ОБ УТВЕРЖДЕНИИ ИНСТРУКЦИЙ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ РАБОТЕ С БАЗАМИ ДАННЫХ УПРАВЛЕНИЯ И ТАМОЖЕН. Приказ. Центральное таможенное управление. 20.04.04 222

Общие положения по организации доступа к базам
         данных должностных лиц таможенных органов Управления
     
     9. Обеспечение информационной безопасности таможенных  органов  в
части   организации   и  управления  доступом  к  БД  основывается  на
требованиях следующих руководящих документов:
     - Таможенного кодекса Российской Федерации;
     - приказа  ГТК  России   от   31.12.98   N   906   "О   Концепции
информационной безопасности таможенных органов Российской Федерации";
     - приказа  ГТК  России  от  03.09.99  N  595дсп  "Об   устранении
недостатков, выявленных Инспекцией Гостехкомиссии России";
     - приказа ГТК России от 16.06.2001 N 670 "О временном руководстве
администратора  безопасности  по  организации  разграничения доступа к
базам данных таможенных органов";
     - приказа  ГТК  России  от  01.10.2002 N 1164дсп "О разграничении
полномочий   подразделений   ГТК   России   и   об   установлении   их
ответственности при обеспечении информационной безопасности таможенных
органов";
     - приказа   ГТК  России  от  15.03.2004  N  315  "Об  утверждении
Положения  о  порядке  формирования  и  использования   информационных
ресурсов таможенных органов";
     - руководящих документов  Гостехкомиссии  России  по  обеспечению
информационной безопасности.
     10. Требования  Инструкции  обязательны  для   выполнения   всеми
администраторами    БД    и    администраторами    безопасности    БД.
Ответственность   за   выполнение    требований    Инструкции    несут
администратор  и  начальник  подразделения,  в котором работает данный
администратор.
     11. Все  положения  Инструкции,  упоминающие  подключение  к  БД,
распространяются также и на подключение к ИСБД, если иное не оговорено
явно.
     12. Решение  задач,  связанных  с  организацией   и   управлением
доступом   пользователей   к  БД,  осуществляется  администратором  БД
совместно с администратором безопасности БД (приложение 1 к  настоящей
Инструкции).   Для   каждой  БД  должны  быть  назначены  не  менее  2
администраторов БД и одного администратора безопасности БД.
     13. Ответственность за сохранность информации,  находящейся в БД,
несут администратор  БД  и  администратор  безопасности  БД,  действия
которых фиксируются в протоколе аудита БД.
     14. Технологическая модификация и удаление информации в БД должны
быть   регламентированы   для   каждой  БД  и  утверждены  начальником
информационно-технической службы Управления.
     15. Администратор  БД организует и контролирует процесс установки
и конфигурирования стандартного программного  обеспечения  для  работы
пользователей  с  БД.  Администратор  БД  осуществляет сопровождение и
тестирование специального программного обеспечения для доступа  к  БД,
обеспечивает   разработку  дополнительных  требований  по  обеспечению
доступа  к  БД  и  доведение  их  до  сведения  пользователей   и   их
руководителей.
     16. Администратор БД  и  администратор  безопасности  БД  обязаны
производить   административные   действия   со   строго   определенных
доверенных    станций,     оснащенных     средствами     защиты     от
несанкционированного   доступа   и   располагающихся  в  помещениях  с
ограниченным  доступом.  Все   действия   администратора   БД   должны
протоколироваться  и  быть  доступны  в  течение  1  года для контроля
администратора безопасности БД.
     17. При   контактах  с  пользователем  решение  об  идентификации
обратившегося лица принимает администратор БД любым доступным для него
способом.
     18. В  исключительных  случаях  по  решению  службы   собственной
безопасности   с   согласия   администратора   БД   и   администратора
безопасности БД возможно отклонение от  требований  данной  Инструкции
при  условии,  что данное отклонение не влечет значительного риска для
информационной безопасности. В таких случаях лицо, принимающее решение
о  допустимом  риске,  берет  на  себя  ответственность  за  возможные
последствия. Этим лицом не могут быть администратор БД и администратор
безопасности   БД.   Все   необходимые  сведения  заносятся  в  журнал
допустимых рисков при работе с базами данных (приложение 2 к настоящей
Инструкции).
     19. Все  журналы  и   документы   по   безопасности   БД   хранит
администратор  безопасности  БД  в электронном виде не менее трех лет,
если иное не указано явно в технологической схеме,  причем ежегодно  и
по   требованию   контролирующих   органов   должна  производиться  их
распечатка  на  бумажном  носителе   за   подписью   должностных   лиц
информационно-технических  подразделений.  Копии  журналов на бумажных
носителях хранятся у администратора безопасности БД в течение года.