В соответствии с докладом об открытости государства в России, подготовленным Счетной палатой совместно с АНО «Информационная культура» и АНО «Центр перспективных управленческих решений», именно ГИС в России выступают агрегатором большинства собираемых и генерируемых государством данных. Например, Единая информационная система в сфере закупок (ЕИС) собирает данные о государственных и муниципальных контрактах; Единый государственный реестр объектов культурного наследия (ЕГРОКН) содержит информацию об объектах культуры на территории России; Федеральная информационная адресная система (ФИАС) – адреса и коды всех российских районов, населенных пунктов, улиц и т.д.
При этом наряду с открытой информацией в ГИС может обрабатываться информация ограниченного доступа. В соответствии с Федеральным законом Российской Федерации от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также с учетом национальных стандартов Российской Федерации в области защиты информации и в области создания автоматизированных систем и принятыми в соответствии с ним нормативными правовыми актами, определены требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию в целях ее добывания, уничтожения, искажения или блокирования доступа к ней при обработке указанной информации в государственных информационных системах.
Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.
Для реализации требований 149-Ф3, приказа ФСТЭК России от 11 февраля 2013 г. N 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» и прочих нормативно-правовых актов в данной области, мы предлагаем проведение следующих необходимых работ:
- обследование (анализ) текущего состояния системы защиты;
- определение перечня и состава информационных систем (ИС), подлежащих аттестации (оценке);
- классификация ИС;
- определение возможных каналов утечки информации (актуальных угроз);
- разработка модели угроз (МУ) и модели нарушителя (МН) безопасности информации;
- согласование МУ и МН с регулятором;
- проектирование системы защиты информации;
- определение перечня мероприятий по исключению возможных каналов утечки информации (актуальных угроз);
- проведение мероприятий по защите информации (поставка, установка и настройка средств защиты информации);
- разработка комплекта проектов организационно-распорядительной документации на объект информатизации (приказы, распоряжения, инструкции, руководства, технических паспортов на ИС);
- проведение аттестационных испытаний.