Статья 50. Аудит информационных систем
1. На этапе создания, внедрения и эксплуатации информационных систем по инициативе собственника или владельца информационных систем может быть проведен аудит информационных систем.
2. Проведение аудита информационных систем осуществляется физическим и (или) юридическим лицами, обладающими специальными знаниями и опытом работы в области информационно-коммуникационных технологий, в порядке, определяемомуполномоченным органом.
Статья 51. Аттестация
1. Аттестация проводится в обязательном порядке или по инициативе собственника.
2. Объектами аттестации, подлежащими обязательной аттестации, являются:
1) информационная система государственного органа;
2) негосударственная информационная система, интегрируемая с информационной системой государственного органа или предназначенная для формирования государственных электронных информационных ресурсов;
3) информационная система, отнесенная к критически важным объектам информационно-коммуникационной инфраструктуры;
4) информационно-коммуникационная платформа «электронного правительства»;
5) интернет-ресурс государственного органа.
3. Объектами аттестации, не подлежащими обязательной аттестации, являются:
1) негосударственная информационная система;
2) негосударственный интернет-ресурс.
4. Промышленная эксплуатация информационной системы государственного органа, информационной системы, отнесенной к критически важным объектам информационно-коммуникационной инфраструктуры, негосударственной информационной системы, интегрированной с информационной системой государственного органа или предназначенной для формирования государственных электронных информационных ресурсов, интернет-ресурса государственного органа и информационно-коммуникационной платформы «электронного правительства» допускается только при наличии аттестата соответствия требованиям информационной безопасности.
5. Срок аттестационного обследования не должен превышать тридцать рабочих дней со дня вступления в силу договора на проведение аттестационного обследования.
В случае, если аттестуемая информационная система является территориально распределенной, срок аттестационного обследования составляет не более сорока рабочих дней.
6. С учетом акта аттестационного обследования и на основании протокола аттестационной комиссии уполномоченный орган в течение пяти рабочих дней принимает одно из следующих решений:
1) о выдаче аттестата соответствия требованиям информационной безопасности;
2) об отказе в выдаче аттестата соответствия требованиям информационной безопасности;
3) об устранении заявителем выявленных несоответствий.
Решение об устранении заявителем выявленных несоответствий может быть принято не более одного раза по заявке на проведение аттестации.
7. Основанием для отказа в выдаче аттестата соответствия требованиям информационной безопасности служат выявленные при аттестационном обследовании несоответствия, которые не могут быть устранены в течение двадцати рабочих дней со дня получения копии решения.
8. Аттестат соответствия требованиям информационной безопасности выдается на срок промышленной эксплуатации объекта аттестации, за исключением информационно-коммуникационной платформы «электронного правительства», при соблюдении (обеспечении) в течение указанного срока неизменности условий функционирования и функциональности объекта аттестации, аппаратно-программного комплекса и информационно-коммуникационных технологий, обеспечивающих обработку защищаемой информации и определяющих безопасность информации.
9. Аттестат соответствия требованиям информационной безопасности информационно-коммуникационной платформы «электронного правительства» выдается на один год.
10. В случае изменения условий функционирования и функциональности объекта аттестации собственник или владелец объекта аттестации после завершения работ по его развитию направляет в уполномоченный орган уведомление о необходимости проведения повторной аттестации объекта с приложением описания всех произведенных изменений в порядке, установленном настоящим Законом.
Ответственность за выполнение установленных условий функционирования объекта аттестации, технологии обработки защищаемой информации и требований по информационной безопасности возлагается на собственника или владельца объекта аттестации.
11. Уполномоченный орган со дня получения уведомления в течение трех рабочих дней созывает аттестационную комиссию для принятия решения о проведении повторной аттестации объекта аттестации.
12. Уполномоченный орган принимает меры об отзыве аттестата соответствия требованиям информационной безопасности объекта аттестации в следующих случаях:
1) наличия письменного заявления собственника или владельца объекта аттестации;
2) несоответствия объекта аттестации требованиям информационной безопасности, выявленного при проверке, проведенной в соответствии с Предпринимательским кодексом Республики Казахстан;
3) изменения условий функционирования и функциональности информационной системы;
4) прекращения эксплуатации информационной системы.
13. Внедрение нового сервисного программного продукта, изменение сервисного программного продукта не влекут отзыва аттестата соответствия требованиям информационной безопасности информационно-коммуникационной платформы «электронного правительства».
14. Копия решения об отзыве аттестата соответствия требованиям информационной безопасности объекта аттестации направляется собственнику или владельцу объекта аттестации, который в течение трех рабочих дней со дня получения копии указанного решения возвращает уполномоченному органу аттестат соответствия требованиям информационной безопасности объекта аттестации.
Аттестация объекта аттестации после отзыва аттестата соответствия требованиям информационной безопасности осуществляется в порядке, предусмотренном настоящим Законом и правилами, утверждаемыми Правительством Республики Казахстан.
15. Собственник или владелец объекта аттестации или уполномоченное им лицо ежегодно не позднее 1 марта направляет уполномоченному органу перечень объектов, планируемых к аттестации в текущем году.
Статья 52. Подтверждение соответствия в сфере
информатизации
Подтверждение соответствия в сфере информатизации осуществляется в соответствии с законодательством Республики Казахстан в области технического регулирования.
Глава 9. ЗАЩИТА ОБЪЕКТОВ ИНФОРМАТИЗАЦИИ