г. Город

       

АКТ ПРОВЕРКИ

__ФСБ России по __________ области

__________________________________

(наименование учреждения)

№ ____________ от «  » _______ 2012 года

«  » _______ 2012 года по адресу:

На основании:

Наименование вида документа, №, дата документа, ФИО, должность лица, подписавшего документ

Была проведена проверка в отношении:

Наименование учреждения

ИНН ___________

Продолжительность проверки: 00.00.2012 – 00.00.2012 (10 рабочих дней) Правовые основания проведения проверки:

    Постановление Правительства Российской Федерации от 01.01.01 года № 000 «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (далее - постановление Правительства № 000); Приказ ФСТЭК России,-ФСБ России, Мининформсвязи России от 01.01.01 года № 55/86/20 «Порядок проведения классификации информационных систем персональных данных»; Приказ ФСБ России от 9 февраля 2005 года № 66 «Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средства защиты информации (Положение ПКЗ-2005)»; Приказ ФСБ России от 01.01.01 года № 000/6/6-622 «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащих сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных» (далее - Типовые требования); Приказ ФСБ России от 01.01.01 года № 000/5-144 «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации» (далее Методические рекомендации).

Акт составлен: комиссией Наименование проверяющего органа.

НЕ нашли? Не то? Что вы ищете?

С копией распоряжения/приказа о проведении проверки ознакомлен(а):

Наименование должности 

«  » ______ 2012 года

Вид проверки: плановая

Форма проверки: выездная

Проверку провел:

Наименование должности                                

При проведении проверки присутствовал:

Наименование должности                

В ходе проведения проверки и согласно предоставленным начальником отдела программно-технического обеспечения Учреждения сведениям установлено следующее:

В Учреждении используется информационная система персональных данных с применением средств криптографической защиты информации (СКЗИ) «База данных граждан и сотрудников». Данная ИСПДн предназначена для передачи информации в системе:

- наименование систем

В Учреждении разработаны и утверждены руководителем 00.00.0000 «Модель угроз информационной системы персональных данных База данных граждан и сотрудников», «Техническое задание на создание системы защиты для информационной системы персональных данных База данных граждан и сотрудников», а также проведена классификация информационной системы персональных данных по результатам которой оформлен и утвержден «Акт классификации информационной системы персональных данных База данных граждан и сотрудников».

Приказом исполняющего обязанности Учреждения №, дата документа функции по организации криптографической защиты при обеспечении функционирования и безопасности применения криптографических средств в соответствии с требованиями правил пользования, эксплуатационной и технической документации ответственным Пользователем за эксплуатацию и техническое обслуживание СКЗИ, а также ведение поэкземплярного учета и документации назначен начальник программно-технического обеспечения Учреждения, функции и обязанности по организации криптографической защиты при обеспечении функционирования и безопасности  применения  криптографических  средств  в  соответствии  с требованиями  правил  пользования,  эксплуатационной  и  технической документацией,  а  также  по  ведению  поэкземплярного  учета  ключевых документов возложены на ответственного Пользователя - начальника общего отдела Учреждения, .

Приказом начальника Учреждения №, дата приказа «О назначении ответственных лиц и прав пользователей при обмене электронными документами» утвержден перечень Пользователей СКЗИ. Должностной регламент по работе с СКЗИ отражен в «Инструкции по организации и обеспечению безопасности эксплуатации шифровальных (криптографических) средств в ИСПДн Учреждении, а также в функциональных обязанностях ответственных Пользователей СКЗИ. Ответственные Пользователи СКЗИ и пользователи СКЗИ в Учреждении ознакомлены с внутренними положениями, инструкциями в области защиты информации, документами по организации и обеспечению безопасности эксплуатации средств криптографической защиты информации, отметки об ознакомлении произведены.

Для защиты информации Учреждение использует СКЗИ:

    «Крипто-Про CSP 3.0», сертифицированные ФСБ России. В наличии лицензия на использование программного продукта, программное обеспечение, формуляр, эксплуатационная и техническая документация; СКЗИ «VipNet Координатор», «VipNet Клиент», сертифицированные ФСБ России. В наличии лицензия на использование программного продукта, программное обеспечение, формуляр, эксплуатационная и техническая документация;
    СКЗИ «Верба» сертифицированные ФСБ России; СКЗИ «Бикрипт-КСБ-С» сертифицированные ФСБ России. Произведена проверка готовности СКЗИ «КриптоПРО CSP 3.0», «VipNet

Координатор», «VipNet Клиент» к использованию, о чем составлено и утверждено установленным порядком соответствующие заключение о возможности эксплуатации СКЗИ.

Порядок ввода в эксплуатацию и учета СКЗИ определяется «Инструкцией по организации и обеспечению безопасности эксплуатации шифровальных (криптографических) средств в ИСПДн Учреждения». Ответственными пользователями СКЗИ ведется поэкземплярный учет СКЗИ, ключевых документов, эксплуатационной, технической документации к ним в «Журнале поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов».

Для эксплуатации СКЗИ, а также для хранения ключевых документов, криптографических средств, эксплуатационной и технической документации к ним приказом директора №, дата приказа «О выделении режимных помещений» выделены помещения №№ 000, 206, 207, 209, 214, 216 определен перечень лиц, имеющих право доступа в помещение. Помещение оборудовано охранной  сигнализацией.  Для  хранения  ключевых  документов,  СКЗИ, эксплуатационной и технической документации к ним имеются металлические сейфы.

Контроль соблюдения условий использования СКЗИ, предусмотренных эксплуатационной и технической документации к ним, возложен на начальника отдела программно-технического обеспечения Учреждения .

Выявленные нарушения:

Нет проверки готовности СКЗИ «Верба», «Бикрипт-КСБ-С» к использованию с составлением заключений о возможности их эксплуатации - п. п «в-г», п. 12 постановления Правительства № 000, п. 2.3. Типовых требований; Отсутствуют заключения об обучении лиц, использующих СКЗИ «Верба», «Бикрипт-КСБ-С» - п. п. «д», п. 12, п. 19 постановления Правительства № 000, п. 2.3. Типовых требований; Используемое СКЗИ «Бикрипт-КСБ-С» не имеет регистрационного номера - п. 20 постановления Правительства № 000, п.3.3. Типовых требований; Отсутствует эксплуатационная, техническая документация к СКЗИ «Верба», «Бикрипт-КСБ-С» (формуляр) – п. п. «г» п.12, п.19 постановления Правительства № 000, п. 2.3., 2.10., 2.11. Типовых требований; Аппаратные средства, с которыми осуществляется функционирование СКЗИ «Верба», «Бикрипт-КСБ-С» не оборудованы средствами контроля - п. 3.9. Типовых требований; Пересылка и получение криптографических средств, эксплуатационной и технической документации к ним, ключевых документов осуществляются без сопроводительных писем - п.3.12. Типовых требований; Ключи от механических замков сейфов ответственных Пользователей СКЗИ, дверей режимных помещений, не учтены в соответствующих журналах учета - п. 4.5., 4.8. Типовых требований; Замочные скважины металлических сейфов для хранения СКЗИ, эксплуатационной и технической документации к ним, а также ключевых документов не оборудованы приспособлением для опечатывания - п. 4.8. Типовых требований; Не выполняются требования по порядку приема и сдачи под охрану режимных помещений - п. 4.9. Типовых требований;

Отдельные замечания комиссии были устранены в ходе проведения проверки.

ВЫВОД:

Организационные требования по обеспечению безопасности персональных данных при их обработке в информационной системе персональных данных «База данных граждан и сотрудников» с применением шифровальных (криптографических) средств в Учреждении выполняются с отдельными нарушениями требований нормативных документов.

С учетом изложенного комиссия предписывает устранить выявленные нарушения в срок до 00.00.2012 года.

Запись в Журнал учета проверок юридического лица, индивидуального предпринимателя, проводимых органами государственного контроля (надзора), органами муниципального контроля внес

       _____________

Проверку провел:        ___________

С актом проверки ознакомлен(а), экземпляр акта получил(а):

Наименование должности

«  » ___________ 2012 года  __________

Пометка об отказе ознакомления с актом проверки:                 _______________