Категорирование КИИ

Содержание

• Нормативные требования к категорированию КИИ
• Роль ФСТЭК в процессе категорирования КИИ
• Порядок категорирования объектов КИИ
• Практические рекомендации в процессе категорирования
• Правила категорирования КИИ
• Форма 236
• Категорирование объектов КИИ: стоимость услуги
• Ответственность за нарушение требований по категорированию
• Что входит в услугу по категорированию КИИ
• Результат для заказчика

Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» устанавливает обязанность субъектов КИИ проводить категорирование принадлежащих им объектов КИИ.

Категорирование объектов КИИ — это установленная законом процедура определения значимости объекта критической информационной инфраструктуры на основании критериев возможного ущерба при нарушении его функционирования. Результатом является присвоение объекту одной из категорий значимости либо признание его незначимым.

В соответствии со ст. 2 и ст. 7 187-ФЗ:

Объектами КИИ признаются информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица, которые обеспечивают взаимодействие указанных систем или сетей.

Субъектами КИИ являются государственные органы, государственные учреждения, российские юридические лица, которым принадлежат на праве собственности, аренды или ином законном основании объекты КИИ.

Проведение категорирования является обязанностью субъекта КИИ. Делегирование работ подрядчику не освобождает от ответственности за корректность определения категории.

Нормативные требования к категорированию КИИ

Правовое регулирование категорирования базируется на:

• Федеральном законе № 187-ФЗ;
• Постановлении Правительства РФ № 127 от 08.02.2018;
• нормативных правовых актах ФСТЭК России;
• отраслевых особенностях категорирования.

Постановление Правительства № 127 утверждает Правила категорирования объектов КИИ и устанавливает:

• порядок формирования комиссии;
• критерии значимости;
• процедуру уведомления регулятора;
• сроки проведения.

Также, ФСТЭК России издала ряд приказов, детализирующих процедуру, включая форму сведений о результатах категорирования («форма 236») необходимых для отправки.

Отраслевые особенности категорирования конкретизируют применение критериев значимости с учетом специфики сферы деятельности субъекта.

Роль ФСТЭК в процессе категорирования КИИ

Роль ФСТЭК России в процедуре категорирования определяется Федеральным законом № 187-ФЗ и Постановлением Правительства РФ № 127. Регулятор не присваивает категорию вместо субъекта КИИ, но обладает полномочиями проверять ее обоснованность, вести реестр значимых объектов и привлекать к ответственности при нарушении требований.

Нормативное регулирование

В соответствии со 187-ФЗ ФСТЭК России является уполномоченным федеральным органом в области обеспечения безопасности КИИ.

ФСТЭК:

• утверждает подзаконные акты и требования к защите значимых объектов;
• устанавливает форму представления сведений о результатах категорирования (форма 236);
• определяет подходы к реализации мер безопасности в зависимости от категории значимости.

Прием сведений и ведение реестра

Согласно Постановлению № 127 субъект КИИ обязан направить в ФСТЭК сведения о результатах категорирования.

ФСТЭК:

• принимает и анализирует форму 236;
• проверяет полноту и корректность представленных данных;
• включает объекты I–III категории в реестр значимых объектов КИИ.

Государственный контроль

ФСТЭК осуществляет надзор за соблюдением требований 187-ФЗ, включая:

• проверку факта, полноты и сроков проведения категорирования;
• оценку обоснованности присвоенной категории;
• анализ корректности расчета критериев значимости;
• контроль выполнения требований к защите значимых объектов.

При выявлении нарушений регулятор выдает предписания, обязательные к исполнению. Поэтому категорирование должно быть документально подтвержденным, логически обоснованным и полностью соответствовать нормативной базе и правоприменительной практике регулятора.

Порядок категорирования объектов КИИ

Процедура категорирования регламентирована ст. 7 Федерального закона № 187-ФЗ и Правилами категорирования, утвержденными Постановлением Правительства РФ № 127 от 08.02.2018 г.:

1. Принятие решения о проведении категорирования

Субъект КИИ издает приказ о начале процедуры и создании комиссии по категорированию.

Комиссия формируется из:

• руководителя субъекта КИИ или уполномоченное им лицо;
• сотрудников подразделений ИТ и ИБ;
• работников, уполномоченных на решение задач ГО и ЧС (гражданской обороны и чрезвычайных ситуаций);
• сотрудников технологических служб (для АСУ ТП и производственных систем);
• сотрудников юридической и экономической служб (при необходимости).

Состав и полномочия комиссии фиксируются в приказе и положении комиссии.

2. Выявление объектов КИИ

Комиссия определяет перечень информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления, которые могут быть отнесены к объектам КИИ в соответствии со ст. 2 187-ФЗ.

На этом этапе:

• анализируется деятельность организации и ее отраслевая принадлежность;
• устанавливаются границы каждого объекта;
• исключаются системы, не подпадающие под регулирование 187-ФЗ.

3. Оценка критериев значимости

Категорирование проводится путем сопоставления возможных последствий нарушения функционирования объекта с критериями значимости, установленными ПП РФ № 127.

Оцениваются показатели возможного ущерба (социального, политического, экономического, экологического, ущерба обороне страны и безопасности государства).

Анализ проводится по наихудшему сценарию последствий при нарушении конфиденциальности, целостности и (или) доступности.

4. Принятие решения о присвоении категории

По итогам сопоставления с пороговыми значениями комиссия присваивает объекту одну из категорий значимости, либо принимает решение об отсутствии категории значимости.

5. Оформление результатов категорирования

Решение комиссии оформляется:

• протоколом заседания комиссии;
• актом категорирования.

Документы должны содержать:

• перечень рассмотренных объектов;
• расчет показателей;
• итоговое решение по каждому объекту;
• обоснование присвоенной категории либо признания объекта незначимым.

6. Направление сведений в ФСТЭК России

В соответствии с ПП РФ № 127 субъект КИИ обязан направить в ФСТЭК сведения о результатах категорирования в установленной форме (форма, утвержденная приказом ФСТЭК).

Сведения направляются в срок, установленный Правилами категорирования. Если объекту присвоена одна из категорий, после направления сведений он подлежит включению в реестр значимых объектов КИИ.

Практические рекомендации в процессе категорирования

На любом этапе категорирования встречаются наиболее частые ошибки, которых можно избежать, если придерживаться нескольких практических рекомендаций:

• Точно определить границы объекта.
• Производить расчеты по каждому критерию.
• Применять принцип наихудшего, но реалистичного сценария.
• Учитывать отраслевую специфику.
• Обеспечить корректное оформление документов.
• Контролировать сроки и необходимость пересмотра.

Правила категорирования КИИ

Критерии значимости

Категория значимости определяется на основании критериев, утвержденных Правительством РФ. Оценке подлежат последствия в результате компьютерного инцидента, результатом которого является прекращение (нарушение) функционирования объекта.

В соответствии с ПП РФ № 127 анализируются показатели возможного ущерба:

• социального;
• экономического;
• политического;
• экологического;
• ущерба обороне страны и безопасности государства.

В случае присвоения категории по нескольким критериям, категория присваивается по наивысшему достигнутому показателю.

Отраслевые особенности

Применяемые критерии различаются в зависимости от сферы деятельности субъекта КИИ.

При категорировании учитываются:

• специфика технологических процессов;
• масштаб предоставляемых услуг;
• влияние на непрерывность производственной деятельности.

Для отдельных отраслей применяются методические рекомендации профильных регуляторов.

Признание объекта незначимым

Объект КИИ признается незначимым, если ни один из показателей не достигает установленных пороговых значений критериев значимости.

Сроки категорирования

Категорирование проводится в сроки, установленные Правилами категорирования, утвержденными ПП РФ № 127, включая обязанность своевременного направления сведений в ФСТЭК России.

Пересмотр категории

Пересмотр категории обязателен при:

• изменении функциональных характеристик объекта;
• модернизации или расширении;
• изменении масштабов возможных последствий;
• реорганизации деятельности субъекта КИИ;
• при изменении показателей критериев значимости;
• не реже чем один раз в пять лет.

Пересмотр осуществляется в том же порядке, что и первоначальное категорирование.

Форма 236

Форма сведений о результатах категорирования содержит:

• сведения о объекте КИИ, в том числе:
• - доменное имя и внешней сетевой адрес;
• - описание объекта;
• возможности нарушителя и угрозы безопасности информации;
• присвоенную категорию;
• обоснование;

Изменения в форме 236 увеличили требования к структуре данных и формату представления сведений. Форма направляется в ФСТЭК России в установленном порядке — на бумажном носителе и в электронном виде, в случае пересмотра категории в результате которого категория значимости не изменилась, сведения отправляются в электронном виде.

При заполнении формы особое внимание уделяется:

• корректному наименованию объекта;
• точному указанию сферы деятельности;
• обоснованию показателей ущерба;
• совпадению данных с внутренними документами.

К типовым ошибкам относят отсутствие указание марки/модели персональных компьютеров, серверов, отсутствие логики расчета ущерба, формальное копирование формулировок закона.

По запросу также предоставляется типовой шаблон формы 236 и пример заполнения.

Категорирование объектов КИИ: стоимость услуги

Стоимость определяется индивидуально и зависит от:

• количества объектов КИИ;
• отраслевой специфики;
• наличия и состояния технической документации;
• территориальной распределенности инфраструктуры.

Ответственность за нарушение требований по категорированию

Непроведение или некорректное проведение категорирования влечет административную ответственность по КоАП РФ.

При инцидентах на объектах КИИ отсутствие корректного категорирования усиливает риски привлечения к уголовной ответственности должностных лиц и может быть квалифицировано как нарушение обязательных требований.

Что входит в услуги по категорированию объектов КИИ

Категорирование объектов критической информационной инфраструктуры — это не формальная процедура подготовки уведомления в регуляторный орган. Это комплексная экспертная работа, в которой сочетаются правовой анализ, технологическая экспертиза, оценка рисков и глубокое понимание отраслевой специфики. Ошибка на этапе категорирования напрямую влияет на дальнейший объем обязанностей по обеспечению безопасности и на регуляторные риски.

Что мы делаем

Работы выполняются в строгом соответствии с 187-ФЗ, Постановлением Правительства РФ № 127 и действующими нормативными актами ФСТЭК России.

В рамках услуги мы:

• проводим правовой анализ деятельности организации на предмет отнесения к субъектам КИИ;
• формируем обоснованный перечень объектов КИИ с учетом архитектуры инфраструктуры и технологических связей;
• организуем и методически сопровождаем работу комиссии по категорированию;
• выполняем расчет показателей критериев значимости с документированным обоснованием;
• готовим акт категорирования и комплект внутренних распорядительных документов;
• оформляем форму 236 в актуальной редакции без типовых ошибок;
• сопровождаем направление сведений в ФСТЭК России;
• консультируем по вопросам возможного пересмотра категории при модернизации объектов.

Результат для заказчика

По итогам выполнения работ организация получает:

• юридически корректно оформленные результаты категорирования;
• документально подтвержденное обоснование присвоенной категории либо признания объекта незначимым;
• снижение риска претензий со стороны регулятора;
• готовность к проверочным мероприятиям ФСТЭК;
• прозрачное понимание дальнейших обязанностей по обеспечению безопасности значимых объектов КИИ.

Гарантии соответствия требованиям ФСТЭК

Все этапы выполняются с учетом действующей нормативной базы и актуальных разъяснений регулятора.

Методика оценки критериев значимости формируется с опорой на отраслевые особенности и официальные документы. Мы исключаем формальный подход и искусственное занижение либо завышение категории — решение должно быть обоснованным и проверяемым.

При необходимости обеспечиваем сопровождение взаимодействия с территориальными органами ФСТЭК до получения положительного ответа от ФСТЭК о рассмотрении всех направленных форм №236

Опыт и компетенции

Практика включает проекты во всех сферах действия 187-ФЗ.

Опыт работы с различными архитектурами — от централизованных информационных систем до распределенных АСУ ТП — позволяет учитывать технологические нюансы при определении границ объекта КИИ и расчете критериев значимости.

Формат взаимодействия

Работы могут быть выполнены:

• «под ключ» — с полной организацией процесса категорирования;
• в формате экспертного сопровождения внутренней комиссии;
• в виде независимой проверки уже проведенного категорирования.

Для оценки объема работ и предварительного анализа инфраструктуры направьте описание вашей деятельности и предполагаемый перечень объектов. Мы подготовим обоснованное предложение с учетом отрасли, масштаба инфраструктуры и текущего состояния документации. А если у вас еще остались вопросы, «Астрал. Безопасность» всегда готовы вам с этим помочь!