С 1 января 2018 года действует Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры». Он обязывает субъектов КИИ – организации в здравоохранении, науке, транспорте, связи, энергетике, банковской сфере, ТЭК, атомной и оборонной промышленности – выявить свои значимые объекты и обеспечить их защиту. 8 февраля Правительство утвердило Постановление № 127 с правилами категорирования. Теперь у компаний есть процедура, по которой нужно работать. Разберём два первых практических шага: как составить перечень объектов и как определить их значимость.
Шаг 1. Составить перечень объектов КИИ
Сначала определите, попадаете ли вы под закон. Субъект КИИ – это юрлицо или ИП, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или АСУ ТП, работающие в одной из перечисленных в законе сфер. Если да, дальше работает внутренняя комиссия.
Комиссию создают приказом руководителя. В неё включают специалистов по эксплуатации систем, по информационной безопасности, по защите гостайны (если применимо), а также сотрудников основных подразделений – тех, кто понимает технологические и бизнес-процессы. Комиссия инвентаризирует все ИС, сети и АСУ ТП и определяет, какие из них обеспечивают критические процессы.
Результат этого шага – перечень объектов, подлежащих категорированию. Его направляют во ФСТЭК России. Здесь не обойтись без точной картины ИТ-ландшафта: какие системы где развёрнуты, как связаны, кто за них отвечает. Многие организации обнаруживают, что актуальной схемы у них нет и инвентаризация занимает больше времени, чем само категорирование. Эта тема перекликается с тем, что мы писали об ИТ-трендах 2018 года: зрелость управления инфраструктурой становится базовым требованием, а не конкурентным преимуществом.
Шаг 2. Определить категорию значимости
Категория значимости отражает масштаб ущерба при нарушении или прекращении работы объекта. Постановление № 127 задаёт три категории – первую (высшую), вторую, третью и перечень показателей. Их группируют по типам последствий: социальные (вред жизни и здоровью, нарушение услуг населению), политические, экономические, экологические, а также ущерб обороне, безопасности и правопорядку.
Комиссия моделирует возможные компьютерные инциденты и оценивает их последствия по каждому показателю. Объекту присваивают наивысшую из категорий, которой он достигает хотя бы по одному показателю. Если ни один показатель не превышен – объект значимым не признаётся, но из перечня не исчезает: сведения о нём всё равно уходят во ФСТЭК.
Оценку нужно подтверждать расчётами и обоснованием, а не интуицией. Например, если объект обрабатывает юридически значимые документы, в анализ входит и риск нарушения процессов с электронной подписью – мы разбирали правовую сторону в материале про ЭДО и электронную подпись.
Что учесть на старте
Категорирование тесно связано с фактической защищённостью. Уязвимости уровня процессора, вроде Meltdown и Spectre, показали: даже корректно настроенная система может оказаться под угрозой из-за аппаратных дефектов. При моделировании угроз для значимых объектов это придётся учитывать.
Срок на категорирование – до года с момента утверждения перечня. Звучит спокойно, но инвентаризация, моделирование угроз и согласование с регулятором съедают его быстро. Путь субъекта КИИ от инвентаризации до подготовки сведений для ФСТЭК завершается построением системы защиты значимых объектов.
Начинать стоит сейчас. Чем раньше появится точный перечень, тем меньше авралов на этапе защиты значимых объектов.
