Документом утверждаются:
- Правила прохождения национального или международного технического аудита центрами обработки данных;
- Требования к центрам обработки данных, используемых для размещения цифровых объектов, содержащих государственные цифровые данные, данные ограниченного доступа или критически важных цифровых объектов.
Каким требованиям должны отвечать центры обработки данных
- Центры обработки данных (ЦОД), используемые для размещения цифровых объектов, содержащих государственные цифровые данные, данные ограниченного доступа или критически важных цифровых объектов (КВЦО) размещаются на территории Республики Казахстан.
Размещение данных, содержащих государственные цифровые данные, данные ограниченного доступа или КВЦО за пределами РК допускается в случаях и порядке, предусмотренных законами РК или международными договорами, ратифицированными Республикой Казахстан.
- Размещение цифровых объектов КВЦО, государственных цифровых данных или данных ограниченного доступа допускается в ЦОД, подтвердивших свою надежность путем прохождения национального или международного технического аудита ЦОД.
Сведения о результатах прохождения национального или международного технического аудита ЦОД направляются владельцем или собственником ЦОД КВЦО в уполномоченный орган в течение 5 рабочих дней со дня получения заключения о классификации ЦОД по уровню.
- ЦОД КВЦО обеспечивают круглосуточное функционирование инженерной и технологической инфраструктуры, резервирование критически важных цифровых систем, контроль физического и логического доступа, автоматическое переключение на резервные источники питания, автономную работу не менее 72 часов, функционирование систем бесперебойного питания, поддержание температурного режима в диапазоне от +18°C до +27°C и относительной влажности воздуха в диапазоне от 40 до 60%, использование резервируемых систем кондиционирования и охлаждения, наличие автоматических систем раннего обнаружения пожара, систем газового пожаротушения и резервных систем дымоудаления, а также наличие систем защиты информации и не менее двух независимых вводов электропитания.
- ЦОД размещаются в отдельно стоящих зданиях или сооружениях или специально оборудованной части здания, защищенной от природных катастроф (землетрясений, наводнений и других опасных природных явлений), с надлежащей гидроизоляцией и вентиляцией и др.
Собственник или владелец ЦОД КВЦО:
- обеспечивает постоянный мониторинг событий безопасности;
- имеет и поддерживает в актуальном состоянии план реагирования на инциденты кибербезопасности.
Также документ содержит классификацию ЦОД по уровням.
Как проходит технический аудит ЦОД
Национальный технический аудит центра обработки данных проводится в целях оценки уровня надежности, отказоустойчивости, безопасности и готовности инфраструктуры центра обработки данных к обеспечению бесперебойного функционирования цифровых объектов и цифровых систем, в том числе критически важных цифровых объектов.
Проведение национального технического аудита центра обработки данных обеспечивает:
- определение уровня надежности центра обработки данных;
- оценку способности центра обработки данных обеспечивать непрерывность функционирования размещаемых цифровых систем;
- выявление инфраструктурных и технических несоответствий, влияющих на устойчивость функционирования центра обработки данных.
Для проведения национального технического аудита ЦОД собственник или владелец ЦОД направляет в ЦОКБ заявление посредством интернет-ресурса ЦОКБ (при его наличии), электронной почты или почтовой связи с приложением следующих документов:
- сведения о местонахождении ЦОД;
- сведения о инженерной, энергетической, телекоммуникационной и технологической инфраструктурой, обеспечивающей его бесперебойное, отказоустойчивое и безопасное функционирование;
- сведения о системе электроснабжения, охлаждения, связи и резервирования.
ЦОКБ в течение 5 рабочих дней с момента получения документов осуществляет их предварительное рассмотрение на предмет полноты и достоверности.
Срок проведения национального технического аудита ЦОД составляет не более 10 рабочих дней со дня принятия полного пакета документов к рассмотрению.
По результатам национального технического аудита ЦОД ЦОКБ выдает заключение о классификации ЦОД по уровню.
По итогам проведения национального технического аудита ЦОД ЦОКБ направляет в уполномоченный орган официальное письмо с приложением сведений о результатах национального технического аудита ЦОД:
- сведения о ЦОД;
- присвоенный уровень надежности;
- выявленные несоответствия (при их наличии);
- дата проведения национального технического аудита ЦОД.
Собственник или владелец ЦОД размещает на своем сайте информацию о результатах национального технического аудита ЦОД в течение 5 рабочих дней.
После введения в эксплуатацию ЦОД проводится международный технический аудит ЦОД на добровольной основе.
Международный технический аудит проводится на основании технической документации, сведений об инженерной и телекоммуникационной инфраструктуре, системах резервирования, электроснабжения, охлаждения, физической безопасности и кибербезопасности ЦОД.
Собственник или владелец ЦОД обеспечивает международной компании доступ к сведениям и документации, необходимым для проведения международного технического аудита ЦОД.
По результатам международного технического аудита ЦОД международная компания выдает заключение о классификации ЦОД по уровню.
Приказ вводится в действие с 12 июля.