Практический опыт реализации 187-ФЗ

Критическая информационная инфраструктура
СУБЪЕКТЫ
ФОРМА ВЛАДЕНИЯ
Гос. Органы
Рос. Юр. Лица
ИП
Аренда
Иное законное основание
Право собственности.
СФЕРА ДЕЯТЕЛЬНОСТИ
Здравоохранение
Наука
Банковская сфера
ТЭК
Оборонная пром.
Атомная энергетика
Транспорт
Энергетика
Связь
Ракетно-космическая
Металлургическая
Горно-добывающая
Химическая
ОБЪЕКТЫ
Информационные системы
АСУ
Сети связи

Защита КИИ, 7 непростых шагов

Шаг 0,5. Комиссия
СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ
КОМИССИЯ
СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА ЗАЩИТУ ГОС. ТАЙНЫ
РУКОВОДИТЕЛЬ ИЛИ УПОЛНОМОЧЕННЫЙ
ОТВЕТСТВЕННЫЙ ЗА
ГО И ЧС
ЭКСПЕРТ ПО ОСУЩЕСТВЛЯЕМЫМ ВИДАМ ДЕЯТЕЛЬНОСТИ

Шаг 0,5. Комиссия
- Внеплановая проверка ФСТЭК
- Разбор причин произошедшего инцидента
- До 10 лет

Шаг 1. Перечень процессов
ОКВЭД
Устав
Лицензия
Контракты
Обязательства

Шаг 2. Перечень критических процессов

Шаг 3. Перечень объектов
Критический процесс

Шаг 4. Категорирование объектов
НЕГАТИВНЫЕ ПОСЛЕДСТВИЯ
СОЦИАЛЬНЫЕ
ПОЛИТИЧЕСКИЕ
ЭКОНОМИЧЕСКИЕ
ЭКОЛОГИЧЕСКИЕ
ОБОРОНОСПОСОБНОСТЬ СТРАНЫ, БЕЗОПАСНОСТИ ГОСУДАРСТВА И ПРАВОПОРЯДКА
- ущерб жизни и здоровью людей.
- нарушение условий международного договора Российской Федерации, срыв переговоров или подписания планируемого к заключению международного договора.
- возникновение ущерба бюджетам Российской Федерации более 0,001 от бюджета субъекта РФ или федерального бюджета.
- вредные воздействия на окружающую среду.

Шаг 4,5. Акты классификации
сведения о взаимодействии объекта КИИ и сетей электросвязи;
сведения о программных и программно-аппаратных средствах, используемых на объекте КИИ, в том числе средствах, используемых для обеспечения безопасности;
возможные последствия в случае возникновения компьютерных инцидентов на объекте КИИ либо сведения об отсутствии таких последствий;
категорию значимости, которая присвоена объекту КИИ, или сведения об отсутствии необходимости присвоения одной из категорий значимости.

Шаг 4,5. Акты классификации и согласование
Не все объекты являются критическими
Модели угроз только в соответствии с методикой определения угроз в информ. системах
Максимальное кол-во информации об объектах
Наличие каналов доступа для разработчиков
Используемое ПО

Шаг 5. Разработка ТЗ и ТП
Проект по защите КИИ
Обоснование организационных и технических мер защиты
Определенны виды и типы средств защиты
Осуществлен выбор средств защиты информации
Определенны требования по настройке средств защиты

Шаг 6. Внедрение СЗИ
Разработка организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;
Испытание системы защиты с в соответствии с оформлением акта;
Анализ системы защиты на возможность нейтрализации угроз из банка данных угроз ФСТЭК России ( на данный момент в БДУ 208 угроз);
Внедрение средств защиты должно выполняться собственными силами либо с привлечением лицензиата ФСТЭК России.

Шаг 7. Подключение к ГосСОПКА
Сотрудники
Техническое обеспечение
Режим работы 24/7
Создание центра реагирования на инциденты ИБ
- 6 человек мониторинг
- 1 руководитель
- Комплекс СЗИ в соответствии с Приказом №239
- SIEM система
- Система взаимодействия с НКЦКИ

Шаг 7,5. Подключение к ГосСОПКА
Аутсорсинг.

У меня нет значимых объектов КИИ, меня это не касается?
Отсутствие категории значимости нужно доказать. Если системы используются в сферах деятельности 187-ФЗ, то они подлежат категорированию. Для обоснования отсутствия значимости все равно необходимо провести категорирование.

Если сидеть тихо – можно не выполнять требования?
Для оценки безопасности КИИ регулятор имеет право установить средства, предназначенные для поиска признаков компьютерных атак в сетях электросвязи. Утечки об атаках в СМИ никто не отменял.

Подведомственным и дочерним ждать команду сверху?
Ждать команду сверху не надо. Выполнять требования 187-ФЗ необходимо уже сейчас, так как предусмотрена ответственность независимо от подчиненности той или иной организации

У нас есть черная коробочка от ФСБ, мы уже все сделали?
Нет, черная коробочка – это сенсор, который вам поставили в рамках системы с похожим названием СОПКА для защиты от хакеров. С принятием 187-ФЗ такие сенсоры устанавливают в целях контроля защищенности. Чтобы подключиться к новой системе, надо создать центр ГосСОПКА и заключить соглашение с ФСБ.