Введение
С 1 января 2018 года вступил в силу Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [ссылка], который коренным образом изменил подход к защите информационных систем в ключевых отраслях экономики. Для руководителей организаций и специалистов по информационной безопасности важно понимать разницу между категорированием объектов КИИ и аттестацией информационных систем, а также знать последовательность действий для обеспечения compliance.
Часть 1. Нормативная база
Основные документы
| Документ | Предмет регулирования | Ссылка |
|---|---|---|
| Федеральный закон № 187-ФЗ от 26.07.2017 | Общие требования к безопасности КИИ | [ссылка] |
| Постановление Правительства № 127 от 08.02.2018 | Правила категорирования объектов КИИ | [ссылка] |
| Приказ ФСТЭК № 239 от 25.12.2017 | Требования к защите значимых объектов КИИ | [ссылка] |
| Приказ ФСТЭК № 235 от 21.12.2017 | Требования к системам безопасности значимых объектов КИИ | [ссылка] |
| Приказ ФСТЭК № 17 от 11.02.2013 | Требования к защите информации в ГИС | [ссылка] |
| Указ Президента № 569 от 25.11.2017 | Полномочия ФСТЭК в области КИИ | [ссылка] |
| Постановление Правительства № 79 от 03.02.2012 | Лицензирование деятельности по технической защите конфиденциальной информации | [ссылка] |
Ключевые понятия
Критическая информационная инфраструктура (КИИ) — объекты КИИ, а также сети электросвязи, используемые для организации взаимодействия таких объектов.
Объект КИИ — информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ.
Значимый объект КИИ — объект КИИ, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов КИИ.
Субъекты КИИ — государственные органы, государственные учреждения, российские юридические лица, функционирующие в сферах: здравоохранения, науки, транспорта, связи, энергетики, банковской сфере, ТЭК, атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.
Часть 2. Категорирование vs Аттестация: В чём разница?
Категорирование объектов КИИ
Категорирование — это первый обязательный этап, который должны пройти все субъекты КИИ.
Цель: Определение соответствия объекта критериям значимости и присвоение категории (1-я, 2-я, 3-я или отсутствие категории).
Сроки:
- Сведения направляются в ФСТЭК в течение 10 рабочих дней после утверждения акта категорирования
- Пересмотр категорий — не реже 1 раза в 5 лет
Критерии значимости (Постановление № 127 [ссылка]):
- Социальная значимость (ущерб жизни и здоровью людей)
- Политическая значимость (ущерб интересам РФ)
- Экономическая значимость (ущерб бюджету и субъектам КИИ)
- Экологическая значимость (воздействие на окружающую среду)
- Значимость для обороны страны, безопасности государства и правопорядка
Аттестация информационных систем
Аттестация применяется преимущественно к государственным информационным системам (ГИС) в соответствии с Приказом ФСТЭК № 17 [ссылка].
Важно: Для значимых объектов КИИ термин «аттестация» в 187-ФЗ не используется. Вместо этого применяется:
- Создание системы безопасности
- Оценка соответствия требованиям
- Приёмочные испытания
Если объект КИИ является одновременно ГИС — применяются требования обоих регуляторных режимов.
Часть 3. Пошаговое руководство к действию
Этап 1. Определение статуса субъекта КИИ
Действия:
- Проверьте, относится ли ваша организация к сферам деятельности, указанным в п. 8 ст. 2 № 187-ФЗ
- Выявите все информационные системы, ИТ-сети и АСУ, принадлежащие организации
- Сопоставьте объекты с перечнями типовых отраслевых объектов КИИ
Документ: Перечень объектов КИИ, подлежащих категорированию (форма по Информационному сообщению ФСТЭК № 240/25/3752 [ссылка])
Этап 2. Создание комиссии по категорированию
Состав комиссии (Постановление № 127, п. 11):
- Руководитель субъекта КИИ или уполномоченное лицо
- Специалисты в области информационных технологий и связи
- Специалисты по эксплуатации технологического оборудования
- Специалисты по информационной безопасности
- Сотрудники подразделения по защите государственной тайны (при необходимости)
- Сотрудники подразделения по гражданской обороне и ЧС
Документ: Приказ о создании комиссии по категорированию
Этап 3. Проведение категорирования
Порядок действий:
- Сбор исходных данных об объектах КИИ
- Оценка масштаба возможных последствий компьютерных инцидентов
- Расчёт значений показателей критериев значимости
- Присвоение категории значимости (или решение об отсутствии необходимости)
- Оформление акта категорирования
Документ: Акт категорирования объектов КИИ
Этап 4. Направление сведений в ФСТЭК
Состав сведений (Приказ ФСТЭК № 236 [ссылка]):
- Сведения об объекте КИИ
- Сведения о субъекте КИИ
- Сведения о взаимодействии с сетями электросвязи
- Сведения о лице, эксплуатирующем объект
- Сведения о программных и программно-аппаратных средствах
- Сведения об угрозах безопасности и категориях нарушителей
- Возможные последствия компьютерных инцидентов
- Присвоенная категория значимости
- Применяемые меры защиты
Срок: 10 рабочих дней после утверждения акта
Этап 5. Создание системы безопасности (для значимых объектов)
Требования (Приказы ФСТЭК № 235, 239 [ссылка], [ссылка]):
| Категория | Требования к СЗИ | Требования к СВТ |
|---|---|---|
| 1-я | не ниже 4 класса, уровень доверия 4+ | не ниже 5 класса |
| 2-я | не ниже 5 класса, уровень доверия 5+ | не ниже 5 класса |
| 3-я | 6 класса, уровень доверия 6+ | не ниже 5 класса |
Основные меры защиты:
- Идентификация и аутентификация
- Управление доступом
- Ограничение программной среды
- Защита машинных носителей
- Регистрация событий безопасности
- Антивирусная защита
- Обнаружение вторжений
- Контроль защищённости
- Обеспечение целостности и доступности
- Защита от DoS/DDoS-атак
Этап 6. Оценка соответствия и ввод в эксплуатацию
Для значимых объектов КИИ:
- Проведение предварительных испытаний
- Опытная эксплуатация
- Анализ уязвимостей (с использованием Банка данных угроз ФСТЭК [ссылка])
- Приёмочные испытания
- Включение в реестр значимых объектов КИИ
Для ГИС (если применимо):
- Аттестационные испытания (в соответствии с Положением по аттестации объектов информатизации [ссылка])
- Оформление аттестата соответствия
- Ввод в действие
Часть 4. Организационные требования
Структурное подразделение по безопасности
Требования (Приказ ФСТЭК № 235):
- Создание структурного подразделения по безопасности или назначение специалистов
- Руководитель подразделения: высшее образование в области ИБ + стаж не менее 3 лет (или иное высшее + переподготовка 360 часов + стаж 3 года)
- Инженерно-технические работники: не менее 2 человек с аналогичными требованиями
- Повышение квалификации не реже 1 раза в 5 лет
Организационно-распорядительная документация
Обязательные документы:
- Политика информационной безопасности
- Модель угроз безопасности информации (разрабатывается с использованием Банка данных угроз ФСТЭК [ссылка] и Методики оценки угроз [ссылка])
- План мероприятий по обеспечению безопасности
- Инструкции пользователям и администраторам
- Регламенты реагирования на инциденты
- План действий в нештатных ситуациях
- Журналы учёта и контроля
Взаимодействие с государственной системой обнаружения атак
Обязанности субъекта КИИ (ст. 9 № 187-ФЗ):
- Незамедлительное информирование о компьютерных атаках и инцидентах
- Оказание содействия должностным лицам уполномоченных органов
- Обеспечение выполнения порядка установки и эксплуатации средств обнаружения атак
- Непрерывное взаимодействие с государственной системой обнаружения атак
Часть 5. Контроль и ответственность
Государственный контроль
ФСТЭК России осуществляет:
- Плановые проверки (не чаще 1 раза в 3 года)
- Внеплановые проверки (при инцидентах, истечении срока предписания)
- Проверку сведений о категорировании (30 дней)
Основания для внеплановой проверки:
- Истечение срока выполнения предписания
- Возникновение компьютерного инцидента с негативными последствиями
- Поручение Президента или Правительства РФ
- Требование прокурора
Ответственность
Виды ответственности за нарушение требований № 187-ФЗ:
- Административная (КоАП РФ)
- Дисциплинарная
- Гражданско-правовая
- Уголовная (при тяжких последствиях)
Часть 6. Типичные ошибки и рекомендации
Ошибки при категорировании
| Ошибка | Последствие | Рекомендация |
|---|---|---|
| Неполный перечень объектов КИИ | Возврат сведений ФСТЭК | Проведите полный аудит ИТ-инфраструктуры |
| Неправильный расчёт показателей | Несоответствие категории | Используйте методику из Постановления № 127 [ссылка] |
| Отсутствие отраслевых особенностей | Нарушение порядка категорирования | Учитывайте отраслевые нормативные акты |
| Несвоевременное направление сведений | Административная ответственность | Соблюдайте 10-дневный срок |
Ошибки при создании системы безопасности
| Ошибка | Последствие | Рекомендация |
|---|---|---|
| Применение несертифицированных СЗИ | Несоответствие требованиям | Используйте сертифицированные средства (Порядок сертификации [ссылка]) или проведите испытания |
| Отсутствие модели угроз | Неполный набор мер защиты | Разработайте модель угроз по методике ФСТЭК [ссылка] |
| Недостаточная квалификация персонала | Нарушение лицензионных требований | Обеспечьте обучение и повышение квалификации (требования к лицензированию [ссылка]) |
| Отсутствие документации | Невозможность прохождения контроля | Разработайте полный комплект ОРД |
Практические рекомендации
- Начните с аудита — проведите полный учёт всех информационных систем и сетей
- Документируйте каждый этап — сохраняйте все акты, приказы, протоколы
- Планируйте бюджет — учтите затраты на средства защиты, сертификацию, обучение
- Автоматизируйте процессы — внедрите системы мониторинга и управления инцидентами
- Поддерживайте актуальность — регулярно пересматривайте модели угроз и меры защиты
- Взаимодействуйте с регулятором — отслеживайте изменения в нормативной базе (информационные сообщения ФСТЭК [ссылка])
Часть 7. Сроки и дорожная карта
Типовой график работ
| Этап | Срок исполнения |
|---|---|
| Выявление объектов КИИ | 1-2 месяца |
| Создание комиссии по категорированию | 1 неделя |
| Проведение категорирования | 1-3 месяца |
| Направление сведений в ФСТЭК | 10 рабочих дней после акта |
| Проверка ФСТЭК | 30 дней |
| Создание системы безопасности | 6-12 месяцев (в зависимости от категории) |
| Приёмочные испытания | 1-2 месяца |
| Включение в реестр | 10 дней после проверки |
Важные даты
- Пересмотр категорий — не реже 1 раза в 5 лет
- Повышение квалификации — не реже 1 раза в 5 лет
- Внутренний контроль — не реже 1 раза в 3 года
Часть 8. Дополнительные нормативные документы
Для обработки персональных данных
- Постановление Правительства № 1119 от 01.11.2012 [ссылка]
- Базовая модель угроз безопасности персональных данных [ссылка]
- Методика определения актуальных угроз безопасности персональных данных [ссылка]
Для государственных информационных систем
- Приказ ФСТЭК № 17 от 11.02.2013 [ссылка]
- ГОСТ Р 51583-2014 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении» [ссылка]
- ГОСТ Р 56939-2024 «Защита информации. Безопасная разработка программного обеспечения» [ссылка]
Для банковской сферы
- Положение Банка России от 09.06.2012 № 382-П [ссылка]
- СТО БР БФБО-1.8-2024 «Безопасность финансовых (банковских) операций» [ссылка]
Методические документы ФСТЭК
- Методический документ «Меры защиты информации в государственных информационных системах» [ссылка]
- Профили защиты межсетевых экранов [ссылка]
- Профили защиты операционных систем [ссылка]
Заключение
Обеспечение безопасности критической информационной инфраструктуры — это непрерывный процесс, требующий системного подхода и постоянного внимания. Ключевые принципы успешного compliance:
- Своевременность — соблюдение установленных законом сроков
- Полнота — охват всех объектов и требований
- Документирование — фиксация всех этапов работ
- Актуальность — регулярный пересмотр мер защиты
- Взаимодействие — открытый диалог с регулятором
Организациям рекомендуется начать с проведения аудита существующей ИТ-инфраструктуры и определения статуса субъекта КИИ. Дальнейшие действия должны осуществляться в строгом соответствии с требованиями нормативных правовых актов и методических документами ФСТЭК России.
Статья подготовлена на основе нормативных правовых актов, действующих на момент публикации. Рекомендуется отслеживать изменения в законодательстве и методических документах ФСТЭК России [официальный сайт].
Дополнительные ресурсы: