Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ.
Дата-центры и Закон о КИИ: разбираем нюансы
| Треть российских компаний увеличивает бюджет на безопасность - SearchInform | К субъектам КИИ относятся. |
| 24 ИЮНЯ 2024 БЕЗОПАСНОСТЬ ОБЪЕКТОВ КИИ: АКТУАЛЬНЫЕ ВОПРОСЫ СОБЛЮДЕНИЯ ПРАВИЛ 187-ФЗ — ВсеПрофи24 | Субъект КИИ не реже чем один раз в 5 лет осуществляет пересмотр установленной категории значимости в соответствии с требованиями 127-П. |
| Категорирование объектов КИИ, ФСТЭК, примеры, акты | О порядке перехода субъектов КИИ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ (ПП РФ 1912). |
| Hормативные акты по КИИ | Переход субъектов КИИ РФ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ РФ должен быть завершен до 1 января 2030 года. |
Критическая информационная инфраструктура (КИИ)
После формирования комиссии идут следующие действия: 1 Формируется перечень объектов КИИ, подлежащих категорированию, с указанием сроков проведения их категорирования и согласование указанного перечня со ФСТЭК России. Акт категорирования подписывается членами комиссии и утверждается руководителем субъекта КИИ. ФСТЭК России после получения сведений о результатах категорирования от субъекта КИИ обязан в течение 30 дней проверить правильность категорирования и при выявлении нарушений возвратить направленный документ субъекту КИИ для исправления. Что будет, если не проводить категорирование?
Устанавливаются три категории значимости КИИ — от самой высокой, первой, к самой низкой, третьей. Например, далеко не каждый банк будет обладать значимым объектом КИИ после прохождения процедуры категорирования, но, в принципе, кредитные организации относятся к субъектам критической инфраструктуры, указал эксперт. Хотя 187-ФЗ вступил в силу достаточно давно, на сегодняшний день еще далеко не все организации, относимые к субъектам КИИ, прошли категорирование, подчеркнул Евгений Царев. По нему госзаказчикам с 31 марта 2022 г. Из софта к средствам защиты информации относятся программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной рабочей информации типа временных файлов, тестового контроля системы защиты и др. Так, в конце апреля глава Минцифры Максут Шадаев, выступая на годовом собрании АРПП «Отечественный софт», сообщил, что министерство очень рассчитывает на принятие в весеннюю сессию законопроекта о преимущественном использовании всеми субъектами КИИ отечественного ПО. Такой документ еще в сентябре 2022 г. В поручении говорилось, что проект должен устанавливать «требования по преимущественному использованию всеми субъектами КИИ отечественных ПО, программно-аппаратных комплексов, телекоммуникационного оборудования и радиоэлектронной продукции с учетом их готовности к массовому внедрению на принадлежащих им значимых инфраструктурных объектах».
Законопроект наделяет правительство и отраслевые ведомства правом устанавливать перечень критических информационных систем, которые будут относиться к объектам КИИ, в каждой отрасли», — указал тогда в ходе своего выступления Максут Шадаев. Кроме того, по каждой отрасли, по каждому виду таких объектов будут определяться предельные сроки перехода на российские решения, сказал министр.
Зачастую компании, органы и организации этим правом пренебрегали и минимизировали количество систем, которые определяются как КИИ, чтобы не нести существенные затраты на обеспечение информационной безопасности Артём Шейкин, член Комитета СФ по госстроительству и законодательству Сегодня в верхней палате пошёл круглый стол, где обсуждались вопросы обеспечения технологической независимости и безопасности критической информационной инфраструктуры РФ. Как сообщил глава департамента цифровых технологий Минпромторга РФ Владимир Дождев, уже готов перечень типовых объектов критической инфраструктуры , которые в обязательном порядке должны пройти категорирование и быть защищены. Сенатор Шейкин в ходе мероприятия преждожил распространить господдержку не только на разработку российского программного обеспечения, но его внедрение и сопровожение проектов в данной сфере. Это интересно.
Информационные сети и системы указанных отраслей все чаще становятся объектом для кибератак, которые проводятся и или спонсируются не только согражданами, но и представителями других государств.
Их целью является похищение ценных сведений и новейших разработок, а иногда вывод из строя атакуемых систем сетей и даже диверсии. Именно по этой причине принятие мер по защите информации ключевых отраслей находится под строгим контролем уполномоченных органов государственной власти. Основным нормативным правовым документом, регулирующим взаимодействие различных субъектов в сфере критической информационной инфраструктуры, выступает Федеральный закон от 26. Кто должен защищать КИИ?
Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт
Даже если компания-разработчик — российская, ее продукты не будут считаться российским ПО, пока они не будут включены в РРПО. Подробнее о порядке включения в реестр российского ПО писали тут , а про основные трудности включения тут. В какие сроки вы обязаны осуществить переход? Что такое доверенный ПАК? Критерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами 1. Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции. Программное обеспечение, используемое в составе программно-аппаратного комплекса, соответствует требованиям к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц« за исключением организаций с муниципальным участием , на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденным постановлением Правительства Российской Федерации от 22 августа 2022 г.
Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и или Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом сертификатом.
В рамках дискуссии Евгений Абакумов рассказал про критерии доверенности ПАК, которые видятся важными для крупнейших заказчиков: «Нам важно знать, кто является производителем решения, как выстроены процессы их разработки. Иногда бывают ситуации, когда часть приложений наших партнеров разрабатывается за границей. Этот вопрос мы должны контролировать в том числе». Среди требований к производителю и разработчику: собственная сеть сервисных центров на территории РФ; наличие прав на документацию, технологию, патентов и исключительных прав на ПО; поддержка продукта на протяжении всего жизненного цикла. Также отдельно Евгений Абакумов остановился на требованиях к аппаратному и программному обеспечению ПАК.
Председатель Ассоциации КП ПОО Рената Абдулина представила результаты анализа основных нормативных правовых актов, организационных и методических документов по обеспечению безопасности КИИ: в итоговую карту вошло более 20 документов, которые сегодня регулируют вопросы в этой сфере.
Процесс категорирования регламентируется Правилами категорирования объектов КИИ и включает несколько этапов: Создание руководителем предприятия комиссии по категорированию и утверждение плана по реализации ФЗ «О безопасности критической информационной инфраструктуры РФ». Это необходимо было реализовать до 10 июня 2018 года.
Сбор исходных данных для категорирования: определение процессов, являющихся критическими для данной организации — от управленческих до финансово-экономических, и объектов КИИ, обрабатывающих информацию, необходимую для обеспечения этих процессов. Установленный срок - до 1 августа 2018. Проведение категорирования объектов КИИ.
По его итогам составляется акт, отражающий сведения об объектах КИИ, присвоенной им категории, обоснование отсутствия необходимости ее присвоения если таковая есть , результаты анализа угроз безопасности и реализованные меры по защите информации объектов КИИ.
Кроме того что софт должен быть отечественным уже сейчас или в ближайшем будущем — тут зависит от отрасли , есть и другие требования. К решениям по обеспечению безопасности таких объектов, а также к софту для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты и или обмена информацией о компьютерных инцидентах выдвигается еще одно требование — наличие сертификата ФСТЭК или ФСБ России. В то же время, когда многие решения только появились на рынке и являются замещением программ иностранных игроков, к обязательной сертификации «правительство будет подходить в индивидуальном порядке и гибко», отмечает Евгений Царев. Общая ключевая цель — это успешная реализация программы импортозамещения и оперативное внедрение российского софта в объекты КИИ, и никто не хочет этот процесс тормозить», — указал эксперт. Так, например, среди вендоров российского офисного ПО, которые подтвердили соответствие требованиям ФСТЭК России и получили разрешение на применение в значимых объектах КИИ, является компания «МойОфис», которая разрабатывает редакторы документов, облачные, почтовые и коммуникационные решения. Когда нельзя заменить В то же время, по словам экспертов, есть программные решения, которые пока заменить крайне сложно. По словам Олега Сажина, в качестве примера можно привести специализированное ПО для промышленности и энергетики. Олег Сажин указал, что велика вероятность того, что «правительству придется на определенных условиях легализовать использование специализированного зарубежного софта на то время, пока будут идти разработка и переход на конкурентные российские аналоги».
По мнению Евгения Царева, переход полностью на отечественное ПО нужно воспринимать с оговорками. Действующие нормативные акты позволяют при крайней необходимости субъектам КИИ приобретать иностранные решения, но лишь по согласованию с отраслевым регулятором, а при стоимости контракта от 100 млн руб.
Субъект КИИ: два подхода к определению статуса
| Субъекты КИИ перейдут на российский софт к 2030 году | Ответ: Субъекты КИИ, владельцы значимых объектов КИИ, обязаны в срок не позднее 90 календарных дней с момента включения данного объекта в реестр значимых объектов КИИ. |
| Субъект КИИ: два подхода к определению статуса | Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. |
| О критической информационной инфраструктуре (КИИ) | Новые субъекты КИИ, индикаторы риска нарушения требований при обработке ПДн, сертификация МЭ уровня сети и СУБД, импортозамещение в финансовой сфере. |
| Обновлены проекты о переводе субъектов КИИ на отечественный софт | Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. |
| О критической информационной инфраструктуре (КИИ) | Права и обязанности субъектов КИИ, реестр значимых объектов (ЗО) КИИ, надзорная деятельность регулятора. |
ВсеПрофи24
В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Субъекты критической информационной инфраструктуры (КИИ) должны предоставлять во ФСТЭК сведения в том числе о программных, программно-аппаратных средствах, а также. К субъектам КИИ относятся.
Что такое критическая информационная инфраструктура?
В КоАП внесена ответственность за предоставление недостоверных сведений о категорировании объектов КИИ, а также утверждены правки в процедуру категорирования объектов КИИ и. Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. Министерство цифрового развития, связи и массовых коммуникаций России готовит документ, в соответствии с которым субъекты телевещания признают объектами критической. После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию. Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. Что такое КИИ и кто попадает под ФЗ-187? Обязанности субъектов КИИ: категорирование объектов КИИ, обеспечение интеграции с ГосСОПКА, принятие мер по безопасности объектов.
Владельцы социально значимых объектов КИИ будут использовать ПАК
Артём Шейкин. Зачастую компании, органы и организации этим правом пренебрегали и минимизировали количество систем, которые определяются как КИИ, чтобы не нести существенные затраты на обеспечение информационной безопасности Артём Шейкин, член Комитета СФ по госстроительству и законодательству Сегодня в верхней палате пошёл круглый стол, где обсуждались вопросы обеспечения технологической независимости и безопасности критической информационной инфраструктуры РФ. Как сообщил глава департамента цифровых технологий Минпромторга РФ Владимир Дождев, уже готов перечень типовых объектов критической инфраструктуры , которые в обязательном порядке должны пройти категорирование и быть защищены. Сенатор Шейкин в ходе мероприятия преждожил распространить господдержку не только на разработку российского программного обеспечения, но его внедрение и сопровожение проектов в данной сфере.
Оператор связи это субъект КИИ?
Законодатель пошел простым путем, он ввел критерии, по которым можно быстро определить является организация субъектом КИИ или нет. То есть субъектами КИИ операторов связи обозначили сразу, а далее каждый утверждает отсутствие, наличие и количество объектов КИИ, описывает их и обеспечивает выполнение мер для обнаружения, предупреждения и ликвидации последствий компьютерных атак. Надзорный орган производит оценку действий и решений субъектов КИИ, контролирует и корректирует их работу. Необходимо провести инвентаризацию следующих систем: Информационных базы данных, файлы данных ; Программных системное и прикладное ПО ; Технических компьютеры, сервера, коммутационное оборудование, носители данных.
В случае с операторами связи необходимо выделить критические процессы, прекращение и некорректная работа которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, в том числе у других субъектов КИИ, которые обеспечивают оборону, безопасность и правопорядок государства и критической информационной инфраструктуры. Необходимо провести анализ угроз безопасности информации, мониторинг критических процессов и уязвимостей, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ, а также рассмотреть возможные действия нарушителей: создать модель угроз нарушителя безопасности информации. С чего начать? Все начинается с создания комиссии, которая будет делать анализ информации и процессов компании, создавать приказы, положения и принимать решение о наличии и отсутствии объектов КИИ.
По результатам обсуждения правового комитета ассоциации "Ростелесеть" мы рекомендуем для рассмотрения следующий список потенциальных участников комиссии: Руководитель компании или уполномоченное лицо генеральный директор, его заместитель ; Руководители, понимающие все технологические процессы в компании и их взаимосвязь технический директор, главный инженер ; Специалист, отвечающий за информационную безопасность главный администратор сети ; Сотрудник, отвечающий за гражданскую оборону и чрезвычайные ситуации если есть ; Специалист по защите государственной тайны если есть ; Специалист финансово-экономического подразделения: для расчета показателей экономической значимости экономист ; Специалист юридических подразделений: для проверки корректности соблюдения процедуры и оформления документов юрист. Рекомендованный состав больше относится к крупным операторам связи и лишь подсказывает кандидатов и затрагиваемые аспекты оценки процессов. Для небольших компаний этот перечень лучше сократить. Комиссия формирует положение о комиссии по категорированию объектов критической информационной инфраструктуры, где прописывает все принципы работы комиссии.
Такой НПА может лечь в основу разграничения полномочий и ответственности при определении политики достижения технологического суверенитета, а также задаст для организаций различных отраслей экономики единый вектор на пути достижения технологической независимости. Кроме того, представители крупнейших компаний страны озвучили запрос на информационное и консультационное сопровождение процессов импортозамещения на объектах КИИ для получения компетентных разъяснений, например, как трактовать пункты нормативных актов или как применять методические рекомендации. Сегодня тема технологической независимости критической информационной инфраструктуры находится на стыке нескольких направлений и, безусловно, в этом вопросе нам нужно регулирование, дополнительный понятийный аппарат. Сегодня Председатель Правительства поручил всем индустриальным центрам компетенций провести работу по выделению критических информационных систем и процессов, с точки зрения устойчивости к вызовам и угрозам, связанным с не утратой контроля за теми инструментами, которые мы у себя применяем. Такую работу мы проведем, типовые объекты КИИ утвердим, посоветовавшись с отраслями, после чего должны будут появиться планы перехода, которые станут отображением матрицы: что мы должны поменять, почему, на что, когда и зачем. Работа для нас понятная, ведем ее вместе со всеми отраслями. Вице-президент Транснефти Андрей Бадалов высказал обеспокоенность большим количеством отчетных показателей по импортозамещению. При этом ключевыми показателями должны стать безопасность и непрерывность работы и это в прямом смысле не эквивалентно просто импортозамещению. Важно выбрать такие отечественные решения, которые обеспечат более высокий уровень безопасности КИИ, чем импортные.
Делать это надо, сохраняя устойчивость КИИ. Мы многое будем делать впервые и важно в этом вопросе не торопиться. Решения не просто должны заработать, но и обеспечить в компаниях непрерывность и безопасность их производственных процессов.
Юрист, экономист, член комитета ТПП РФ по предпринимательству в сфере медиакоммуникаций Павел Катков добавляет, что объекты КИИ категорируются исходя из их социальной значимости и величины возможного ущерба интересам России в вопросах внутренней и внешней политики; экономической значимости и возможного причинения прямого и косвенного ущерба бюджетам страны; экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду. А также значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка. В зависимости от этого объектам присваивается категория — первая, вторая или третья. Для узкого круга лиц Все опрошенные юристы отмечают, что новые поправки не имеют никакого отношения к закрытию Единого государственного реестра недвижимости, которое произошло в июле 2022 года. В результате стало невозможным просто так получить выписку из ЕГРН. Тогда же внесли изменения и в закон о нотариате, поскольку нотариус теперь является одним из немногих лиц, которое может получить доступ к данным о недвижимости. Поэтому включение оператора реестра недвижимости в перечень субъектов российской КИИ не сильно влияет на текущее положение дел", — подчёркивает Максим Али. При этом он отмечает, что в сфере регистрации недвижимости этот закон вряд ли как—то критически повлияет на текущее положение дел. Поэтому это важно для достаточно узкого круга лиц", — полагает он. На объекте недвижимого имущества может быть инфраструктура, которая подвергается атакам, поэтому внесение в список КИИ тут видится логичным, убеждён Павел Катков.
Как и кому необходимо подключаться к ГосСОПКА
| Обновление подборки законодательства о КИИ на сентябрь 2023 | Около трети направленных сведений о результатах присвоения объекту КИИ категории значимости ФСТЭК России возвращает промышленным объектам на доработку. |
| Теперь все серьезно: как меняется безопасность субъектов КИИ | В решение для безопасности объектов критической информационной инфраструктуры (КИИ) мы объединили продукты Positive Technologies. |
| Вопрос-ответ | Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. |
| Критическая информационная инфраструктура (КИИ) | Согласно документу, к субъектам критической информационной инфраструктуры (КИИ) теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном. |
| ПП РФ 1912 от 14.11.2023 - Обзор. Блог Альтирикс Групп. | Категорирование субъектов КИИ осуществляется на основе критериев значимости и показателей их значений, а также соблюдением установленного порядка. |
Подписан закон об изменении перечня субъектов критической информационной инфраструктуры
Депутаты Госдумы РФ в третьем чтении приняли поправки в закон "О безопасности критической информационной инфраструктуры РФ". Его действие распространили на сферу регистрации сделок с недвижимостью. В среду, 5 июля, законопроект поступит на рассмотрение Совета Федерации РФ. Согласно документу, к субъектам критической информационной инфраструктуры КИИ теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, функционирующие в сфере государственной регистрации недвижимости. Например, есть системы, связанные со здравоохранением, транспортом, обороной, безопасностью. Читайте также: Болтун — находка для хакера: нейросети стали помогать мошенникам "Государство заинтересовано в том, чтобы предотвращать компьютерные атаки и сбои в этих системах, так как они угрожают безопасности как страны, так и жизни граждан.
У субъекта КИИ, то есть у организаций, которые к этим системам имеют отношение, есть ряд обязанностей. С недавних пор через ГосСОПКА передаются также и сведения об инцидентах, связанных с утечкой персональных данных", — объясняет он. По большому счёту закон не устанавливает большое количество обязанностей, но довольно чётко регламентирует взаимодействие государственных органов и субъектов КИИ. Например, 1 мая 2022 года был принят указ президента, по которому субъекты КИИ, относящиеся к государственным или связанным с государством, должны выполнять ряд дополнительных действий.
ИС автоматизированного проектирования, или САПР, предназначены для автоматизации работы инженеров-проектировщиков, конструкторов, архитекторов, дизайнеров. Основными функциями подобных систем являются: инженерные расчеты, создание графической и проектной документации, моделирование проектируемых объектов. Интегрированные корпоративные ИС используются для автоматизации всех функций предприятия и охватывают весь цикл работ от проектирования до сбыта продукции. Учитывая тот факт, что цифровая трансформация в той или иной степени уже затронула большинство сфер экономики страны, к объектам КИИ могут быть причислены любые информсистемы, ИТК-сети, автоматизированные системы управления АСУ. К числу ключевых ИС можно причислить информсистемы операторов связи, банков, медицинских организаций, железнодорожных и авиакомпаний и др. Очевидно: если информационная система функционирует в области здравоохранения, в банковской и финансовой сфере, в организациях транспорта и связи, ТЭК, атомной промышленности, ВПК, ракетно-космической промышленности РКП , горнодобывающей промышленности, металлургической и химической промышленности, она по определению является важным объектом, которому необходимо обеспечить безопасность. В любом случае он запущен, и сроки перехода уже обозначены на уровне руководства страны. Так, запрет на закупку зарубежного ПО для госструктур действует с 31 марта 2022 года. Полностью отказаться от него они должны с 1 января 2025 года. При этом требование по переводу на отечественное ПО распространяется на все объекты, категорированные как КИИ, независимо от того, являются ли они государственными или частными организациями. Кроме того, Минпромторг России уже разработал порядо к перехода объектов критической информационной инфраструктуры КИИ на программно-аппаратные комплексы ПАКи. Это должно простимулировать процесс и помочь организациям в решении вопроса с переходом на отечественное ПО, чтобы он состоялся в срок и прошел максимально безболезненно. Соответствующий Проект постановления правительства РФ предлаг ает владельцам о бъектов КИИ некий алгоритм действий, который позволит осуществить такой переход своевременно и без информационных потерь. Для начала организации должны будут провести аудит собственных объектов КИИ и разработать план действий. А уже к апрелю 2023 года владельцы объектов должны спланировать переход на ПАКи отечественного производства на основе российского ПО, находящегося в реестрах Минпромторга и Минцифры. Понятно, что в связи с отсутствием зарубежных аналогов отечественные организации в любом случае будут переходить на ПО российского производства.
В конце января Государственная дума приняла в первом чтении законопроект об отнесении к субъектам критической информационной инфраструктуры КИИ владельцев информационных систем в сфере государственной регистрации недвижимости. Подписывайтесь на «Газету. Ru» в Дзен и Telegram.
Для крупных корпораций и промышленных предприятий с развитой ИБ-экспертизой предназначен пул решений из уровня защиты Kaspersky Expert Security , состоящий из взаимосвязанных и взаимодополняющих друг друга компонентов. Благодаря тесной интеграции бизнес получает набор решений, удовлетворяющий требованиям регулирующих органов и повышающий устойчивость системы безопасности к новым и сложным угрозам. Его центральный элемент - SIEM-система Kaspersky Unified Monitoring and Analysis Platform KUMA , которая предназначена для централизованного сбора, анализа и корреляции событий информационной безопасности из различных источников данных. Она предлагает единую консоль мониторинга, анализа и реагирования на киберугрозы. Рабочие места по-прежнему остаются основной мишенью злоумышленников и удобными точками входа при проведении кибератак. Поэтому важно в первую очередь начинать выстраивать свою передовую защиту с рабочих мест и серверов. Kaspersky EDR как раз позволяет защитить их, обеспечивая сбор, запись и хранение информации о событиях безопасности и обеспечивает централизованное расследование и реагирование на сложные кибератаки, направленные на инфраструктуру конечных точек. По нашим оценкам, в среднем в мире ущерб для крупных предприятий превышает 1 миллион долларов. Поэтому так важно внедрять комплексные защитные решения". Это мощная система информационной безопасности класса XDR Extended Detection and Response , которая предоставляет специалистам по информационной безопасности полную картину событий как на уровне сети, так и в инфраструктуре рабочих мест и серверов и обеспечивает их эффективную защиту от сложных угроз и целевых атак. Все больше компаний осознают важность своевременного обнаружения и реагирования на кибератаки. Как подчеркивают эксперты, делиться информацией о новом вредоносном ПО и техниках злоумышленников очень важно.
С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК
В конце января Государственная дума приняла в первом чтении законопроект об отнесении к субъектам критической информационной инфраструктуры КИИ владельцев информационных систем в сфере государственной регистрации недвижимости. Подписывайтесь на «Газету. Ru» в Дзен и Telegram.
С недавних пор через ГосСОПКА передаются также и сведения об инцидентах, связанных с утечкой персональных данных", — объясняет он. По большому счёту закон не устанавливает большое количество обязанностей, но довольно чётко регламентирует взаимодействие государственных органов и субъектов КИИ. Например, 1 мая 2022 года был принят указ президента, по которому субъекты КИИ, относящиеся к государственным или связанным с государством, должны выполнять ряд дополнительных действий. Например, назначать ответственное лицо, которое должно следить за компьютерными инцидентами, предоставлять доступ к своим системам сотрудникам ФСБ. Эти требования устанавливались на фоне многочисленных компьютерных атак, с которыми столкнулись многие российские организации и государственные органы", — добавляет Максим Али. Экономика, экология и оборона Анна Сарбукова, ведущий юрисконсульт практики интеллектуальной собственности юридической компании ЭБР, обращает внимание, что сейчас субъектами КИИ являются организации очень во многих сферах: здравоохранения, транспорта, связи, энергетики, банковской деятельности и финансового рынка, топливно—энергетического комплекса, атомной энергии, оборонной и ракетно—космической. Кроме того, к ним относятся информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, а также российские юридические лица и индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.
Юрист, экономист, член комитета ТПП РФ по предпринимательству в сфере медиакоммуникаций Павел Катков добавляет, что объекты КИИ категорируются исходя из их социальной значимости и величины возможного ущерба интересам России в вопросах внутренней и внешней политики; экономической значимости и возможного причинения прямого и косвенного ущерба бюджетам страны; экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду. А также значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка. В зависимости от этого объектам присваивается категория — первая, вторая или третья.
Как правило, в информационных системах разработки заводятся тикеты. По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета. Тем самым будет обеспечена прослеживаемость закрытия выявленных уязвимостей. Информирование о выявленных уязвимостях и компенсирующих мероприятиях конечных пользователей. В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий.
Оповещение конечного пользователя об окончании жизненного цикла ПО. К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь.
Перечислим эти документы: Требования к подразделениям и должностным лицам субъектов государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по обнаружению компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по установлению причин и ликвидации последствий компьютерных инцидентов, связанных с функционированием информационных ресурсов Российской Федерации; Методические рекомендации по проведению мероприятий по оценке степени защищенности от компьютерных атак; Регламент взаимодействия подразделений Федеральной службы безопасности Российской Федерации и организации при осуществлении информационного обмена в области обнаружения, предупреждения и ликвидации последствий компьютерных атак. Чтобы стать субъектом ГосСОПКА и построить центр ГосСОПКА необходимо: Иметь лицензию ФСБ России на право осуществления работ, связанных с использованием сведений, составляющих государственную тайну, в случае если им обрабатывается соответствующая информация, либо осуществляется деятельность по мониторингу информационных систем, обрабатывающих сведения, составляющие государственную тайну. Порядок лицензирования определен постановлением Правительства Российской Федерации от 15 апреля 1995 г. Иметь лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации по услугам мониторинга информационной безопасности средств и систем информатизации. Порядок лицензирования определен постановлением Правительства Российской Федерации от 3 февраля 2012 г. Иметь одну из следующих лицензий ФСБ России на право: осуществления работ, связанных с созданием средств защиты информации, содержащей сведения, составляющие государственную тайну; деятельности по разработке, производству, распространению шифровальных криптографических средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных криптографических средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных криптографических средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных криптографических средств. Составить документацию:.
Обновление подборки законодательства о КИИ на сентябрь 2023
К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг. С 1 сентября 2024 г. субъектам КИИ России будет запрещено приобретать и использовать ПАК, которые не является доверенными. Таким образом, закон предусматривает два вида субъектов КИИ — владельцы объектов КИИ и координаторы взаимодействия этих объектов. Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ. По нему к субъектам КИИ относятся те организации, которые для страны жизненно важны и потому должны работать при любой ситуации.