КАТЕГОРИРОВАНИЕ ОБЪЕКТОВ КИИ – ЕСТЬ ЛИ ЖИЗНЬ ПОСЛЕ?

Категорирование объектов КИИ один из первых этапов работ по выполнению требований 187-ФЗ «О безопасности объектов КИИ в РФ». Очень часто возникают ситуации, когда категорирование объектов КИИ проведено, а что делать дальше нет четкого понимания. Давайте разберемся что делать субъекту КИИ после категорирования. Согласно плана работ, после определения категории значимости объектов КИИ, необходимо выполнить обязательные требования для всех субъектов, даже при отсутствии категории. И так, по порядку.

Обязательные требования для всех субъектов КИИ после категорирования объектов КИИ

Категорирование объектов КИИ провели, выявили что организация является субъектом и имеет объекты КИИ, то, согласно п.2 ст.9 ФЗ №187 от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации» на субъект КИИ налагаются следующие обязанности:

• незамедлительно информировать о компьютерных инцидентах федеральный орган исполнительной власти;
• оказывать содействие должностным лицам федерального органа исполнительной власти;
• в случае установки на объектах критической информационной инфраструктуры средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, обеспечивать выполнение порядка, технических условий установки и эксплуатации таких средств, их сохранность.
  

На основание этого делаем вывод, что не зависимо от наличия значимых объектов КИИ (категории значимости объектов КИИ) субъекту КИИ необходимо скорректировать существующие организационно-распорядительные документы (далее – ОРД) и добавить требования:

• к процессам:
• выявлять компьютерные инциденты;
• актуализировать перечень объектов КИИ, а также направлять актуальный перечень в ФСТЭК;
• актуализировать сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий (далее – Сведения о результатах категорирования), а также направлять Сведения о результатах категорирования в ФСТЭК.
• к персоналу:
  

Персонал	Требования к персоналу субъекта КИИ без значимых объектов КИИ
Технический персонал	выявлять компьютерные инциденты; информировать комиссию по категорированию о выявленных инцидентах; информировать комиссию по категорированию об изменении системного и/или программного, аппаратного обеспечения объекта КИИ.
Комиссия по категорированию	отправлять сведения об инцидентах в НКЦКИ; корректировать форму сведений о результатах категорирования в случае изменения любой из позиции сведений, утвержденных приказом ФСТЭК России от 22 декабря 2017 г. №236; направлять в ФСТЭК актуальную (в случае изменения) версию формы сведений о результатах категорирования; актуализировать Перечень объектов КИИ (форма перечня, утвержденная Информационным сообщением ФСТЭК от 24 августа 2018 г. N 240/25/3752); утверждать и направлять (не позднее 10 рабочих дней с момента утверждения) откорректированный Перечень объектов КИИ в ФСТЭК; проводить категорирования для новых объектов КИИ.

Требования для значимых объектов КИИ

Для значимых объектов КИИ (категория значимости 3, 2 или 1), необходимо выполнять требования Приказа №239. Для этого необходимо определить план дальнейших работ.


План работ по выполнению требований для значимых объектов КИИ

1. Определить применимые требования Приказа №239 согласно категории значимости объекта КИИ;
2. Разработать организационные и технические меры:

• разработать модель угроз;
• спроектировать систему безопасности;
• разработать эксплуатационную документацию.
  

3. Внедрить организационные и технические меры по обеспечению безопасности:

• установить и настроить средства защиты;
• разработать документы по безопасности объекта;
• провести предварительные испытания;
• провести опытную эксплуатацию;
• определить актуальные уязвимости;
• провести приемочные испытания (для ГИС проводится аттестация).
  

4. Обеспечить безопасность во время эксплуатации;
5. Обеспечить безопасность при выводе из эксплуатации.


Необходимо учитывать, что для обеспечения безопасности значимых объектов КИИ должны применяться сертифицированные на соответствие требованиям по безопасности средства защиты информации или средства, прошедшие оценку соответствия в форме испытаний или приемки в соответствии с Федеральным законом от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании».

Перечень организационных и технических мер, предназначенных для выполнения требований Приказа №239 представлены в п. 2.2.

Организационные и технические меры

Для выполнения требований Приказа №239 в значимых объектах КИИ должны быть реализованы следующие организационные и технические меры:

• идентификация и аутентификация;
• управление доступом;
• ограничение программной среды;
• защита машинных носителей информации;
• аудит безопасности;
• антивирусная защита;
• предотвращение вторжений;
• обеспечение целостности;
• обеспечение доступности;
• защита технических средств и систем;
• защита информационной (автоматизированной) системы и ее компонентов;
• планирование мероприятий по обеспечению безопасности;
• управление конфигурацией;
• управление обновлениями программного обеспечения;
• реагирование на инциденты информационной безопасности;
• обеспечение действий в нештатных ситуациях;
• информирование и обучение персонала.
  

Итоговая стоимость технических мер будет зависеть от количества объектов КИИ, территориальной распределенности компонентов объекта КИИ, аппаратного обеспечения, типа сети и др., а также существующих технических средств защиты в организации.


Как правильно заложить средства на систему защиты.

Блокирующим вопросом при построении системы защиты информации является вопросы выделения денежных средств на ее построение и дальнейшую эксплуатацию.

Необходимо понимать, что задачами бюджетирования в Вашей компании являются:

• повышение управляемости компании;
• увеличение финансового результата;
• создание базы данных для принятия управленческих решений;
• повышение эффективности расходов и капиталовложений – в разрезе их влияния на производительность труда, снижение себестоимости продукции, увеличение объема продаж и т.д.;
• возможность эффективно управлять ресурсами компании.
  

Как следствие, вопросы информационной безопасности для организации ставятся не всегда на первые места.

Нужно помнить, что у каждой организации существует свой процесс бюджетирования со своим горизонтом планирования. У некоторых – горизонт планирования расходов превышает один год. В таком случае уже сейчас нужно запускать процесс бюджетирования, а для этого нужно произвести предварительную оценку стоимости построения системы защиты информации.

 
Одним из главных обоснований внедрения средств защиты информации является необходимость выполнения федеральных законов, постановлений правительства и приказов ФСТЭК. В случае невыполнения требований по внедрению мер по защите информации объектов КИИ возможно наказание согласно статей Уголовного кодекса Российской Федерации:

• ст. 274 – «Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей» с максимальным сроком наказания до 5 лет лишения свободы.
• ст. 274.1 – «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации» с максимальным сроком наказания до 6 лет лишения свободы.
  

Конечно, выше приведены максимальные наказания за нарушения, есть и менее серьезные наказания в виде штрафов, но можете ли вы быть уверенны на 100% в том, что не произойдет серьезных инцидентов, которые повлекут максимальные меры наказания?


Материалы по теме:

• БЕЗОПАСНОСТЬ КИИ: КОРОТКО О ГЛАВНОМ
• КАТЕГОРИЯ ЗНАЧИМОСТИ ОБЪЕКТА КИИ. С 3 ДО 1 СВОИМИ РУКАМИ