Документация (стр. 5 )

Государственное образовательное учреждение высшего профессионального образования «Самарский государственный медицинский университет Федерального агентства по здравоохранению и социальному развитию», именуемый в дальнейшем Заказчик, , действующего на основании Устава, именуемое далее «Раскрывающая сторона», и _________________, в лице _____________________________, действующего на основании ___________________, именуемое далее «Принимающая сторона», в дальнейшем совместно именуемые «Стороны», а по отдельности «Сторона», заключили настоящее Соглашение о нижеследующем:

Статья 1.

1.1. Используемый в настоящем Соглашении термин «Конфиденциальная Информация» означает любую информацию, представленную в письменном, устном, электронном или ином другом виде и относящуюся к предмету заключенного между сторонами контракта, приложением к которому является настоящее Соглашение, в том числе: документацию, финансовые документы, лицензии, переписку Сторон с органами государственной власти и местного самоуправления, а также с контрагентами и переписку между Сторонами с ограничительными грифами «Конфиденциально» (К), «Коммерческая тайна» (КТ), любые иные документы, содержащие или иным образом отражающие информацию о Сторонах, их учредителях, акционерах, филиалах, представительствах, дочерних и зависимых обществах, а также информацию о контрагентах Сторон, новейших технических решениях («Ноу-Хау»), включая, но не ограничиваясь, заметки, документацию и переписку, при условии, что любая из Сторон прямо укажет на нее письменно или путем проставления на материальном носителе соответствующего ограничительного грифа конфиденциальности, за исключением информации, которая в соответствии с действующим законодательством и иными правовыми актами Российской Федерации не может быть отнесена к информации ограниченного распространения.

Статья 2.

2.1. Стороны обязуются обеспечить хранение всей Конфиденциальной информации в секрете и обязуются не раскрывать ее любым другим лицам, за исключением случаев, когда обязанность такого раскрытия установлена требованиями закона или полноправным судебным решением.

Информация, запрашиваемая уполномоченными на то государственными органами в пределах их компетенции, может быть выдана только тогда, когда обязанность по ее раскрытию прямо установлена законом, и при условии, что Принимающая сторона предварительно уведомит Раскрывающую сторону о поступившем запросе, который должен быть оформлен в соответствии с действующим законодательством РФ.

Уведомление о запросе должно быть представлено Раскрывающей стороне в письменном виде и содержать указание на положение закона, в силу которого Принимающая сторона обязана представить информацию, а также все необходимые характеристики затребованной информации.

2.2. Конфиденциальная информация, подлежащая раскрытию Принимающей стороне в соответствии и на условиях, определенных настоящим Соглашением, может быть раскрыта уполномоченным сотрудникам Принимающей стороны на основании списков, подписанных руководителем Принимающей стороны.

2.3. Для защиты Конфиденциальной информации Принимающая сторона должна принимать меры предосторожности, определенные настоящим Соглашением, обычно используемые для защиты такого рода информации в существующем деловом обороте. Однако если в организации Принимающей стороны используются меры защиты информации, обеспечивающие уровень ее защиты выше, чем тот, который является обычным для сложившихся условий делового оборота, то, соответственно, Принимающая сторона обязана использовать в отношении защиты Конфиденциальной информации, обычно используемые ей меры защиты.

2.4. При условии выполнения требований п. 2.3. настоящей статьи Соглашения Принимающая сторона не должна нести ответственность за раскрытие Конфиденциальной информации в следующих случаях:

а) если раскрытие Конфиденциальной информации произошло при наличии предварительного согласия Раскрывающей стороны, оформленного в письменном виде;

б) если раскрытие Конфиденциальной информации произошло в соответствии с актом государственного (включая местного) органа власти или суда с учетом положений п.2.1 настоящего соглашения.

2.4.1. Принимающая сторона обязана незамедлительно сообщить Раскрывающей стороне о допущенном Принимающей стороной, либо ставшем ей известном факте разглашения или угрозы разглашения, незаконном получении или незаконном использовании конфиденциальной информации третьими лицами.

2.5. Каждая Сторона настоящего Соглашения безусловно и окончательно гарантирует, что действуя в качестве Принимающей стороны, она, в соответствии с условиями Соглашения, будет:

а) раскрывать любым физическим и юридическим лицам Конфиденциальную информацию только на условиях, определенных в п. п. 2.1, 2.2 настоящего соглашения;

б) снимать с любых материальных носителей, на которых хранится представленная ей Конфиденциальная информация, только такое количество копий, которое обусловлено необходимостью надлежащего исполнения своих договорных обязательств перед другой Стороной по настоящему Соглашению.

2.6. Все материальные носители, на которых записана Конфиденциальная информация, представленные Принимающей стороне в соответствии с настоящим Соглашением, а также любые снятые с них копии являются собственностью Раскрывающей стороны, и подлежат возврату и/или уничтожению Принимающей стороной в соответствии с указаниями Раскрывающей стороны. В случае если Конфиденциальная информация копируется на принадлежащие Принимающей стороне материальные носители, то у Раскрывающей стороны остается право дать Принимающей стороне указание об удалении с этих материальных носителей Конфиденциальной информации, или об уничтожении данных материальных носителей, если удаление с них Конфиденциальной информации невозможно.

Статья 3.

3.1. Стороны несут ответственность за действия всех своих сотрудников, приведшие к разглашению Конфиденциальной информации любой третьей стороне.

В случае разглашения Конфиденциальной информации третьим лицам Принимающей стороной без получения письменного разрешения на такое разглашение Принимающая сторона обязана возместить Раскрывающей стороне причиненные убытки в полном объеме.

Статья 4.

4.1. Раскрывающая сторона вправе осуществлять контроль обеспечения Принимающей стороной сохранности переданной ей Конфиденциальной информации, используя для этого способы, не противоречащие законодательству Российской Федерации.

Статья 5.

5.1. По обоснованной письменной просьбе Принимающей стороны и в случае, если это не противоречит законодательству и иным нормативным актам Российской Федерации, Раскрывающая сторона может оказать содействие в получении Принимающей стороной необходимых лицензий, разрешений и согласований, требуемых в соответствии с действующим законодательством и иными нормативными актами Российской Федерации.

Статья 6.

6.1. Настоящий документ представляет собой целое Соглашение, заключенное между

Сторонами в отношении обмена и защиты Конфиденциальной информации.

6.2. Поправки и изменения в настоящее Соглашения могут быть внесены только на основании письменного дополнительного соглашения, подписанного должным образом полномочными на то представителями Сторон.

Статья 7.

7.1. Стороны обязуются добросовестно мирным путем разрешать все претензии, споры, противоречия или разногласия, которые могут возникнуть между ними в отношении или в связи с неисполнением, нарушением, прекращением или недействительностью данного Соглашения, однако, если Стороны окажутся не в состоянии достичь согласия, то все претензии, споры, противоречия и разногласия подлежат урегулированию в Арбитражном суде Самарской области.

Статья 8.

8.1. Настоящее Соглашение о неразглашении Конфиденциальной информации не предусматривает какое-либо предоставление прав интеллектуальной собственности, включая авторские права, товарные знаки, а также право на изготовление, заказа на изготовление, использование или продажу Конфиденциальной информации.

Статья 9.

9.1. Передача конфиденциальной корреспонденции (в т. ч. со сведениями, содержащими коммерческую тайну) на бумажных и машинных носителях (дискетах, компакт-дисках и т. п. носителях) осуществляется любым из следующих способов:

9.1.1. Пересылка заказной почтой в порядке, установленном у Раскрывающей и Принимающей Сторонах соответственно.

9.1.2. Через курьеров Сторон.

9.2. Пересылка между Сторонами корреспонденции в электронном виде, (за исключением конфиденциальной информации, в т. ч. сведений, содержащих коммерческую тайну), предусмотренной заключенным между Сторонами контрактом, может осуществляться средствами электронной почты, по взаимному согласованию сторон.

9.3. Пересылка между Принимающей стороной и третьими лицами информации, касающейся предмета контракта, в электронном виде может осуществляться при письменном согласовании с Раскрывающей стороной.

9.4. Пересылка корреспонденции со сведениями, содержащими коммерческую тайну, с использованием средств электронной почты и/или факсимильной связи допускается только по защищенным сертифицированными криптографическими средствами защиты информации каналам связи или в рамках корпоративной компьютерной сети Раскрывающей стороны.

9.5. Каждая Сторона гарантирует отсутствие компьютерных вирусов на передаваемых машинных носителях (дискетах, компакт-дисках и т. п. носителях), в отправляемых в электронном виде документах и рабочих материалах, в сообщениях электронной почты (в т. ч. во вложенных файлах).

9.6. В случае, когда подлежащие передаче документы на бумажных и машинных носителях содержат коммерческую тайну, обязательно проставление на них соответствующего ограничительного грифа с указанием обладателя информации и его местонахождения (адреса).

Принимающая сторона: ___________________ / /

Раскрывающая сторона: Ректор ________________

V. ТЕХНИЧЕСКАЯ ЧАСТЬ ДОКУМЕНТАЦИИ ОБ АУКЦИОНЕ

Техническое задание на поставку товаров, ВЫПОЛНЕНИЕ РАБОТ, ОКАЗАНИЕ УСЛУГ

Оказание услуг по проведению предпроектного обследования информационных систем персональных данных.

Срок оказания услуг: в течение 48-ми рабочих дней после заключения государственного контракта.

Источник финансирования: бюджетные средства.

Условия оплаты: без предоплаты, оплата производится в течение 180-ти календарных дней после подписания акта сдачи-приемки услуг.

Начальная (максимальная) цена контракта: 370 000 (Триста семьдесят тысяч) рублей 00 копеек.

Обеспечение заявки: составляет 0,5% от начальной (максимальной) цены государственного контракта, НДС не облагается, что в рублевом эквиваленте составляет 1 850 (Одна тысяча восемьсот пятьдесят) рублей 00 копеек.

Обеспечение исполнения контракта: не требуется.

Место оказания услуг: г. Самара , пр. К. Маркса 165Б, , , ул. Гагарина, д. 18А, ул. Первомайская, д. 18, ул. Советской Армии, д. 149, ул. Блюхера, д. 25, ул. Волжская, д. 49, ул. Свободы, д. 2А, ул. Лукачева, д. 45, ул. Желябова, д. 25, к. 234, ул. ; 227, ул. , ул. ;16а;18;18а;20, ул. , ул.

Спецификация.

Основания для разработки:

1.  Федеральный закон от 01.01.01 г. «Об информации, информационных технологиях и защите информации».

2.  Федеральный закон от 01.01.01 г. «О персональных данных».

3.  Указ Президента Российской Федерации от 6 марта 1997 г. № 000 «Об утверждении Перечня сведений конфиденциального характера».

4.  Постановление Правительства Российской Федерации от 01.01.01 г. № 000 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

5.  Постановление Правительства Российской Федерации от 01.01.01 г. № 000 «О лицензировании деятельности по технической защите конфиденциальной информации».

6.  Положение по аттестации объектов информатизации по требованиям безопасности информации, утвержденное председателем Гостехкомиссии России 25 ноября 1994 г.

7.  Порядок проведения классификации информационных систем персональных данных. Утвержден приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 01.01.01 г. № 55/86/20

8.  Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Утверждена Заместителем директора ФСТЭК России 15 февраля 2008 г.

9.  Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Утверждены Заместителем директора ФСТЭК России 15 февраля 2008 г.

10.  Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных. Утверждены Заместителем директора ФСТЭК России 15 февраля 2008 г.

11.  РД «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия не декларированных возможностей». Гостехкомиссия России. 1999 г.

12.  РД «Защита от несанкционированного доступа к информации. Термины и определения». Гостехкомиссия России. 1992 г.

13.  РД «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации». Гостехкомиссия России. 1992 г.

14.  РД 50-34.698-90. РД по стандартизации. «Автоматизированные системы. Требования к содержанию документов».

15.  ГОСТ Р «Защита информации. Основные термины и определения».

16.  ГОСТ «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении».

17.  ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном исполнении».

Используемые сокращения:

ПДн - персональные данные

ИСПДн – информационная система персональных данных

СЗПДн - средства защиты персональных данных

СУБД –система управления базами данных

НСД – несанкционированный доступ

КЗ – контролируемая зона

СЗИ – средства защиты информации

Компоненты ИСПДн ГОУ ВПО СамГМУ Минздравсоцразвития России размещены на следующих объектах информатизации:

1.  г. Самара (Главный корпус)

2.  г. Самара пр. К. Маркса 165Б (Клиники)

3. Здравпункты ВУЗов:

3.1 67 (Самарская государственная академия культуры и искусств)

3.2 94 (Самарский государственный архитектурно-строительный университет)

3.3 3 (Поволжский государственный университет телекоммуникаций и информатики)

3.4 А (Самарский государственный медицинский университет)

3.5 (Самарский государственный технический университет)

3.6 (Самарский государственный экономический университет)

3.7 (Самарский государственный педагогический университет)

3.8 (Самарский государственный университет)

3.9 А (Самарский государственный университет путей сообщений)

3.10 (Самарский государственный аэрокосмический университет)

3.11 , к. 234 (Международный институт рынка)

4. Корпуса и общежития

4.1 г. Самара ул. ; 227

4.2 г. Самара ул.

4.3 г. Самара ул. ;16а;18;18а;20

4.4 г. Самара ул.

4.5 г. Самара ул.

Состав работ:

В состав работ входят:

•  обследование информационных систем;

•  разработка рекомендаций по выполнению Заказчиком требований законодательства РФ к порядку обработки и защиты ПДн, а также по системе защиты персональных данных

•  разработка организационных мер и нормативных документов по обеспечению защиты ПДн;

•  разработка ТЗ

1)  Работы по обследованию организационных аспектов существующих ИСПДн включают в себя:

•  определение границ обследования;

•  определение категорий ПДн и категорий субъектов ПДн;

•  определение целей обработки ПДн;

•  установление правовых оснований обработки;

•  установление необходимости обработки ПДн в каждой из ИСПДн;

•  определение соответствия целей обработки, способов обработки принципам обработки;

•  установление достаточности или избыточности ПДн для целей обработки;

•  определение срока, в течение которого производится обработка ПДн (в том числе и их хранение);

•  определение перечня действий с ПДн, которые производятся в ходе их обработки; •определение используемых оператором способов обработки ПДн;

•  изучение имевших место инцидентов информационной безопасности, связанных с ПДн;

•  изучение существующих организационных мер обеспечения безопасности ПДн;

•  определение наличия на предприятии документов, регламентирующих организацию и осуществление работ по защите информации (концепции, положения, руководства, приказы, стандарты, регламенты, инструкции и др.);

•  уточнение структуры подразделений предприятия, участвующих в организации и осуществлении работ по защите информации (лиц ответственных за безопасность информации);

•  уточнение организации учета носителей защищаемой информации

•  анализ документации Заказчика, регламентирующей обработку ПДн

2)  Работы по обследованию технических аспектов существующих ИСПДн включают в себя:

•определение перечня (состава) ПДн, обрабатываемых в ИСПДн;

•определение исходных данных для классификации ИСПДн;

•определение состава и структуры защищаемых ИСПДн. В том числе:

■  определение количества автоматизированных рабочих мест (АРМ), серверов и коммутационного оборудования, участвующего (либо планируемого к внедрению) в процессе обработки информации;

■  выявление наличия взаимодействия ИСПДн с другими ИСПДн (включая взаимодействие по каналам, выходящим за пределы КЗ и сетью «Интернет»);

■  сбор данных о структуре общесистемного и прикладного программного обеспечения ИСПДн (включая СУБД и средства модификации объектного кода программ) с указанием сертификатов ФСТЭК России и/или ФСБ России (при их наличии);

■  сбор данных о составе и структуре СЗПДн (применяемые СЗИ: средства защиты от НСД, антивирусные средства, межсетевые экраны, средства обнаружения вторжений, криптографические средства и др. с указанием сертификатов ФСТЭК России и/или ФСБ России (при их наличии))

3)  Работы по обследованию объектов Заказчика, на которых осуществляется обработка ПДн, включают в себя:

•определение конфигурации и топологии ИСПДн в целом и их отдельных компонент, физических, функциональных и технологических связей как внутри системы, так и с другими системами различного уровня и назначения;

•сбор сведений о наличии физической охраны технических средств ИСПДн (собственная Служба безопасности, ЧОП, ВОХР ОВО МВД и т. п.), применении технических средств охраны (охранно-пожарная сигнализация, СКУД, видеонаблюдение и др.), а также режиме охраны (круглосуточно, только в нерабочее время и т. п.);

4)  Разработка рекомендаций по выполнению Заказчиком требований законодательства РФ к порядку обработки и защиты персональных данных, а также по системе защиты персональных данных

В рамках данного этапа сделать анализ результатов проведенного обследования и выработать рекомендации Заказчику по устранению выявленных несоответствий в порядке обработки и защиты ПДн, а также в существующей системе защиты ПДн.

5)  Разработка организационных мер и нормативных документов по обеспечению защиты ПДн и внедрение их в ИСПДн

Данный этап включает в себя разработку организационных мер и внутренних нормативных документов по обеспечению защиты ПДн. В том числе:

-- разработка организационных мер по соблюдению требований законодательства РФ к обеспечению защиты ПДн;

-- разработка соответствующих требованиям законодательства РФ и отвечающих специфике деятельности Заказчика проектов внутренних локальных нормативных актов, форм, шаблонов и других документов, необходимых при организации процессов обработки и обеспечения безопасности ПДн;

-- разработка проектов приказов и распоряжений по реализации разработанных организационных мер по защите ПДн.

Результаты работы, проведенной в рамках данного этапа, должны быть отражены в следующих документах:

■  уведомление об обработке персональных данных (проект);

■  положение о порядке обработки персональных данных;

■  положение о подразделении, осуществляющем функции по организации защиты персональных данных;

■  должностные регламенты лиц, имеющих доступ и (или) осуществляющих обработку персональных данных;

■  план мероприятий по защите персональных данных;

■  приказ о назначении ответственных лиц по работе с персональными данными;

■  типовые формы документов, предполагающие или допускающие содержание персональных данных (раздел о конфиденциальности в трудовой договор, договор подряда);

■  согласие субъектов персональных данных на обработку их персональных данных, на получение персональных данных от третьих лиц, на передачу персональных данных третьим лицам (типовая форма);

■  дополнения в гражданско-правовые договоры, в соответствии с которыми ПДн передаются третьим лицам для обработки

■  приказ о создании комиссии и акты проведения классификации информационных систем персональных данных;

■  регламент по работе с обращениями субъектов персональных данных;

■  журналы (книги) учета обращений субъектов персональных данных;

акт об уничтожении персональных данных субъекта (ов) персональных данных (в случае достижения цели обработки).

По завершении предпроектной стадии Заказчик получает следующие документы:

-  отчет об обследовании организации и технического обеспечения обработки ПДн в ИСПДн оператора, содержащий анализ правовых аспектов обработки и защиты ПДн,

-  перечень организационных и технических мер по защите ПДн, перечень необходимой внутренней нормативной документации в соответствие с требованиями законодательства РФ, перечень мероприятий по созданию СЗПДн,

-  перечень имеющихся средств технической защиты информации, которые могут быть использованы для обеспечения безопасности ПДн;

-  анализ соответствия применяемых мер и средств защиты требованиям законодательных и нормативных правовых актов РФ, предъявляемым к обеспечению защиты ПДн;

-  акты классификации для каждой ИСПДн;

-  частные модели угроз безопасности ПДн в ИСПДн;

-  проекты локальных организационно-распорядительных документов оператора, регламентирующих защиту ПДн.

6)  Разработка технического задания (ТЗ) на создание СЗДн

ТЗ разрабатывается в соответствии с требованиями государственного стандарта на создание автоматизированных систем ГОСТ № 34.602-89 и с учетом методических рекомендаций ФСТЭК России и ФСБ РФ.

На этой стадии осуществляется разработка, оформление, согласование и утверждение ТЗ на создание СЗПДн. Помимо перечня требований в техническом задании также указывается перечень мероприятий по обеспечению соблюдения этих требований в ИСПДн, перечень сертифицированных СЗИ, предполагаемых к использованию в ИСПДн, отражается состав, содержание и сроки проведения работ по этапам разработки и внедрения СЗПДн, а также прочие требования, необходимость которых определяется по итогам проведения обследования.

ТЗ разрабатывается в соответствии с требованиями государственного стандарта на создание автоматизированных систем ГОСТ № 34.602-89 и с учетом методических рекомендаций ФСТЭК России и ФСБ РФ.

Сроки проведения предпроектного обследования (график выполнения работ).

№ п/п	Стадии и этапы выполнения работ	Длительность работ, раб. дн.	Результат
1.1	Предпроектное обследование	12	-обследование информационных систем оператора с целью выявления и оценки фактов: обработки ПДн в этих системах; необходимости обработки; целей обработки; правовых оснований обработки; соответствия целей, способов обработки принципам обработки; достаточности или избыточности ПДн для целей обработки; мест и путей ввода ПДн; маршрутизации информационных потоков; хранения и уничтожения ПДн; порядка и законности передачи третьим лицам в рамках существующих управленческих процессов; -  выявление сегментов ИСПДн, обеспечивающих функционирование управленческих процессов в организации. Определение границ сегментов, выявление мест и форматов хранения ПДн, а также изучение существующего порядка их обработки и защиты в этих сегментах; -  классификация ИСПДн; -  разработка частных моделей угроз для каждой ИСПДн; - разработка организационных мер и нормативных документов по обеспечению защиты ПДн и их внедрение в ИСПДн предприятия; -- оценка приемлемости результатов обследования с точки зрения расходов на создание системы защиты и выработка решений по понижению класса системы
1.2	Разработка рекомендаций	13	- анализ результатов проведенного обследования и выработаны рекомендации Заказчику по устранению выявленных несоответствий в порядке обработки и защиты ПДн, а также в существующей системе защиты ПДн
1.3	Разработка организационных мер и нормативных документов по обеспечению безопасности ПДн	10	- разработка организационных мер по соблюдению требований законодательства РФ к обеспечению защиты ПДн; - разработка соответствующих требованиям законодательства РФ и отвечающих специфике деятельности Заказчика проектов внутренних локальных нормативных актов, форм, шаблонов и других документов, необходимых при организации процессов обработки и обеспечения безопасности ПДн; - разработка проектов приказов и распоряжений по реализации разработанных организационных мер по защите ПДн
1.4	Разработка технического задания на создание СЗПДн	13	- разработка, оформление, согласование и утверждение ТЗ на создание СЗПДн