Категорирование объектов КИИ

Критическая информационная инфраструктура (КИИ) — совокупность информационных систем и телекоммуникационных сетей, стабильная работа которых критически важна для полноценной жизнедеятельности государства и общества: здравоохранения, промышленности, связи, транспорта, энергетики, финансового сектора и городского хозяйства.

Это информационные активы, которые включают в себя программные и технические комплексы, Их выход из строя или компрометация данных систем может оказать разрушительное воздействие на все сферы жизнедеятельности государства.

Объекты критической информационной инфраструктуры – информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры.

Субъекты критической информационной инфраструктуры – государственные органы, учреждения, юридические лица и (или) индивидуальные предприниматели, которым принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТС), автоматизированные системы управления (АСУ), функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.

Значимый объект критической информационной инфраструктуры – объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры.

Под категорированием понимается определенный перечень работ по определению категории значимости с учетом ряда критериев и показателей объекта КИИ.

Всего существует три категории значимости, они ранжируются по потенциальному ущербу (самая высокая - первая категория). Если объект не отвечает ни одному критерию, то такой объект считается незначимым объектом КИИ. Если же ему были присвоена одна из категорий, то, согласно закону, его обозначают как значимый.

По завершению всех работ составляется акт категорирования объектов и «сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий».

Акт является внутренним документом субъекта КИИ. Сведения же о результатах проведенного категорирования направляются каждым субъектом КИИ во ФСТЭК России. Это нужно с целью внесения в реестр всех значимых объектов.

В реестр значимых объектов критической информационной инфраструктуры вносятся следующие сведения об объекте КИИ:

• наименование объекта;
• сфера деятельности субъекта;
• данные руководителя субъекта;
• информация о взаимодействии объекта с сетями элетросвязи;
• данные о лице/подразделении, ответственным за обеспечение безопасности значимых объектов;
• присвоенная по результатам рассмотрения исходной информации категория значимости;
• информация об архитектуре объекта (включая аппаратное обеспечения, системное и прикладное ПО), задействованных в работе и нужных для его функционирования;
• перечень мер, которые предпринимают для обеспечения безопасности, включая наложенные средства защиты информации

Важный момент: даже если в результате проверки выявлено, что объект не отвечает критериям ни одной из категорий, и, соответственно он признается не значимым объектом КИИ, вся информация о нем всё равно должна быть передана во ФСТЭК России.

Дальше регулятором принимаются и обрабатываются сведения. После их обработки субъекту могут быть направлены замечания/рекомендации, которые субъекту важно учесть и при необходимости внести соответствующие корректировки в пакет документации для повторной отправки. Сроки регламентируются подзаконными актами. Если субъект отказывается предоставлять информацию, согласно закону ФСТЭК имеет полномочия потребовать сведения.

Все действующие правила и требования по категорированию описаны в Постановлении правительства от 08.02.2018 №127 «Об утверждении правил категорирования КИИ Российской Федерации».

Должны быть выполнены следующие работы:

1. Выявление и установление процессов, которые осуществляются на субъекте: финансовые, управленческие, технологические, хозяйственные, транспортные и т.д..
2. Определение критичных процессов (это те процессы, которые в результате их нарушения или остановки неизбежно приведут к нежелательным последствиям в экономике, обществе, промышленности, оборонном секторе).
3. Установление перечня объектов КИИ, участвующих в процессе обработки информации, нужной для организации стабильной работы критических процессов, а также условий для управления ими и их постоянного отслеживания.
4. Составление перечня объектов, которые подлежат категорированию. Этот список направляется во ФСТЭК в сроки, установленные постановлением №127, но не должны превышать 10 рабочих дней с момента утверждения данного перечня.
5. Оценивается масштаб вероятных негативных последствий в результате атаки на значимые объекты согласно показателям, перечисленных в Правилах. Постановлением определены 14 показателей значимости.
6. Объекту присваивается одна из категорий значимости или же принимается решение не присваивать таковую.
7. Сведения о присвоенной категории значимости направляются во ФСТЭК в срок не позднее 10 рабочих дней с момента утверждения

Для категорирования объектов КИИ обследуют как уже созданные, так и только разрабатывающиеся или проходящие модернизацию информационные системы. Создается специальная постоянно действующая комиссия, назначается председатель комиссии, определяются специалисты, которым предстоит решить поставленную задачу.

Максимально возможный срок, отводимый на категорирование, составляет 1 год со дня вступления в силу постановления №127. Для вновь создаваемых систем присвоение категории значимости осуществляется до начала разработки проектной и рабочей документации. Стоит отметить, что категория может измениться в процессе проектирования, и в этом случае необходимо оповещать ФСТЭК в установленном порядке. Также обращаем внимание, что ранее присвоенная категория впоследствии может быть изменена по решению ФСТЭК. Причинами могут послужить любые принятые изменения, модернизация объекта или реорганизация субъекта КИИ.

Перечень объектов КИИ, подлежащих категорированию:

• больницы, поликлиники;
• институты ядерной физики, НИИ;
• организации, отвечающие за логику общественного транспорта;
• инфраструктурные сооружения;
• различные финансовые учреждения;
• операторы мобильной связи, компании, обеспечивающие доступ к глобальной сети;
• предприятия из химической, металлургической промышленности;
• предприятия нефтедобывающего, энергетического сектора.