Категорирование объектов КИИ начинается с приказа руководителя о создании комиссии по категорированию. Комиссия по категорированию действует на постоянной основе и отвечает за весь процесс — от формирования перечня объектов до утверждения актов категорирования.
Зачем нужен приказ и что он запускает
Приказ о комиссии — первый документ процедуры и единственный, который субъект издаёт до какого-либо взаимодействия со ФСТЭК. Он решает три задачи: назначает людей, которые будут принимать решения о категориях значимости, даёт им полномочия запрашивать данные внутри организации и фиксирует, что работа началась. Пока приказа нет, любые действия по категорированию юридически ничьи: перечень объектов некому согласовывать, показатели значимости некому оценивать, акты некому подписывать.
Отсюда важное следствие по хронологии. Приказ должен быть издан раньше, чем появятся остальные документы. Ситуация, когда перечень объектов утверждён в марте, а комиссия создана в мае, — типовой дефект комплекта: получается, что перечень согласовывала комиссия, которой на тот момент не существовало.
Состав комиссии по категорированию объектов КИИ
Состав комиссии не произвольный: Правила категорирования прямо перечисляют, чьи компетенции должны быть представлены. Ошибка в составе — одна из причин, по которым результаты категорирования приходится переделывать, поэтому приказ удобно готовить сразу по этой таблице.
| КТО ВКЛЮЧАЕТСЯ В КОМИССИЮ | РОЛЬ В КАТЕГОРИРОВАНИИ |
|---|---|
| Руководитель субъекта КИИ или уполномоченное им лицо | Председатель комиссии, утверждает решения и подписывает документы. |
| Специалисты по выполняемым функциям и видам деятельности, а также по эксплуатируемым объектам КИИ | Определяют критические процессы и особенности работы самих объектов. |
| Работники, выполняющие функции по обеспечению безопасности (защиты информации) | Оценивают угрозы, категории нарушителей и меры защиты объекта. |
| Работники подразделения по защите государственной тайны — при наличии такого подразделения | Учитывают режимные ограничения при категорировании. |
| Работники по гражданской обороне, защите от ЧС, пожарной безопасности и охране окружающей среды | Оценивают последствия инцидентов в части ЧС, пожарной и экологической безопасности. |
Состав комиссии по категорированию определён Правилами категорирования (ПП РФ № 127).
Комиссию возглавляет руководитель субъекта КИИ или уполномоченное им лицо. Привлечённые специалисты подрядчика могут входить в состав комиссии или работать по договору, помогая корректно оценить показатели значимости — как распределяются роли между комиссией, подрядчиком и ФСТЭК, разобрано отдельно: кто проводит категорирование.
Минимального и максимального числа членов комиссии Правила не устанавливают — речь идёт о ролях, а не о количестве людей. Если на одного работника официально возложены и функции по защите информации, и функции по пожарной безопасности, он представляет обе компетенции, и раздувать состав ради галочки не нужно. Обратная крайность встречается чаще: в комиссию включают только ИТ-службу и службу безопасности, а работников по гражданской обороне, защите от ЧС, пожарной и экологической безопасности пропускают — «они к информационным системам отношения не имеют». Именно эти люди оценивают возможные последствия инцидента для людей и территории, а из последствий и складываются показатели значимости.
Если какого-то подразделения в организации попросту нет — например, нет подразделения по защите государственной тайны, — представитель от него в комиссию не включается. Правила говорят «при наличии», а не «создать ради комиссии».
Что закрепляет приказ о создании комиссии
Утверждённой формы приказа не существует: это внутренний распорядительный документ, и оформляется он по правилам делопроизводства самой организации. Но по содержанию приказ обычно строится так:
| ПУНКТ ПРИКАЗА | ЧТО В НЁМ ФОРМУЛИРУЮТ |
|---|---|
| Преамбула | Основание: 187-ФЗ и Правила категорирования (ПП РФ № 127). Отсюда видно, что комиссия создаётся именно под КИИ, а не под смежную задачу. |
| Создать комиссию | Формулировка о создании постоянно действующей комиссии по категорированию объектов КИИ. Слово «постоянно действующая» принципиально: временную комиссию придётся создавать заново. |
| Утвердить состав | Персональный состав: ФИО, должность, роль в комиссии. Обычно выносится приложением к приказу — так проще менять при кадровых изменениях. |
| Назначить председателя | Руководитель субъекта КИИ либо уполномоченное им лицо. Если председатель не руководитель, полномочия должны быть переданы документом — доверенностью или отдельным приказом. |
| Определить задачи и полномочия | Право запрашивать данные у подразделений, привлекать специалистов, принимать решения о категориях. Детали выносят в положение о комиссии. |
| Установить сроки | Даты начала работ и контрольные точки. Без них годовой срок категорирования расходуется незаметно. |
| Утвердить план работы комиссии | План-график по этапам — тем же приказом или приложением к нему. |
| Возложить контроль | На кого возложен контроль исполнения приказа — обычно руководитель оставляет его за собой. |
Обязательных реквизитов приказа Правила категорирования не задают — это внутренний распорядительный документ субъекта. Перечисленное закрывает те вопросы, которые задают при проверке.
План работы комиссии по категорированию
Нормативно план-график не обязателен, но на практике его утверждают тем же приказом или приложением к нему — иначе годовой срок категорирования расходуется незаметно. Часть сроков задана нормативно, часть субъект определяет сам; ниже — этапы, по которым удобно собирать план.
| ЭТАП РАБОТЫ КОМИССИИ | СРОК |
|---|---|
| Выявление критических процессов субъекта КИИ | Внутренний срок — задаётся приказом |
| Формирование и утверждение перечня объектов КИИ | Внутренний срок — задаётся приказом |
| Направление утверждённого перечня во ФСТЭК России | 5 рабочих дней с даты утверждения перечня |
| Сбор исходных данных и оценка показателей значимости по каждому объекту | Внутри годового срока |
| Заседания комиссии, решения по категориям, протоколы | Внутри годового срока |
| Оформление и утверждение актов категорирования | Внутри годового срока |
| Направление сведений о результатах во ФСТЭК | 10 рабочих дней с даты утверждения акта |
Всё категорирование целиком — до одного года с даты утверждения перечня объектов. Нормативно закреплены только сроки в правой колонке, остальное субъект распределяет сам.
Ориентиры по срокам и порядку в целом — в разборе порядка и сроков категорирования. На практике узкое место не в нормативных сроках, а в сборе исходных данных по объектам: описание процессов, границ систем и последствий инцидентов приходится добывать из разных подразделений, и без плана с назначенными ответственными этот этап растягивается на месяцы.
Направляется ли приказ о комиссии во ФСТЭК
Нет. Во ФСТЭК России направляются только перечень объектов КИИ и сведения о результатах категорирования. Приказ о комиссии, положение о ней и протоколы заседаний остаются у субъекта КИИ. Согласовывать приказ с регулятором тоже не нужно — Правила категорирования такой процедуры не предусматривают.
Это не значит, что приказ можно оформить формально. Он остаётся у субъекта именно как подтверждение: решения о категориях принимал уполномоченный орган нужного состава, а не один человек по своему усмотрению. При проверке приказ запрашивают одним из первых — вместе с положением, протоколами и актами.
Нужно ли издавать приказ повторно
Нет: комиссия создаётся как постоянно действующая, поэтому при повторном категорировании заново её создавать не требуется. Новый приказ издаётся только при изменении персонального состава — например, при увольнении или смене должности члена комиссии; оформляется он как приказ о внесении изменений в действующий.
Кадровые изменения удобнее переживает приказ, в котором персональный состав вынесен отдельным приложением: тогда меняется приложение, а не весь документ. Отслеживать смену состава нужно постоянно — если человек уволился год назад, а протоколы и акты подписаны его фамилией, вопрос возникнет к обоснованности решений комиссии, а не только к кадровому учёту.
Цена ошибки: из-за чего приказ приходится переделывать
Сам по себе приказ во ФСТЭК не уходит, поэтому его дефекты не всплывают сразу — они всплывают позже, когда под сомнение попадают решения комиссии, принятые на его основании. Типовые замечания:
В составе не представлена одна из обязательных компетенций — чаще всего работники по гражданской обороне, защите от ЧС, пожарной и экологической безопасности. Оценка последствий инцидента оказывается сделанной без тех, кто в ней разбирается.
Комиссию возглавляет не руководитель субъекта КИИ и не уполномоченное им лицо, а начальник ИТ-службы «по факту», без документа о передаче полномочий.
Комиссия создана как временная, «на период категорирования». После сдачи сведений она формально прекратила существование — а при изменении объекта или повторном категорировании работать некому.
Персональный состав в приказе не совпадает с подписями в протоколах и актах: люди сменились, приказ не переиздали.
Сроки в приказе не установлены — год с даты утверждения перечня расходуется, и никто этого не отслеживает.
Даты не выстраиваются в логичную последовательность: перечень объектов утверждён раньше, чем создана комиссия, которая должна была его согласовать.
Задачи и полномочия комиссии описаны общими словами, положение о комиссии не утверждено — и на вопрос, на каком основании комиссия запрашивала данные у подразделений, ответить нечем.
Первые два пункта означают переоформление всей цепочки: комиссия собирается в правильном составе, пересматривает оценку показателей, переподписывает протоколы и акты, после чего сведения направляются во ФСТЭК повторно. Годовой срок при этом не останавливается. Если собирать комплект документов внутри организации некому, категорирование можно передать подрядчику — приказ, положение, перечень, протоколы и акты готовятся как один согласованный комплект, а решения принимает и подписывает комиссия субъекта.
Какие документы оформляет комиссия
Помимо приказа о создании, работу комиссии регламентирует положение о комиссии, а её решения фиксируются протоколами заседаний. По итогам оценки комиссия оформляет акты категорирования по каждому объекту, после чего сведения о результатах направляются во ФСТЭК России.