Об утверждении положения об организации защиты конфиденциальной информации эмитентами (2081-сон)
24.02.2010
Приказ
ГЕНЕРАЛЬНОГО ДИРЕКТОРА ЦЕНТРА ПО КООРДИНАЦИИ И КОНТРОЛЮ ЗА ФУНКЦИОНИРОВАНИЕМ РЫНКА ЦЕННЫХ БУМАГ ПРИ ГОСКОМИМУЩЕСТВЕ РЕСПУБЛИКИ УЗБЕКИСТАН
[Зарегистрирован Министерством юстиции Республики Узбекистан 24 февраля 2010 г. Регистрационный № 2081]
В соответствии с Законом Республики Узбекистан «О рынке ценных бумаг» (Собрание законодательства Республики Узбекистан, 2008 г., № 29-30, ст. 278) и Положением о Центре по координации и развитию рынка ценных бумаг при Госкомконкуренции Республики Узбекистан, утвержденным постановлением Кабинета Министров Республики Узбекистан от 30 марта 1996 года № 126 (Собрание постановлений Правительства Республики Узбекистан, 1996 г., № 3, ст. 11), приказываю:
1. Утвердить Положение об организации защиты конфиденциальной информации эмитентами согласно приложению.
2. Настоящий приказ вступает в силу по истечении десяти дней со дня его государственной регистрации в Министерстве юстиции Республики Узбекистан.
Генеральный директор К. ТАЛИПОВ
г. Ташкент,
24 декабря 2009 г.,
№ 2009-51
ПРИЛОЖЕНИЕ к приказу генерального директора Центра по координации и контролю за функционированием рынка ценных бумаг при Госкомимуществе Республики Узбекистан от 24 декабря 2009 года № 2009-51
ПОЛОЖЕНИЕ
об организации защиты конфиденциальной информации эмитентами
Настоящее Положение в соответствии с законами Республики Узбекистан «О рынке ценных бумаг» (Собрание законодательства Республики Узбекистан, 2008 г., № 29-30, ст. 278) определяет порядок организации защиты конфиденциальной информации эмитентами.
Требования настоящего Положения не распространяются на коммерческие банки и страховщиков.
I. Общие положения
1. В настоящем Положении применяются следующие основные понятия:
конфиденциальная информация — документированная информация, доступ к которой ограничивается в соответствии с законодательством;
эмитент — юридическое лицо, выпускающее эмиссионные ценные бумаги и несущее обязательства по ним перед их владельцами.
2. Защита конфиденциальной информации эмитентами осуществляется в целях предотвращения утечки, хищения, утраты, искажения, блокировки, подделки конфиденциальной информации и иного несанкционированного доступа к ним, а также предотвращения несанкционированных действий по уничтожению, блокированию, копированию, искажению конфиденциальной информации и других форм вмешательства в информационные ресурсы и информационные системы эмитентов.
3. Организация и осуществление контроля за обеспечением защиты конфиденциальной информации возлагается на ответственного сотрудника, назначаемого руководителем исполнительного органа эмитента.
4. Организация защиты конфиденциальной информации осуществляется путем:
разработки и соблюдения инструкции об информационной безопасности эмитента (далее — Инструкция);
использования технических средств и программных продуктов по защите конфиденциальной информации;
принятия иных мер, предусмотренных законодательством.
5. Инструкция разрабатывается ответственным сотрудником и утверждается руководителем исполнительного органа эмитента.
6. Инструкция должна содержать:
требования к обеспечению защиты конфиденциальной информации в структурных подразделениях эмитента;
требования к помещениям, где располагаются технические средства, обрабатывающие конфиденциальную информацию;
требования к хранилищам, где обеспечивается надлежащее хранение документов, содержащих конфиденциальную информацию;
требования к программному обеспечению;
требования к техническому обеспечению;
требования к контролю по защите конфиденциальной информации;
перечень конфиденциальной информации;
ответственность сотрудников эмитента (далее — сотрудники).
Инструкция может содержать иные положения, регламентирующие осуществление защиты конфиденциальной информации.
7. Эмитент принимает необходимые меры по обеспечению защиты конфиденциальной информации в соответствии с законодательством.
II. Организация учета, хранения и защиты конфиденциальной информации
8. Учет документов, содержащих конфиденциальную информацию, ведется в соответствующих журналах в бумажном и (или) электронном видах.
9. Документы, содержащие конфиденциальную информацию, должны храниться в металлических шкафах и (или) сейфах, которые должны иметь прочные засовы и во внерабочее время опечатываться (пломбироваться).
10. Запрещается хранить документы, содержащие конфиденциальную информацию, в местах, не предназначенных для хранения подобного рода документов.
11. Выдача сотрудникам архивных документов, содержащих конфиденциальную информацию, осуществляется только на основании утвержденного приказом руководителя исполнительного органа эмитента списка лиц, имеющих допуск к архивным документам, содержащим конфиденциальную информацию.
12. Работа с документами, содержащими конфиденциальную информацию, осуществляется только в служебных помещениях.
13. Отправка документа, содержащего конфиденциальную информацию, по почте осуществляется в порядке, предусмотренном законодательством.
14. Факт ознакомления с архивными документами, содержащими конфиденциальную информацию, подлежит оформлению на карточке учета выдаваемых архивных документов (дел), содержащих конфиденциальную информацию, и в журнале учета документов, содержащих конфиденциальную информацию, по форме согласно приложениям 1 и 2 к настоящему Положению.
15. Размножение, копирование, тиражирование либо раскрытие содержания документа, содержащего конфиденциальную информацию, осуществляется только в случаях, предусмотренных законодательством, на основании письменного разрешения руководителя исполнительного органа эмитента.
16. Отобранные к уничтожению документы, содержащие конфиденциальную информацию, перед сдачей на переработку в качестве макулатуры должны измельчаться до степени, исключающей возможность прочтения текста, или должны быть сожжены в специально отведенном месте.
17. После уничтожения документов, содержащих конфиденциальную информацию, в журнале учета проставляется соответствующая отметка.
18. Эмитент должен предпринимать необходимые меры для обеспечения защиты конфиденциальной информации от утечки и несанкционированного доступа при использовании информационно-коммуникационных технологий (далее — ИКТ).
19. Доступ в помещения, где размещены ИКТ и базы данных, обрабатывающие конфиденциальную информацию, разрешается только лицам, имеющим соответствующий допуск.
Доступ других лиц в помещения, указанные в абзаце первом настоящего пункта, осуществляется только с письменного разрешения руководителя исполнительного органа эмитента.
20. Лица, эксплуатирующие и обслуживающие ИКТ, обязаны:
выполнять установленные требования по обеспечению защиты конфиденциальной информации при использовании ИКТ;
соблюдать установленный режим разграничения доступа к конфиденциальной информации;
незамедлительно информировать своего непосредственного начальника или руководителя исполнительного органа эмитента обо всех фактах попыток несанкционированного доступа к конфиденциальной информации, утечки или порчи такой информации.
Лица, эксплуатирующие и обслуживающие ИКТ, могут нести и иные обязанности в соответствии с законодательством.
21. Подключение ИКТ к сетям общего пользования должно осуществляться исключительно при наличии производственной необходимости и только с применением средств защиты информации.
22. ИКТ эмитента должны соответствовать требованиям законодательства и обеспечивать защиту конфиденциальной информации.
23. При выходе из строя или списании ИКТ, обрабатывавших конфиденциальную информацию, необходимо предпринимать меры по полному уничтожению содержащейся в них информации для недопущения ее восстановления.
III. Допуск сотрудников к конфиденциальной информации
24. Допуск сотрудника к конфиденциальной информации предоставляется руководителем исполнительного органа эмитента при соблюдении следующих условий:
оформление письменного обязательства о сохранении и неразглашении сотрудником сведений, составляющих конфиденциальную информацию;
ознакомление сотрудника с требованиями законодательства по обеспечению защиты конфиденциальной информации.
25. Сотрудники могут получать допуск к сведениям, составляющим конфиденциальную информацию, только в пределах своих должностных обязанностей и в объеме, действительно необходимом им для их выполнения.
26. Руководитель исполнительного органа эмитента несет персональную ответственность за правомерность выдачи сотрудникам допуска к сведениям, составляющим конфиденциальную информацию.
27. Допуск к конфиденциальной информации эмитента имеют следующие лица:
руководитель исполнительного органа эмитента;
сотрудники, получившие допуск к конфиденциальной информации в соответствии со своими должностными обязанностями;
иные лица, в случаях и порядке, предусмотренных законодательством.
28. Руководитель исполнительного органа эмитента обязан:
предусмотреть в трудовом договоре и функциональных обязанностях каждого сотрудника обязательство об обеспечении защиты конфиденциальной информации;
принимать меры к предотвращению утечки, разглашения, утраты или хищения конфиденциальной информации;
своевременно лишить допуска к конфиденциальной информации сотрудника, подлежащего увольнению.
Руководитель исполнительного органа эмитента может нести и иные обязанности в соответствии с законодательством.
29. Сотрудники обязаны:
строго хранить в тайне сведения, отнесенные к конфиденциальной информации;
выполнять требования законодательства по обеспечению защиты конфиденциальной информации;
работать только с теми сведениями и документами, содержащими конфиденциальную информацию, к которым получили доступ;
не использовать конфиденциальную информацию в личных целях;
незамедлительно сообщать своему непосредственному начальнику или руководителю исполнительного органа эмитента о попытках посторонних лиц получить от сотрудников конфиденциальную информацию, об утрате или недостаче бумажных и электронных носителей конфиденциальной информации, ключей от помещений, хранилищ, сейфов, где находятся документы, содержащие конфиденциальную информацию, и о других фактах, которые могут привести к разглашению конфиденциальной информации, а также о причинах и условиях утечки конфиденциальной информации;
в случае увольнения передать все бумажные и электронные носители конфиденциальной информации, которые находились в его распоряжении в связи с выполнением им функциональных обязанностей, своему непосредственному начальнику или руководителю исполнительного органа эмитента.
Сотрудники могут нести и иные обязанности в соответствии с законодательством.
30. Руководитель исполнительного органа эмитента должен принимать необходимые меры по исключению возможности ознакомления с конфиденциальной информацией сотрудников, которым она не требуется при выполнении ими своих должностных обязанностей.
IV. Контроль за обеспечением защиты конфиденциальной информации
31. Ответственный сотрудник регулярно осуществляет контроль за обеспечением сотрудниками защиты конфиденциальности информации.
32. Ответственный сотрудник обязан:
незамедлительно сообщать руководителю исполнительного органа эмитента о выявленном нарушении требований законодательства по обеспечению защиты конфиденциальной информации (далее — нарушение);
устанавливать причины совершения нарушения;
контролировать устранение выявленных нарушений.
Ответственный сотрудник может нести и иные обязанности в соответствии с законодательством.
33. При осуществлении контроля за обеспечением защиты конфиденциальной информации ответственному сотруднику следует обращать внимание на:
правильность оформления учетных данных документов, содержащих конфиденциальную информацию;
наличие всех полученных и подготовленных сотрудниками документов, содержащих конфиденциальную информацию;
наличие соответствующих документов, на отсутствующие (уничтоженные, утерянные, поврежденные и т. д.) документы, содержащие конфиденциальную информацию;
порядок хранения и работы с документами, содержащими конфиденциальную информацию, на рабочих местах, а также на иные вопросы.
34. При выявлении допущенных сотрудниками нарушений ответственный сотрудник составляет акт о выявленном нарушении.
V. Заключительные положения
35. Контроль за соблюдением требований настоящего Положения осуществляет руководитель исполнительного органа эмитента.
36. Лица, виновные в нарушении требований настоящего Положения, несут ответственность в соответствии с законодательством.
37. Настоящее Положение согласовано с Агентством «Узархив» при Кабинете Министров Республики Узбекистан, Узбекским агентством связи и информатизации и Государственным комитетом Республики Узбекистан по демонополизации, поддержке конкуренции и предпринимательства.
Генеральный директор Агентства «Узархив» А. АБДУЛЛАЕВ
22 декабря 2009 г.
Генеральный директор Узбекского агентства связи и информатизации Х. МУХИТДИНОВ
22 декабря 2009 г.
И.о. председателя Государственного комитета по демонополизации, поддержке конкуренции и предпринимательства Б. УЛАШОВ
22 декабря 2009 г.
ПРИЛОЖЕНИЕ 1 к Положению об организации защиты конфиденциальной информации эмитентами
ПРИЛОЖЕНИЕ 2 к Положению об организации защиты конфиденциальной информации эмитентами
ЖУРНАЛ УЧЕТА
документов, содержащих конфиденциальную информацию
(Собрание законодательства Республики Узбекистан, 2010 г., № 8, ст. 65; 2014 г., № 5, ст. 62)