Мемлекеттік ақпараттық жүйелерді және мемлекеттік ақпараттық жүйелермен интеграцияланатын мемлекеттік емес ақпараттық жүйелерді олардың ақпараттық қауіпсіздік талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау жүргізу ережесін бекіту туралы Қазақстан Республикасы Үкіметінің 2009 жылғы 30 желтоқсандағы № 2280 Қаулысы

«Ақпараттандыру туралы» Қазақстан Республикасының 2007 жылғы 11 қаңтардағы Заңының 5-бабына сәйкес Қазақстан Республикасының ҮкіметіҚАУЛЫ ЕТЕДІ: 

1. Қоса беріліп отырған Мемлекеттік ақпараттық жүйелерді және мемлекеттік ақпараттық жүйелермен интеграцияланатын мемлекеттік емес ақпараттық жүйелерді олардың ақпараттық қауіпсіздік талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау жүргізу ережесі бекітілсін.

2. «Мемлекеттік ақпараттық жүйелердің ақпараттық қауіпсіздік талаптарына сәйкестігіне аттестаттау жүргізу ережесін бекіту туралы» Қазақстан Республикасы Үкіметінің 2008 жылғы 17 қаңтардағы № 24 қаулысының (Қазақстан Республикасының ПҮАЖ-ы, 2008 ж., № 1, 13-құжат) күші жойылды деп танылсын.

3. Осы қаулы алғаш рет ресми жарияланған күнінен бастап қолданысқа енгізіледі.

Қазақстан Республикасының 

Премьер-Министрі                                К. Мәсімов

1. Осы Мемлекеттік ақпараттық жүйелерді және мемлекеттік ақпараттық жүйелермен интеграцияланатын мемлекеттік емес ақпараттық жүйелерді олардың ақпараттық қауіпсіздік талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау жүргізу ережесі (бұдан әрі - Ереже) «Ақпараттандыру туралы» Қазақстан Республикасының 2007 жылғы 11 қаңтардағы Заңына сәйкес әзірленді және мемлекеттік ақпараттық жүйелерді және мемлекеттік ақпараттық жүйелермен интеграцияланатын мемлекеттік емес ақпараттық жүйелерді олардың ақпараттық қауіпсіздік талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау тәртібін анықтайды.

2. Ережеде пайдаланылатын негізгі ұғымдар:

1) аттестаттау комиссиясы (бұдан әрі - Комиссия) - аттестаттық тексеру нәтижелерін қарайтын және тиісті ұсынымдарды әзірлейтін, уәкілетті орган жанындағы консультациялық-кеңес беру органы;

2) ақпараттық жүйенің ақпараттық қауіпсіздік талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігі аттестаты (бұдан әрі - аттестат) - ақпараттық жүйенің (бұдан әрі - АЖ) ақпараттық қауіпсіздік (бұдан әрі - АҚ) талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігі фактісін растайтын құжат;

3) уәкілетті орган - ақпараттандыру саласындағы уәкілетті орган;

4) уәкілетті ұйым - ақпараттандыру саласындағы уәкілетті ұйым;

5) өтініш беруші - АЖ-нің АҚ талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау жүргізуге өтініш берген жеке немесе заңды тұлға.

3. АЖ-ні АҚ талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттау деп АЖ қорғалуының нақты жағдайын және оның АҚ талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігін анықтау жөніндегі ұйымдастыру-техникалық іс-шаралар кешені түсіндіріледі.

4. Мемлекеттік АЖ-ні, сондай-ақ олармен интеграцияланатын барлық мемлекеттік емес АЖ-ні пайдалану мен енгізуге оларды АҚ талаптары мен Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттағаннан кейін жол беріледі.

5. АЖ-ні АҚ талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттауды АЖ аттестаттық тексеру негізінде уәкілетті орган жүзеге асырады.

6. АЖ-ні АҚ талаптарына және Қазақстан Республикасының аумағында қабылданған стандарттарға сәйкестігіне аттестаттық тексеруді уәкілетті ұйым жүргізеді.

7. Аттестаттық тексеру актісін (бұдан әрі - акт) қарау үшін Комиссия құрылады, оның ережесі мен құрамы уәкілетті органның бұйрығымен бекітіледі.

8. Комиссия құрамына мыналардың:

1) Қазақстан Республикасы ұлттық қауіпсіздік органдарының;

2) мемлекеттік құпияларды қорғау мен ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі уәкілетті мемлекеттік органның;

3) уәкілетті органның өкілдері кіреді.

9. Берілген аттестаттар туралы мәліметтерді уәкілетті орган АЖ иесі мен әзірлеушісі, АЖ атауы, актінің және аттестаттың деректемелері туралы ақпаратты қамтитын аттестаттар тізіліміне енгізеді.

10. Аттестаттау мынадай тәртіппен жүзеге асырылады:

1) өтініш беруші осы Ереженің 1-қосымшасына сәйкес нысан бойынша мынадай құжаттарды ұсынумен уәкілетті органға өтінім береді:

жеке басын куәландыратын құжаттың көшірмесі (жеке тұлғалар үшін);

құрылтайшы құжаттардың және заңды тұлғаны мемлекеттік тіркеу туралы куәліктің көшірмелері (заңды тұлғалар үшін);

Қазақстан Республикасының заңнамасында белгіленген тәртіппен сәйкестігін растау жөніндегі органдар берген аттестатталатын АЖ құрамына кіретін техникалық және бағдарламалық құралдардың АҚ талаптарына сәйкестік сертификаттары;

аттестатталатын АЖ-нін, сондай-ақ осы Ереженің 2-қосымшасына сәйкес уәкілетті орган бекіткен құрамда олардың интеграциялануы бөлігінде интеграцияланатын АЖ-нің АҚ бойынша нормативтік-техникалық құжаттары;

сериялық және түгендеу нөмірлерін көрсетумен бағдарламалық және техникалық құралдардың, оның ішінде АҚ-ны қамтамасыз ету кезінде пайдаланылатын құралдардың тізбесі;

өтініш беруші бекіткен АЖ құрамдас бөліктерінің, сондай-ақ интеграцияланатын АЖ құрамдас бөліктерінің өзара іс-қимылының функционалдық схемасы (жоспары);

2) уәкілетті орган өтінімді алған сәттен бастап үш жұмыс күні ішінде өтінімнің және өтінімге қоса берілетін құжаттардың осы Ережеде белгіленген нысан мен жинақтылық талаптарына сәйкестігіне тексеруді жүзеге асырады;

3) өтінім мен қоса берілетін құжаттар осы Ережеде белгіленген нысан мен жинақтылық талаптарына сәйкес келген жағдайда, уәкілетті орган осы Ереженің 10-тармағының 2) тармақшасында белгіленген мерзімде қоса берілетін құжаттармен бірге өтінімді уәкілетті ұйымға жібереді, ал керісінше жағдайда өтінім қайтару себептерін көрсетумен өтініш берушіге қайтарылады;

4) уәкілетті ұйым өтінімнің негізінде және оған қоса берілетін құжаттарды ескере отырып, АЖ аттестаттық тексеруді жүргізеді. Аттестаттық тексеру аттестатталатын АЖ-де қолданылған ақпараттық технологияларды ескере отырып, тізбесін уәкілетті ұйым анықтайтын Қазақстан Республикасының аумағында қабылданған ақпараттық қауіпсіздік саласындағы нормативтік құқықтық актілер мен стандарттарға сәйкес жүргізіледі. Аттестаттық тексеруді жүргізу жөніндегі жұмыстардың құны Қазақстан Республикасының қолданыстағы заңнамасына сәйкес анықталады;

5) аттестаттық тексерудің мерзімі қоса берілетін құжаттармен бірге өтінім түскен сәттен бастап бір айдан аспауы тиіс. Егер аттестаттық тексеруді белгіленген мерзімде жүргізу мүмкін болмаса, уәкілетті ұйым белгіленген мерзімді сақтамауының себебін мазмұндаумен аттестаттық тексерудің мерзімін ұзарту туралы өтінішпен қолдау хатпен уәкілетті органға жүгінеді. Уәкілетті орган аттестаттық тексеру мерзімін екі айға дейінгі мерзімге ұзарту туралы шешім қабылдауы мүмкін;

6) аттестаттық тексерудің нәтижелері бойынша уәкілетті ұйым уәкілетті органға берілетін актіні жасайды. Акт төрт данада (Комиссия, мемлекеттік құпияларды қорғау жөніндегі уәкілетті орган, ұлттық қауіпсіздік органдары және өтініш беруші үшін бір-бірден) жасалады және АЖ қорғалуының нақты жай-күйі туралы мәліметтерді қамтиды;

7) уәкілетті орган актіні алған сәттен бастап он жұмыс күні ішінде Комиссия шақырады және актіні Комиссияның қарауына береді;

8) Комиссия актінің негізінде хаттама түрінде ресімделетін тиісті ұсынымдарды әзірлейді. Комиссия осы актіні қарау кезінде АЖ-нің функционалдық күрделілік деңгейін және оның арналуын, өңделетін АЖ ақпаратының сипатын, ақпараттың құпиялылығын, АЖ-ге қол жеткізу санатын, АЖ-гі деректерді өңдеу режимін, ақпараттық қауіпсіздік бойынша нормативтік-техникалық құжаттаманың жинақтығын және оның талаптарының сақталуын, қауіпсіздіктің нақты қауіп-қатерін бағалауды (қауіп-қатердің және осалдылығының әлеуетті көздері) ескереді;

9) Комиссия хаттамасының негізінде және актіні ескере отырып, уәкілетті орган бес жұмыс күні ішінде аттестатты беру немесе беруден бас тарту туралы шешім қабылдайды;

10) оң шешім қабылданған жағдайда уәкілетті орган осы Ереженің 10-тармағының 9) тармақшасында белгіленген мерзімде осы Ереженің 3-қосымшасына сәйкес нысан бойынша аттестат береді және аттестаттардың тізіліміне тиісті мәліметтерді енгізеді;

11) уәкілетті орган аттестатты беруден бас тартқан жағдайда осы Ереженің 10-тармағының 9) тармақшасында белгіленген мерзімде бас тартудың себептерін көрсетумен, өтініш берушіге тиісті хабарламаны жібереді.

11. Аттестат жүйенің функционалдығы шарттарының өзгермеуін, ақпараттың қауіпсіздігін анықтайтын, қорғалатын ақпаратты өңдеуді қамтамасыз ететін аппараттық-бағдарламалық кешенді және ақпараттық технологияларды (техникалық құралдардың құрамы мен құрылымы, орналастыру шарттары, пайдаланылатын бағдарламалық қамтамасыз ету, ақпаратты өңдеудің режимі, қорғау құралдары мен шаралары) ескере отырып, өтініш берушіге 3 жыл мерзімге беріледі.

12. Ақпаратты өңдеудің шарттары мен технологиялары өзгерген жағдайда аттестатталған АЖ иеленушілері осындай өзгерістер болған сәттен бастап бес жұмыс күні ішінде болған өзгерістердің сипаттамасын коса берумен хабарламаны уәкілетті органға жібереді.

13. Уәкілетті ұйым уәкілетті органнан хабарламаны алған сәттен бастап он жұмыс күні ішінде АЖ-ні қосымша тексеруді жүргізеді. АЖ қорғалу деңгейін бұзуы мүмкін өзгерістер анықталған жағдайда, уәкілетті ұйым АЖ-ні қайта аттестаттау қажеттігі туралы хабарламаны уәкілетті органға жібереді, мұндай өзгерістер болмаған жағдайда уәкілетті ұйым уәкілетті органға тиісті хабарламаны жібереді.