Приложение

(к постановлению Кабинета Министров Кыргызской Республики от 9 декабря 2024 года № 746)

ТРЕБОВАНИЯ к созданию систем кибербезопасности объектов критической информационной инфраструктуры Кыргызской Республики и обеспечению их функционирования

1. Общие положения

1. Настоящие Требования устанавливают порядок создания субъектами критической информационной инфраструктуры Кыргызской Республики (далее - КИИ) систем кибербезопасности объектов КИИ (далее - системы кибербезопасности) и обеспечения их функционирования с учетом законодательства Кыргызской Республики.

2. Системы кибербезопасности создаются субъектами КИИ и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение кибербезопасности объектов КИИ.

3. Создание и функционирование систем кибербезопасности должно быть направлено на обеспечение устойчивого функционирования объектов КИИ.

Системы кибербезопасности создаются в отношении всех объектов КИИ, в том числе эксплуатируемых в обособленных подразделениях (филиалах, представительствах) субъекта КИИ.

4. Системы кибербезопасности включают силы и средства обеспечения кибербезопасности объектов КИИ.

К силам обеспечения кибербезопасности объектов КИИ относятся:

- руководитель субъекта КИИ;

- подразделения кибербезопасности и/или офицер кибербезопасности субъекта КИИ;

- подразделения и/или работники, эксплуатирующие объекты КИИ;

- подразделения и/или работники, обеспечивающие функционирование (сопровождение, обслуживание, ремонт) объектов КИИ;

- иные подразделения и/или работники, участвующие в обеспечении кибербезопасности объектов КИИ.

К средствам обеспечения кибербезопасности объектов КИИ относятся программные, программно-аппаратные и иные средства, применяемые для обеспечения кибербезопасности объектов КИИ.

5. Системы кибербезопасности должны функционировать в соответствии с организационно-распорядительными документами по обеспечению кибербезопасности объектов КИИ, разрабатываемыми субъектами КИИ в соответствии с законодательством Кыргызской Республики в сфере обеспечения кибербезопасности и иными нормативными документами Кыргызской Республики в сфере обеспечения кибербезопасности (далее - организационно-распорядительные документы по кибербезопасности).

6. Системы кибербезопасности должны обеспечивать:

- предотвращение неправомерного доступа к информации, обрабатываемой объектами КИИ, уничтожения такой информации, ее модификации, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;

- осуществление непрерывного мониторинга состояния кибербезопасности объекта КИИ;

- недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование объектов КИИ;

- восстановление функционирования объектов КИИ, в том числе за счет создания и хранения резервных копий;

- непрерывное взаимодействие с уполномоченным государственным органом в сфере обеспечения кибербезопасности.

7. Создаваемые системы кибербезопасности должны включать в себя требования, предъявляемые к:

- силам обеспечения кибербезопасности объектов КИИ;

- средствам обеспечения кибербезопасности объектов КИИ;

- организационно-распорядительным документам по кибербезопасности;

- организации работ по обеспечению кибербезопасности объектов КИИ.

2. Требования к силам обеспечения кибербезопасности объектов КИИ

8. Руководитель субъекта КИИ создает систему кибербезопасности, организует и контролирует ее функционирование.

9. Руководитель субъекта КИИ утверждает состав и структуру системы кибербезопасности, функции ее участников при обеспечении кибербезопасности объекта КИИ, а также определяет особенности деятельности субъекта КИИ.

Создаваемая система кибербезопасности должна включать подразделения кибербезопасности и/или офицеров кибербезопасности объектов КИИ, в том числе в обособленных подразделениях (филиалах, представительствах) субъектов КИИ, в которых эксплуатируются объекты КИИ.

10. Руководитель субъекта КИИ создает или определяет структурное подразделение, ответственное за обеспечение кибербезопасности объектов КИИ (далее - структурное подразделение по кибербезопасности) и назначает офицера кибербезопасности объектов КИИ.

Структурное подразделение по кибербезопасности и/или офицер кибербезопасности должны осуществлять следующие функции:

- разрабатывать организационно-распорядительные документы по обеспечению кибербезопасности и вносить предложения по их совершенствованию;

- проводить анализ киберугроз в отношении объектов КИИ и выявлять уязвимости в них;

- реализовывать требования по обеспечению кибербезопасности объектов КИИ;

- обеспечивать в соответствии с требованиями по кибербезопасности реализацию организационных мер и эксплуатацию средств защиты информации;

- осуществлять реагирование на киберинциденты;

- организовывать проведение внутреннего аудита кибербезопасности объектов КИИ;

- готовить предложения по совершенствованию функционирования систем кибербезопасности объектов КИИ.

11. По решению руководителя субъекта КИИ в обособленных подразделениях (филиалах, представительствах) субъекта КИИ, в которых эксплуатируются объекты КИИ, создаются (определяются) структурные подразделения по кибербезопасности и/или назначается офицер кибербезопасности.

Координацию и контроль выполнения функций по обеспечению кибербезопасности обособленных подразделений (филиалов, представительств) осуществляют структурные подразделения по кибербезопасности или офицер кибербезопасности субъекта КИИ.

12. Работники структурного подразделения по кибербезопасности или офицер кибербезопасности должны соответствовать следующим требованиям:

- наличие у руководителя структурного подразделения по кибербезопасности высшего образования и документа, подтверждающего прохождение обучения в сфере кибербезопасности или информационной безопасности, а также опыта работы не менее трех лет в областях информационных технологий и/или кибербезопасности или информационной безопасности;

- наличие у штатных работников структурного подразделения и/или офицера кибербезопасности высшего образования в сфере информационных технологий и документа, подтверждающего прохождение обучения в сфере кибербезопасности или информационной безопасности.

13. Обязанности, возлагаемые на работников структурного подразделения по кибербезопасности и/или офицера кибербезопасности, должны быть определены в их должностных регламентах (инструкциях, обязанностях) в рамках деятельности по обеспечению кибербезопасности.

14. Работники, эксплуатирующие объекты КИИ (пользователи), а также работники, обеспечивающие функционирование объектов КИИ, должны выполнять свои обязанности на объектах КИИ в соответствии с правилами кибербезопасности, установленными организационно-распорядительными документами по кибербезопасности (инструкциями, руководствами).

До работников должны быть доведены положения организационно-распорядительных документов по кибербезопасности объектов КИИ в части, их касающейся.

Координацию и контроль деятельности вышеуказанных работников по вопросам обеспечения кибербезопасности объектов КИИ должны осуществлять структурное подразделение по кибербезопасности и/или офицер кибербезопасности.

Субъект КИИ должен проводить не менее одного раза в год организационные мероприятия, направленные на повышение уровня подготовки сотрудников структурного подразделения по кибербезопасности и/или офицера кибербезопасности по вопросам обеспечения кибербезопасности.

15. Субъект КИИ может привлекать организации для разработки, внедрения, модификации, эксплуатации и обеспечения функционирования объектов КИИ исключительно по согласованию с уполномоченным государственным органом в сфере обеспечения кибербезопасности.

Организации, привлекаемые субъектом КИИ для эксплуатации и обеспечения функционирования объектов КИИ, должны соблюдать требования организационно-распорядительных документов по кибербезопасности и законодательства в сфере обеспечения кибербезопасности.