Вопрос-ответ

По определению (ст.2 п.8 N187-ФЗ) субъектами КИИ являются государственные органы и учреждения, юр. лица и ИП, которым принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) или автоматизированные системы управления (АСУ), функционирующие в одной из 12 сфер деятельности:
1 - здравоохранение;
2 - наука;
3 - транспорт;
4 - связь;
5 - банковская и иные сферы финансового рынка;
6 - энергетика и ТЭК;
7 - атомная энергия;
8 - оборонная промышленность;
9 - ракетно-космическая промышленность;
10 - горнодобывающая промышленность;
11 - металлургическая промышленность;
12 - химическая промышленность.

Чтобы соотнести деятельность своей организации с одной из данных сфер деятельности можно использовать:
А) общероссийский классификатор видов экономической деятельности (ОКВЭД) и каталог организаций России (www.list-org.com).
Б) Лицензии, сертификаты и иные разрешительные документы на виды деятельности
В) Учредительные документы, уставы, положения организации, где прописаны основные и вспомогательные виды деятельности.

Постановление Правительства Российской Федерации от 17.02.2018 г. № 162 устанавливает правила осуществления гос. контроля в области обеспечения безопасности Значимых объектов КИИ (ЗО КИИ). Государственный контроль будет осуществлять ФСТЭК России путем проведения плановых и внеплановых выездных проверок. При этом, основанием для проведения плановой проверки будет являться истечение 3 лет со дня: а) внесения сведений об объекте КИИ в реестр значимых объектов критической информационной инфраструктуры; б) окончания осуществления последней плановой проверки в отношении значимого объекта критической информационной инфраструктуры. Основаниями для внеплановых проверок являются: а) истечение срока выполнения субъектом КИИ выданного предписания об устранении выявленного нарушения требований по обеспечению безопасности; б) возникновение компьютерного инцидента на значимом объекте КИИ, повлекшего негативные последствия; в) приказ органа государственного контроля, изданный в соответствии с поручением Президента РФ или Правительства РФ либо на основании требования прокурора об осуществлении внеплановой проверки.

Надзор за выполнением требований к системам защиты значимых объектов КИИ осуществляет только ФСТЭК. При этом ежегодный план проведения плановых проверок будет утверждаться до 20 декабря года, предшествующего году проведения плановых проверок, и выписка из плана проверок будет направляться субъектам КИИ в срок до 1 января года проведения данных проверок.

Согласно п.28 приказа ФСТЭК №239 для обеспечения безопасности значимых объектов КИИ должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Сертифицированные средства применяются в случаях, установленных законодательством РФ, а также в случае принятия решения субъектом КИИ. В иных случаях могут применяться несертифицированные средства защиты, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами КИИ самостоятельно или с привлечением организаций, имеющих соответствующие лицензии на деятельность в области защиты информации.

В данном случае необходимо одновременно выполнять требования по КИИ, ГИС, ИСПДн –при создании систем защиты следует выбирать по максимальному из требований.

В пункте 12 Постановления Правительства от 8.02.18 №127 написано, что в состав комиссии по категорированию могут включаться представители государственных органов и российских юридических лиц, выполняющих функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности, по согласованию с государственными органами и российскими юридическими лицами. Этот пункт подразумевает, что субъект КИИ может привлекать в состав комиссии представителей организаций, которые являются ведомственными, отраслевыми регуляторами. Сотрудники ФСТЭК России не будут принимать участие в составе комиссии по категорированию объектов КИИ.

Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. Мы рекомендуем делать сегментацию объектов таким образом, чтобы снизить возможные риски и актуальные угрозы на объекте, что позволит минимизировать возможный ущерб от инцидента и снизить категорию значимости объекта.

Если объект значимый, то используется приказ ФСТЭК по КИИ. Если объект незначимый, то можно применять как 31-й приказ ФСТЭК, так и приказ по КИИ.

Не следует путать перечень актуальных угроз и модель угроз. На этапе категорирования нужен только перечень актуальных угроз, а вот модель угроз как отдельный документ нужна уже на этапе реализации требований приказа ФСТЭК по КИИ.