Ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі регламент (стр. 4 )

36.  Қолжетімділік субъектісін тіркеу кезінде (сәйкестендіргіш пен есепке алу жазбасын жасау) әкімші міндетті түрде пайдаланушының барлық іс-әрекеттерінің жазбасын (кіру, шығу, іске асырылатын әрекеттерді тіркеу) және басқаларын қосады. Пайдаланушының әрекеттері туралы ақпарат ақпараттық қауіпсіздіктің құрылымдық бөлімшесінің сейфінде сыртқы тасығыштарда 1 жылдың ішінде сақталуы тиіс.

37.  Есепке алу жазбасының деактивациясы ұйым басшысы қол қойған өтінім, қызметкер жұмыстан босатылған кезде ұсынылған кету қағазы негізінде жүзеге асырылады. Жұмыстан босатылған қызметкер құрастырған ақпарат аталған Ұйым үшін қолжетімді болып қалады. Субъекті жұмыс орнын ауыстырған жағдайда есептік деректер жойылмайды, қайта берілген сұранысқа сәйкес рөлдерді алмастыру жүргізіледі.

38.  Жұмыстан босатылған пайдаланушы әзірлеген ақпарат осы ұйым үшін қолжетімді болып қалады. Ұйымдағы қолжетімділік субъектісі жұмысын ауыстырған жағдайда есепке алу деректері жойылмайды, жаңа берілген өтінімге сәйкес рөлдерді ауыстыру жүзеге асырылады.

39.  Қолжетімділік субъектілеріне құпиялы ақпараттық ресурстарға қолжетімділікті әкімші береді. Қолжетімділік субъектісіне қол қою арқылы сәйкестендіргіш, субъект жүйеге алғаш кірген кезде өзгертілуі тиісті уақытша пароль беріледі. Электрондық денсаулық сақтаудың ақпараттық жүйелеріне қолжетімділікті беру «Пайдаланушыларды тіркеу және парольдерді беру журналы» журналында тіркеледі (3-қосымша).

40.  Әкімші:

апаттық жағдайларда, парольдік-кілттік ақпарат рұқсатсыз бұзызған жағдайда және ұйым басшысының тапсырмасы бойынша ақпараттық қызмет көрсетуді тоқтатуға;

ақпаратты және құпия ақпаратты өңдеу технологиясы жөніндегі талаптардың орындалуына бақылау жүргізуге;

сыртқы тасымалдағыштарға (USB, СD дискілер) құпия ақпаратты көшіруге және экранның көшірмесін (Print Screen) алуға тыйым салуды қамтамасыз ету үшін қолжетімділік субъектілерінің жұмыс станцияларында теңшеу жұмыстарын жүзеге асыруға құқылы.

40.  Пайдаланушылар ақпараттық қызметтерді, құпия ақпаратқа қолжетімділік пен құпия ақпаратты өңдеу талаптары мен қағидалары туралы ақпаратты сұратуға құқылы.

41.  Электрондық денсаулық сақтаудың ақпараттық жүйелеріне және басқа жақтық, сондай-ақ жеке медициналық ұйымдардың ақпараттық жүйелеріне қолжетімділік құқығын беру қажеттілік пайда болған жағдайда «Жеке медициналық ұйымдарға және басқа жақтық ақпараттық жүйелерге ҚР ДСМ ақпараттық ресурстарына қолжетімділік құқықтарын беру туралы» қосымша әзірленген регламентте қарастырылады және регламенттеледі.

5.  Парольдік аудентификациялауға қойылатын талаптар

42.  Құпия ақпаратты өңдеуші электрондық денсаулық сақтаудың ақпараттық жүйелеріне кіру паролін ойлап табу, пайдалану, ауыстыру және әрекетін тоқтату үдерістерін ұйымдастырушылық және техникалық қамтамасыз ету және субъектілердің іс-әрекеттерін бақылау әкімшіге жүктеледі.

43.  Субъектінің уақытша парольдерді ойлап табуы және қолданыстағы парольді өзгертуі мынадай талаптарға сәйкес келуі тиіс:

парольдің ұзындығы – кем дегенде 8 таңба;

парольдік таңбалардың ішінде міндетті түрде жоғарғы және төменгі тіркелімдердегі әріптер, сандар мен арнайы белгілер (@, #, $, &, *, % және т. б.) болуы тиісті;

парольдің құрамында жеңіл анықталатын таңбалар тіркестері (аттар, тектер, АРМ атаулары және басқалары), сондай-ақ көпшілік мақұлдаған қысқартулар (ЭЕМ, ЖЕЖ, USER және басқалары) қолданылмауы тиіс;

парольді ауыстыру кезінде жаңа мағына бұрынғы мағынадан кем дегенде 6 позицияда ерекшеленуі тиіс;

субъекті басқа субъектіге парольді жарияламауға тиіс.

44.  Парольдердің иелері жоғарыда аталған талаптармен таныстырылуы және осы талаптарға сәйкес келмейтін парольдерді қолданғаны үшін, сондай-ақ парольдік-кілттік ақпаратты таратқаны үшін жауапкершілікке тартылатындығы жөнінде ескертілуі тиіс.

45.  Технологиялық қажеттілік, штаттан тыс, форс-мажорлық жағдайлар және осыған ұқсас басқа жағдайлар туындағанда қызметкерлер жұмыста болмаса да, олардың сәйкестендіргіштері мен парольдерін пайдалануға рұқсат беріледі; сәйкестендіргіштер мен парольдер ұйым басшысының нұсқауы бойынша ұсынылады (жауапты тұлғаларға). Қызметкер өз міндеттерін қайта орындай бастаған кезде пароль жоғарыда сипатталған рәсімге сәйкес өзгертіледі. Қызметкер әкімшіден ол жұмыста болмаған кезде оның атынан жасалған іс-әрекеттердің толық тізімін сұратуға құқылы.

46.  Субъектілердің парольдерін жоспар бойынша толығымен ауыстыру айына кемінде бір рет жүзеге асырылуы тиіс. Субъектінің парольдерін немесе есепке алу жазбасын жоспардан тыс ауыстыру оның өкілеттігі аяқталған (қолжетімділік пен қолжетімділік құқықтарын ауыстыру жүзеге асырылатын жұмыстан босатылу, басқа лауазымға, құрылымдық бөлімшеге ауыстырылу) немесе пароль баршаға мәлім болған жағдайда жүзеге асырылады. Барлық субъектілердің парольдерін жоспардан тыс алмастыру әкімшінің құзыреті аяқталған жағдайда жүзеге асырылуы тиіс.

47.  Қызметкерге өзінің парольдері (баспа түрінде) мен дербес сәйкестендіргіштерін тек мөрленген конвертте (4-қосымша) ақпараттық жүйелерді әкімшілендірудің құрылымдық бөлімшесі сейфінде сақтауға рұқсат етіледі.

6.  Ақпаратты өңдеуге қойылатын талаптар

48.  Құпия ақпаратты баспа құжаттарынан және басқа көздерден енгізуді тек құпия ақпаратпен жұмыс істеуге қолжетімділігі бар қызметкерлер ғана құпия ақпаратты өңдеуге арналған автоматтандырылған жұмыс орындарында іске асыруы тиіс. Сондай-ақ бірнеше құпиялы ақпараттық ресурстардан ақпаратты біріктіру (агрегирлеу) арқылы құпия ақпаратты әзірлеу енгізу болып табылады және тіркеуге жатады.

49.  Құпиялы ақпараттық ресурстар осы мақсатта бөлінген серверлер мен жүйелерде, сыртқы ақпараттық тасығыштарда сақталуы тиіс. Құпиялы ақпараттық ресурстардың резервтік көшірмелерін жасау кезінде пайдаланылатын ақпарат тасығыштары негізгі көшірмелер сияқты сақталуы тиіс. Құпиялы ақпараттық ресурстар Қазақтан Республикасының қолданыстағы заңнамасына сәйкес айқындалатын мерзімде сақталады. Құпиялы ақпараттық ресурстардан тұратын ақпарат тасығыштары осы мақсатта арнайы бөлінген сейфте сақталады.

50.  Ақпараттық қауіпсіздік талаптарына сәйкес деректер мен құпия ақпаратты (оның ішінде дербес деректер) ДҚ-ға кіру рұқсаты бар адамдар (ДҚ әкімшілері, хакерлер мен басқалары) осы деректерді оқи алмайтындай құпияланған түрде сақтау қажет. Деректер пайдаланушының қолжетімділік құқығы тексерілгеннен кейін ғана қосымша арқылы көрсетілуі тиіс. Электрондық денсаулық сақтаудың ақпараттық жүйелерінде дерек қорларды шифрлау жүйелердің өнімділігіне айтарлықтай әсер ете алатындығын ескере отырып, медициналық ақпарат субъектісін анықтауға болатын деректердің бір бөлігі шифрланады.

51.  Құпия ақпарат берілетін, сондай-ақ электрондық денсаулық сақтаудың ақпараттық жүйелерінде субъектілердің жұмысы жүргізілетін деректерді беру арналары шифрлануы тиіс. Барлық байланыс арналары үшін VPN туннелдерін қолдану қажет. Қазақстан Республикасы Денсаулық сақтау министрлігіне ведомстволық бағыныстағы ұйым VPN туннелдерін құру және қолдауды жүзеге асырады. Электрондық денсаулық сақтаудың ақпараттық жүйелерінің порталдары үшін ақпаратты беру міндетті түрде HTTPS хаттамасын қолдану арқылы жүзеге асырылуы тиіс, аталған шаралар ақпараттық қауіпсіздік талаптарын толықтай қанағаттандырады және трафикті ұстап қалудан қорғайды.