ЕСИА в ГИС - Форум по вопросам информационной безопасности

Добрый день!

Исполнительный орган гос. власти субъекта РФ является оператором государственной информационной системы (далее-ГИС), а именно региональной информационной системы в сфере закупок товаров, работ, услуг для обеспечения государственных нужд.
Подскажите, пожалуйста, должен ли доступ к этой ГИС предоставляться путём прохождения единой системы идентификации и аутентификации (ЕСИА)?

Вопрос возник в связи с тем, что есть п.4 Положения утвержденного ПП №451 от 08.06.2011 в котором говорится, что:
"Доступ должностных лиц органов и организаций к информационным ресурсам информационных систем иных органов и организаций и элементам инфраструктуры взаимодействия, а также доступ заявителей к информационным ресурсам информационных систем органов и организаций и элементам инфраструктуры взаимодействия предоставляется при условии прохождения идентификации, аутентификации и авторизации в федеральной государственной информационной системе "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме"

В п.4.1 ст.14 ФЗ-149 сказано, что:
"Правительство Российской Федерации определяет случаи, при которых доступ с использованием сети "Интернет" к информации, содержащейся в государственных информационных системах, предоставляется исключительно пользователям информации, прошедшим авторизацию в единой системе идентификации и аутентификации, а также порядок использования единой системы идентификации и аутентификации."

В связи с этим пунктом издано ПП-584, где в п.2 написано следующее:
"Установить, что доступ с использованием информационно-телекоммуникационной сети "Интернет" к информации, содержащейся в государственных и муниципальных информационных системах, предоставляется исключительно пользователям информации, прошедшим авторизацию в федеральной государственной информационной системе "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме", в следующих случаях:
а) когда законодательством Российской Федерации о налогах и сборах предусмотрено взимание сборов за предоставление информации;
б) при получении доступа к информации, не относящейся к:
- нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина, а также устанавливающим правовое положение организаций и полномочия государственных органов, органов местного самоуправления;
- информации о состоянии окружающей среды;
- информации о деятельности государственных органов и органов местного самоуправления (включая информацию, созданную в пределах своих полномочий государственными органами, их территориальными органами, органами местного самоуправления либо поступившую в указанные органы и организации), а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну);
информации, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией;
- иной информации, недопустимость ограничения доступа к которой установлена федеральными законами.

Писал в Минкомсвязь, они мне ответили отсылкой на п.2 ПП-584, типа решайте сами, но чтобы в рамках законодательства.

Приветствую!
А в чем, собственно, вопрос? Вам Минсвязь верно указало - ограничения на использование ЕСИА указаны в приведенных ПП. Грубо говоря, если в ГИС обрабатывается ПДн/КТ/иная ИОД, не попадающая под п. (б) ПП-584 - доступ через ЕСИА реализовывать не надо. В ином случае - должны авторизовываться через ЕСИА.
Хорошо хоть так. Насколько я помню, ЕСИА сама по себе на момент середины 2015 г. не была "аттестована". Думаю, что на сегодняшний момент ситуация не поменялась (там ТЗ на аттестацию провисало еще с 2013 г.)

2 oko

А где вы увидели - "если в ГИС обрабатывается ПДн/КТ/иная ИОД, не попадающая под п. (б) ПП-584 - доступ через ЕСИА реализовывать не надо. В ином случае - должны авторизовываться через ЕСИА" ?!

Давайте разберём п.2 ПП-584.

Он описывает те случаи, когда ЕСИА нужна.
пункт а) понятен.
а вот пункт б) говорит о том, что если в перечисленных в нём пунктах нет вашей информации, то надо использовать ЕСИА.

А где вы в этих пунктах увидели ПДн КТ и иную ИОД?

получается наоборот..


Ну и я надеялся вдруг на этот форум заходят те кто защищают одну из региональных систем в сфере закупок и они бы мне отписались, используют они эту ЕСИА или нет.

Формулировочка, конечно, в стиле нашего законодательства... На двойном отрицании накололся, увы, согласен...
Фактически, могу сказать одно (по опыту эксплуатации/внедрения) - товарищи из одной некоммерческой организации были вынуждены предоставлять доступ к своей ИС с использованием ЕСИА, несмотря на то, что в ней обрабатывались ПДн. Правда, ЕСИА вводилась на основании, явно прописанном в ФЗ по их области деятельности. И, если быть честным до конца, ЕСИА была лишь одной из форм авторизации, которую надо было пройти пользователям, чтобы получить доступ к ресурсам ИС, содержащим ПДн...

2 oko

Вот бы и в моём случае это было прописано, но нет..

В моём случае есть 44-фз по госзакупкам, который ничего об ЕСИА не говорит. В нём есть ссылка на ПП-1091 в котором описаны единые требования к региональным системам по госзакупкам, но и там ничего.

Из законодательства следует, что ЕСИА должна быть реализована во всех ГИСах в которых не обрабатывается открытая информация (для таких систем доступ открытый) и информация доступ к которой должен осуществляться за плату.

Есть на форуме представители ГИС, как у вас вход в вашу ИС осуществляется?