Марченко также напомнил о законодательстве в сфере КИИ – на слайдах более десятка различных нормативных документов, в том числе о проверках субъектов КИИ.
Дата-центры и Закон о КИИ: разбираем нюансы
Субъект КИИ — это организация, т.е. государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, у кого присутствует объект КИИ. Кабмин внес в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры РФ на использование российского программного обеспечения (ПО). Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. 2. Создание и бесплатное распространение для субъектов КИИ автоматизированной системы федерального уровня по передаче информации об объектах КИИ (на связанных с ГТ) 3. Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом.
Описание услуги категорирования объектов КИИ
- С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК -
- Наши проекты
- Получить консультацию
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
- Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
Обновлены проекты о переводе субъектов КИИ на отечественный софт
| ВсеПрофи24 | Новости законодательства. |
| Как и кому необходимо подключаться к ГосСОПКА | Для подключения субъекта КИИ к ГосСОПКА необходимо направить письменный запрос в ФСБ России по адресу: 107031, г. Москва, ул. Большая Лубянка д. 1/3. |
| Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818 - ФСТЭК России | К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг. |
Что такое КИИ?
В части субъектов КИИ, осуществляющих деятельность в сфере связи, за исключением указанных организаций, рассмотрение перечней и сведений осуществляется управлением ФСТЭК России по федеральному округу, на территории которого расположены указанные субъекты КИИ.
Соответствующий Проект постановления правительства РФ предлаг ает владельцам о бъектов КИИ некий алгоритм действий, который позволит осуществить такой переход своевременно и без информационных потерь. Для начала организации должны будут провести аудит собственных объектов КИИ и разработать план действий. А уже к апрелю 2023 года владельцы объектов должны спланировать переход на ПАКи отечественного производства на основе российского ПО, находящегося в реестрах Минпромторга и Минцифры.
Понятно, что в связи с отсутствием зарубежных аналогов отечественные организации в любом случае будут переходить на ПО российского производства. Задача российских разработчиков — обеспечить их конкурентноспособным ПО. Безопасности, как известно, много не бывает, тем более если речь идет о сохранности данных. КИИ — это системы, атаки по которым могут привести к серьезным экономическим, политическим, социальным или экологическим последствиям.
Документ, запрещающий использование зарубежного ПО на объектах КИИ, разработан как раз в целях обеспечения безопасности. Вмешательство через импортный софт может полностью остановить работу организаций, что приведет к серьезным социальным и технологическим последствиям. В этой связи отказ от иностранного софта и переход на отечественное ПО неизбежен. Иностранного оборудования до последнего времени применялось достаточно много и сегодня его необходимо замещать, параллельно создавая новое.
Каких решений не хватает? За это время отечественные компании-разработчики создали большое количество ПО и оборудования, которые могут быть использованы для КИИ. В реестр Минцифры РФ, по последним данным, включено 14, 6 тыс. Это неплохие цифры.
При этом доля российского программного обеспечения на отечественных промышленных предприятиях составляет всего четверть.
Особенность защиты технологических сетей состоит в том, что инцидентов не очень много — публичными являются всего несколько в год по всему миру. И внутренняя оценка рисков из-за этого страдает — нет правильной оценки риска возникновения инцидента, он воспринимается как маловероятный. И это накладывает свой отпечаток. Когда со сцены «SOC-Форума» звучало, что, мол, как же вы, ребята, не выполняете требования закона, не защищаете себя самих — это некорректно.
Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Внутренняя модель рисков работает. Поэтому закон именно расширяет охват, заставляет защищать от последствий не столько себя самого, сколько остальных. Понятно, что если реализовать требования закона и подзаконных актов, более защищенным станет именно объект КИИ — он будет менее подвержен тому спектру угроз, который там прописан. И в том числе повысится внутренняя безопасность предприятия, и в примере выше не надо будет надевать противогазы — резервуар не лопнет от хакерской атаки.
Для того чтобы всё это заработало, мало просто порассуждать об этом. Надо действительно что-то менять. Сейчас в плане обеспечения выполнения требований закона о КИИ у нас есть статья Уголовного кодекса 274. В принципе, она достаточно серьезна — там есть несколько пунктов, часть из них говорит как раз об атаках с внешней стороны: если кто-то зловредный нарушит работу объекта КИИ и это нанесет ущерб, то статья работает, кого-то сажают. Даже есть судебные прецеденты — несколько месяцев назад на Дальнем Востоке было судебное решение по отношению к группе лиц, которые что-то «нахимичили» с объектом КИИ, им дали условные сроки от 2 до 3 лет.
Это — одна из первых правоприменительных практик на этот счет. И есть пункты, которые касаются ответственности за безопасность объекта КИИ в самой организации: если ты не соблюдаешь установленные правила эксплуатации и в результате что-то произошло, то уголовная ответственность тоже должна наступить. Насколько это эффективно, пока не очень понятно. Если в случае с персональными данными ответственность очевидно может стать финансовой, и ущерб можно компенсировать, то в случае с инцидентами на объекте КИИ сделать это сложнее. Вот есть предприятие, остановилась подача электричества, полгорода сидело во тьме несколько часов.
Как это предприятие должно компенсировать ущерб? Можно предполагать, что какая-то ответственность прописана. Например, если электрические провода обрываются в случае внезапных погодных проблем, то ни о каких компенсациях речи нет — ремонтная бригада просто выезжает и натягивает эти провода. По-моему, простым гражданам никаких компенсаций в таком случае не положено — люди просто сидят без света и ждут, когда всё починят. Следует ли отдавать это на откуп хозяйствующим субъектам, или государству тоже нужно брать бразды в свои руки?
Если страдают другие юридические организации, тоже достаточно крупные, у нас культура в области кибербезопасности меняется и, возможно, в договорах между генераторами и потребителями электроэнергии могут появиться пункты про компенсации. Но у нас же есть физлица, у которых отключение электричества — это самый простой вариант. А если химическое облако полетело — это вред здоровью. Есть и другие последствия. Если это — крупное предприятие, и оно обеспечивает определенный процент поступлений средств в местный бюджет, то у него возникнут проблемы с производством, упадет прибыль, оно меньше заплатит налогов.
Это — один из рисков, которые рассматриваются в рамках 187-ФЗ. Ты уже пострадал, а тут приходит налоговая инспекция и говорит: «Прибыль у вас упала, вы недоплатили налогов, потому что плохо защищали. К такому механизму возникает много вопросов. А есть еще моменты, связанные с нарушением обороноспособности. Приходит Минобороны и говорит: «Родина в опасности, потому что вы плохо защищали объект КИИ и сорвали гособоронзаказ.
Как вы будете это компенсировать? С другой — инциденты возникают нечасто, что позволит воспринимать их как некий форс-мажор. Возможно, стоит прописывать это в договорах наряду с другими вариантами прерывания получения услуги. И если всё-таки ядовитое облако накрывает город, то это — серьезная ситуация: здесь возможен коллективный иск в сторону предприятия, что оно должно компенсировать потерю здоровья, лечение достаточно большой группе людей. И, наверное, этот механизм может быть работающим.
Встает вопрос о верификации инцидентов. У нас информацию об инцидентах почти никто не публикует. Передавать ее надо, но обязанности такой нет. Как в ряде случаев определить, что это было — кибератака или какой-то сбой оборудования? Это же — разная ответственность.
Но здесь удивляет позиция правоохранительных органов. Если есть явная информация, что скорее всего совершено преступление, украдены персональные данные из какого-то конкретного банка — надо провести проверку. Есть экспертные организации, которые расследуют, — надо это сделать с их помощью. Я допускаю, что есть ситуации, в которых достоверно не разберешься. Но большинство крупных прецедентов, связанных с массовыми утечками данных, не так часто происходит, они все — на слуху.
И важно, чтобы эта функция со стороны правоохранительных органов появилась и работала — надо разбираться, приезжать в банк, проверять ритейлеров, всех «протрясти».
Например, если появится требование, чтобы все документы для госзакупок подавались именно в таком формате и были подготовлены именно в этой программе, пояснил Евгений Царев. Кроме того что софт должен быть отечественным уже сейчас или в ближайшем будущем — тут зависит от отрасли , есть и другие требования. К решениям по обеспечению безопасности таких объектов, а также к софту для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты и или обмена информацией о компьютерных инцидентах выдвигается еще одно требование — наличие сертификата ФСТЭК или ФСБ России.
В то же время, когда многие решения только появились на рынке и являются замещением программ иностранных игроков, к обязательной сертификации «правительство будет подходить в индивидуальном порядке и гибко», отмечает Евгений Царев. Общая ключевая цель — это успешная реализация программы импортозамещения и оперативное внедрение российского софта в объекты КИИ, и никто не хочет этот процесс тормозить», — указал эксперт. Так, например, среди вендоров российского офисного ПО, которые подтвердили соответствие требованиям ФСТЭК России и получили разрешение на применение в значимых объектах КИИ, является компания «МойОфис», которая разрабатывает редакторы документов, облачные, почтовые и коммуникационные решения. Когда нельзя заменить В то же время, по словам экспертов, есть программные решения, которые пока заменить крайне сложно.
По словам Олега Сажина, в качестве примера можно привести специализированное ПО для промышленности и энергетики. Олег Сажин указал, что велика вероятность того, что «правительству придется на определенных условиях легализовать использование специализированного зарубежного софта на то время, пока будут идти разработка и переход на конкурентные российские аналоги». По мнению Евгения Царева, переход полностью на отечественное ПО нужно воспринимать с оговорками.
Категорирование КИИ
Хранители профильных баз данных получат особый статус и дополнительные обязанности. Депутаты Госдумы РФ в третьем чтении приняли поправки в закон "О безопасности критической информационной инфраструктуры РФ". Его действие распространили на сферу регистрации сделок с недвижимостью. В среду, 5 июля, законопроект поступит на рассмотрение Совета Федерации РФ. Согласно документу, к субъектам критической информационной инфраструктуры КИИ теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, функционирующие в сфере государственной регистрации недвижимости. Например, есть системы, связанные со здравоохранением, транспортом, обороной, безопасностью. Читайте также: Болтун — находка для хакера: нейросети стали помогать мошенникам "Государство заинтересовано в том, чтобы предотвращать компьютерные атаки и сбои в этих системах, так как они угрожают безопасности как страны, так и жизни граждан.
У субъекта КИИ, то есть у организаций, которые к этим системам имеют отношение, есть ряд обязанностей. С недавних пор через ГосСОПКА передаются также и сведения об инцидентах, связанных с утечкой персональных данных", — объясняет он. По большому счёту закон не устанавливает большое количество обязанностей, но довольно чётко регламентирует взаимодействие государственных органов и субъектов КИИ.
Мы понимаем, что иногда запрашиваем большое количество информации по различным вопросам, связанным с объектами КИИ, однако, эта детализация необходима, чтобы в том числе понимать в каких областях есть сложности и где требуется скорректировать подходы. Директор дирекции информационных технологий, автоматизации и телекоммуникаций «Газпром нефти» Антон Думин поднял вопрос неоднозначного толкования понятийного аппарата в нормативной базе: Не всегда однозначно трактуются термины, которые применяются, например, такие как «программно-аппаратные комплексы» или что означает понятие «импортозаместить» внутри КИИ. Хотелось бы, чтобы мы выстраивали понятийный аппарат, учитывая, как будут реализовываться намеченные планы в горизонте десяти лет, а не двух. Эти циклы всегда более длинные и мы должны понимать, как будем двигаться, в том числе по таким направлениям, как восполнение кадрового потенциала или производство и эксплуатация радиоэлектроники. Генеральный директор холдинга Т1 Игорь Калганов также поддержал необходимость создания общего стратегического документа в сфере КИИ и единого глоссария: Когда мы придем к единому пониманию и найдем методы, при которых заказчики будут хотеть признавать себя КИИ, нам всем станет гораздо проще взаимодействовать и договариваться.
Начальник Департамента информатизации РЖД Кирилл Семион высказал предложение разделить понятие безопасности и требований, которые предъявляются к КИИ: Отсутствие импортозависимых компонентов в КИИ не всегда является достаточным, чтобы обеспечить их безопасность. Также спикер обратил внимание на необходимость введения конкретных требований к понятию безопасная разработка. И ответственность подрядчиков за соблюдение данных требований по безопасности, чтобы крупнейшие потребители не несли дополнительных затрат для исправления ситуации. Директор по информационным технологиям Госкорпорации «Росатом» Евгений Абакумов рассказал про критерии доверенности ПАК, которые видятся важными для крупнейших заказчиков: Нам важно знать, кто является производителем решения, как выстроены процессы их разработки. Иногда бывают ситуации, когда часть приложений наших партнеров разрабатываются за границей. Этот вопрос мы должны контролировать в том числе. Среди требований к производителю и разработчику: собственная сеть сервисных центров на территории РФ; наличие прав на документацию, технологию, патентов и исключительных прав на ПО; поддержка продукта на протяжении всего жизненного цикла.
Провести категорирование объектов КИИ Для всех объектов КИИ, включенных в утвержденный перечень, необходимо провести категорирование в срок, не превышающий одного года с даты утверждения перечня объектов КИИ.
Так как данный процесс является довольно долгим и может вызвать ряд затруднений, специалисты нашей организация, готовы помочь вам с проведением всех необходимых мероприятий, связанных с КИИ, от выделения объектов КИИ до получения уведомления во ФСТЭК, что вы являетесь объектом КИИ. Ознакомьтесь так же с нашей презентацией, посвященной Критической Информационной Инфраструктуре. По итогу мероприятий по КИИ, вы сможете не бояться проверки регуляторов и быть уверенны, что ваша критическая инфраструктура находится под защитой.
Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов.
На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь. На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий. На третьем этапе рекомендации ранжируются по степени их реализуемости и сводятся в дорожную карту. Настоятельно рекомендуем разрабатывать детальный план перехода и пояснительную записку с обоснованием принятых решений, чтобы всегда можно было поднять историю и причины принятых решений. Четвертый этап — это уже непосредственно работа проектной команды, которая движется по дорожной карте. Исходя из практики, оптимальным вариантом является тот, в котором техническое лидерство в проекте остается за разработчиками, а организационное лидерство, то есть руководство проектом, возложено на специалиста по информационной безопасности. В этом случае происходит тесная интеграция компетенций безопасников и разработчиков. И наконец, на последнем этапе происходит контроль функционирования внедренных процессов.
Через несколько месяцев после завершения внедрения производится сбор и анализ всех свидетельств и записей процессов безопасной разработки ПО на предмет их полноты и достаточности. Разумеется, подобных процессов безопасности и проверок может быть гораздо больше: сканирование на уязвимости, сканирование зависимостей, антивирусная проверка, анализ дампа сетевого трафика при динамическом анализе ПО или анализ логов при сборке проекта, любые другие виды проверок ПО на стендах или проведение пентестов. При реализации проекта по внедрению БРПО необходимо учитывать существующие процессы разработки, специфику организации и ее значимых объектов КИИ.
С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК – постановление
| Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ | Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. |
| Подписан закон об изменении перечня субъектов критической информационной инфраструктуры | Согласно документу, к субъектам критической информационной инфраструктуры (КИИ) теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном. |
| Субъекты КИИ перейдут на российский софт к 2030 году | Что важно делать всем субъектам КИИ, и кто такие субъекты вообще. |
Новые требования для “железа” и иностранного ПО для субъектов КИИ
Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО, планирующие. В 2022 году многие организации пересмотрели свои ИБ-бюджеты, в том числе субъекты критической информационной инфраструктуры (КИИ). Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом.
Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
По его итогам составляется акт, отражающий сведения об объектах КИИ, присвоенной им категории, обоснование отсутствия необходимости ее присвоения если таковая есть , результаты анализа угроз безопасности и реализованные меры по защите информации объектов КИИ. Крайний срок для этого этапа — 1 января 2019 года. За уклонение от предоставления сведений и нарушение установленных сроков предусмотрена ответственность — от административной ст. Вы относитесь к субъектам КИИ? Помните, что провести категорирование объектов можно и самостоятельно, обучив сотрудников.
Но в таком случае есть риск понести значительные финансовые потери из-за ошибок, возникших при категорировании.
По большому счёту закон не устанавливает большое количество обязанностей, но довольно чётко регламентирует взаимодействие государственных органов и субъектов КИИ. Например, 1 мая 2022 года был принят указ президента, по которому субъекты КИИ, относящиеся к государственным или связанным с государством, должны выполнять ряд дополнительных действий.
Например, назначать ответственное лицо, которое должно следить за компьютерными инцидентами, предоставлять доступ к своим системам сотрудникам ФСБ. Эти требования устанавливались на фоне многочисленных компьютерных атак, с которыми столкнулись многие российские организации и государственные органы", — добавляет Максим Али. Экономика, экология и оборона Анна Сарбукова, ведущий юрисконсульт практики интеллектуальной собственности юридической компании ЭБР, обращает внимание, что сейчас субъектами КИИ являются организации очень во многих сферах: здравоохранения, транспорта, связи, энергетики, банковской деятельности и финансового рынка, топливно—энергетического комплекса, атомной энергии, оборонной и ракетно—космической.
Кроме того, к ним относятся информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, а также российские юридические лица и индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей. Юрист, экономист, член комитета ТПП РФ по предпринимательству в сфере медиакоммуникаций Павел Катков добавляет, что объекты КИИ категорируются исходя из их социальной значимости и величины возможного ущерба интересам России в вопросах внутренней и внешней политики; экономической значимости и возможного причинения прямого и косвенного ущерба бюджетам страны; экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду. А также значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка.
В зависимости от этого объектам присваивается категория — первая, вторая или третья. Для узкого круга лиц Все опрошенные юристы отмечают, что новые поправки не имеют никакого отношения к закрытию Единого государственного реестра недвижимости, которое произошло в июле 2022 года.
Всплеск компьютерных атак объясняется тем, что растет число высококвалифицированных кибергруппировок, появляются новые технологии взлома, в том числе, основанные на применении искусственного интеллекта. В основном атакам подвергаются системы промышленных предприятий и государственных учреждений. Ее основное назначение — обеспечить защиту информационных ресурсов страны от атак и штатное функционирование таких ресурсов в условиях возникновения компьютерных инцидентов. В рамках исполнения Указа, ФСБ России разрабатывает методики обнаружения атак, рекомендации по организации защиты, определяет порядок обмена информацией об инцидентах. Для того, чтобы обеспечить это взаимодействие, создаются центры, где будут сосредоточены силы и средства для обнаружения, предупреждения атак, ликвидации их последствий и реагирования на инциденты. Упомянутые выше центры создаются для развития ГосСОПКА и реализации задач по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в том числе на объекты КИИ. Для их выполнения центры применяют технические, программные, программно-аппаратные и иные средства ГосСОПКА, которые должны соответствовать требованиям нормативно-правовых актов ФСБ России.
Во второй половине марта 2022 года президент России Владимир Путин подписал закон о технологической независимости России. Закон подразумевает запрет на приобретение иностранного программного обеспечения ПО для объектов критической информационной структуры России. Также документ запрещает с 1 января 2025 года органам государственной власти использовать на таких объектах иностранное ПО без согласования с уполномоченным органом исполнительной власти.
ВсеПрофи24
Значимые субъекты КИИ должны перейти к использованию доверенных программно-аппаратных комплексов на своих объектах до 1 января 2030 года. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Категорирование объектов КИИ проведение работ всех категорий от здравоохранения до МО.
Субъект КИИ — кто он?
- Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
- Субъекты КИИ перейдут на российский софт к 2030 году - RSpectr
- Вопрос-ответ
- Неделя кадровика в Казани
- Преимущества разработки пакета документов по КИИ в сервисе DocShell 4.0
- Субъект критической информационной инфраструктуры: кто это? Подходы к определению КИИ
Как и кому необходимо подключаться к ГосСОПКА
Субъектам КИИ, выполняющим гособоронзаказ, теперь следует рассчитывать увеличение времени изготовления для единицы продукции. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. По таким объектам КИИ установят сроки перехода на российские продукты.
Оставить свой комментарий:
- Как выполнить требования закона о защите критической инфраструктуры - Российская газета
- Требования к ПАК
- Что такое критическая информационная инфраструктура? | Аргументы и Факты
- Список отраслей, относящихся к критической инфраструктуре
Обеспечение безопасности КИИ
Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции: разрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта КИИ уполномоченному лицу ; проводить анализ угроз безопасности информации в отношении значимых объектов КИИ и выявлять уязвимости в них; обеспечивать реализацию требований по обеспечению безопасности значимых объектов КИИ , установленных в соответствии со ст. Структурное подразделение по безопасности, специалисты по безопасности реализуют вышеуказанные функции во взаимодействии с подразделениями работниками , эксплуатирующими значимые объекты КИИ , и подразделениями работниками , обеспечивающими функционирование значимых объектов КИИ. Для выполнения вышеупомянутых функций, субъектами КИИ могут привлекаться организации, имеющие в зависимости от информации, обрабатываемой значимым объектом КИИ , лицензию на деятельность по технической защите информации, составляющей государственную тайну, и или на деятельность по технической защите конфиденциальной информации далее - лицензии в области защиты информации. Работники структурного подразделения по безопасности, специалисты по безопасности должны обладать знаниями и навыками, необходимыми для обеспечения безопасности значимых объектов КИИ в соответствии с требованиями П-235. Обязанности, возлагаемые на работников структурного подразделения по безопасности, специалистов по безопасности, должны быть определены в их должностных регламентах инструкциях. Работники, эксплуатирующие значимые объекты КИИ пользователи , а также работники, обеспечивающие функционирование значимых объектов КИИ , должны выполнять свои обязанности на значимых объектах КИИ в соответствии с правилами безопасности, установленными организационно-распорядительными документами по безопасности значимых объектов инструкциями, руководствами. До работников должны быть доведены положения организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся. Представители организаций, привлекаемых субъектом КИИ для эксплуатации, обеспечения функционирования значимых объектов КИИ и или для обеспечения их безопасности, должны быть ознакомлены с организационно-распорядительными документами по безопасности значимых объектов. Обеспечение безопасности значимых объектов КИИ в ходе их эксплуатации В соответствии с п.
Обеспечение безопасности значимых объектов КИИ при выводе их из эксплуатации В соответствии с п. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать: архивирование информации, содержащейся в значимом объекте; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации; уничтожение данных об архитектуре и конфигурации значимого объекта; архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. Государственный контроль в области обеспечения безопасности значимых объектов КИИ В соответствии с ч. Основанием для осуществления плановой проверки является истечение трех лет со дня: внесения сведений об объекте КИИ в реестр значимых объектов КИИ ; окончания осуществления последней плановой проверки в отношении значимого объекта КИИ. Основанием для осуществления внеплановой проверки является: истечение срока выполнения субъектом КИИ выданного ФСТЭК России предписания об устранении выявленного нарушения требований по обеспечению безопасности значимых объектов КИИ ; возникновение компьютерного инцидента, повлекшего негативные последствия, на значимом объекте КИИ ; приказ распоряжение руководителя ФСТЭК России, изданный в соответствии с поручением Президента РФ или Правительства РФ либо на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям. По итогам плановой или внеплановой проверки ФСТЭК России составляется акт проверки по утвержденной указанным органом форме. На основании акта проверки в случае выявления нарушения требований 187-ФЗ и принятых в соответствии с ним нормативных правовых актов по обеспечению безопасности значимых объектов КИИ ФСТЭК России выдает субъекту КИИ предписание об устранении выявленного нарушения с указанием сроков его устранения.
В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий.
Оповещение конечного пользователя об окончании жизненного цикла ПО. К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь.
На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий. На третьем этапе рекомендации ранжируются по степени их реализуемости и сводятся в дорожную карту. Настоятельно рекомендуем разрабатывать детальный план перехода и пояснительную записку с обоснованием принятых решений, чтобы всегда можно было поднять историю и причины принятых решений. Четвертый этап — это уже непосредственно работа проектной команды, которая движется по дорожной карте. Исходя из практики, оптимальным вариантом является тот, в котором техническое лидерство в проекте остается за разработчиками, а организационное лидерство, то есть руководство проектом, возложено на специалиста по информационной безопасности.
Внедрение организационных и технических мер защиты значимых объектов КИИ Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей эксплуатационной документацией на значимый объект, стандартами организаций и включает: установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств; разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта; внедрение организационных мер по обеспечению безопасности значимого объекта; предварительные испытания значимого объекта и его подсистемы безопасности; опытную эксплуатацию значимого объекта и его подсистемы безопасности; анализ уязвимостей значимого объекта и принятие мер по их устранению; приемочные испытания значимого объекта и его подсистемы безопасности. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются: организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств; проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер; определение администратора безопасности значимого объекта; отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления: анализ проектной, рабочей эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта; анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля анализа защищенности и или иных средств защиты информации; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля анализа защищенности; тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Допускается проведение анализа уязвимостей на макете в тестовой зоне значимого объекта или макетах отдельных сегментов значимого объекта. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации способствовать возникновению угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования эксплуатации нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий испытаний , в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности требованиям П-239, а также требованиям ТЗ на создание значимого объекта и или ТЗ частного технического задания на создание подсистемы безопасности значимого объекта. Ввод в действие значимого объекта и его подсистемы безопасности осуществляется при положительном заключении выводе в акте приемки или в аттестате соответствия о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Силы обеспечения безопасности значимых объектов КИИ В соответствии с п. Руководитель субъекта КИИ определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов КИИ в зависимости от количества значимых объектов КИИ , а также особенностей деятельности субъекта КИИ. Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции: разрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта КИИ уполномоченному лицу ; проводить анализ угроз безопасности информации в отношении значимых объектов КИИ и выявлять уязвимости в них; обеспечивать реализацию требований по обеспечению безопасности значимых объектов КИИ , установленных в соответствии со ст. Структурное подразделение по безопасности, специалисты по безопасности реализуют вышеуказанные функции во взаимодействии с подразделениями работниками , эксплуатирующими значимые объекты КИИ , и подразделениями работниками , обеспечивающими функционирование значимых объектов КИИ. Для выполнения вышеупомянутых функций, субъектами КИИ могут привлекаться организации, имеющие в зависимости от информации, обрабатываемой значимым объектом КИИ , лицензию на деятельность по технической защите информации, составляющей государственную тайну, и или на деятельность по технической защите конфиденциальной информации далее - лицензии в области защиты информации. Работники структурного подразделения по безопасности, специалисты по безопасности должны обладать знаниями и навыками, необходимыми для обеспечения безопасности значимых объектов КИИ в соответствии с требованиями П-235.
При этом, несмотря на то, что ответственные лица почти в каждой организации имеют KPI по импортозамещению, вопрос о невозможности уложиться в срок до 2025 года остается актуальным. В чем же проблема? Главный барьер на пути к замещению импортного программного обеспечения — отсутствие полных аналогов на российском ИТ-рынке. Еще сложнее дело обстоит с целыми экосистемами, основанными на импортных решениях: в этом случае создание полного стека отечественных технологий может потребовать нескольких лет. Пока что выходом является комбинирование нескольких продуктов для обеспечения компании необходимым функционалом. Альтернативной этому решению является использование отечественного стека совместимых продуктов от нескольких российских поставщиков. Также, переход на новое программное обеспечение требует времени. Тестирование нового решения обычно занимает от полугода до года, но перевод мощностей осуществляется постепенно и может длиться более пяти лет. Наконец, еще одна причина медленных темпов миграции — недоверие к отечественным технологиям.
Владельцы социально значимых объектов КИИ будут использовать ПАК
В решение для безопасности объектов критической информационной инфраструктуры (КИИ) мы объединили продукты Positive Technologies. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Статья про идентификацию объектов КИИ и субъектов КИИ. По нему к субъектам КИИ относятся те организации, которые для страны жизненно важны и потому должны работать при любой ситуации.