Оценка защищенности в соответствии с Указом Президента №250

Проведение оценки в соответствии с Указом №250

Все требования 250 Указа можно разделить на 3 условные группы:

• Кадровое и организационное обеспечение
  У всех субъектов КИИ должна быть типовая структура направления защиты информации на объектах КИИ.
• Квалификационное и техническое обеспечение
  Все субъекты, независимо от оборота и типа компании должны защищать свои объекты и обязаны обеспечить эту защиту, как минимум, финансово.
• Взаимодействие с государственными органами
  Защита критических сфер контролируется не только законодательными актами, но и исполнительными органами, что также вносит определенные требования по взаимодействию с такими регуляторами.

В дополнении к требованиям 250 указа может производиться углубленное изучение нескольких конкретных направлений в области защиты КИИ:

1. Общая оценка выполнения 187-ФЗ на наивысшем уровне. Оценка/формирование стратегии развития компании в разрезе защиты КИИ
   
   Нормативная база:

   Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»

2. Определение, описание и идентификация защищаемых активов и процессов
   
   Нормативная база:

   Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»
   Постановление Правительства РФ от 8 февраля 2018 г. № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»
   Приказ Федеральной службы по техническому и экспортному контролю от 22 декабря 2017 г. N 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий»

3. Оценка системы безопасности, организационной структуры и достаточности принятых мер по защите
   
   Нормативная база:

   Приказ Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. N 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»
   Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».
   Приказ ФСБ России от 24 июля 2018 г. № 367 “Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации”
   Приказ ФСБ России от 6 мая 2019 г. № 196 «Об утверждении Требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты”
   Приказ ФСБ России от 19 июня 2019 г. № 281 “Об утверждении Порядка, технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры Российской Федерации”

4. Оценка/создание процедур взаимодействия с ГосСОПКА
   
   Нормативная база:

   Приказ ФСБ России от 24 июля 2018 г. № 368 «Об утверждении Порядка обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации, между субъектами критической информационной инфраструктуры Российской Федерации и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты, и Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения”
   Приказ ФСБ России от 19 июня 2019 г. № 282 “Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации”
   Приказ ФСБ России от 13 февраля 2023 г. № 77 “Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных”

5. Импортозамещение, его особенности и процедуры
   
   Нормативная база:

   Постановление Правительства PФ от 14 ноября 2023 г. № 1912 «О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации»

   Постановление Правительства РФ от 22 августа 2022 г. № 1478 «Об утверждении требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц» (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, Правил согласования закупок иностранного программного обеспечения, в том числе в составе программно-аппаратных комплексов, в целях его использования заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц» (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, а также закупок услуг, необходимых для использования этого программного обеспечения на таких объектах, и Правил перехода на преимущественное использование российского программного обеспечения, в том числе в составе программно-аппаратных комплексов, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц» (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации»

Этапы оценки защищенности

При выполнении работ по оценке безопасности по 250 Указу выполняются следующие этапы:

1. Подготовительный этап
   Определение целей и задач и области аудита с клиентом, сбор исходных данных и доступов
2. Аудит и анализ
   Проведение тестов и анализа, оценка текущих рисков и разработка плана действий
3. Формирование отчета
   Составление подробного отчета, который включает описание всех уязвимостей, расчет вероятностей и уровня воздействия
4. Заключение и рекомендации
   Подготовка финального документа с предложением организационных и технических мер для повышения уровня безопасности

Отчет по выполнению требований 250 Указа Президента

Результатом работ является предоставление клиенту полного отчета (в том числе по утвержденной форме оценки защищенности) с описанием состояния ИБ, выявленных уязвимостей, оценкой их риска и рекомендациями.

Отчет должен дать четкое представление о текущем уровне защищенности и предстоящих действиях для достижения соответствия Указу №250 и подзаконным нормативно-правовым актам.

Среди выполненных задач по итогам работ:

• Проведение первичного аудита, включая интервьюирование ключевых сотрудников и изучение текущей документации
• Оценка уровня защищенности сетевой и информационной инфраструктуры по типовому техническому заданию
• Анализ структуры и процессов управления ИБ
• Формирование отчета с указанием уязвимостей и конкретных шагов для улучшения

Нефункциональные требования:

• Высокая степень детализации отчета, включая рекомендации по устранению и шаблоны документации
• Учет различных отраслей и особенностей организационной структуры организации – субъекта КИИ

Почему RTM Group?

• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности.
• Большой опыт наших экспертов по проведению оценки защищенности;
• Мы полностью независимая компания, не аффилированная ни с одним брендом или вендором.
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты