Алексей Комаров. УЦСБ: 187 Федеральный Закон

• Алексей Комарован из Уральского центра системы безопасности приветствует участников конференции.  

• Компания имеет большой опыт в области безопасности СТП и регулярно участвует в конференции.  

• Компания разрабатывает нормативные документы, проводит аудиты и имеет собственный продукт ТПК.  

• Проводит вебинары, которые доступны на YouTube.  

• Начинает работы по категорированию объектов КИИ по 187-му федеральному закону.  

• В портфеле компании несколько контрактов на категорирование объектов КИИ.  

• Работы проводятся совместно с заказчиками из различных отраслей.  

• Тема конференции — безопасность СТП, которая с 1 января этого года стала частью более широкой темы КИИ.  

• Федеральный закон о безопасности СТП принят, но охватывает более широкие системы.  

• На рынке много мифов о категорировании КИИ, но мало практики.  

• Среди мифов: гостайна, уголовная ответственность, срочность категорирования.  

• Перечень критических объектов КИИ может быть отнесён к гостайне, но на предприятиях не потребуется вводить режимы гостайны.  

• Уголовная ответственность за нарушение правил эксплуатации средств КИИ существует, но не за нарушение сроков категорирования.  

• Ответственность за невыполнение требований федерального закона в его прямом виде пока не установлена.  

• Административная ответственность возможна за невыполнение предписаний СТЕК, но она не уголовная.  

• Для юрлиц штраф до 20 тысяч рублей, для должностных лиц — дисквалификация до трёх лет.  

• КИИ — это информационные системы и ТКС госорганов, юрлиц и предпринимателей в сфере здравоохранения, науки и других.  

• Субъекты КИИ — это организации, имеющие хотя бы одну информационную систему в одной из 12 сфер.  

• Все информационные системы субъекта КИИ являются объектами КИИ.  

• Для объектов КИИ предусмотрена процедура составления перечня и категорирования.  

• Часть систем можно исключить из категорирования на этапе до его проведения.  

• Категорирование необходимо для оценки влияния систем на критические процессы.  

• Влияние на бюджеты федеральных органов и внебюджетные фонды определяет значимость объектов КИИ.  

• Пример: ущерб в 2,13 миллиона рублей может сделать объект значимым по третьей категории.  

• Дробление объектов КИИ снижает их категорию значимости.  

• Сегментация позволяет разделить объекты КИИ и снизить их класс значимости.  

• Важно сегментировать сети на организационном уровне для локализации инцидентов.  

• Отсутствие сегментации приводит к тому, что все информационные системы рассматриваются как один объект КИИ.  

• Самостоятельное построение системы безопасности позволяет оптимизировать затраты и гибко управлять бюджетом.  

• Принудительное выполнение требований приводит к жёстким срокам и дорогостоящим решениям.  

• Невыполнение требований может повлечь санкции и уголовную ответственность.  

• Автор блога «Злонов.ру» предлагает нормативную документацию и полезные ссылки по теме.  

• На сайте можно задать вопросы и обсудить детали.