Соблюдение правил категорирования для объектов КИИ

Заказчик остался недоволен замечаниями ФСТЭК касательно статуса объектов КИИ, находящихся в его владении. Эксперты RTM Group рассмотрели ситуацию.

В ходе категорирования, проводимого экспертами, выяснилось, что по оцениваемым показателям (показатель № 4 Постановления № 127 от 08.02.2018г.) объекты являются не значимыми, т.к. расчеты по данному показателю не достигали минимального порога для присвоения 3 категории значимости (минимальный порог составляет 3000 абонентов). Другие показатели значимости не рассматривались, т. к., по предоставленной информации от Заказчика, организация не затрагивает их своей деятельностью и не приводит к негативным последствиям. Далее были сформированы пакеты документов с результатами проведения категорирования и отправлены во ФСТЭК.

Через некоторые время поступил ответ с комментариями от ФСТЭК.

Заказчик повторно обратился в RTM Group за консультацией и помощью в исправлении, а именно:

изучить комментарии регулятора;
внести исправления по комментариям регулятора;
заново подготовить сведения по результатам проведения категорирования;
направить в адрес регулятора новую информацию по категорированию.

Основными замечаниями ФСТЭК были неправильное отнесение субъекта КИИ в ряды организаций, которые обеспечивают функционирование государственного органа (показатель № 6 Постановления № 127 от 08.02.2018г.), а также неправильный подсчет количества обслуживаемых абонентов (показатель № 4 Постановления № 127 от 08.02.2018г.).

Результат

В ходе анализа замечаний и общения с регулятором, специалистами RTM Group были проведены следующие работы:

пересмотрены расчеты по показателям значимости;
с учетом новых расчетов, объектам КИИ была присвоена 2 категория значимости;
скорректированы сведения по результатам проведения категорирования;
сформирован и направлен новый пакет документов с актуальными сведениями во ФСТЭК;
внесение субъекта КИИ в реестр ФСТЭК.

Таким образом, в связи с тем, что организация оказывают услуги Министерству внутренних дел, Министерству РФ по делам гражданской обороны, чрезвычайным ситуациям и ликвидации последствий стихийных бедствий, а данные Министерства являются федеральным органом государственной власти, при проведении категорирования отдельные категории абонентов (гос.органы) требуют пристального внимания.

Также из этого вытекает следующее – при категорировании необходимо учитывать не только физические лица, но и юридические лица как абонентов. При неверно указанных данных, в ходе проверки организации, у ФСТЭК могут возникнуть вопросы, которые могут довести дело до судебного вмешательства.

Сопутствующие услуги

Категорирование и проектирование системы безопасности объектов КИИ (критической информационной инфраструктуры) – 187-ФЗ

— Подробное описание всех этапов категорирования (с примерами)
— Образцы документов по КИИ
— Какие работы необходимо выполнить после внесения в реестр КИИ?
— Для чего необходима экспертиза проведенных работ по КИИ?

Экспресс-категорирование объектов КИИ (критической информационной инфраструктуры)

- Для каких предприятий подойдет экспресс-категорирование объектов КИИ?
- В чем отличие от стандартной услуги по категорированию?
- Этапы работы
- Ограничения и преимущества

Работы по обеспечению безопасности значимых объектов КИИ (ЗОКИИ)

— Для чего необходимы работы по обеспечению безопасности
— Результат работ
— Основные этапы выполнения работ
— Описание этапов работ
— Начало работ и взаимодействие

Полезные статьи

Категорирование объектов критической информационной инфраструктуры (КИИ). Практические примеры

— Что является «объектом КИИ», а что «субъектом»?
— Какие объекты КИИ подлежат категорированию?
— Пошаговый рабочий алгоритм категорирования объектов
— Какая информация понадобится для подачи во ФСТЭК?
— Как определиться по срокам?
— Практические примеры по конкретным отраслям и организациям

Обеспечение защиты и безопасности объектов критической информационной инфраструктуры (КИИ)

15 января 2013 года был опубликован Указ Президента Российской Федерации от № 31 «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации», а в июле 2017 г. был подписан Федеральный Закон от 26 июля 2017 г. № 187-ФЗ «О безопасности КИИ Российской Федерации», который вступил в силу с 1 января 2018 года, что послужило началом актуальной и глобальной работы по регулированию и контролю в направлении обеспечения безопасности объектов КИИ.