2.3.6. Требования об обеспечении защиты информации в ходе эксплуатации/выводе из эксплуатации СКПП

В соответствии с законодательством Российской Федерации в области обеспечения безопасности информационных систем, оператор СКПП обязан организовать надлежащую защиту обрабатываемой в СКПП информации на протяжении всего жизненного цикла СКПП.

На этапе эксплуатации СКПП оператор должен выполнять следующие мероприятия:

- обеспечивать функционирование системы защиты информации СКПП в соответствии с эксплуатационной документацией;

- регулярно анализировать угрозы информационной безопасности и выполнять мероприятия по устранению уязвимостей;

- контролировать эффективность мер защиты информации;

- проводить мероприятия, по периодической оценке, уровня защищенности не реже одного раза в полгода;

- проводить мероприятия по практической отработке действий сотрудников структурного подразделения, обеспечивающего информационную безопасность СКПП по реагированию на компьютерные инциденты, атаки и вторжения не реже, чем раз в 3 месяца, при участии не менее 80% сотрудников структурного подразделения "АО "ГЛОНАСС", обеспечивающего информационную безопасность.

Для обеспечения надлежащего уровня информационной безопасности СКПП необходимо регулярно проводить мероприятия по оценке их класса защищенности. Эти мероприятия включают в себя комплекс организационных и технических мер, направленных на выявление потенциальных уязвимостей, оценку рисков и определение соответствия СКПП установленным требованиям безопасности.

В целях своевременного выявления изменений в конфигурации СКПП, появление новых угроз и уязвимостей, а также контроля эффективности применяемых мер защиты периодичность проведения мероприятий по оценке уровня защищенности СКПП должна составлять не менее одного раза в шесть месяцев.

В целях обеспечения эффективной защиты информации в СКПП в процессе ее эксплуатации необходимо регулярно проводить практическую отработку действий сотрудников структурного подразделения АО "ГЛОНАСС", ответственного за информационную безопасность СКПП. Эти мероприятия должны быть направлены на отработку навыков своевременного обнаружения, анализа и реагирования на потенциальные компьютерные инциденты, атаки и попытки несанкционированного доступа к ресурсам СКПП.

При подготовке СКПП к выводу из эксплуатации или принятии решения о прекращении обработки информации оператор обязан обеспечить:

- комплексное завершение обработки и передачи информации в соответствии с установленным порядком;

- выполнение процедур по обеспечению информационной безопасности в условиях прекращения функционирования СКПП;

- физическое уничтожение носителей информации в случае необходимости.