Что такое критическая информационная структура
Критическая информационная инфраструктура 2021 год
Автор статьи:
Царев Евгений Олегович
Во второй половине 2018 года оформилась нормативная база в теме КИИ. Это дает нам возможность ответить на все основные вопросы.
Для начала определимся с основными понятиями.
Что такое критическая информационная инфраструктура?
Критическая информационная инфраструктура – это информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, а также сети электросвязи, используемые для организации их взаимодействия. Ключевым условием отнесения системы к КИИ является ее использование государственным органом или учреждением, либо российской компанией в следующих сферах:
Также к КИИ будут относиться системы, которые на праве собственности, аренды или на ином законном основании принадлежат российской компании или ИП, и обеспечивают взаимодействие указанных выше систем или сетей.
О чем говорит 187-ФЗ «О безопасности критической информационной инфраструктуры»?
187-фз является базовым документом для всей тематики КИИ.
Что такое ГосСОПКА?
ГосСОПКА — это единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты.
Данное определение мы видим в 187-ФЗ.
По своей сути, ГосСОПКА является территориально распределенной совокупностью центров (сил и средств), в числе которых — Национальный координационный центр по компьютерным инцидентам.
Если обобщить, то структура ГосСОПКА выглядит следующим образом:
Подробности можно получить из следующих документов:
Что такое НКЦКИ?
Национальный координационный центр по компьютерным инцидентам – структура, отвечающая за обеспечение координации деятельности субъектов КИИ, является составной частью ГосСОПКА.
В функции НКЦКИ входит:
Какие работы необходимо провести для обеспечения безопасности КИИ?
Все работы можно разделить на 2 большие группы:
Группа работ по категорированию включат в себя следующие этапы:
Этап 1. Создание комиссии по категорированию объектов КИИ
Этап 2. Составление перечня объектов КИИ
Этап 3. Согласование перечня объектов КИИ
Этап 4. Отправка перечня объектов во ФСТЭК
Этап 5. Сбор исходных данных для категорирования объектов КИИ
Этап 6. Анализ угроз безопасности
Этап 7. Категорирование объектов КИИ
Этап 8. Отправка сведений о категорировании во ФСТЭК
Этап 9. Независимая экспертиза работ по КИИ
Более подробно про группу работ по Категорированию КИИ можно прочитать на странице «Категорирование объектов КИИ (экспертиза проведенных работ)».
Вторая группа включает в себя этапы:
Этап 10. Проектирование СОИБ КИИ
Этап 11. Внедрение СОИБ КИИ
Этап 12. Разработка организационно-распорядительной документации (ОРД) для субъекта и объектов КИИ
Итогом работ является функционирующая система обеспечения информационной безопасности критической информационной инфраструктуры.
Нужно ли использовать сертифицированные средства защиты информации в КИИ?
Таким образом, сертифицированные средства защиты должны применяться не всегда. Однако, если сертифицированные средства все же применяются, то необходимы следующие сертификаты:
| Категория значимости \ Сертификат | СЗИ | СВТ | НДВ |
| 1 категория | не ниже 4 | не ниже 5 | не ниже 4 |
| 2 категория | не ниже 5 | не ниже 5 | не ниже 4 |
| 3 категория | не ниже 6 | не ниже 5 | — |
Выводы
Критическая информационная инфраструктура не является проходной темой в информационной безопасности. Потенциально это крупнейшая тема, как минимум, за последние 10 лет. Всем субъектам КИИ (а их не мало) нужно не только провести массу продолжительных по времени и дорогостоящих мероприятий, но и создавать полноценные системы безопасности. Такие системы должны включать в себя части по управлению, по технической защите и прочее. Системы нужно обслуживать, модернизировать и совершенствовать. Все это требует значительных финансовых и трудовых ресурсов, а также компетенций, которые в рамках рынка еще предстоит наращивать.
КИИ – это новая реальность, и как показывает опыт, кто первым встроиться в новые реалии – тому будет проще в дальнейшем.
Какие нормативные документы по КИИ есть в настоящий момент?
Федеральный закон №187-ФЗ от 26.07.2017 «О безопасности КИИ РФ»
Федеральный закон №193-ФЗ от 26.07.2017 «О внесении изменений в отдельные законодательные акты РФ в связи с принятием ФЗ «О безопасности КИИ РФ»
Федеральный закон №194-ФЗ от 26.07.2017 «О внесении изменений в УК РФ и УПК РФ в связи с принятием ФЗ «О безопасности КИИ РФ»
Указ Президента РФ №569 от 25.11.2017 «О внесении изменений в Положение о ФСТЭК»
Постановление Правительства РФ №127 от 08.02.2018 «Об утверждении Правил категорирования объектов КИИ РФ, а также перечня показателей критериев значимости объектов КИИ РФ и их значений»
Постановление Правительства РФ №162 от 17.02.2018 «Об утверждении Правил осуществления госконтроля в области обеспечения безопасности значимых объектов КИИ РФ»
Постановление Правительства РФ №808 от 11.07.2018 «О внесении изменения в Правила организации повышения квалификации специалистов по ЗИ и должностных лиц, ответственных за организацию ЗИ в ОГВ, ОМС, организациях с госучастием и организациях ОПК»
Приказ ФСТЭК России №227 от 06.12.2017 «Об утверждении Порядка ведения реестра значимых объектов КИИ РФ»
Приказ ФСТЭК России №229 от 11.12.2017 «Об утверждении формы акта проверки, составляемого по итогам проведения госконтроля в области обеспечения безопасности значимых объектов КИИ РФ»
Приказ ФСТЭК России №235 от 21.12.2017 «Об утверждении Требований к созданию систем безопасности значимых объектов КИИ РФ и обеспечению их функционирования»
Приказ ФСТЭК России №236 от 22.12.2017 «Об утверждении формы направления сведений о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий»
Приказ ФСТЭК России №239 от 25.12.2017 «Об утверждении Требований по обеспечению безопасности значимых объектов КИИ РФ»
Приказ ФСТЭК России №72 от 26.04.2018 «О внесении изменений в Регламент ФСТЭК»
Приказ ФСТЭК России №138 от 09.08.2018 «О внесении изменений в Требования к обеспечению ЗИ в АСУ П и ТП на КВО, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом ФСТЭК №31, и в Требования по обеспечению безопасности ЗО КИИ РФ, утвержденные приказом ФСТЭК №239»
Информационное сообщение ФСТЭК России №240/22/2339 от 04.05.2018 «О методических документах по вопросам обеспечения безопасности информации в КСИИ РФ»
Информационное сообщение ФСТЭК России №240/25/3752 от 24.08.2018 «По вопросам представления перечней объектов КИИ, подлежащих категорированию, и направления сведений о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий»
Что такое критическая информационная инфраструктура. Объясняем простыми словами
Критическая информационная инфраструктура (КИИ) — программное обеспечение, системы управления и средства связи, которыми пользуются банки, госструктуры, предприятия топливно-энергетического комплекса и другие организации, повреждение сетей которых может привести к серьёзным последствиям для граждан и экономики.
Сферу КИИ регулирует закон «О безопасности критической информационной инфраструктуры». Согласно ему, все критически важные структуры обязаны встроиться в Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак, а также обезопасить свои системы от киберпреступников. Предполагается, что новые правила заработают с 1 января 2023 года для софта и с 2024 года — для оборудования. За несоответствие требований к безопасности критически важных объектов компаниям грозит административная и даже уголовная ответственность.
Пример употребления на «Секрете»
«В ГЛОНАСС добавили, что КОНСУЛ можно использовать для беспилотного и автомобильного транспорта, перемещения объектов в морских портах и на объектах критической информационной инфраструктуры».
(Из материала «Секрета» о попытке создания в России новой безопасной системы навигации.)
Нюансы
Несмотря на то что сети КИИ, как правило, закрыты и отделены от публичного сегмента Сети, их владельцы ошибочно считают, что такой изоляции достаточно для защиты от кибератак. Но это не так, показало исследование компании «Ростелеком-Солар». Согласно его результатам, каждая десятая критически важная IT-система в России оказалась заражена вредоносными программами. От хакерских атак не удалось защититься ни банкам, ни госорганам, ни оборонным и транспортным объектам.
Затраты российских предприятий на переход на отечественное программное обеспечение (ПО) оценили в 1 трлн рублей. Сейчас таких денег у бизнеса нет, поэтому Российский союз промышленников и предпринимателей (РСПП) попросил исключить из требования по обязательному импортозамещению софта хотя бы некритические объекты, включая банки.
Руслан Рахметов, Security Vision
Какие же меры следует предпринимать для защиты значимых объектов критической информационной инфраструктуры (ЗОКИИ)? Приказ №239 говорит, что разработка мер защиты информации значимого объекта КИИ должна включать в себя анализ угроз безопасности и разработку модели угроз безопасности КИИ:
1. Анализ угроз включает в себя выявление источников угроз, оценку возможностей нарушителей (т.е. создание модели нарушителя), анализ уязвимостей используемых систем, определение возможных способов реализации угроз и их последствий. Модель нарушителя строится на основе предположений о потенциале атакующих, т.е. о мере усилий, затрачиваемых нарушителем при реализации угроз безопасности информации в информационной системе (при этом потенциалы нарушителей можно условно разделить на высокий, средний и низкий).
определение возможных негативных последствий от реализации угроз по результатам оценки рисков нарушения законодательства, бизнес-процессов и/или нарушения защищенности информации, что может привести к таким негативным последствиям, как нарушение законодательства, экономический или репутационный ущерб;
определение условий для реализации угроз безопасности информации, т.е. выявление уязвимостей, недекларированных возможностей, доступов к ИТ-системам, которые могут быть использованы злоумышленниками;
определение сценариев реализации угроз с помощью таблицы тактик и техник атакующих, приведенной в Методике;
оценка уровня опасности угроз безопасности информации путем анализа типа доступа, необходимого для реализации атаки, сложности сценария атаки и уровня важности атакуемых активов.
Вернемся к Приказу №239. После анализа и моделирования угроз следует переходить к внедрению контрмер. При этом следует иметь в виду, что внедряемые меры защиты не должны оказывать негативного влияния на функционирование самого объекта КИИ – этим подчеркивается, что приоритетом является непрерывность технологических процессов, остановка которых может сама по себе привести к инциденту на КИИ, например, к выходу оборудования из строя или даже аварии.
В списке организационных и технических мер, предусмотренных положениями данного приказа в зависимости от категории значимости объекта КИИ и угроз безопасности информации, указаны следующие пункты:
идентификация и аутентификация;
ограничение программной среды;
защита машинных носителей информации;
предотвращение вторжений (компьютерных атак);
защита технических средств и систем;
защита информационной (автоматизированной) системы и ее компонентов;
планирование мероприятий по обеспечению безопасности;
управление обновлениями программного обеспечения;
реагирование на инциденты информационной безопасности;
обеспечение действий в нештатных ситуациях;
информирование и обучение персонала.
Кроме этого, в Приказе №239 особо оговорено, что при использовании СЗИ для защиты КИИ приоритет отдается штатному защитному функционалу, а при реагировании на компьютерные инциденты в критической информационной инфраструктуре требуется отправлять информацию о них в систему ГосСОПКА. Указывается также на важность использования СЗИ, которые обеспечиваются гарантийной и/или технической поддержкой, а также на возможные ограничения по использованию программного/аппаратного обеспечения или СЗИ (видимо, имеются ввиду санкционные риски). Также указано, что на значимом объекте КИИ требуется запретить удаленный и локальный бесконтрольный доступ для обновления или управления лицами, не являющимися работниками субъекта КИИ, а также запретить бесконтрольную передачу информации из объекта КИИ производителю или иным лицам. Кроме этого, все программные и аппаратные средства объекта КИИ первой категории значимости должны располагаться на территории РФ (за исключением оговоренных законодательством случаев).
БЕЗОПАСНОСТЬ КИИ: КОРОТКО О ГЛАВНОМ
Федеральный закон №-187 «О безопасности критической информационной инфраструктуры (КИИ) Российской
Федерации» который вступил в силу 01 января 2018 г. постепенно набирает обороты и пополняется новыми
подзаконными актами, которые часто не облегчают жизнь ИБ-специалисту. Давайте разберёмся в ситуации,
что ожидается и что необходимо предпринять.
КТО МЫ, КИИ ИЛИ НЕ КИИ?
Первым делом необходимо выяснить, подпадает ли организация под понятие «субъект КИИ» и сделать это можно посмотрев законодательство. Не нашли себя, выдохните, у вас немного меньше головной боли.
Какие критерии указывают что вы субъект КИИ?
Третий критерий – учредительные документы организаций, к ним относятся уставы, положения организаций (если речь идет о государственных органах), в которых может быть прописан вид деятельности указывающий на принадлежность к критичным отраслям.
«Пример из нашего опыта проведения работ по категорированию. Компания по основному виду экономической деятельности имела код ОКВЭД 46.73.6 «Торговля оптовая прочими строительными материалами и изделиями», на первый взгляд ни чего особенного, в перечень отраслей согласно ФЗ №-187 не попадает и можно «спать спокойно». Но при детальном изучении устава и лицензий на виды деятельности оказалось, что у компании есть лицензия на деятельность по перевозке грузов железнодорожным транспортом и собственный парк железнодорожного транспорта. Исходя из данных обстоятельств, предприятие относится к отрасли «транспорт» и следовательно, необходимо выполнять требования ФЗ №-187.»
Попали под один критерий из трёх? Поздравляем, вы субъект КИИ! Но нужно помнить, что каждый случай
разбирается индивидуально и эта тема отдельного обсуждения, посвященная категорированию объектов критической информационной инфраструктуры которую рассмотрим в следующих статьях.
Нормативно-правовой акт четко определяет, что « к субъектам критической информационной инфраструктуры относятся государственные органы и учреждения, а так же российские юридические лица и/или индивидуальные предприниматели которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления ».
Процесс определения принадлежности к субъекту КИИ не так прост, как может показаться на первый взгляд. Как мы говорили выше, есть много неочевидных факторов, которые могут влиять на результат, например, открытые дополнительные, не основные, виды деятельности по ОКВЭД или действующие лицензии, которые могут отнести вас субъекту критической информационной инфраструктуре. Мы рекомендуем провести более детальное погружение в вопрос определения принадлежности к субъекту КИИ.
ЧТО ДЕЛАТЬ ЕСЛИ ВЫ СУБЪЕКТ КИИ?
С субъектом и объектом КИИ разобрались. Что необходимо сделать вам, как субъекту КИИ, дальше?
Первый этап. Необходимо создать внутреннюю комиссию по категорированию и определить состав участников из наиболее компетентных специалистов по вашим бизнес-процессам. Почему делается акцент на бизнес-процессы и уровни компетенции участников? Только «владелец» бизнес-процесса знает все нюансы, которые могут привести к их нарушению и последующим негативным последствиям. Этот владелец или компетентное уполномоченное лицо должен быть в составе комиссии для присвоения правильной категории значимости процессу.
Второй этап. На этом этапе собираются исходные данные, проводится предпроектное обследование и на основании полученных данных, комиссия принимает решение о наличии перечня объектов КИИ, подлежащих категорированию и присваивает категорию значимости. Согласно Постановлению Правительства РФ от 08.02.2018 N 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» категорий значимости три, 1-я самая высокая.
ЧТО БУДЕТ ЕСЛИ ЭТОГО НЕ ДЕЛАТЬ?
И еще немного о мерах наказания, которые были введены за не соблюдение требований по обеспечению безопасности критической информационной структуры. Согласно Федеральному закону от 26.07.2017 № 194-ФЗ «О внесении изменений в УК РФ и УПК РФ в связи с принятием ФЗ «О безопасности КИИ РФ» максимальная мера наказания, за нарушения норм безопасности КИИ, составляет лишение свободы до 10 лет. Пожалуй, весомый аргумент!
Что такое критическая информационная структура
В этой статье я расскажу что такое критическая информационная инфраструктура простыми словами. Подробно объясню что такое критическая информационная инфраструктура (КИИ), как категорировать КИИ. Также рассмотрю вопрос, является ли медицинская информационная система (МИС) объектом критической информационной инфраструктуры.
Основной документ, который регулирует отношения в области безопасности КИИ — это Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 №187-ФЗ.
В этом законе есть несколько определений которые нужно знать и понимать (людям работающим в сфере информационной безопасности).
Критическая информационная инфраструктура — объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов.
Объекты критической информационной инфраструктуры — информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры.
Как это понимать? Есть организация, у которой имеется информационная система. Эта информационная система:
Появляется вопрос. А как понять является ли наша информационная система объектом критической информационной инфраструктуры или нет?
Это очень интересный вопрос с которым мне пришлось столкнуться. Для примера возьмем воображаемые системы: МИС «Медицина» (медицинская информационная система) и ИС «Реактор» (информационная система управления ядерным реактором). И подумаем являются ли они объектами КИИ.
Итак, для того что бы понять является ли информационная система объектом критической информационной инфраструктуры нам нужно определить ее категорию.
Категорирование объектов критической информационной инфраструктуры
Категорирование объектов критической информационной инфраструктуры проводится в соответствии с пунктом 2 статьи 7 ФЗ №187-ФЗ от 26.07.2017:
1) социальной значимости, выражающейся в оценке возможного ущерба, причиняемого жизни или здоровью людей, возможности прекращения или нарушения функционирования объектов обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи, а также максимальном времени отсутствия доступа к государственной услуге для получателей такой услуги;
2) политической значимости, выражающейся в оценке возможного причинения ущерба интересам Российской Федерации в вопросах внутренней и внешней политики;
3) экономической значимости, выражающейся в оценке возможного причинения прямого и косвенного ущерба субъектам критической информационной инфраструктуры и (или) бюджетам Российской Федерации;
4) экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду;
5) значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка.
В этом постановлении подробно расписаны критерии категорирования информационных систем. Останавливаться на тексте документа я не буду, перейдем к таблице «перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значения».
Что бы принять решение о том, является ли наша информационная система объектом КИИ проведем категорирование на основе постановления и посмотрим какие будет результаты.
То есть, если у нас есть информационная система нам нужно присвоить ей одну из трех категорий или принять решение об отсутствии у объекта категории значимости.
Так же важно понять, является ли информационная система объектом КИИ или нет. Дело в том, что если информационная система не является объектом КИИ, то сложно будет присвоить ей категорию и организовать защиту информации в соответствии с присвоенной категорией.
Категорирование медицинской информационной системы
Итак, пойдем по таблице указанной в постановлении от 8 февраля 2018 г. №127. Крайний правый столбец будет содержать данные о нашей МИС.
Давайте опишем наши информационные системы.
Пусть медицинская информационная система это система содержащая персональные данные пациентов, по сути там содержится та же информация, что и в бумажной карточке, а именно:
Информационная система «Реактор» будет содержать информацию ограниченного доступа с грифом «секретно». По сути информационная система будет управлять реактором. И мы представляем последствия полного выхода управляющей информационной системы из строя.
| Показатель | Значение показателя | МИС «Медицина» | ИС «Реактор» | ||
| III категория | II категория | I категория | |||
| I. Социальная значимость | |||||
| 1. Причинение ущерба жизни и здоровью людей (человек) | более или равно 1, но менее или равно 50 | более 50, но менее или равно 500 | более 500 | — | I категория |
| 2. Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения, в том числе объектов водоснабжения и канализации, очистки сточных вод, тепло- и электроснабжения, гидротехнических сооружений, оцениваемые: | |||||
| а) на территории, на которой возможно нарушение обеспечения жизнедеятельности населения; | вся территория одного муниципального образования или одной внутригородской территории города федерального значения | выход за пределы территории одного муниципального образования или одной внутригородской территории города федерального значения, но не за пределы территории одного субъекта Российской Федерации или территории города федерального значения | выход за пределы территории одного субъекта Российской Федерации или территории города федерального значения | — | I категория |
| б) по количеству людей, условия жизнедеятельности которых могут быть нарушены (тыс. человек) | более или равно 50, но менее 1000 | более или равно 1000, но менее 5000 | более или равно 5000 | — | III категория |
| 3. Прекращение или нарушение функционирования объектов транспортной инфраструктуры, оцениваемые: | |||||
| а) на территории, на которой возможно нарушение транспортного сообщения или предоставления транспортных услуг; | вся территория одного муниципального образования или одной внутригородской территории города федерального значения | выход за пределы территории одного муниципального образования или одной внутригородской территории города федерального значения, но не за пределы территории одного субъекта Российской Федерации или территории города федерального значения | выход за пределы территории одного субъекта Российской Федерации или территории города федерального значения | — | I |
| б) по количеству людей, для которых могут быть недоступны транспортные услуги (тыс. человек) | более или равно 50, но менее 1000 | более или равно 1000, но менее 5000 | более или равно 5000 | — | III категория |
| 4. Прекращение или нарушение функционирования сети связи, оцениваемые: | |||||
| а) на территории, на которой возможно прекращение или нарушение функционирования сети связи; | вся территория одного муниципального образования или одной внутригородской территории города федерального значения | выход за пределы территории одного муниципального образования или одной внутригородской территории города федерального значения, но не за пределы территории одного субъекта Российской Федерации или территории города федерального значения | выход за пределы территории одного субъекта Российской Федерации или территории города федерального значения | — | I категория |
| б) по количеству людей, для которых могут быть недоступны услуги связи (тыс. человек) | более или равно 50, но менее 1000 | более или равно 1000, но менее 5000 | более или равно 5000 | — | III категория |
| 5 Отсутствие доступа к государственной услуге, оцениваемое в максимальном допустимом времени, в течение которого государственная услуга может быть недоступна для получателей такой услуги (часов) | менее или равно 24, но более 12 | менее или равно 12, но более 6 | менее 6 | — | I категория |
| II. Политическая значимость | |||||
| 6. Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия) | прекращение или нарушение функционирования органа государственной власти субъекта Российской Федерации или города федерального значения | прекращение или нарушение функционирования федерального органа государственной власти | прекращение или нарушение функционирования Администрации Президента Российской Федерации, Правительства Российской Федерации, Федерального Собрания Российской Федерации, Совета Безопасности Российской Федерации, Верховного Суда Российской Федерации, Конституционного Суда Российской Федерации | — | III категория |
| 7. Нарушение условий международного договора Российской Федерации, срыв переговоров или подписания планируемого к заключению международного договора Российской Федерации, оцениваемые по уровню международного договора Российской Федерации | нарушение условий договора межведомственного характера (срыв переговоров или подписания) | нарушение условий межправительственного договора (срыв переговоров или подписания) | нарушение условий межгосударственного договора (срыв переговоров или подписания) | — | III категория |
| III. Экономическая значимость | |||||
| 8. Возникновение ущерба субъекту критической информационной инфраструктуры, который является государственной корпорацией, государственным унитарным предприятием, муниципальным унитарным предприятием, государственной компанией, организацией с участием государства и (или) стратегическим акционерным обществом, стратегическим предприятием, оцениваемого в снижении уровня дохода (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей) по всем видам деятельности (процентов прогнозируемого объема годового дохода по всем видам деятельности) | более 5, но менее или равно 10 | более 10, но менее или равно 15 | более 15 | — | I категория |
| 9. Возникновение ущерба бюджетам Российской Федерации, оцениваемого: | |||||
| а) в снижении доходов федерального бюджета, (процентов прогнозируемого годового дохода бюджета); | более 0,001, но менее или равно 0,05 | более 0,005, но менее или равно 0,1 | более 0,1 | — | III категория |
| б) в снижении доходов бюджета субъекта Российской Федерации (процентов прогнозируемого годового дохода бюджета); | более 0,001, но менее или равно 0,05 | более 0,05, но менее или равно 0,1 | более 0,1 | — | III категория |
| в) в снижении доходов бюджетов государственных внебюджетных фондов (процентов прогнозируемого годового дохода бюджета) | более 0,01, но менее или равно 0,5 | более 0,5, но менее или равно 1 | более 1 | — | III категория |
| 10. Прекращение или нарушение проведения клиентами операций по банковским счетам и (или) без открытия банковского счета или операций, осуществляемых субъектом критической информационной инфраструктуры, являющимся в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых платежных систем или системно значимой инфраструктурной организацией финансового рынка, оцениваемое среднедневным (по отношению к числу календарных дней в году) количеством осуществляемых операций, (млн. единиц) (расчет осуществляется по итогам года, а для создаваемых объектов — на основе прогнозных значений) | более 3, но менее или равно 70 | более 70, но менее или равно 120 | более 120 | — | III категория |
| IV. Экономическая значимость | |||||
| 11. Вредные воздействия на окружающую среду (ухудшение качества воды в поверхностных водоемах, обусловленное сбросами загрязняющих веществ, повышение уровня вредных загрязняющих веществ, в том числе радиоактивных веществ, в атмосферу, ухудшение состояния земель в результате выбросов или сбросов загрязняющих веществ или иные вредные воздействия), оцениваемые: | |||||
| а) на территории, на которой окружающая среда может подвергнуться вредным воздействиям; | вся территория одного муниципального образования или одной внутригородской территории города федерального значения | выход за пределы территории одного муниципального образования или одной внутригородской территории города федерального значения, но не за пределы территории одного субъекта Российской Федерации или территории города федерального значения | выход за пределы территории одного субъекта Российской Федерации или территории города федерального значения | — | I категория |
| б) по количеству людей, которые могут быть подвержены вредным воздействиям (тыс. человек) | более или равно 50, но менее 1000 | более или равно 1000, но менее 5000 | более или равно 5000 | — | III категория |
| V. Значимость для обеспечения обороны страны, безопасности государства и правопорядка | |||||
| 12. Прекращение или нарушение (невыполнение установленных показателей) функционирования пункта управления (ситуационного центра), оцениваемое в уровне (значимости) пункта управления или ситуационного центра | прекращение или нарушение функционирования пункта управления или ситуационного центра органа государственной власти субъекта Российской Федерации или города федерального значения | прекращение или нарушение функционирования пункта управления или ситуационного центра федерального органа государственной власти или государственной корпорации | прекращение или нарушение функционирования пункта управления государством или ситуационного центра Администрации Президента Российской Федерации, Правительства Российской Федерации, Федерального Собрания Российской Федерации, Совета Безопасности Российской Федерации, Верховного Суда Российской Федерации, Конституционного Суда Российской Федерации | — | III категория |
| 13. Снижение показателей государственного оборонного заказа, выполняемого субъектом критической информационной инфраструктуры, оцениваемое: | |||||
| а) в снижении объемов продукции (работ, услуг) в заданный период времени (процентов заданного объема продукции); | более 5, но менее или равно 10 | более 10, но менее или равно 15 | более 15 | — | — |
| б) в увеличении времени выпуска продукции (работ, услуг) с заданным объемом (процентов установленного времени выпуска продукции) | более 3, но менее или равно 10 | более 10, но менее или равно 40 | более 40 | — | I категория |
| 14. Прекращение или нарушение функционирования (невыполнения установленных показателей) информационной системы в области обеспечения обороны страны, безопасности государства и правопорядка, оцениваемое в максимально допустимом времени, в течение которого информационная система может быть недоступна пользователю (часов) | менее или равно 4, но более 2 | менее или равно 2, но более 1 | более 1 | — | — |
Как видно из таблицы медицинская информационная система «Медицина» не является объектом КИИ, это информационная система содержащая персональные данные и информационная безопасность системы должна выстраиваться исходя их этого факта.
А вот «Реактор» является объектом КИИ, но что бы определить реальную категорию нужны эксперты, так как я не могу с точностью сказать, например, по пункту «Возникновение ущерба бюджетам Российской Федерации, оцениваемого». Так как я не обладаю информацией о бюджете РФ и о размерах отчислений организации в бюджет.
Поэтому категорирование объектов КИИ дело довольно сложное и в большинстве случаев стоит прибегнуть к помощи сторонних организаций имеющих соответствующие лицензии ну и конечно же опыт.
Информационная безопасность объектов КИИ
После проведения категорирования, отталкиваясь от результатов вырабатываются требования к защищенности объекта.
Далее выстраивается система защиты объекта, обычно завершающим этапом является подключение к ГосСОПКА.
Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Официальный сайт.
Ответственность и наказания
Штрафы и различного рода, ответственность, присматривается не столько за саму критическую информационную инфраструктуру, сколько за нарушение федерального закона №187.
Штрафы
| Вид нарушения | Должностные лица | Юридические лица |
|---|---|---|
| Нарушение требований к созданию системы безопасности КИИ и обеспечению ее функционирования | от 10.000 до 50.000 руб. | от 50.000 до 100.000 руб. |
| Нарушение порядка информирования о компьютерных инцидентах, реагирования на них, принятию мер по ликвидации последствий компьютерных атак, проведенных в отношении КИИ | от 10.000 до 50.000 руб. | от 100.000 до 500.000 руб. |
| от 20.000 до 50.000 руб. | от 100.000 до 500.000 руб. | |
| Нарушение сроков предоставления сведений о результатах категорирования объектов КИИ или об отсутствии их категорирования во ФСТЭК | от 10.000 до 50.000 руб. | от 50.000 до 100.000 руб. |
| Нарушение сроков или порядка предоставления информации в ГосСОПКУ | от 10.000 до 50.000 руб. | от 100.000 до 500.000 руб. |
Как видите, критическая информационная инфраструктура — важная составляющая которую необходимо защищать.
Обучаю HTML, CSS, PHP. Создаю и продвигаю сайты, скрипты и программы. Занимаюсь информационной безопасностью. Рассмотрю различные виды сотрудничества.