Значимые субъекты КИИ должны перейти к использованию доверенных программно-аппаратных комплексов на своих объектах до 1 января 2030 года. Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО. Докладчик: Алексей КомаровВторой вебинар из серии: "Безопасность КИИ и требования 187-ФЗ"Темы: Главные определения, их смысловое наполнение, практические нюа.
Кто пользуется КИИ?
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году | GST
- Список субъектов КИИ расширен сферой госрегистрации недвижимости
- Похожие статьи
- Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
Новые требования для “железа” и иностранного ПО для субъектов КИИ
Такие организации в Законе называются субъектами КИИ. Какие действия должны предпринять субъекты КИИ для выполнения Закона? Согласно закону, субъекты КИИ должны: провести категорирование объектов КИИ; обеспечить интеграцию встраивание в Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; принять организационные и технические меры по обеспечению безопасности объектов КИИ. Что подлежит категорированию? Категорированию подлежат объекты КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и или иные процессы в рамках выполнения функций полномочий или осуществления видов деятельности субъектов КИИ. Что в себя включает категорирование объектов КИИ?
Категорирование объекта КИИ предполагает определение его категории значимости на основе ряда критериев и показателей. Всего устанавливается три категории — первая, вторая или третья в порядке убывания значимости. Если объект КИИ не соответствует ни одному из установленных критериев, ему категория не присваивается. В реестр включается следующая информация: наименование значимого объекта КИИ; сведения о взаимодействии значимого объекта КИИ и сетей электросвязи; сведения о лице, эксплуатирующем значимый объект КИИ; присвоенная категория значимости; сведения о программных и программно-аппаратных средствах, используемых на значимом объекте КИИ; меры, применяемые для обеспечения безопасности значимого объекта КИИ. Важно отметить, что если в процессе категорирования было определено отсутствие категории значимости у объекта КИИ, результаты категорирования все равно должны быть представлены во ФСТЭК России.
Регулятор проверяет представленные материалы и при необходимости направляет замечания, которые должен учесть субъект КИИ. Как проводить категорирование объектов КИИ?
С целью выработки единых подходов ассоциация "Ростелесеть" формирует для своих участников рекомендованные документы. По мере корректировки видения этот пакет документов будет меняться и расширяться. Сроки исполнения Большинство государственных органов и учреждений уже прошли этап создания комиссии, утверждения перечня объектов КИИ и их категорирования. Процесс активно проходит с 2017 года. Для коммерческих компаний эти даты можно рассматривать как рекомендованные, ФСТЭК уже начал рассылать запросы участникам ассоциации, а привлечение прокуратуры в качестве дополнительного контроля подсказывает, что операторам уже сейчас необходимо запускать процедуры и быть готовыми к проверкам.
Помимо регуляторной нагрузки, операторы, которые реально запустили процедуры изучения процессов и безопасности своих информационных систем и телекоммуникационных сетей, говорят, что данный процесс не получится быстро закрыть. Необходимо разобраться, какие системы присутствуют на предприятии, создать систему оценки уровня безопасности. Такая систематизация дает возможность увидеть слабые звенья, упорядочить вопрос доступов, рассмотреть слабые места и механизмы их устранения. Необходимо находить и положительные моменты в такой систематизации и работе. Поэтому рекомендуем не откладывать процесс, мы уверены, что в ближайшее время усилится контроль и появятся жесткие наказания за попустительство в вопросе КИИ. Правовая база Указ Президента РФ от 22 декабря 2017 г. N 236 "Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий"; Приказ ФСТЭК России от 25 декабря 2017г.
СУБД 5 класса защиты - 2 категории значимости. СУБД 4 класса защиты - 1 категории значимости. Многофункциональные МЭ уровня сети 5 класса защиты - 2 категории значимости.
В письме РСПП, выдержки из которого опубликованы в РБК , приводятся следующие аргументы против готовящейся директивы: Переход предприятий, управляющих КИИ, на российское ПО и оборудование потребует существенные затраты, что приведет к росту цен и снижению конкуренции на рынке, а в конечном счете к ухудшению качества услуг и отставанию в развитии разных сегментов рынка. В перечень предприятий, которые собираются обязать выполнять требования, включены наименее важные объекты третьей категории и объекты без присвоенной категории.
Не только те, от которых зависит информационная безопасность и обороноспособность страны. Шохин приводит в пример частные банки, поликлиники, мобильных операторов, операторов по продаже билетов. По мнению главы РСПП, на российском рынке мало ПО и оборудования, которые могут заменить импортные аналоги, "только 49 из 3827 позиций перечня российской радиоэлектронной продукции "теоретически" могут быть использованы на производстве, указывает он, ссылаясь на анализ, проведенный представителями промышленности", говорится в статье. Бизнес опасается того, что требования будут ужесточены в процессе внедрения. То есть получается, что мы можем доказать необходимость использования иностранного ПО и оборудования на наших предприятий, но регулятор в любой момент введет дополнительные требования", — ответили в РСПП по запросу ТАСС. Что отвечают IT-компании Разработчики, то есть те компании, которые должны осуществить импортозамещение на объектах КИИ, не согласны с позицией РСПП и предприятий, выступающих против готовящихся требований.
Разделы сайта
- Hормативные акты по КИИ
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
- К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование
- Ваше сообщение отправлено
Перечень объектов критической информационной инфраструктуры будет расширен
Кто же такие субъекты КИИ? субъекты КИИ) на принадлежащих им значимых объектах не. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Министерство цифрового развития, связи и массовых коммуникаций РФ предложило обязать субъекты КИИ «преимущественно использовать» отечественный софт с 1 января 2021 года и. Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. Было проверено более 400 объектов КИИ, принадлежащие 73 субъектам.
Правила перехода субъектов КИИ к эксплуатации ПАК
- Похожие статьи
- Безопасность критической информационной инфраструктуры
- К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование
- Безопасность КИИ | Защита критической информационной инфраструктуры | 187-ФЗ
Субъекты КИИ перейдут на российский софт к 2030 году
Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Планы перехода субъектов КИИ на доверенные программно-аппаратные комплексы к следующему сентябрю уже должны быть утверждены. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Именно с такого подхода рекомендует начинать ФСТЭК при определении принадлежности Организации к субъектам КИИ. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ.
Hормативные акты по КИИ
И закон о персональных данных как раз одну из этих ситуаций разбирает — когда субъект персональных данных, кто-то из нас, вынужден по жизненным причинам кому-то эту информацию передать. И получается, что он уже не может сам обеспечивать ее защиту — ее должен обеспечивать тот, кто ее контролирует, там, где она обрабатывается. Но банк, медицинская организация или какая-то другая компания, получив персональные данные, смотрят на эту информацию совершенно под другим углом — они оценивают свои риски, если с ней что-то случится, а не риски того человека, который ее передал. Они смотрят на это не как на персональные данные, а в лучшем случае как на коммерческую тайну. Это можно назвать удачей с точки зрения субъекта ПДн: если персональные данные совпадают с коммерческой тайной допустим, информация из CRM страховой компании , то понятно, что если такая компания эту информацию каким-то образом не сохранит, то сама пострадает — у нее, к примеру, переманят клиентов. Она заинтересована в конфиденциальности этой информации, поэтому она защищает свою базу данных и заодно обеспечивает интересы тех субъектов, которые эти сведения передали. Но это — не частая история. Чаще всего операторы персональных данных — работодатели, например, — склонны эту информацию не причислять ни к коммерческой тайне, ни к конфиденциальным данным, ведь они же оценивают именно свои риски. При передаче информации каждому отдельному человеку сложно договориться, как работодатель будет ее защищать — человек некомпетентен, мало что понимает в ИБ.
Может быть, он немного нервничает на этот счет, но не более того. Поэтому государство берет на себя вопросы защиты интересов граждан. Как это формулирует государство: операторы персональных данных, которые получают эти данные от субъектов, должны учитывать интересы этих самых субъектов, а не только свои собственные. Картинка складывается: есть «нормативка», можно ее обсуждать, насколько она хороша — оставим за скобками, но сама идея правильна. Иначе интересы граждан никак не защитишь. Пустить дело на самотек — не вариант. Отсюда и понятно, почему персональные данные мало кто хочет защищать. Что-то навязано сверху, рисков для себя организация не видит, она видит риски того, что их будет «прижимать» регулятор.
В сообществе по информационной безопасности возникло понятие «регуляторные риски» — то есть в качестве вероятной проблемы рассматривается не то, что от разглашения информации кто-то пострадает, а то, что тебя за это могут как-то наказать. Если кто-то является лицензиатом ФСТЭК и ФСБ — а такие организации есть, — и если у них что-то не в порядке с персональными данными, то им, скорее всего, будут задавать вопросы, когда надо будет продлевать лицензию. Эти вещи организации начинают учитывать. И у нас получается вывернутая ситуация: операторы персональных данных защищаются от регулятора, а не защищают персональные данные. Поэтому большинство операторов персональных данных останавливается на том, что разрабатывает комплект организационно-распорядительной документации, которую демонстрирует при проверках. Роскомнадзор пришел, проверка проходит, документальная часть — нормальная, там всё описано, а что в реальности происходит — может, проверяющие и увидят какие-то несоответствия, но это маловероятно. При проверках, как правило, изучается только бумажная часть. То, что процесс существует только на бумаге и не реализуется, обычно при проверках не вскрывается.
Почему-то у нас всё пошло, если мы говорим от 152-ФЗ, в неправильное русло. Ответственность есть за обработку и хранение, а не за факт утечки. Если я как физическое лицо передаю свои данные, я заинтересован не в том, чтобы они там обрабатывались и защищались какими-то специальными средствами, а в том, чтобы они просто не утекали. И мне кажется, в этом заключается риск для меня как для физического лица. Получается, регулятор сейчас за это не наказывает. Существующая «нормативка» не учитывает инциденты по утечкам. Такая ситуация скорее защищает интересы операторов: есть список требований, и если ты их выполнил — ты молодец. Если ты выполнил все требования, но информация утекла, — ты всё равно молодец.
Ты сделал всё, что должен был сделать. И такая парадигма устраивает операторов ПДн. Но на самом деле она — сомнительная. Она, возможно, пришла из пожарной безопасности: там тоже, если все требования выполнены — стены не горючие, огнетушители развешаны и так далее, — но всё равно всё сгорело, люди погибли, то в итоге разводят руками и говорят: «Ну, у нас же всё в порядке было, огнетушители висели, извините». И в принципе это так сейчас и происходит: если у тебя были какие-то нарушения по пожарной части и случился пожар, то это — уголовная ответственность. А если ты всё правильно защищал, но всё равно случился пожар, то, как и в персональных данных, ты — молодец, просто так получилось. А субъекты персональных данных пострадали, на их паспортные данные кто-то берет мошеннические кредиты. Сейчас в обществе безопасности начинает всплывать эта тема, обсуждается неэффективность такой парадигмы, все интересуются, как быть, если инцидент всё-таки случится.
И многие кивают на западный опыт, который традиционно на шаг или даже поболее впереди нас. Я думаю, с точки зрения интересов субъектов персональных данных правильно пользоваться другой терминологией — «нормативкой» не по пожарной безопасности, а, допустим, по работе банков. Если, скажем, ты берешь деньги, относишь в банк, а потом приехали ребята с автогеном, с динамитом и твои деньги из банка украли — это не твои проблемы, это проблемы банка, и всё равно он эти деньги должен будет тебе вернуть. И с точки зрения защиты персональных данных — чужой информации — мы должны прийти к аналогичной ситуации. Если утекает информация, то речь должна идти не о штрафах, а о компенсациях владельцам персональных данных. Логика следующая: если у тебя украли деньги, то с ними понятно — вот они здесь, а вот их нет. Если украли персональные данные, то ты уже не можешь сделать «как было» — найти в интернете украденные сведения и стереть их. Соответственно, речь должна идти о какой-то компенсации.
Достаточно сложно выработать механизм расчета, сколько надо компенсировать, в том числе — в зависимости от того, какие потенциальные данные хранились и какой ущерб, в том числе моральный, их утечка могла нанести владельцам этих персональных данных.
Рекомендации эксперта. Обзор требований ПП-127. Аутсорсинг функций Центра ГосСОПКА Обеспечения безопасности объектов КИИ на примерах компьютерных атак на промышленные объекты Разъяснения по составу сфер деятельности, в которых компьютерные атаки могут провоцировать техногенные аварии, экологические катастрофы, социальные потрясения и наносить серьезный ущерб Система безопасности значимых объектов КИИ: основы построения систем обеспечения безопасности информации Требования к системе безопасности значимых объектов КИИ. Структура процессов по КИИ. Рекомендуемый формат описание Процесса.
Как проводить категорирование объектов КИИ? Показатели критериев значимости, а также порядок и сроки категорирования определены в «Правилах категорирования объектов критической информационной инфраструктуры Российской Федерации» утверждённых соответствующим постановлением правительства от 8 февраля 2018 г. Правила регламентируют процедуру категорирования, а также содержат перечень критериев и их показатели для значимых объектов КИИ первой, второй и третьей категории. Согласно Правилам, процедура категорирования включает в себя: Определение субъектом КИИ перечня всех процессов, выполняемых в рамках своей деятельности. Выявление критических процессов, то есть тех процессов, нарушение и или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, управления и контроля ими. Формирование перечня объектов КИИ, подлежащих категорированию. Перечень объектов для категорирования подлежит согласованию с ведомством-регулятором, утверждается субъектом КИИ и в течение 5 рабочих дней после утверждения направляется во ФСТЭК России. Оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ в соответствии с показателями, указанных в Правилах.
Всего предусматривается 14 показателей, определяющих социальную, политическую, экономическую значимость объекта КИИ, а также его значимость для обеспечения правопорядка, обороны и безопасности страны. Присвоение каждому из объектов КИИ одной из категорий значимости в соответствии с наивысшим значением показателей, либо принятие решения об отсутствии необходимости присвоения категории. Категорирование должно проводиться как для существующих, так и для создаваемых или модернизируемых объектов КИИ специальной комиссией под председательством руководителя субъекта КИИ или уполномоченного им лица , его работников и, при необходимости, приглашённых специалистов ведомств-регуляторов в соответствующей сфере. Решение комиссии оформляется соответствующим актом и в течение 10 дней после его утверждения направляется во ФСТЭК России.
Закупить такое ПО можно лишь после согласования с профильным ведомством. В полном объёме мера вступит в силу в 2025 году.
Как выполнить требования закона о защите критической инфраструктуры
Субъекты КИИИ: кто это, подходы к определению статуса субъекта критической информационной инфраструктуры, определение сферы деятельности субъекта КИИ и как не. Значимые субъекты КИИ должны перейти к использованию доверенных программно-аппаратных комплексов на своих объектах до 1 января 2030 года. К субъектам КИИ относятся. Согласно документу, к субъектам критической информационной инфраструктуры (КИИ) теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном. Вывод строя или уничтожение субъектов КИИ подорвет безопасность, экономическую ситуацию, общественное здравоохранение. Основные сферы, в которых могут быть объекты КИИ. Ответ: Субъекты КИИ, владельцы значимых объектов КИИ, обязаны в срок не позднее 90 календарных дней с момента включения данного объекта в реестр значимых объектов КИИ.
Новые требования для субъектов КИИ: безопасная разработка прикладного ПО
По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета. Тем самым будет обеспечена прослеживаемость закрытия выявленных уязвимостей. Информирование о выявленных уязвимостях и компенсирующих мероприятиях конечных пользователей.
В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий. Оповещение конечного пользователя об окончании жизненного цикла ПО.
К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла.
Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ.
Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь. На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий.
Сегодня Председатель Правительства поручил всем индустриальным центрам компетенций провести работу по выделению критических информационных систем и процессов, с точки зрения устойчивости к вызовам и угрозам, связанным с не утратой контроля за теми инструментами, которые мы у себя применяем. Такую работу мы проведем, типовые объекты КИИ утвердим, посоветовавшись с отраслями, после чего должны будут появиться планы перехода, которые станут отображением матрицы: что мы должны поменять, почему, на что, когда и зачем. Работа для нас понятная, ведем ее вместе со всеми отраслями. Вице-президент Транснефти Андрей Бадалов высказал обеспокоенность большим количеством отчетных показателей по импортозамещению. При этом ключевыми показателями должны стать безопасность и непрерывность работы и это в прямом смысле не эквивалентно просто импортозамещению. Важно выбрать такие отечественные решения, которые обеспечат более высокий уровень безопасности КИИ, чем импортные. Делать это надо, сохраняя устойчивость КИИ. Мы многое будем делать впервые и важно в этом вопросе не торопиться. Решения не просто должны заработать, но и обеспечить в компаниях непрерывность и безопасность их производственных процессов. Мы понимаем, что иногда запрашиваем большое количество информации по различным вопросам, связанным с объектами КИИ, однако, эта детализация необходима, чтобы в том числе понимать в каких областях есть сложности и где требуется скорректировать подходы.
Директор дирекции информационных технологий, автоматизации и телекоммуникаций «Газпром нефти» Антон Думин поднял вопрос неоднозначного толкования понятийного аппарата в нормативной базе: Не всегда однозначно трактуются термины, которые применяются, например, такие как «программно-аппаратные комплексы» или что означает понятие «импортозаместить» внутри КИИ. Хотелось бы, чтобы мы выстраивали понятийный аппарат, учитывая, как будут реализовываться намеченные планы в горизонте десяти лет, а не двух.
Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред Совета по развитию цифровой экономики при СФ, член Комитета верхней палаты по госстроительству и законодательству Артём Шейкин. Он отметил, что поправок ждут с осени 2022 года, и они просто необходимы для ускорения реализации положений Указов Президента РФ об обеспечении технологической независимости и безопасности критической информационной инфраструктуры страны, перехода на отечественный софт и «железо». Артём Шейкин. Зачастую компании, органы и организации этим правом пренебрегали и минимизировали количество систем, которые определяются как КИИ, чтобы не нести существенные затраты на обеспечение информационной безопасности Артём Шейкин, член Комитета СФ по госстроительству и законодательству Сегодня в верхней палате пошёл круглый стол, где обсуждались вопросы обеспечения технологической независимости и безопасности критической информационной инфраструктуры РФ.
Для этого не надо быть филологом. Учёт и контроль - кого или чего? А как в НПА? Если мы откроем зарегистрированные в Минюсте приказы ФСТЭК России, регулирующие вопросы учёта направления сведений , ведения реестра , то увидим, что там учитывается сфера деятельности именно объекта КИИ, а не субъекта, в нумерации объектов предусмотрена ситуация: «В случае если значимый объект критической информационной инфраструктуры функционирует в нескольких сферах областях деятельности или расположен на территории нескольких федеральных округов, второй и третьей группам цифр присваивается обозначение сферы области деятельности или территории, указанные субъектом критической информационной инфраструктуры первыми. Обозначение других сфер областей деятельности, в которых функционирует значимый объект критической информационной инфраструктуры, или территорий федеральных округов, на которых он располагается, вносится в графу Реестра, содержащую дополнительные сведения о значимом объекте критической информационной инфраструктуры ». Водоканал - субъект КИИ? Когда-то наблюдал дискуссию по отнесению или неотнесению предприятий системы «Водоканал» к субъектам КИИ. Да, сферы деятельности организации по обеспечению жизнедеятельности населённых пунктов впрямую нет.
Но почему сразу надо делать вывод про субъект КИИ?