В решение для безопасности объектов критической информационной инфраструктуры (КИИ) мы объединили продукты Positive Technologies. Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели. По нему к субъектам КИИ относятся те организации, которые для страны жизненно важны и потому должны работать при любой ситуации. Субъектам КИИ, выполняющим гособоронзаказ, теперь следует рассчитывать увеличение времени изготовления для единицы продукции. Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года.
ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
| Безопасность КИИ | Защита критической информационной инфраструктуры | 187-ФЗ | Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО, планирующие. |
| ВсеПрофи24 | Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. |
Обеспечение безопасности КИИ
Как отмечает министерство, по таким объектам КИИ правительство будет устанавливать сроки перехода на российские ИТ-продукты. Согласно тексту проекта, в частности, предлагается наделить правительство полномочиями устанавливать требования к используемым на значимых объектах КИИ программному обеспечению ПО и радиоэлектронной продукции, в том числе - к телеком-оборудованию и программно-аппаратным комплексам ПАК. Также правительство будет устанавливать случаи и порядок согласования использования на значимых объектах КИИ иностранного ПО, радиоэлектроники, телеком-оборудования и ПАК. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования.
Требования включают в том числе: необходимость владения шифровальными средствами и лицензии на деятельность по разработке, производству, распространению шифровальных криптографических средств последнее актуально для операторов ; наличие в штате не менее 2 работников, осуществляющих эксплуатацию указанных информационных систем; обязательное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; использование для аутентификации программного обеспечения, входящего в единый реестр российского программного обеспечения ; использование для обработки биометрических ПДн векторов ЕБС, находящихся только на территории Российской Федерации; для операторов — обязательность выполнения требований по обеспечению безопасности информации в соответствии с ч. Постановление также утверждает Правила осуществления аккредитации для владельцев и операторов информационных систем, обеспечивающих аутентификацию физических лиц. Согласно Правилам, аккредитация проводится Минцифры России.
Правила включают порядок подачи и рассмотрения заявления на аккредитацию, содержание такого заявления, сроки мероприятий в рамках получения аккредитации, основания для приостановления и прекращения действия аккредитации, внесения изменений в перечень аккредитованных органов, а также порядок обжалования полученных решений. Постановление вступает в силу с 1 июня 2023 года и действует до 1 июня 2029 года. Электронные документы, удостоверяющие личность Для общественного обсуждения представлен проект Указа Президента Российской Федерации «О предъявлении документов с использованием информационных технологий». Общественное обсуждение проекта завершилось 27 апреля, по итогам обсуждения опубликована версия, доработанная в соответствии с поступившими предложениями. Согласно проекту, предъявление сведений из документов, удостоверяющих личность, размещенных в мобильном приложении федеральной государственной информационной системы «Единый портал государственных и муниципальных услуг» Госуслуги будет приравниваться к предъявлению оригинала таких документов. Использование мобильного приложения для указанных целей осуществляется гражданами добровольно.
Согласно проекту, Президент РФ постановляет Правительству РФ определить порядок и условия применения мобильного приложения, а также состав и порядок обработки и защиты предъявляемых сведений. При этом для использования мобильного приложения необходимо применять шифровальные криптографические средства защиты, указанные в ч1. Проект находится на стадии независимой антикоррупционной экспертизы. Приказ вносит ряд изменений, в том числе: уточнены критерии проверки требований, предъявляемых к организации обработки персональных данных далее — ПДн по поручению; уточнены критерии проверки выполнения требований в части трансграничной передачи данных; добавлена проверка обязательности обслуживания клиента при его отказе в предоставлении биометрических ПДн; добавлены критерии проверки соблюдения требований по уведомлению об инцидентах защиты ПДн; добавлены критерии проверки соблюдения требований по процедурам прекращения обработки ПДн и их уничтожению и т. Цифровые отпечатки в финансовых сервисах Центральный Банк Российской Федерации опубликовал Стандарт обеспечения безопасности финансовых сервисов с использованием технологии цифровых отпечатков устройств. Стандарт устанавливает рекомендации по формированию цифровых отпечатков устройств в рамках дистанционного предоставления финансовых и банковских услуг для кредитных и некредитных финансовых организаций.
Под цифровым отпечатком в стандарте понимается идентификатор устройства, сформированный в виде производного значения из значений параметров устройства, позволяющий идентифицировать устройство пользователя при получении им банковских и финансовых услуг. Стандарт формируется для противодействия осуществлению переводов денежных средств без согласия клиента, расследования инцидентов защиты информации, использования в качестве фактора аутентификации. Стандарт содержит общее описание технологии цифрового отпечатка и ограничения ее использования, алгоритм формирования отпечатка, рекомендации по его хранению и применению. Административные регламенты ФСТЭК России Опубликован проект приказа Федеральной службы по техническому и экспортному контролю Российской Федерации далее — ФСТЭК России , предлагающий отменить административные регламенты по исполнению государственной функции по контролю за соблюдением лицензионных требований при: осуществлении деятельности по разработке и производству средств защиты конфиденциальной информации.
Так на сегодняшний день более чем по 1 700 объектам не соблюдены сроки представления сведений о результатах их категорирования, установленные в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации. Пройти процедуру категорирования непросто. Также не учитывается, что инцидент на одном объекте может привести к цепной реакции инцидентов по всем объектам, что может существенно увеличить значение показателей значимости. Проблемы могут возникнуть и у тех, кто прошел процедуру категорирования и работает над модернизацией системы обеспечения безопасности или даже завершает этот процесс.
Простой пример: в результате обследования объектов в прошлом году мы изучали немало результатов аудитов прошлых периодов, которые так и остались лежать на полке. То есть аудит был проведен, но дальше дело не пошло. Главной причиной пересмотреть расходы на безопасность в субъектах КИИ стала политическая ситуация, на фоне которой изменилось законодательство, усилился курс на импортозамещение и ушло множество западных ИБ-компаний с рынка. Как результат, наиболее радикальные изменения потребовались в организациях, где ранее использовали иностранные средства защиты. Кроме того, в нормативном поле появилось предъявление требований к операторам ПДн в части информирования регуляторов об инцидентах ИБ. Но и это еще не все — уже скоро в стране введут оборотные штрафы за утечку персональных данных. Анатолий Сазонов Руководитель направления безопасности промышленных предприятий Infosecurity a Softline company В связи со всеми законодательными изменениями бизнес и госструктуры понимают, что им необходимо правильно строить или улучшать существующую систему ИБ, опираясь при этом преимущественно на отечественные решения. Куда уходят деньги Как отмечают собеседники Cyber Media, в 2022 году основная масса средств направлялась на замену иностранных решений. В итоге к 2023 году субъекты КИИ подошли с разной степенью готовности: часть компаний успела полностью заменить системы защиты, другая — спроектировать и закупить, третья — только запланировать. Именно поэтому в текущем году тренд продолжается — ведется проектирование, закупка, внедрение и доработка систем для защиты КИИ. И хотя инвестиции возросли, безопасность критической инфраструктуры пока зачастую остается на том же уровне. Но это в лучшем случае. Есть немало историй с печальным финалом — сетуют эксперты. Федор Музалевский Директор технического департамента RTM Group Дело в том, что даже кратный рост бюджета не позволяет покупать средства защиты больше или лучше. Рост цен на отечественные межсетевые экраны, средства управления уязвимостями и иные технические средства защиты информации — все это нивелирует рост бюджета. Более того, многие субъекты КИИ, которые планировали приобретение дополнительного ПО в прошлом году, сейчас вынуждены тратить бюджет на замену уже имеющихся неподдерживаемых импортных решений отечественными. По словам Федора Музалевского, девиз российских вендоров «второго такого шанса повышать цены не будет» обернулся катастрофическим снижением реальной безопасности.
Обновление подборки законодательства о КИИ на сентябрь 2023
нарушить правила обмена информацией об инцидентах (в частности, между субъектами КИИ). На официальном веб-ресурсе правовой информации появился документ, предполагающий расширение перечня субъектов критической информационной инфраструктуры (КИИ). До 1 января 2030 г. субъекты критической информационной инфраструктуры (КИИ) обязаны перевести принадлежащие им значимые объекты на доверенные программно-аппаратные. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования.
Hормативные акты по КИИ
| Категорирование объектов КИИ (187-ФЗ) | Security | Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. |
| Дата-центры и Закон о КИИ: разбираем нюансы | Около трети направленных сведений о результатах присвоения объекту КИИ категории значимости ФСТЭК России возвращает промышленным объектам на доработку. |
Категорирование объектов КИИ
Субъект КИИ не реже чем один раз в 5 лет осуществляет пересмотр установленной категории значимости в соответствии с требованиями 127-П. Мониторинг перехода субъектов КИИ на преимущественное применение российского ПО предлагается закрепить за Минцифры. Категорирование объектов КИИ проведение работ всех категорий от здравоохранения до МО. Именно с такого подхода рекомендует начинать ФСТЭК при определении принадлежности Организации к субъектам КИИ. В обзоре изменений за апрель 2023 года рассмотрим: дополнительные требования для значимых объектов КИИ с удаленным управлением, госконтроль и аккредитация. К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг.
Обновление подборки законодательства о КИИ на сентябрь 2023
Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели. Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ. Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года.
ВсеПрофи24
Статический анализ кода без его исполнения. Это уже техническая мера, и она требует внедрения специального инструмента — статического анализатора кода. По результатам анализа нескольких проверок безопасности статическим анализатором проекта ПО необходимо провести так называемую «разметку»: сопоставить выявленные ошибки и предупреждения с тем, являются ли они на самом деле недостатками ПО. Также в правила статического анализатора можно добавить необходимую стилистику оформления исходного кода, которая принята в проекте. При каком-либо отступлении от нее разработчику необходимо будет в комментариях указывать причину. Динамический анализ кода с его исполнением.
В простейшем случае динамический анализ кода проводится в виде ряда тестов: модульного, регрессионного и системного. Модульные тесты разрабатываются на те функции, которые принимают входные значения из внешних данных то есть составляют поверхность атаки. В ходе инструментирования кода счетчиками ошибок санитайзерами и отладочными аллокаторами необходимо провести автоматизированный запуск этих тестов, собрать тестовое покрытие и проанализировать результаты. На основании результатов можно в том числе увидеть участки кода, которые в ходе выполнения не были задействованы, а значит, требуют дополнительного внимания. К примеру, они могут быть проверены на отсутствие недекларированных возможностей в ручном режиме.
Фаззинг-тестирование с его исполнением. Для данного процесса необходимо разработать специальные функции либо наборы входных данных методами «мутационного» или «генерационного» фаззинга , которые подаются на вход тех же самых функций, составляющих поверхность атаки. И точно так же, как в динамическом анализе, для фаззинга собирается покрытие и анализируются результаты, а выявленные ошибки включаются в план устранения недостатков. Отслеживание исправления ошибок, уязвимостей в ходе жизненного цикла. На данном этапе проводится автоматизация процедур реагирования на выявленные уязвимости, которые возникли в ходе разработки либо по сообщениям от пользователей.
И у нас получается вывернутая ситуация: операторы персональных данных защищаются от регулятора, а не защищают персональные данные. Поэтому большинство операторов персональных данных останавливается на том, что разрабатывает комплект организационно-распорядительной документации, которую демонстрирует при проверках. Роскомнадзор пришел, проверка проходит, документальная часть — нормальная, там всё описано, а что в реальности происходит — может, проверяющие и увидят какие-то несоответствия, но это маловероятно. При проверках, как правило, изучается только бумажная часть. То, что процесс существует только на бумаге и не реализуется, обычно при проверках не вскрывается. Почему-то у нас всё пошло, если мы говорим от 152-ФЗ, в неправильное русло. Ответственность есть за обработку и хранение, а не за факт утечки. Если я как физическое лицо передаю свои данные, я заинтересован не в том, чтобы они там обрабатывались и защищались какими-то специальными средствами, а в том, чтобы они просто не утекали. И мне кажется, в этом заключается риск для меня как для физического лица. Получается, регулятор сейчас за это не наказывает.
Существующая «нормативка» не учитывает инциденты по утечкам. Такая ситуация скорее защищает интересы операторов: есть список требований, и если ты их выполнил — ты молодец. Если ты выполнил все требования, но информация утекла, — ты всё равно молодец. Ты сделал всё, что должен был сделать. И такая парадигма устраивает операторов ПДн. Но на самом деле она — сомнительная. Она, возможно, пришла из пожарной безопасности: там тоже, если все требования выполнены — стены не горючие, огнетушители развешаны и так далее, — но всё равно всё сгорело, люди погибли, то в итоге разводят руками и говорят: «Ну, у нас же всё в порядке было, огнетушители висели, извините». И в принципе это так сейчас и происходит: если у тебя были какие-то нарушения по пожарной части и случился пожар, то это — уголовная ответственность. А если ты всё правильно защищал, но всё равно случился пожар, то, как и в персональных данных, ты — молодец, просто так получилось. А субъекты персональных данных пострадали, на их паспортные данные кто-то берет мошеннические кредиты.
Сейчас в обществе безопасности начинает всплывать эта тема, обсуждается неэффективность такой парадигмы, все интересуются, как быть, если инцидент всё-таки случится. И многие кивают на западный опыт, который традиционно на шаг или даже поболее впереди нас. Я думаю, с точки зрения интересов субъектов персональных данных правильно пользоваться другой терминологией — «нормативкой» не по пожарной безопасности, а, допустим, по работе банков. Если, скажем, ты берешь деньги, относишь в банк, а потом приехали ребята с автогеном, с динамитом и твои деньги из банка украли — это не твои проблемы, это проблемы банка, и всё равно он эти деньги должен будет тебе вернуть. И с точки зрения защиты персональных данных — чужой информации — мы должны прийти к аналогичной ситуации. Если утекает информация, то речь должна идти не о штрафах, а о компенсациях владельцам персональных данных. Логика следующая: если у тебя украли деньги, то с ними понятно — вот они здесь, а вот их нет. Если украли персональные данные, то ты уже не можешь сделать «как было» — найти в интернете украденные сведения и стереть их. Соответственно, речь должна идти о какой-то компенсации. Достаточно сложно выработать механизм расчета, сколько надо компенсировать, в том числе — в зависимости от того, какие потенциальные данные хранились и какой ущерб, в том числе моральный, их утечка могла нанести владельцам этих персональных данных.
Но тем не менее это можно разработать. И тогда защита персональных данных станет сбалансированной. С пониманием того, что утечка персональных данных одного субъекта грозит компенсацией в таком-то размере, ситуация сразу нормализуется. Возникает конкретный финансовый риск организации — не нарушение, которое регулятор, может быть, не заметит, не штраф 75000 рублей, который не так уж велик для крупных организаций, а реальный финансовый риск, даже если это — 10 рублей за одну запись. Десять рублей — это условная сумма: конечно, если человеку в результате утечки придется менять паспорт, то мы говорим про совсем иные суммы компенсаций. Мой прогноз — так или иначе мы к этому придем. На «SOC-Форуме» один из выступающих сказал, что это — гражданские отношения, сами субъекты персональных данных должны эту ответственность где-то прописать. Но это — не работающее право. Если ты придешь в страховую и скажешь: «Я не буду с вами договор страхования заключать, если вы мне не гарантируете, что в случае утечки моих персональных данных вы мне заплатите 3000 рублей», то на тебя посмотрят как на идиота. Точно так же, как если бы до 2006 года кто-то начал «качать права», что это — мои персональные данные, давайте я вам напишу список, как вы должны их охранять.
Так не будет работать. Порядок нужно доверить государству, а государству — брать это всё в свои руки и регламентировать эти вопросы. Если говорить об утечке биометрических данных — что человек будет делать? Он же не может пальцы или лицо заменить? Ответственность той организации, которая защищает биометрические данные, должна быть в разы выше? Но если украден рисунок радужной оболочки глаза, то человек по сути теряет возможность такой идентификации. И для него это начинает быть проблемой: ему нужно удалить это отовсюду, где он им пользовался, и в дальнейшем этого не применять. Для человека это — потери, и это тоже можно посчитать в деньгах. Если речь — про отпечаток пальца, то придется пользоваться не привычным, а остальными. И это — тоже некое неудобство, которое можно также просчитать.
Выявление критических процессов, то есть тех процессов, нарушение и или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, управления и контроля ими. Формирование перечня объектов КИИ, подлежащих категорированию. Перечень объектов для категорирования подлежит согласованию с ведомством-регулятором, утверждается субъектом КИИ и в течение 5 рабочих дней после утверждения направляется во ФСТЭК России. Оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ в соответствии с показателями, указанных в Правилах.
Всего предусматривается 14 показателей, определяющих социальную, политическую, экономическую значимость объекта КИИ, а также его значимость для обеспечения правопорядка, обороны и безопасности страны. Присвоение каждому из объектов КИИ одной из категорий значимости в соответствии с наивысшим значением показателей, либо принятие решения об отсутствии необходимости присвоения категории. Категорирование должно проводиться как для существующих, так и для создаваемых или модернизируемых объектов КИИ специальной комиссией под председательством руководителя субъекта КИИ или уполномоченного им лица , его работников и, при необходимости, приглашённых специалистов ведомств-регуляторов в соответствующей сфере. Решение комиссии оформляется соответствующим актом и в течение 10 дней после его утверждения направляется во ФСТЭК России. Предоставленные материалы в тридцатидневный срок со дня получения проверяются регулятором на соответствие порядку осуществления категорирования и оценивается правильность присвоения категории.
Категория значимого объекта КИИ может быть изменена по мотивированному решению ФСТЭК России в рамках государственного контроля безопасности значимых объектов КИИ, в случае изменения самого объекта КИИ, а также в связи с реорганизацией субъекта КИИ в том числе ликвидацией, изменением его организационно-правовой формы и т. ГосСОПКА представляет собой единый территориально распределенный комплекс, включающий силы и программно-технические средства обнаружения, предупреждения и ликвидации последствий компьютерных атак далее — силы и средства ОПЛ КА. К силам ОПЛ КА относятся: уполномоченные подразделения ФСБ России; национальный координационный центр по компьютерным инцидентам, который создается ФСБ России для координации деятельности субъектов КИИ по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных инцидентов; подразделения и должностные лица субъектов КИИ, которые принимают участие в обнаружении, предупреждении и ликвидации последствий компьютерных атак и в реагировании на компьютерные инциденты.
Уполномоченные органы должны ежегодно до 1 мая обновлять эти планы. После утверждения они направляют их субъектам КИИ. Субъекты, в свою очередь, должны разработать личный план перехода, включающий: Общие сведения.
Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт
| Вопрос-ответ | По таким объектам КИИ установят сроки перехода на российские продукты. |
| О критической информационной инфраструктуре (КИИ) | Права и обязанности субъектов КИИ, реестр значимых объектов (ЗО) КИИ, надзорная деятельность регулятора. |
| Обновление подборки законодательства о КИИ на сентябрь 2023 | | Мы рассмотрели, кто такой субъект критической информационной инфраструктуры, что такое объект КИИ и какие необходимо выполнить действия для выполнения требований ФСТЭК. |
| Критично, чтобы российское - «Ведомости. Импортозамещение» | Переход субъектов КИИ РФ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ РФ должен быть завершен до 1 января 2030 года. |
| К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование | Статья про идентификацию объектов КИИ и субъектов КИИ. |
Импортозамещение ПО для критической информационной инфраструктуры
Это уже техническая мера, и она требует внедрения специального инструмента — статического анализатора кода. По результатам анализа нескольких проверок безопасности статическим анализатором проекта ПО необходимо провести так называемую «разметку»: сопоставить выявленные ошибки и предупреждения с тем, являются ли они на самом деле недостатками ПО. Также в правила статического анализатора можно добавить необходимую стилистику оформления исходного кода, которая принята в проекте. При каком-либо отступлении от нее разработчику необходимо будет в комментариях указывать причину. Динамический анализ кода с его исполнением. В простейшем случае динамический анализ кода проводится в виде ряда тестов: модульного, регрессионного и системного. Модульные тесты разрабатываются на те функции, которые принимают входные значения из внешних данных то есть составляют поверхность атаки. В ходе инструментирования кода счетчиками ошибок санитайзерами и отладочными аллокаторами необходимо провести автоматизированный запуск этих тестов, собрать тестовое покрытие и проанализировать результаты. На основании результатов можно в том числе увидеть участки кода, которые в ходе выполнения не были задействованы, а значит, требуют дополнительного внимания. К примеру, они могут быть проверены на отсутствие недекларированных возможностей в ручном режиме.
Фаззинг-тестирование с его исполнением. Для данного процесса необходимо разработать специальные функции либо наборы входных данных методами «мутационного» или «генерационного» фаззинга , которые подаются на вход тех же самых функций, составляющих поверхность атаки. И точно так же, как в динамическом анализе, для фаззинга собирается покрытие и анализируются результаты, а выявленные ошибки включаются в план устранения недостатков. Отслеживание исправления ошибок, уязвимостей в ходе жизненного цикла. На данном этапе проводится автоматизация процедур реагирования на выявленные уязвимости, которые возникли в ходе разработки либо по сообщениям от пользователей. Как правило, в информационных системах разработки заводятся тикеты.
С выходом данного Постановления в области критической информационной инфраструктуры выделены следующие аспекты: Значимые субъекты КИИ должны перейти к использованию доверенных программно-аппаратных комплексов на своих объектах до 1 января 2030 года.
В соответствии с определениями в документе, ПАК включает в себя радиоэлектронные продукты, телекоммуникационное оборудование, программное обеспечение и технические средства, используемые для решения задач субъектов КИИ. С 1 сентября 2024 года запрещено использование комплексов, не являющихся доверенными, за исключением случаев единичных, произведенных в России.
Артём Шейкин. Зачастую компании, органы и организации этим правом пренебрегали и минимизировали количество систем, которые определяются как КИИ, чтобы не нести существенные затраты на обеспечение информационной безопасности Артём Шейкин, член Комитета СФ по госстроительству и законодательству Сегодня в верхней палате пошёл круглый стол, где обсуждались вопросы обеспечения технологической независимости и безопасности критической информационной инфраструктуры РФ. Как сообщил глава департамента цифровых технологий Минпромторга РФ Владимир Дождев, уже готов перечень типовых объектов критической инфраструктуры , которые в обязательном порядке должны пройти категорирование и быть защищены.
Сенатор Шейкин в ходе мероприятия преждожил распространить господдержку не только на разработку российского программного обеспечения, но его внедрение и сопровожение проектов в данной сфере.
С 21 марта 2023 года вступают в силу требования постановления Правительства N 2360 новая редакция постановления Правительства N 127 по использованию перечней типовых отраслевых объектов КИИ, мониторингу подведомственных субъектов КИИ, информированию ФСТЭК о нарушениях подведомственных субъектов КИИ, а также по изменению состава показателей критериев значимости. В случае изменения категории значимости сведения о результатах пересмотра категории значимости направляются в ФСТЭК.
Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
Организация создает соответствующую комиссию, определяет объекты категорирования, которым затем присваиваются категории значимости: самая высокая категория - первая, самая низкая - третья. Третий этап - разработать мероприятия по взаимодействию с ФСБ России. Это относится к субъектам КИИ как с значимыми, так и с незначимыми объектами КИИ, так как организация должна обеспечить соответствие 9 статьи ФЗ-187 часть 2 , в частности, незамедлительно информировать о компьютерных инцидентах федеральные органы исполнительной власти. На этом этапе разрабатывается и утверждается регламент информирования НКЦКИ об инцидентах, также организация подключается к технической инфраструктуре НКЦКИ при выборе этого способа информирования. Алексей Киселев. Фото: Пресс-служба "Лаборатории Касперского". Тем организациям, у которых есть значимые объекты КИИ, также надо соблюдать требования ФСТЭК по обеспечению их безопасности, выполнять предписания должностных лиц ФСТЭК об устранении нарушений в части соблюдения требований к обеспечению безопасности значимых объектов КИИ, что означает создать систему защиты и установить защитные решения.
Решения "Лаборатории Касперского" защищают критические IT-инфраструктуры крупнейших российских банков, промышленных предприятий, федеральных органов власти и госкорпораций. В основе этих продуктов лежат передовые технологии многоуровневой защиты, многие из которых являются уникальными", - рассказал Алексей Киселев, менеджер по развитию бизнеса "Лаборатории Касперского". Какие есть решения Решения "Лаборатории Касперского" для КИИ помогают закрыть требования закона и обеспечить реальную безопасность организации. Для крупных корпораций и промышленных предприятий с развитой ИБ-экспертизой предназначен пул решений из уровня защиты Kaspersky Expert Security , состоящий из взаимосвязанных и взаимодополняющих друг друга компонентов. Благодаря тесной интеграции бизнес получает набор решений, удовлетворяющий требованиям регулирующих органов и повышающий устойчивость системы безопасности к новым и сложным угрозам.
Субъекты КИИ обязаны: незамедлительно информировать о компьютерных инцидентах ГосСОПКА; оказывать содействие ГосСОПКА; в случае установки на объектах критической информационной инфраструктуры средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, обеспечивать выполнение порядка, технических условий установки и эксплуатации таких средств, их сохранность; проводить категорирование объектов КИИ, определять значимые объекты КИИ ст. Категорирование — это присвоение всем объектам КИИ, принадлежащим компании, категории значимости. Критерии для присвоения категории значимости тут. Значимые объекты КИИ — это программы и информационные системы, атаки на которые повлекут существенный социальный, экономический или экологический вред. Критерии определения критичности вреда выделяются в Перечне показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений.
К значимым объектам КИИ предъявляются дополнительные особые требования, а именно: на значимых объектах КИИ должно использоваться российское ПО; на значимых объектах КИИ должны использоваться доверенные программно-аппаратные комплексы. Что имеется в виду под российским ПО? Российское программное обеспечение — Программное обеспечение, в том числе в составе программно-аппаратного комплекса, сведения о котором включены в единый реестр российского ПО.
Процесс категорирования регламентируется Правилами категорирования объектов КИИ и включает несколько этапов: Создание руководителем предприятия комиссии по категорированию и утверждение плана по реализации ФЗ «О безопасности критической информационной инфраструктуры РФ». Это необходимо было реализовать до 10 июня 2018 года. Сбор исходных данных для категорирования: определение процессов, являющихся критическими для данной организации — от управленческих до финансово-экономических, и объектов КИИ, обрабатывающих информацию, необходимую для обеспечения этих процессов. Установленный срок - до 1 августа 2018. Проведение категорирования объектов КИИ. По его итогам составляется акт, отражающий сведения об объектах КИИ, присвоенной им категории, обоснование отсутствия необходимости ее присвоения если таковая есть , результаты анализа угроз безопасности и реализованные меры по защите информации объектов КИИ.
Основные положения: Согласно новой редакции статьи 19. Напоминаем также, что согласно требованиям пункта 19. С 21 марта 2023 года вступают в силу требования постановления Правительства N 2360 новая редакция постановления Правительства N 127 по использованию перечней типовых отраслевых объектов КИИ, мониторингу подведомственных субъектов КИИ, информированию ФСТЭК о нарушениях подведомственных субъектов КИИ, а также по изменению состава показателей критериев значимости.
Секретные адреса: сделки с недвижимостью защитили от хакеров
Самый важный этап для успешного завершения проекта — это качественное проведение категорирования и аудита объектов КИИ. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Современные вызовы КИИ российской промышленности», сообщает пресс-служба Ассоциация КП ПОО.