Категорирование объектов КИИ

• Приветствие аудитории и опрос о предыдущем опыте участия в мероприятиях компании Калуга-Астрал.  

• Представление спикеров: Маргарита, ивент-менеджер, и Андрей Нефедов, руководитель группы обеспечения безопасности критической информационной инфраструктуры.  

• Представление компании Калуга-Астрал: многопрофильный системный интегратор информационной безопасности, более 15 лет на рынке, более 32 тысяч проектов, более 70 вендоров.  

• Внедрение решений для повышения защищенности и производительности инфраструктуры.  

• Противодействие несанкционированному доступу и обеспечение безопасности государственных информационных систем.  

• Участие в государственной программе по импортозамещению и предоставление услуг центра мониторинга.  

• Проведение тестирования на проникновение и пинтесты.  

• Информация о мероприятиях и вебинарах в социальных сетях.  

• Призыв к обратной связи и предложениям по темам для будущих вебинаров.  

• Переход к основной теме вебинара: нормативные документы и категорирование объектов КИИ.  

• Обзор федеральных законов и приказов, регулирующих безопасность критических информационных инфраструктур.  

• Постановление правительства 127 и приказы 235 и 239 для организаций с значимыми объектами.  

• Указы президента 166 и 250 о мерах по обеспечению технической независимости и информационной безопасности.  

• Постановление правительства 2360, вносящее изменения в постановление 127.  

• Организации, которые могут проводить проверки: ФСТЭК, прокуратура, ФСБ.  

• Примеры участия компании в проверках в качестве экспертной организации.  

• Организации и министерства могут проверять достоверность сведений по объектам КИИ.  

• Важно направлять документы в контролирующие органы для проверки.  

• Вебинар не углубляется в технические детали, но можно оставить заявку для технических вопросов.  

• Субъект КИИ — организация, попадающая под законодательство.  

• Объект КИИ — информационные системы и автоматизированные системы управления.  

• Важно понять, является ли организация субъектом КИИ.  

• 187-й федеральный закон регулирует деятельность государственных органов и юридических лиц.  

• Сферы деятельности: здравоохранение, наука, транспорт, банковская сфера, оборонная промышленность, связь, химическая промышленность и другие.  

• Организации, попадающие под эти сферы, должны выполнять определенные требования.  

• Провести категорирование объектов КИИ.  

• Обеспечить безопасность значимых объектов.  

• Подключить объекты к государственной системе обнаружения и ликвидации последствий компьютерных атак.  

• Формирование комиссии для категорирования.  

• В комиссию должны входить специалисты компании.  

• Создание приказа о создании комиссии для подтверждения её существования.  

• Приказ описывает функционал комиссии.  

• Проверка может запросить наличие приказа.  

• Важно привлечь специалистов в комиссию.  

• Необходимо понять все процессы в организации.  

• Большие процессы лучше делить на более мелкие.  

• Важно сохранять здравый смысл при делении процессов.  

• Постановление 127 определяет критерии значимости.  

• Критические процессы приводят к значительным последствиям.  

• Пример: подача горячей воды может быть критической по социальной значимости.  

• Примеры критических процессов в здравоохранении, транспорте и энергетике.  

• Критические процессы могут быть разными в разных отраслях.  

• Находим критические процессы для категоризации объектов.  

• Используем типовые перечни объектов КИИ.  

• Рассматриваем информационные системы и автоматизированные системы управления.  

• Заполняем таблицу с информацией об объектах.  

• Согласовываем таблицу с головной организацией.  

• Планируем срок категорирования объектов.  

• Собираем подробные сведения об объектах КИИ.  

• Понимаем месторасположение, архитектуру и взаимодействие систем.  

• Применяем средства защиты и эксплуатируем системы.  

• Возвращаемся к критериям значимости из постановления 127.  

• Оцениваем масштабы бедствия при выходе объекта из строя.  

• Объекты классифицируются по категориям значимости в зависимости от масштабов бедствия.  

• Каждый объект проверяется по каждой категории значимости.  

• Важно присвоить категорию значимости каждому объекту.  

• Составляются акт категорирования и форма 236.  

• Акт категорирования содержит информацию обо всех объектах КИИ.  

• Форма 236 заполняется на каждый объект КИИ и направляется в СТЕК.  

• Акт категорирования включает наименование объекта, адрес размещения, сферу деятельности и критические процессы.  

• Упоминаются взаимодействия с другими объектами и системами.  

• Форма 236 содержит сведения о каждом объекте КИИ.  

• Указываются возможные угрозы и последствия компьютерных инцидентов.  

• Перечисляются меры по обеспечению безопасности объекта.  

• СТЕК может прислать ответ с согласием или замечаниями.  

• Важно не затягивать с отправкой документов и вносить изменения в течение 10 дней.  

• СТЕК может запросить дополнительную информацию или изменить категорию значимости объекта.  

• Если все объекты признаны незначимыми, организация завершает процесс категорирования.  

• В случае инцидентов информируется госсобка и оказывается поддержка ФСБ.  

• Организации с значимыми объектами должны следовать приказам СТЕК 235 и 239.  

• Устанавливаются требования по защите значимых объектов и их эксплуатации.  

• Изменения вносятся при проверках, изменениях значимых объектов, ликвидации или реорганизации субъектов.  

• Новые документы подаются в течение двух недель после изменений.  

• При наличии значимых объектов назначается руководитель и создается подразделение безопасности.  

• Сотрудники подразделения должны обладать определенными компетенциями и проходить повышение квалификации.  

• Разрабатывается техническое задание для обеспечения безопасности значимых объектов.  

• Учитываются категории значимости и требования к средствам защиты информации.  

• Создается дорожная карта для защиты значимых объектов.  

• Создание технического задания.  

• Разработка модели угроз для значимых объектов.  

• Анализ угроз и уязвимостей.  

• Использование методических материалов Стек России.  

• Определение доступов и видов средств защиты информации.  

• Описание архитектуры системы безопасности.  

• Рекомендации по использованию сертифицированных средств защиты.  

• Внедрение средств защиты и обучение сотрудников.  

• Постоянное поддержание системы в рабочем состоянии.  

• Переобучение сотрудников и контроль соблюдения регламентов.  

• Защита информации при закрытии объекта.  

• Подключение значимых объектов к центру мониторинга.  

• Постоянный контроль и реагирование на инциденты.  

• Обеспечение реагирования на инциденты информационной безопасности.  

• Анализ событий и предотвращение киберугроз.  

• Работа на опережение и исключение ложных событий.  

• Внутренний центр мониторинга: организация сама закупает оборудование и нанимает сотрудников.  

• Внешний центр мониторинга: организация нанимает стороннюю компанию для мониторинга.  

• Гибридная модель: сочетание внутреннего и внешнего мониторинга.  

• Быстрое подключение и отсутствие дополнительной нагрузки на сотрудников.  

• Выполнение организационных и технических требований.  

• Прогнозируемые затраты и четкие условия оплаты.  

• Организации несут административную и уголовную ответственность за нарушения в сфере КИИ.  

• Штрафы могут применяться как к должностным лицам, так и к юридическим лицам.  

• Содержание наказания зависит от типа нарушения.  

• Вебинар посвящен тому, как избежать неприятных ситуаций.  

• В чате активно обсуждаются вопросы, на которые уже даны ответы.  

• При формировании перечня объектов КИИ следует ориентироваться на типовые перечни.  

• Примеры типовых перечней: транспорт, связь.  

• Ущерб определяется экспертной оценкой.  

• Возможные последствия: модификация данных, некорректный диагноз, некорректное лечение.  

• После категорирования объектов необходимо разработать план реагирования по ГОСТу.  

• Штрафы за отсутствие плана реагирования.  

• Вопросы по центру мониторинга и ИВЛ.  

• Методичка от Минздрава Московской области помогает в обосновании категорий объектов.  

• Возможность оставить запрос на расчет стоимости или консультацию специалистов.  

• Опрос ни к чему не обязывает, но позволяет более конкретно обсудить вопросы.  

• Видео и презентация вебинара будут выложены в социальных сетях.  

• Возможность оставить обратную связь и предложить темы для будущих вебинаров.  

• Благодарность за внимание и пожелания хорошего дня.