (производственная необходимость, уязвимость нулевого дня, ложное срабатывание) и предоставляет в НКЦИБ категории причин неустранения уязвимости и обоснование причины неустранения согласно приложению 6 настоящих Правил.

14. При проведении НКЦИБ мониторинга обеспечения безопасного функционирования собственник или владелец объекта МОИБ в течение одного месяца со дня получения результатов обследования объекта МОИБ на предмет исполнения требований ТД по ИБ предоставляет в НКЦИБ информацию о мерах, принятых по выявленным нарушениям требований ТД по ИБ.

20. Собственник или владелец КВОИКИ обеспечивает подключение системы мониторинга обеспечения ИБ (далее – СМО ИБ) КВОИКИ к техническим средствам ОЦИБ, а также определяет ответственного по ИБ КВОИКИ в течение девяноста календарных дней со дня включения в перечень КВОИКИ, утверждаемый согласно подпункту 4) статьи 6 Закона.

Приложение 1
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства» и
критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Сведения об объекте информатизации «электронного правительства»

Приложение 1
к Сведениям об
объекте информатизации
«электронного правительства»
Форма
Перечень технических средств объекта информатизации
«электронного правительства»
№ п/п
Про­из­во­ди­тель, мо­дель
Се­рий­ный/ ин­вен­тар­ный но­мер
Се­те­вой ад­рес
Фи­зи­че­ское ме­сто­рас­по­ло­же­ние
Тип (со­глас­но тех­ни­че­ской до­ку­мен­та­ции)
Ос­нов­ное функ­ци­о­наль­ное на­зна­че­ние (со­глас­но про­грамм­ной до­ку­мен­та­ции к объ­ек­ту ин­фор­ма­ти­за­ции «элек­трон­но­го пра­ви­тель­ства»)
Ис­поль­зу­е­мые ме­то­ды за­щи­ты ин­фор­ма­ции
Раз­ра­бот­чик, на­зва­ние, вер­сия (встро­ен­но­го про­грамм­но­го обес­пе­че­ния)
1
2
3
4
5
6
7
8
9

Приложение 2
к Сведениям об объекте
информатизации «электронного
правительства»
Форма
Перечень программных средств объекта информатизации «электронного правительства»
№№ п/п
Раз­ра­бот­чик
На­зва­ние
Вер­сия
Ме­сто уста­нов­ки (из пе­реч­ня тех­ни­че­ских средств)
Тип (со­глас­но про­грамм­ной до­ку­мен­та­ции)
Ос­нов­ное функ­ци­о­наль­ное на­зна­че­ние (со­глас­но про­грамм­ной до­ку­мен­та­ции)
Ис­поль­зу­е­мые ме­то­ды за­щи­ты ин­фор­ма­ции
1
2
3
4
5
6
7
8

Приложение 2
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства»
и критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Перечень данных об инциденте информационной безопасности
Дата регистрации инцидента
Уровень критичности инцидента информационной безопасности*
Уровень 5 (черный);
Уровень 4 (красный);
Уровень 3 (оранжевый);
Уровень 2 (желтый);
Уровень 1 (зеленый);
Уровень 0 (белый).
Тип инцидента
Отказ в облуживании (DoS, DDoS);
Несанкционированный доступ и модификация содержания;
Ботнет;
Вирусная атака;
Эксплуатация уязвимостей;
Компрометация средств аутентификации/авторизации;
Фишинг;
Другой.
Масштабность
Единичный; массовый.
Детали
Дата и время возникновения;
Дата и время обнаружения;
Дата и время сообщения;
Закончился ли инцидент? (если «да», то уточнить, как долго длилось событие в днях/часах/минутах);
повторный/новый; индикатор компрометации (IOC).
Признак
Действительный;
Попытка;
Подозрение;
Источник
Внутренний контур;
Внешний контур.
Описание инцидента
Последствие
Без последствий;
Нарушение работоспособности;
Нарушение целостности;
Нарушение режима конфиденциальности информации.
Объект, которому нанесен ущерб
Действия, предпринятые для разрешения инцидента
Примечание
Уровни критичности инцидента информационной безопасности
Уровень критичности
Определение
Критичный
Уровень 5 (черный)
Неизбежные инциденты, которые приведут к невозможности предоставления услуг, значительным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации.
Серьезный
Уровень 4 (красный)
Возможные инциденты, которые приведут к невозможности предоставления услуг, значительным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации.
Высокий
Уровень 3 (оранжевый)
Возможные инциденты, которые приведут к существенному ограничению предоставления услуг, существенному ухудшению ситуации или существенным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации.
Средний
Уровень 2 (желтый)
Вероятные инциденты, которые приведут к ограничению предоставления государственных услуг, ухудшению ситуации или негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации.
Низкий
Уровень 1 (зеленый)
Маловероятные инциденты, которые приведут к ограничению предоставления услуг, ухудшению ситуации или незначительным негативным последствиям для электронных информационных ресурсов, информационных систем, сетей телекоммуникаций и других объектов информатизации.
Не критичный
Уровень 0 (белый)
Несущественные инциденты, не оказывающие влияние на электронные информационные ресурсы, информационные системы, сетей телекоммуникаций и других объектов информатизации.

Приложение 3
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства»
и критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Техническая документации по информационной безопасности

Приложение 4
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства»
и критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Форматы и типы записей журналов регистрации событий
объектов информатизации «электронного правительства»

содержит следующие поля:

Приложение 5
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства»
и критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Перечень данных об уязвимости объекта информатизации «электронного правительства»
Да­та и вре­мя об­на­ру­же­ния уяз­ви­мо­сти
Кон­тур
На­зва­ние объ­ек­та ин­фор­ма­ти­за­ции
Ком­по­нент объ­ек­та ин­фор­ма­ти­за­ции (на­зва­ние, IP, hostname и т.д.)
Порт
Опи­са­ние уяз­ви­мо­сти
До­пол­ни­тель­ная ин­фор­ма­ция
1
2
3
4
5
6
7
Внеш­ний/ Внут­рен­ний кон­тур

Приложение 6
к Правилам проведения
мониторинга обеспечения
информационной безопасности
объектов информатизации
«электронного правительства»
и критически важных объектов
информационно-коммуникационной
инфраструктуры
Форма
Категории причин неустранения уязвимости и обоснование причины неустранения
Ка­те­го­рии при­чин неустра­не­ния уяз­ви­мо­сти
Обос­но­ва­ние при­чи­ны неустра­не­ния уяз­ви­мо­сти
Про­из­вод­ствен­ная необ­хо­ди­мость
Опи­са­ние уяз­ви­мо­сти и со­сто­я­ние объ­ек­та ин­фор­ма­ти­за­ции «элек­трон­но­го пра­ви­тель­ства»;
пред­при­ня­тые ме­ры по устра­не­нию уяз­ви­мо­сти;
при­чи­ны и ха­рак­тер тре­бу­е­мых из­ме­не­ний в объ­ек­те ин­фор­ма­ти­за­ции;
сро­ки устра­не­ния уяз­ви­мо­сти, не пре­вы­ша­ю­щие ше­сти ме­ся­цев с мо­мен­та пер­во­го об­на­ру­же­ния.
Уяз­ви­мость ну­ле­во­го дня
Опи­са­ние уяз­ви­мо­сти и со­сто­я­ние объ­ек­та ин­фор­ма­ти­за­ции «элек­трон­но­го пра­ви­тель­ства», а та­к­же про­ве­ден­ные ме­ро­при­я­тия по сни­же­нию ве­ро­ят­но­сти экс­плу­а­та­ции уяз­ви­мо­сти.
Лож­ное сра­ба­ты­ва­ние
Опи­са­ние ха­рак­те­ри­сти­ки или со­сто­я­ние объ­ек­та ин­фор­ма­ти­за­ции «элек­трон­но­го пра­ви­тель­ства», опре­де­лен­но­го как уяз­ви­мость.