Об утверждении регламента государственной услуги "Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам"
В соответствии с пунктом 4 статьи 9-1 Закона Республики Казахстан от 27 ноября 2000 года «Об административных процедурах», а также в согласно подпункту 21) статьи 6 Закона Республики Казахстан от 11 января 2007 года «Об информатизации», ПРИКАЗЫВАЮ:

1. Утвердить прилагаемый регламент государственной услуги «Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам».

Утвержден
приказом Министра
транспорта и коммуникаций
Республики Казахстан
от 13 декабря 2012 года № 880
Регламент государственной услуги «Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам»

1. Настоящий регламент государственной услуги «Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам» (далее – Регламент) разработан в соответствии с пунктом 4 статьи 9-1 Закона Республики Казахстан от 27 ноября 2000 года «Об административных процедурах, а также Стандартом государственной услуги «Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам», утвержденного постановлением Правительства Республики Казахстан от 25 сентября 2012 года № 1241 (далее – Стандарт).

1) аттестат соответствия информационной системы требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам (далее – аттестат) – документ, подтверждающий факт соответствия информационной системы требованиям информационной безопасности (далее – ИБ) и принятым на территории Республики Казахстан стандартам;

3) аттестация информационной системы на соответствие требованиям ИБ и принятым на территории Республики Казахстан стандартам – комплекс организационно-технических мероприятий по определению фактического состояния защищенности информационной системы и ее соответствия требованиям ИБ и принятым на территории Республики Казахстан стандартам.

5) аттестационное обследование (далее – аттестационное обследование) – проверка общей структуры ИС конфигурации компонентов являющихся составляющими ИС; экспертиза организационных мер информационной безопасности эксплуатируемой ИС, а также инструментальное обследование компонентов ИС, позволяющих пользователям получать доступ к информации в обход существующих механизмов защиты;

3. Государственная услуга «Аттестация государственных информационных систем и негосударственных информационных систем, интегрируемых с государственными информационными системами, на соответствие их требованиям информационной безопасности и принятым на территории Республики Казахстан стандартам» (далее – государственная услуга) оказывается Министерством транспорта и коммуникаций Республики Казахстан (далее – уполномоченный орган) по адресу: 010000, город Астана, улица Орынбор, дом 8, административное здание «Дом министерств», 14 подъезд.

Государственная услуга оказывается в порядке очереди, без предварительной записи. Режим ускоренного обслуживания не предусмотрен.

1) 1-й этап – работниками Канцелярии уполномоченного органа в случае поступления заявки производится прием, вскрытие, сканирование и регистрация входящей корреспонденции в Единой системе электронного документооборота (далее – ЕСЭДО) с прилагаемой заявкой и документами согласно пункту 11 Стандарта (далее – заявка). В случае превышения объема допустимых вложений в ЕСЭДО сканируются первые листы каждого вложения и в РКК документа вносится соответствующая отметка. В случае поступления заявки на бумажном носителе под грифом «Для служебного пользования» (далее – ДСП) производится прием, вскрытие и регистрация в ЕСЭДО;

2) 2-й этап – определение ответственного структурного подразделения уполномоченного органа по рассмотрению документа. Согласно поручению (резолюции) вице-министра, заявка направляется структурному подразделению уполномоченного органа для исполнения по ЕСЭДО или под роспись ответственного должностного лица структурного подразделения уполномоченного органа в журнале учета входящих ДСП документов;

4) 4-й этап – в случае соответствия требованиям к форме и комплектности, установленным пунктом 11 Стандарта, заявка в течение двух календарных дней направляется в уполномоченную организацию, в противном случае заявка возвращается получателю с указанием в сопроводительном письме причин возврата заявки;

6) 6-й этап – рассмотрение руководителем уполномоченной организации входящей корреспонденции и определение ответственного должностного лица по рассмотрению заявки. Согласно поручению (резолюции) руководителя, заявка направляется должностному лицу уполномоченной организации для исполнения под роспись в соответствующем журнале;

8) 8-й этап – юридический отдел уполномоченной организации в течение одного календарного дня направляет получателю два экземпляра договора на оказание услуг по аттестационному обследованию, договора на исполнение совместных работ по обеспечению ИБ и при наличии в информационных системах средств криптографической защиты информации или при необходимости – договора на выполнение совместных секретных работ;

10) 10-й этап – на основании договора, заключенного получателем, уполномоченная организация проводит аттестационное обследование ИС. Срок аттестационного обследования не должен превышать двадцати одного календарного дня с момента заключения договора на проведение аттестационного обследования. В случае, если структура аттестуемой ИС включает ведомственные или региональные компоненты ИС, уполномоченная организация обращается в уполномоченный орган с ходатайством о продлении срока аттестационного обследования с изложением причин невозможности соблюдения установленного срока. Уполномоченным органом принимается решение о продлении срока аттестационного обследования сроком не более семнадцати календарных дней, о чем сообщается получателю в течение одного календарного дня. Аттестационное обследование проводится в соответствии с нормативными правовыми актами и стандартами в области ИБ, принятыми на территории Республики Казахстан, перечень которых определяется уполномоченной организацией с учетом примененных информационных технологий в аттестуемой ИС. Получатель обеспечивает доступ к помещению, оборудованию и информации по аттестуемой ИС для проведения аттестационного обследования уполномоченной организацией;

11) 11-й этап – по результатам аттестационного обследования уполномоченной организацией составляется акт, который передается уполномоченному органу. Акт составляется в четырех экземплярах (по одному для Комиссии, уполномоченного органа по защите государственных секретов, органов национальной безопасности и заявителя) и включает в себя сведения о фактическом состоянии защищенности ИС;

13) 13-й этап – на основании акта Комиссией вырабатываются соответствующие рекомендации, которые оформляются в виде протокола. При рассмотрении данных актов Комиссия учитывает уровень функциональной сложности ИС и ее назначение, характер обрабатываемой ИС информации, категорию доступа ИС, режим обработки данных в ИС, комплектность нормативно-технической документации по ИБ и соблюдение ее требований, оценку реальных угроз безопасности (потенциальные источники угроз и уязвимости);

о выдаче или об отказе в выдаче аттестата (решение об отказе в выдаче аттестата принимается на основании указанных в акте несоответствий требованиям стандартов в области ИБ, принятых на территории Республики Казахстан);
об устранении получателем выявленных несоответствий (данное решение может быть принято не более одного раза к заявке на проведение аттестации ИС). Копия решения направляется заявителю;

15) 15-й этап – в случае принятия Комиссией решения об устранении выявленных несоответствий, срок оказания государственной услуги приостанавливается до извещения уполномоченного органа об устранении выявленных несоответствии во время аттестационного обследования. Получатель в течение двадцати рабочих дней с момента получения копии решения устраняет выявленные несоответствия и извещает уполномоченный орган об их устранении, после чего уполномоченный орган в течение одного календарного дня извещает уполномоченную организацию о необходимости проведения дополнительного аттестационного обследования ИС. Срок дополнительного аттестационного обследования ИС не должен превышать восьми календарных дней со дня получения извещения из уполномоченного органа;

14. Схема взаимодействия между логической последовательностью административных действий в процессе оказания государственной услуги и СФЕ приведена в приложении 2 к настоящему Регламенту.
Приложение 1
к регламенту государственной услуги «Аттестация государственных
информационных систем и негосударственных информационных систем,
интегрируемых с государственными информационными системами, на
соответствие их требованиям информационной безопасности и
принятым на территории Республики Казахстан стандартам»
Текстовое табличное описание последовательности и взаимодействия административных действий (процедур) каждой СФЕ
Таблица 1. Описание действий СФЕ
Дей­ствия ос­нов­но­го про­цес­са (хо­да, по­то­ка ра­бот)
1
№ дей­ствия
(хо­да, по­то­ка
ра­бот)
1
2
3
2
На­име­но­ва­ние
СФЕ
Со­труд­ник СДО
Упол­но­мо­чен­но­го
ор­га­на
Ви­це-ми­нистр
Упол­но­мо­чен-
но­го ор­га­на
Долж­ност­ное ли­цо
Упол­но­мо­чен­но­го
ор­га­на
3
На­име­но­ва­ние
дей­ствия
(про­цес­са,
про­це­ду­ры,
опе­ра­ции) и
их опи­са­ние
при­ем,
вскры­тие,
сор­ти­ров­ка и
ре­ги­стра­ция
за­яв­ки в ЕС­Э­ДО
или жур­на­ле
ре­ги­стра­ции
вхо­дя­щей ДСП
кор­ре­спон­ден­ции
опре­де­ле­ние
долж­ност­но­го
ли­ца
Осу­ществ­ле­ние
про­вер­ки со­от­вет­ствия
за­яв­ки и при­ла­га­е­мых
до­ку­мен­тов
тре­бо­ва­ни­ям к фор­ме и
ком­плект­но­сти и
на­прав­ле­ния в РГП
«ЦТ­САТ» в про­тив­ном
слу­чае воз­врат
по­лу­ча­те­лю с
ука­за­ни­ем при­чин;
4
Фор­ма
за­вер­ше­ния
(дан­ные,
до­ку­мент,
ор­га­ни­за­ци­он-
но-рас­по­ря-
ди­тель­ное
ре­ше­ние)
Ре­ги­стра­ция в
ЕС­Э­ДО или
жур­на­ле
ре­ги­стра­ции
вхо­дя­щей ДСП
кор­ре­спон­ден­ции
Со­глас­но
по­ру­че­нию
(ре­зо­лю­ции)
Ви­це-
ми­ни­стра,
за­яв­ка
на­прав­ля­ет­ся
долж­ност­но­му
ли­цу для
ис­пол­не­ния в
ЕС­Э­ДО или под
рос­пись в
жур­на­ле уче­та
вхо­дя­щих ДСП
до­ку­мен­тов
От­прав­ка
со­про­во­ди­тель­ным
пись­мом за­яв­ки с
при­ло­жен­ны­ми
до­ку­мен­та­ми в ад­рес
РГП «ЦТ­САТ»
5
Сро­ки
ис­пол­не­ния
15 ми­нут
1 ка­лен­дар­ный
день
1 ка­лен­дар­ный день
Дей­ствия ос­нов­но­го про­цес­са (хо­да, по­то­ка ра­бот)
1
№ дей­ствия
(хо­да, по­то­ка
ра­бот)
4
5
6
7
2
На­име­но­ва­ние
СФЕ
Со­труд­ник
СДО РГП
«ЦТ­САТ»
Ру­ко­во­ди­тель
РГП «ЦТ­САТ»
Долж­ност­ное
ли­цо РГП
«ЦТ­САТ»
Долж­ност­ное
ли­цо РГП
«ЦТ­САТ»
3
На­име­но­ва­ние
дей­ствия
(про­цес­са,
про­це­ду­ры,
опе­ра­ции) и
их опи­са­ние
при­ем,
вскры­тие,
сор­ти­ров­ка и
ре­ги­стра­ция
за­яв­ки с
при­ло­жен­ны­ми
до­ку­мен­та­ми
опре­де­ле­ние
долж­ност­но­го
ли­ца
на­прав­ля­ет
по­лу­ча­те­лю
два
эк­зем­пля­ра
до­го­во­ра на
ока­за­ние
услуг
про­во­дит
ат­те­ста-
ци­он­ное
об­сле­до-
ва­ние ИС
4
Фор­ма
за­вер­ше­ния
(дан­ные,
до­ку­мент,
ор­га­ни­за­ци­он-
но-рас­по­ря­ди-
тель­ное
ре­ше­ние)
Ре­ги­стра­ция
в жур­на­ле
ре­ги­стра­ции
вхо­дя­щей
кор­ре­спон-
ден­ции
В
со­от­вет­ствии
с по­ру­че­ни­ем
(ре­зо­лю­ци­ей)
ру­ко­вод­ства
пись­мо с
при­ла­га­е­мы­ми
ре­ги­стра­ци-
он­ны­ми
за­яв­ка­ми
на­прав­ля­ют­ся
для
ис­пол­не­ния
под рос­пись
в жур­на­ле
До­го­вор
Акт
5
Сро­ки
ис­пол­не­ния
15 мин
1
ка­лен­дар­ный
день
1
ка­лен­дар­ный
день
21
ка­лен­дар­ный
день
Дей­ствия ос­нов­но­го про­цес­са (хо­да, по­то­ка ра­бот)
1
№ дей­ствия
(хо­да, по­то­ка
ра­бот)
8
9
10
2
На­име­но­ва­ние
СФЕ
Упол­но­мо­чен-
ный ор­ган
Ко­мис­сия
Упол­но­мо­чен­ный ор­ган
3
На­име­но­ва­ние
дей­ствия
(про­цес­са,
про­це­ду­ры,
опе­ра­ции) и
их опи­са­ние
со­зыв
Ко­мис­сию и
пе­ре­да­ча ак­та
на
рас­смот­ре­ние
Ко­мис­сии;
со­от­вет­ству­ю­щие
ре­ко­мен­да­ции
в слу­чае при­ня­тия
по­ло­жи­тель­но­го
ре­ше­ния вы­да­ет
ат­те­стат по фор­ме
со­глас­но
при­ло­же­нию 1 к
Стан­дар­ту и вно­сит
со­от­вет­ству­ю­щие
све­де­ния в ре­естр
ат­те­ста­тов. В слу­чае
от­ка­за в вы­да­че
ат­те­ста­та
по­тре­би­те­лю
на­прав­ля­ет­ся
со­от­вет­ству­ю­щее
уве­дом­ле­ние с
ука­за­ни­ем при­чин
от­ка­за
4
Фор­ма
за­вер­ше­ния
(дан­ные,
до­ку­мент,
ор­га­ни­за­ци­он-
но-рас­по­ря-
ди­тель­ное
ре­ше­ние)
Про­то­кол
Ко­мис­сии
Про­то­кол
Ко­мис­сии
Вы­да­ча Ат­те­ста­та,
вне­се­ние све­де­ний в
ре­естр ат­те­ста­тов
ли­бо в уве­дом­ле­ние
по­тре­би­те­лю
5
Сро­ки
ис­пол­не­ния
2 ка­лен­дар­ный
день
1 ка­лен­дар­ный
день
1 ка­лен­дар­ный день
Приложение 2
к регламенту государственной услуги «Аттестация государственных
информационных систем и негосударственных информационных систем,
интегрируемых с государственными информационными системами, на
соответствие их требованиям информационной безопасности и
принятым на территории Республики Казахстан стандартам»
Схема взаимодействия между логической последовательностью административных действий в процессе оказания государственной услуги и СФЕ Процесс проведения аттестации информационных систем