Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом.
Импортозамещение ПО для критической информационной инфраструктуры
К субъектам КИИ относятся. Для подключения субъекта КИИ к ГосСОПКА необходимо направить письменный запрос в ФСБ России по адресу: 107031, г. Москва, ул. Большая Лубянка д. 1/3. Правительство РФ утвердило для субъектов КИИ порядок перехода на использование доверенных ПАК, соответствующих специальным требованиям. 2. Создание и бесплатное распространение для субъектов КИИ автоматизированной системы федерального уровня по передаче информации об объектах КИИ (на связанных с ГТ) 3. Министерство цифрового развития, связи и массовых коммуникаций России готовит документ, в соответствии с которым субъекты телевещания признают объектами критической. Построение системы безопасности КИИ по выгодной цене в Москве и на всей территории РФ: обеспечение защиты субъектов и объектов критической информационной инфраструктуры.
Экономика, экология и оборона
- Боковое меню
- ЦБ РФ напомнил о категорировании субъектов КИИ
- Что такое критическая информационная инфраструктура? | Аргументы и Факты
- Критическая информационная инфраструктура - где объекты КИИ | Объекты КИИ
ФСТЭК России проводит проверки субъектов КИИ
| Категорирование объектов КИИ | Права и обязанности субъектов КИИ, реестр значимых объектов (ЗО) КИИ, надзорная деятельность регулятора. |
| Telegram: Contact @fstecru | Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. |
| В Госдуму внесён законопроект о переходе субъектов КИИ на ПО РФ для безопасности | Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. |
Новые требования для “железа” и иностранного ПО для субъектов КИИ
Разумеется, это все отразится на итоговой стоимости средств защиты информации объектов КИИ. А можно обратиться к нашим специалистам, которые помогут определить, относится ли организация к субъектам КИИ, организуют и проведут полный комплекс мероприятий по категорированию объектов КИИ и обеспечению их безопасности. Вы сможете сэкономить время, существенно снизить стоимость работ и избежать ошибок при подготовке документов. Оставить заявку До 1 января осталось совсем немного времени! Узнать больше о категорировании объектов КИИ и задать другие вопросы о средствах защиты информации можно нашим специалистам:.
И в итоге: «- Главное - сформулировал конкретное предложение как прекратить всё это. Оно более правильные формулировки дает». Субъекты КИИ и запятая Ещё раз посмотрим на формулировку в статье 2 187-ФЗ: «8 субъекты критической информационной инфраструктуры - государственные органы, государственные учреждения, российские юридические лица и или индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и или индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей». Вот если бы перед запятой был союз «и», тогда слово «функционирующие» относилось бы к юрлицам и т. Для этого не надо быть филологом. Учёт и контроль - кого или чего?
А как в НПА? Если мы откроем зарегистрированные в Минюсте приказы ФСТЭК России, регулирующие вопросы учёта направления сведений , ведения реестра , то увидим, что там учитывается сфера деятельности именно объекта КИИ, а не субъекта, в нумерации объектов предусмотрена ситуация: «В случае если значимый объект критической информационной инфраструктуры функционирует в нескольких сферах областях деятельности или расположен на территории нескольких федеральных округов, второй и третьей группам цифр присваивается обозначение сферы области деятельности или территории, указанные субъектом критической информационной инфраструктуры первыми. Обозначение других сфер областей деятельности, в которых функционирует значимый объект критической информационной инфраструктуры, или территорий федеральных округов, на которых он располагается, вносится в графу Реестра, содержащую дополнительные сведения о значимом объекте критической информационной инфраструктуры ».
Требования для операторов по критической информационной инфраструктуре 31.
В этой статье подробно освещаются следующие аспекты: что такое КИИ, что представляют собой субъект и объект КИИ, все ли операторы связи являются субъектами КИИ, что субъекты КИИ должны делать, в случае, если у них есть объекты КИИ, а также в случае, если у них таких объектов нет, в каком порядке предпринимать все эти действия, кому, как и когда отчитываться. Также в статье присутствует перечень документов, в настоящее время регулирующих все эти вопросы. Что такое КИИ? Последнее десятилетие во всем мире разрабатывают подходы и утверждают законодательную базу, чтобы обезопасить крупные предприятия, важные сегменты экономики и инфраструктуру стран от массовых компьютерных вирусов, целенаправленных кибератак и преступлений в области информационной безопасности.
В 2013 году подписан Указ Президента РФ "О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации". Данный закон регулирует отношения государственных и частных предприятий в области обеспечения безопасности критической информационной инфраструктуры КИИ для ее устойчивого функционирования, при компьютерных атаках и иных преступлениях в области информационной безопасности. В начале 2020 года участники Ассоциации "Ростелесеть" в разных регионах впервые столкнулись с запросами из прокуратуры, где звучало требование отчитаться о проделанной работе по КИИ. Для форума MUSE мы готовили доклады и круглые столы по данной теме, но в связи с переносом даты проведения форума решили, что важно поделиться с читателями своим видением.
Помимо операторов связи под регулирование в области обеспечения безопасности КИИ попали и другие сферы и сегменты экономики: здравоохранение, наука, транспорт, энергетика, банковская сфера, сфера финансовых рынков, топливно-энергетический комплекс, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность, химическая промышленность. Субъект КИИ — это организация, то есть государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, у кого присутствует объект КИИ. Объект КИИ — это то, что может быть подвержено атаке, как правило, это информационные системы и сети, а также системы управления. Совокупность информации в базах данных и средства, которые ее обрабатывают.
Напоминаем также, что согласно требованиям пункта 19. С 21 марта 2023 года вступают в силу требования постановления Правительства N 2360 новая редакция постановления Правительства N 127 по использованию перечней типовых отраслевых объектов КИИ, мониторингу подведомственных субъектов КИИ, информированию ФСТЭК о нарушениях подведомственных субъектов КИИ, а также по изменению состава показателей критериев значимости. В случае изменения категории значимости сведения о результатах пересмотра категории значимости направляются в ФСТЭК.
Обеспечение безопасности КИИ
Субъекты могут сами определять значимость объектов и не относить их к КИИ. Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред Совета по развитию цифровой экономики при СФ, член Комитета верхней палаты по госстроительству и законодательству Артём Шейкин. Он отметил, что поправок ждут с осени 2022 года, и они просто необходимы для ускорения реализации положений Указов Президента РФ об обеспечении технологической независимости и безопасности критической информационной инфраструктуры страны, перехода на отечественный софт и «железо». Артём Шейкин.
СУБД 5 класса защиты - 2 категории значимости. СУБД 4 класса защиты - 1 категории значимости.
Многофункциональные МЭ уровня сети 5 класса защиты - 2 категории значимости.
Речь в данном случае идет о технологиях, выполняющих ключевые функции: управление данными о продукции, диспетчеризация, сбор информации со станков и т. Возможности обрести технологический суверенитет у страны есть. В России есть ПО, которое част ично замещает функционал популярных иностранных продуктов. Однако некоторым программным продуктам аналогов пока нет. Промышленные предприятия преимущественно используют импортный софт для ERP-систем управление процессами и зарубежный инженерный софт проектирование сложных изделий. Еще один программный продукт, замена которого пока проблематична — свободная объектно-реляционная система управления базами данных СУБД Oracle, на которой работают банки. Сейчас Oracle на ср едних задачах можно заместить софтом Postg res, но на доработку полного функционала продукта потребуется время. А вот, например, в области моделирования проектов нефтедобычи наши программы превосходят зарубежные аналоги по всем параметрам. Экспортный потенциал у того, что будет делаться и делается сейчас, достаточно большой.
Реально ли это в принципе? В любом случае, спрос на отечественное ПО в госсекторе и частных структурах за последние год-два вырос в разы. Самый высокий интерес к нему наблюдается в финансовых институтах и топливно-энергетическом комплексе. Существует также запрос на перенос функциональности зарубежных разработок на отечественные решения. Спрос рождает предложение — закон рынка. Сейчас у отечественных разработчиков есть все возможности заполнить рынок необходимого программного обеспечения. В нем установлены требования к ПО, используемому органами власти и госкомпаниями на объектах КИИ, правила согласования закупок зарубежного ПО.
Разумеется, это все отразится на итоговой стоимости средств защиты информации объектов КИИ. А можно обратиться к нашим специалистам, которые помогут определить, относится ли организация к субъектам КИИ, организуют и проведут полный комплекс мероприятий по категорированию объектов КИИ и обеспечению их безопасности. Вы сможете сэкономить время, существенно снизить стоимость работ и избежать ошибок при подготовке документов.
Оставить заявку До 1 января осталось совсем немного времени! Узнать больше о категорировании объектов КИИ и задать другие вопросы о средствах защиты информации можно нашим специалистам:.
ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
Критерии для присвоения категории значимости тут. Значимые объекты КИИ — это программы и информационные системы, атаки на которые повлекут существенный социальный, экономический или экологический вред. Критерии определения критичности вреда выделяются в Перечне показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. К значимым объектам КИИ предъявляются дополнительные особые требования, а именно: на значимых объектах КИИ должно использоваться российское ПО; на значимых объектах КИИ должны использоваться доверенные программно-аппаратные комплексы. Что имеется в виду под российским ПО? Российское программное обеспечение — Программное обеспечение, в том числе в составе программно-аппаратного комплекса, сведения о котором включены в единый реестр российского ПО.
Методические рекомендации по переходу на использование российского программного обеспечения, в том числе на значимых объектах критической информационной инфраструктуры Российской Федерации. Даже если компания-разработчик — российская, ее продукты не будут считаться российским ПО, пока они не будут включены в РРПО.
Это же — разная ответственность. Но здесь удивляет позиция правоохранительных органов. Если есть явная информация, что скорее всего совершено преступление, украдены персональные данные из какого-то конкретного банка — надо провести проверку. Есть экспертные организации, которые расследуют, — надо это сделать с их помощью. Я допускаю, что есть ситуации, в которых достоверно не разберешься.
Но большинство крупных прецедентов, связанных с массовыми утечками данных, не так часто происходит, они все — на слуху. И важно, чтобы эта функция со стороны правоохранительных органов появилась и работала — надо разбираться, приезжать в банк, проверять ритейлеров, всех «протрясти». Важно двигаться вперед. И «нормативка» развивается именно таким образом. Появляется что-то новое, апробируется, по результатам возникают новые идеи — и в итоге понятны следующие шаги. Что дальше можно было бы сделать? Относительно КИИ есть нюанс — такие инциденты случаются нечасто.
И этот нюанс в некотором роде мешает: у нас нет хорошей статистики, чтобы применять адекватные решения по управлению этими рисками. В связи с этим проблемы в персональных данных — явные, видно, как их можно решить. Но для того, чтобы было понятно, как будет работать механизм компенсаций в случае нарушения безопасности в объектах работы КИИ, надо наработать опыт — эти нарушения надо фиксировать. На основе того, как эти нарушения будут отрабатываться, мы можем смотреть, как можно улучшить процесс. Конечно, хотелось бы, чтоб события развивались не таким образом — то есть частота инцидентов не увеличивалась, а «на берегу» удалось придумать работающую методику. Складывается впечатление, что 187-ФЗ и вся подзаконная база, которая вокруг него выросла, во многом повторяют логику 152-ФЗ: если я отвечаю за кибербезопасность на предприятии и выполнил всё, что рекомендует сделать ФСТЭК, по бумагам всё прекрасно, но что-то у меня взорвалось — я ни в чём не виноват? Я сейчас говорю про бумажное уменьшение реальных рисков.
Если правила эксплуатации объекта КИИ не были нарушены внутри самой организации — всё категорировали, поставили средства, аттестовали, оценили соответствие, — но что-то всё же произошло, я убежден, что уголовная ответственность в таких случаях наступать не должна. В этой части статья 274. Но ответственность организации должна наступать. Как в примере с банком: если приехали гангстеры и деньги украли, а вся охрана действовала согласно инструкции, то претензии к охране предъявлять неправильно. Но эти деньги — чьи-то. И это банк лишился денег, а не те клиенты, которые эти деньги ему принесли. С точки зрения безопасности ситуация та же: если хакеры захотят, они в объект КИИ проникнут и навредят — защитники не при чём.
Но компенсации тем людям, которые от этого пострадают, должны быть. Почему опять навязывается такая модель, когда со стороны ФСТЭК приходят методички с перечислением средств, которые надо устанавливать, что именно надо делать? Почему нельзя людям, если они не госорганизации, самим решить, что устанавливать? Если строить модель по принципу «ты должен защитить чужие интересы, а как — ты сам реши», то этой защиты просто не будет. И тут регуляторов можно понять, они прописывают то, что должно быть сделано. Можно, конечно, обсуждать, насколько это адекватно, нет ли каких-то завышенных требований — на этом уровне всегда есть куда оптимизироваться. Еще раз проговорю: ситуация встанет с головы на ноги, если субъекты КИИ станут защищать не чьи-то интересы, а свои, потому что будут понимать, что в случае чего им придется компенсировать ущерб пострадавшим.
В случае с персональными данными, где частота проблем высока, это сработает. Выбор механизмов защиты станет куда более правильным. В случае с КИИ это, скорее всего, не сработает. Например, мы сейчас пропишем, что если у тебя возник инцидент, то ты должен компенсировать тем, кто пострадал, их потери. Но специфика такова, что инциденты — нечастые, да ещё и непубличные. Непубличность инцидентов порождает то, что мы живем, как слепые котята — появляется ложное ощущение, будто ничего не происходит, что мы в безопасности. Поэтому есть сомнения, будут ли ставить правильные средства защиты, повысят ли уровень безопасности.
Хотя, если это реализовать, это повысит внимание к вопросу. По логике, для того же 187-ФЗ ответственность за нераскрытие инцидентов должна быть даже большей, чем за последствия. Ты должен понимать, что если сейчас не расскажешь, то хуже будет всем. В случае инцидента на объекте КИИ информация должна быть опубликована, может быть, в каком-то обезличенном виде, чтобы угрозы репутации не возникало, — этот реестр, доступный для всех субъектов КИИ, был бы очень полезен. Например, желательно сделать так, чтобы каждый, кто признал себя субъектом КИИ, мог подключиться к этом реестру и на основе данных из него выполнить оценку рисков для объектов КИИ и уже потом отправить сведения о присвоенных категориях во ФСТЭК. Это — важное направление движения. Было бы неплохо, чтобы от НКЦКИ была периодически какая-то отчетность по реальным инцидентам, пусть даже в обезличенном виде, а не так, как они предоставляют — по количеству заблокированных вредоносных URL и объектов и так далее.
Допустим, ты обнаружил вредонос и он что-то наделал; однако непонятно, добрался бы он до объекта КИИ и остановил бы он подачу электричества. Исходя из их базы инцидентов сделать адекватные выводы о рисках, связанных с показателями значимости, сложно. Надо этот момент прорабатывать.
Каждому объекту присваивается одна из трех категорий, высшая из которых — первая. Если объект КИИ вообще не соответствует критериям значимости, ему не присваивается ни одна из категорий ч. Они должны содействовать ФСБ в обнаружении, предупреждении и ликвидации последствий компьютерных атак, установлении причин и условий возникновения компьютерных инцидентов. В случае установки на объектах КИИ средств ГосСОПКИ о ней — ниже , необходимо соблюдать порядок, технические условия установки и эксплуатации таких средств и обеспечить их сохранность.
Если субъекту КИИ принадлежат значимые объекты, появляются и дополнительные обязанности Если субъекту КИИ принадлежат значимые объекты, появляются и дополнительные обязанности ч. Какие подзаконные акты конкретизируют эти требования? Согласно п. Критериями значимости являются: возможность причинения ущерба жизни и здоровью людей, прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения, сетей связи, транспортной инфраструктуры, возможное вредное воздействие на окружающую среду и др. Руководство дата-центра проводит категорирование в течение одного года после утверждения перечня п. Для этого в организации создается специальная комиссия из числа работников. Основываясь на категориях значимости, дата-центр определяет те организационные и технические требования к обеспечению безопасности значимого объекта, которые он должен выполнить.
Практические вопросы самоопределения. Анализ бизнес-процессов выделение и оценка. Выбор наихудшего сценария атак. Оформление результатов. Алгоритм категорирования объектов КИИ.
Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт
Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. Так как сегодня в достаточно сжатые сроки требуется. Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ. По нему к субъектам КИИ относятся те организации, которые для страны жизненно важны и потому должны работать при любой ситуации.
Как и кому необходимо подключаться к ГосСОПКА
Российское программное обеспечение — Программное обеспечение, в том числе в составе программно-аппаратного комплекса, сведения о котором включены в единый реестр российского ПО. Методические рекомендации по переходу на использование российского программного обеспечения, в том числе на значимых объектах критической информационной инфраструктуры Российской Федерации. Даже если компания-разработчик — российская, ее продукты не будут считаться российским ПО, пока они не будут включены в РРПО. Подробнее о порядке включения в реестр российского ПО писали тут , а про основные трудности включения тут.
В какие сроки вы обязаны осуществить переход? Что такое доверенный ПАК? Критерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами 1.
Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции.
Также в правила статического анализатора можно добавить необходимую стилистику оформления исходного кода, которая принята в проекте. При каком-либо отступлении от нее разработчику необходимо будет в комментариях указывать причину. Динамический анализ кода с его исполнением. В простейшем случае динамический анализ кода проводится в виде ряда тестов: модульного, регрессионного и системного. Модульные тесты разрабатываются на те функции, которые принимают входные значения из внешних данных то есть составляют поверхность атаки. В ходе инструментирования кода счетчиками ошибок санитайзерами и отладочными аллокаторами необходимо провести автоматизированный запуск этих тестов, собрать тестовое покрытие и проанализировать результаты. На основании результатов можно в том числе увидеть участки кода, которые в ходе выполнения не были задействованы, а значит, требуют дополнительного внимания. К примеру, они могут быть проверены на отсутствие недекларированных возможностей в ручном режиме. Фаззинг-тестирование с его исполнением.
Для данного процесса необходимо разработать специальные функции либо наборы входных данных методами «мутационного» или «генерационного» фаззинга , которые подаются на вход тех же самых функций, составляющих поверхность атаки. И точно так же, как в динамическом анализе, для фаззинга собирается покрытие и анализируются результаты, а выявленные ошибки включаются в план устранения недостатков. Отслеживание исправления ошибок, уязвимостей в ходе жизненного цикла. На данном этапе проводится автоматизация процедур реагирования на выявленные уязвимости, которые возникли в ходе разработки либо по сообщениям от пользователей. Как правило, в информационных системах разработки заводятся тикеты. По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета.
Также важно не забыть про вспомогательные процессы, нарушение которых может привести к проблемам в КИИ. Например, мониторинг и управление критическими процессами или управление телеком сетями в этот список также попадают». По требованиям Постановления, заниматься этой работой должна постоянно действующая комиссия, куда обязаны входить все ответственные лица: от руководителя субъекта КИИ до работников структурных подразделений по защите от ЧС. Определив объекты КИИ, можно переходить непосредственно к категорированию. Финансовым организациям в этом списке следует обратить внимание на III раздел «Экономическая значимость». Хотя в тексте есть детали, которые особенно важно не пропустить. Например, в п.
Дата публикации на сайте: 17.
Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг. Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости.
Субъекты КИИ перейдут на российский софт к 2030 году
| Безопасность КИИ | Защита критической информационной инфраструктуры | 187-ФЗ | Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования. |
| Критическая информационная инфраструктура - где объекты КИИ | Объекты КИИ | Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ. |
| Требования для операторов по критической информационной инфраструктуре | Кабельщик | нарушить правила обмена информацией об инцидентах (в частности, между субъектами КИИ). |
| Обновление подборки законодательства о КИИ на сентябрь 2023 | | В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. |
| Закон о безопасности КИИ в вопросах и ответах | Современные вызовы КИИ российской промышленности», сообщает пресс-служба Ассоциация КП ПОО. |
Безопасность КИИ - Безопасность объектов критической информационной инфраструктуры
Новости законодательства. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования. К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг.
Информация
- От аудитов к делу
- Субъект КИИ: два подхода к определению статуса
- Переход бизнеса на российский софт. Зачем он нужен и какие споры вызывает - ТАСС
- Боковое меню
- Обзор Постановления Правительства Российской Федерации от 14.11.2023 № 1912
- Заказать звонок
Кабмин определит перечень объектов критической информационной инфраструктуры
Ее основное назначение — обеспечить защиту информационных ресурсов страны от атак и штатное функционирование таких ресурсов в условиях возникновения компьютерных инцидентов. В рамках исполнения Указа, ФСБ России разрабатывает методики обнаружения атак, рекомендации по организации защиты, определяет порядок обмена информацией об инцидентах. Для того, чтобы обеспечить это взаимодействие, создаются центры, где будут сосредоточены силы и средства для обнаружения, предупреждения атак, ликвидации их последствий и реагирования на инциденты. Упомянутые выше центры создаются для развития ГосСОПКА и реализации задач по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в том числе на объекты КИИ. Для их выполнения центры применяют технические, программные, программно-аппаратные и иные средства ГосСОПКА, которые должны соответствовать требованиям нормативно-правовых актов ФСБ России. Также для решения указанных задач в центрах ГосСОПКА сконцентрированы функции, позволяющие выстроить процессы противодействия атакам. Перечислим эти функции: прогнозирование возможных угроз безопасности; повышение устойчивости функционирования КИИ, подвергшейся атаке; информирование об угрозах; формирование предложений по повышению уровня защищенности информационных ресурсов; анализ событий, выявление инцидентов и реагирование на компьютерные атаки; разработка документации, регламентирующей рабочие процессы центра; взаимодействие с НКЦКИ.
Как отмечает министерство, по таким объектам КИИ правительство будет устанавливать сроки перехода на российские ИТ-продукты. Согласно тексту проекта, в частности, предлагается наделить правительство полномочиями устанавливать требования к используемым на значимых объектах КИИ программному обеспечению ПО и радиоэлектронной продукции, в том числе - к телеком-оборудованию и программно-аппаратным комплексам ПАК. Также правительство будет устанавливать случаи и порядок согласования использования на значимых объектах КИИ иностранного ПО, радиоэлектроники, телеком-оборудования и ПАК. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования.
Из документа следует, что управлять этим механизмом будет Министерство промышленности и торговли России. Ведомство будет выдавать заключение об отсутствии аналога, тем самым разрешая использование не доверенных ПАК в конкретном случае. Минпромторг России будет отвечать за субъекты КИИ в области оборонной, горнодобывающей, металлургической и химических промышленности. Представитель Минпромторга отметил, что ведомство обеспечит взаимодействие с целью мониторинга состояния перехода путем обмена сводными отчетами и выписками. Федеральная служба государственной регистрации , кадастра и картографии будет отвечать за переход субъектов КИИ в сфере регистрации прав на недвижимое имущество и сделок с ним, « Росатом » в области атомной энергии , а « Роскосмос » в области ракетно- космической промышленности.
Категории значимости объектов КИИ представлены в трех уровнях: высокий 1 , средний 2 и низкий 3. Важно отметить, что если объект относится к высшей категории по одному из показателей критериев, то расчет по остальным показателям не выполняется.
Категории значимости КИИ Описание Социальная Возможность причинения ущерба жизни или здоровью людей, а также прекращения или нарушения функционирования объектов, обеспечивающих жизнедеятельность населения. Без категорирования объектов КИИ невозможно определить необходимые технические и организационные меры защиты.
Обновление подборки законодательства о КИИ на сентябрь 2023
Таким образом, закон предусматривает два вида субъектов КИИ — владельцы объектов КИИ и координаторы взаимодействия этих объектов. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ. После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию.