X. Требования к защите информации, содержащейся в федеральной системе

37. Информация, содержащаяся в федеральной системе, подлежит защите в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации, законодательством Российской Федерации в области персональных данных, законодательством Российской Федерации о коммерческой тайне и об иной охраняемой законом тайне.

38. Федеральная система должна соответствовать следующим требованиям к информационной безопасности, предъявляемым к государственным информационным системам и информационным системам персональных данных:

а) для федеральной системы установлен первый класс защищенности в соответствии с требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными Федеральной службой по техническому и экспортному контролю в соответствии с частью 5 статьи 16 Федерального закона "Об информации, информационных технологиях и о защите информации";

б) для федеральной системы установлен 3-й уровень защищенности персональных данных в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

в) для федеральной системы установлена первая категория значимости объекта критической информационной инфраструктуры в соответствии с Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 "Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений".

39. Защита информации, содержащейся в федеральной системе, обеспечивается посредством применения организационных и технических мер защиты информации, а также осуществления контроля за эксплуатацией федеральной системы.

40. Для обеспечения защиты информации, содержащейся в федеральной системе, в ходе эксплуатации и развития федеральной системы оператором федеральной системы осуществляются:

а) формирование требований к защите информации, содержащейся в федеральной системе;

б) эксплуатация и при необходимости развитие подсистемы "обеспечение информационной безопасности", указанной в подпункте "ж" пункта 6 настоящего Положения, в целях защиты информации;

в) защита информации, содержащейся в подсистеме "интеграционное взаимодействие", указанной в подпункте "е" пункта 6 настоящего Положения;

г) применение сертифицированных средств защиты информации, содержащейся в федеральной системе (в том числе криптографических), а также аттестация федеральной системы по требованиям защиты информации в порядке, определенном в соответствии с частью 5 статьи 16 Федерального закона "Об информации, информационных технологиях и о защите информации" и требованиями к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации, утвержденными постановлением Правительства Российской Федерации от 6 июля 2015 г. N 676 "О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации";

д) защита информации, содержащейся в федеральной системе, при ее передаче по информационно-телекоммуникационным сетям;

е) обеспечение защиты информации, содержащейся в федеральной системе, в ходе эксплуатации федеральной системы;

ж) формирование требований для обеспечения защищенного подключения участников обязательной сертификации к федеральной системе.

41. В целях защиты информации, содержащейся в федеральной системе, оператор федеральной системы обеспечивает:

а) предотвращение несанкционированного доступа к информации, содержащейся в федеральной системе, и (или) передачи такой информации лицам, не имеющим права на доступ к этой информации;

б) незамедлительное обнаружение фактов несанкционированного доступа к федеральной системе;

в) проведение систематических работ по оценке угроз безопасности информации, содержащейся в федеральной системе, с последующей выработкой адекватных и эффективных мер по ее защите, включая разработку модели угроз безопасности информации;

г) недопущение несанкционированного воздействия, нарушающего функционирование входящих в состав федеральной системы технических и программных средств обработки информации;

д) возможность незамедлительного выявления фактов модификации, уничтожения или блокирования информации, содержащейся в федеральной системе, вследствие несанкционированного доступа и восстановления такой информации;

е) обеспечение осуществления непрерывного контроля за уровнем защищенности информации, содержащейся в федеральной системе;

ж) оперативное устранение выявленных ошибок программного обеспечения (уязвимости).