ВСЕ ЗАКОНОДАТЕЛЬСТВО УЗБЕКИСТАНА
Законодательство РУз / Информация. Информатизация. Связь / Информационная безопасность /Положение о порядке обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан (Приложение N 1 к Постановлению Президента РУз от 31.05.2023 г. N ПП-167)
Полный текст документа доступен в платной версии. По вопросам звоните на короткий номер 1172
ПРИЛОЖЕНИЕ N 1
к Постановлению Президента РУз
от 31.05.2023 г. N ПП-167
ПОЛОЖЕНИЕ
о порядке обеспечения кибербезопасности объектов
критической информационной инфраструктуры
Республики Узбекистан
1. Настоящее Положение определяет порядок обеспечения кибербезопасности объектов критической информационной инфраструктуры Республики Узбекистан.
2. В настоящем Положении используются следующие основные понятия:
киберзащита - комплекс правовых, организационных, финансово-экономических, инженерно-технических мер, а также мер криптографической и технической защиты данных, направленных на предотвращение инцидентов кибербезопасности, выявление кибератак и защиту от них, устранение последствий кибератак, восстановление стабильности и надежности деятельности телекоммуникационных сетей, информационных систем и ресурсов;
критическая информационная инфраструктура - комплекс автоматизированных систем управления, информационных систем и ресурсов сетей и технологических процессов, имеющих важное стратегическое и социально-экономическое значение;
кибератака на объект критической информационной инфраструктуры - умышленное действие, представляющее угрозу кибербезопасности путем использования в киберпространстве аппаратных, аппаратно-программных и программных средств на объектах критической информационной инфраструктуры;
инцидент кибербезопасности на объекте критической информационной инфраструктуры - инцидент, при эксплуатации объекта критической информационной инфраструктуры в киберпространстве приведший к сбоям в работе информационных систем и (или) нарушениям доступности, целостности и свободного использования информации;
объекты критической информационной инфраструктуры - системы информатизации, применяемые в сфере государственного управления и оказания государственных услуг, обороны, обеспечения государственной безопасности, правопорядка, топливно-энергетического комплекса (атомной энергетики), в химической, нефтехимической отраслях, металлургии, водопользования и водоснабжения, сельского хозяйства, здравоохранения, жилищно-коммунального обслуживания, банковско-финансовой системы, сферах транспорта, информационно-коммуникационных технологий, экологии и охраны окружающей среды, добычи и переработки полезных ископаемых стратегического значения, производственной сфере и других отраслях экономики и социальной сфере;
субъекты критической информационной инфраструктуры - государственные органы и организации, а также юридические лица, владеющие объектами критической информационной инфраструктуры на правах собственности, аренды или на других законных основаниях, в том числе юридические лица и (или) индивидуальные предприниматели, обеспечивающие эксплуатацию и взаимодействие объектов критической информационной инфраструктуры;
кибербезопасность (объектов) критической информационной инфраструктуры - состояние защищенности, обеспечивающее устойчивое функционирование объекта критической информационной инфраструктуры и защиту от нарушения, которое может привести к возникновению инцидента кибербезопасности на объекте критической информационной инфраструктуры.
3. Обеспечение кибербезопасности объектов критической информационной инфраструктуры (далее - КИИ) основывается на принципах законности, непрерывности и комплексности киберзащиты, приоритетности выявления, предотвращения, оперативного реагирования и устранения последствий кибератаки.
4. Основными направлениями обеспечения кибербезопасности объектов КИИ являются:
осуществление государственной политики в области кибербезопасности объектов КИИ;
организационно-правовое регулирование деятельности по обеспечению кибербезопасности объектов КИИ;
установление требований в области обеспечения кибербезопасности объектов КИИ, организация их технической безопасности на всех этапах жизненного цикла - создание, эксплуатация, использование и модернизация;
оценка защищенности объектов КИИ, проведение мероприятий по выявлению угроз и уязвимостей кибербезопасности;
предупреждение кибератак, их предотвращение, принятие оперативных мер и устранение их последствий, обеспечение оперативного взаимодействия субъектов КИИ при расследовании инцидентов кибербезопасности;
организационное, материально-техническое и кадровое обеспечение кибербезопасности объектов КИИ;
пресечение попыток или прямых кибератак на объекты КИИ, разработка и подготовка к применению планов восстановления их стабильной работы в случае кибератак;
проведение научно-исследовательских и опытно-конструкторских работ по обеспечению кибербезопасности объектов КИИ.
5. Участниками государственной системы обеспечения кибербезопасности объектов КИИ являются:
уполномоченный государственный орган в области кибербезопасности в Республике Узбекистан - Служба государственной безопасности Республики Узбекистан (далее - уполномоченный государственный орган);
рабочий орган уполномоченного государственного органа (далее - рабочий орган);
Инспекция по контролю в сфере информатизации и телекоммуникаций при Министерстве цифровых технологий Республики Узбекистан (далее - "Узкомназорат");
субъекты КИИ.
Обеспечение кибербезопасности объектов КИИ Республики Узбекистан осуществляется в соответствии с прилагаемой организационной схемой.
6. Отношения в сфере обеспечения кибербезопасности объектов КИИ регулируются Конституцией и законами Республики Узбекистан, указами, постановлениями и распоряжениями Президента Республики Узбекистан, постановлениями и распоряжениями Кабинета Министров, а также настоящим Положением и иными актами законодательства.
ГЛАВА 2. ЗАДАЧИ УПОЛНОМОЧЕННОГО ГОСУДАРСТВЕННОГО
ОРГАНА И "УЗКОМНАЗОРАТ" В ОБЛАСТИ ОБЕСПЕЧЕНИЯ
КИБЕРБЕЗОПАСНОСТИ ОБЪЕКТОВ КРИТИЧЕСКОЙ
ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ
7. Уполномоченный государственный орган:
вырабатывает решения по созданию системы кибербезопасности объектов КИИ, а также обеспечению бесперебойной работы и развитию технической инфраструктуры;
вносит предложения в аппарат Совета безопасности при Президенте Республики Узбекистан по совершенствованию нормативно-правового регулирования в области обеспечения кибербезопасности (объектов) КИИ;
координирует деятельность по выявлению, предупреждению, оперативному реагированию, устранению их последствий кибератак и обеспечению кибербезопасности объектов КИИ;
формирует и ведет единый государственный реестр объектов КИИ (далее - реестр);
осуществляет надзор за соблюдением законодательства в области кибербезопасности объектов КИИ, обрабатывающих сведения, которые составляют государственную тайну;
организует и осуществляет систему аттестации объектов КИИ в соответствии с законодательством;
регулирует организацию и проведение изучений и проверок совместно с рабочим органом и "Узкомназорат" по определению состояния обеспечения кибербезопасности объектов КИИ;
определяет порядок обмена информацией об инцидентах кибербезопасности в рамках взаимодействия с субъектами КИИ, правоохранительными органами, уполномоченным государственным органом, а также субъектами КИИ и уполномоченными органами иностранных государств, международными негосударственными организациями, осуществляющими деятельность в сфере реагирования на инциденты кибербезопасности;
устанавливает и координирует реализацию требований к применению мер по выявлению, предотвращению кибератак и устранению их последствий, реагированию на инциденты кибербезопасности на объектах КИИ;
выявляет, собирает и анализирует информацию о возможных угрозах кибербезопасности объектов КИИ и об их уязвимостях;
совместно с субъектами КИИ разрабатывает планы по предотвращению попыток или прямых кибератак на объекты КИИ, а также по восстановлению стабильной работы объектов в случае инцидента кибербезопасности, проводит по ним плановые учения.
8. Уполномоченный государственный орган в пределах своих полномочий участвует в международных мероприятиях в области обеспечения кибербезопасности КИИ и осуществляет обмен информацией об угрозах кибербезопасности и инцидентах кибербезопасности в соответствии с международными договорами.
9. "Узкомназорат":
осуществляет надзор за соблюдением законодательства в области кибербезопасности объектов КИИ, обрабатывающих информацию, не содержащую государственную тайну;
совместно с рабочим органом проверяет, изучает и контролирует выполнение субъектами КИИ требований нормативных документов в сфере технического регулирования в области обеспечения кибербезопасности объектов КИИ;
участвует в разработке предложений и рекомендаций по совершенствованию нормативно-правовой базы в области обеспечения кибербезопасности объектов КИИ;
в пределах своих полномочий дает указания субъектам КИИ по устранению выявленных слабых сторон и недостатков в обеспечении кибербезопасности объектов КИИ;
участвует в деятельности межведомственных консультативно-совещательных органов, международных семинарах, научно-технических конференциях, симпозиумах, встречах и выставках по вопросам обеспечения кибербезопасности объектов КИИ.
ГЛАВА 3. ЗАДАЧИ РАБОЧЕГО ОРГАНА В ОБЛАСТИ
ОБЕСПЕЧЕНИЯ КИБЕРБЕЗОПАСНОСТИ ОБЪЕКТОВ
КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ
ИНФРАСТРУКТУРЫ
10. В соответствии с решениями уполномоченного государственного органа на рабочий орган возлагаются задачи по созданию системы кибербезопасности объектов КИИ, а также по обеспечению ее бесперебойного функционирования и развитию технической инфраструктуры.
Рабочий орган:
в централизованном порядке собирает и анализирует информацию о современных угрозах кибербезопасности с целью выработки рекомендаций и предложений по оперативному принятию эффективных организационных и программно-технических решений в предотвращении кибератак на объекты КИИ;
оказывает содействие защите от возможных кибератак и обеспечению бесперебойного функционирования объектов КИИ;
внедряет средства выявления, предотвращения и устранения последствий кибератак на объекты КИИ;
взаимодействует с правоохранительными органами по реагированию на инциденты кибербезопасности и киберугрозы на объектах КИИ;
координирует деятельность подразделений кибербезопасности субъектов КИИ и оказывает содействие в расследовании инцидентов кибербезопасности на объектах КИИ;
обеспечивает методологическое содействие деятельности субъектов КИИ по защите объектов КИИ от кибератак и принятию мер против инцидентов кибербезопасности;
проводит аудит, аттестацию и экспертизу объектов КИИ на соответствие техническим поручениям и требованиям кибербезопасности;
сертифицирует телекоммуникационное оборудование, аппаратные, программно-аппаратные средства по защите информации, используемые на объектах КИИ, на соответствие требованиям нормативных документов в области технического регулирования;
обеспечивает переподготовку и повышение квалификации специалистов субъектов КИИ, ответственных за обеспечение кибербезопасности;
оказывает содействие в разработке и реализации политики информационной безопасности на объектах КИИ;
совместно с уполномоченным государственным органом изучает и проверяет состояние кибербезопасности на объектах КИИ;
участвует в международных мероприятиях по вопросам обеспечения кибербезопасности объектов КИИ и организует научно-технические конференции, симпозиумы, совещания, выставки, в том числе готовит информационно-аналитические материалы.
ГЛАВА 4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ
КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ
11. Субъекты КИИ имеют следующие права:
получение от уполномоченного государственного органа информации по обеспечению кибербезопасности объектов КИИ, в том числе о киберугрозах данным, обрабатываемым такими объектами, и уязвимостях в программном обеспечении, устройствах и технологиях, используемых на таких объектах;
создание собственных подразделений кибербезопасности, разработка и реализация мероприятий по обеспечению кибербезопасности объектов КИИ.
12. Субъекты КИИ обязаны:
соблюдать требования нормативно-правовых актов в области кибербезопасности объектов КИИ и нормативных документов в области технического регулирования;
незамедлительно уведомлять уполномоченный государственный орган и рабочий орган об инцидентах кибербезопасности в установленном порядке;
оказывать содействие уполномоченному государственному органу и рабочему органу в обнаружении и предотвращении кибератак, устранении их последствий, выявлении причин и условий возникновения инцидентов кибербезопасности;
уведомлять уполномоченный государственный орган о случаях неправомерного вмешательства государственных органов в процесс обеспечения кибербезопасности объектов КИИ;
по согласованию с уполномоченным государственным органом устанавливать и поддерживать за свой счет средства, предназначенные для обнаружения и предотвращения кибератак, устранения их последствий, реагирования на инциденты кибербезопасности;
обеспечивать полноценную работу средств, предназначенных для обнаружения и предотвращения кибератак, устранения их последствий на объектах КИИ в соответствии с установленными требованиями;
реагировать на инциденты кибербезопасности в порядке, утвержденном уполномоченным государственным органом, принимать меры по устранению последствий кибератак, совершенных на объекты КИИ, участвовать в расследовании инцидентов кибербезопасности;
обеспечивать в установленном законодательством порядке доступ на объекты КИИ должностным лицам уполномоченного государственного органа, рабочего органа и "Узкомназорат" в процессе осуществления ими полномочий, предусмотренных настоящим Положением;
по согласованию с уполномоченным государственным органом и рабочим органом предотвращать возможные киберугрозы на объектах КИИ и разрабатывать планы по восстановлению стабильного функционирования объектов КИИ в случае кибератак;
участвовать в плановых учениях, организуемых уполномоченным государственным органом и рабочим органом.
13. Субъекты КИИ могут иметь иные права и нести иные обязанности в соответствии с законодательством.
ГЛАВА 5. СИСТЕМА КИБЕРБЕЗОПАСНОСТИ ОБЪЕКТОВ
КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ
14. Субъекты КИИ создают систему кибербезопасности объектов КИИ и обеспечивают ее функционирование.
15. Основными задачами системы кибербезопасности объектов КИИ являются:
предотвращение неправомерного использования, удаления, изменения, блокирования (ограничения), копирования, предоставления и распространения информации, обрабатываемой на объектах КИИ, а также иных неправомерных действий;
недопущение воздействия на аппаратные, программные и программно-аппаратные средства обработки информации, способного вызвать нарушение и (или) остановку работы объектов КИИ;
восстановление работы объектов КИИ путем резервирования телекоммуникационных сетей, информационных ресурсов и системы жизнедеятельности.
ГЛАВА 6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
16. Координация и контроль над внедрением государственной системы обеспечения кибербезопасности объектов КИИ и ее бесперебойной работой осуществляется аппаратом Совета безопасности при Президенте Республики Узбекистан.
17. Лица, виновные в нарушении требований настоящего Положения, несут ответственность в соответствии с законодательством Республики Узбекистан.
Национальная база данных законодательства (www.lex.uz), 2 июня 2023 г.