Категорируем сети операторов связи, узлы и системы маршрутизации по 187-ФЗ — с учётом требований к непрерывности услуги связи.
Спасибо! Специалист свяжется с вами в ближайшее время.
Операторы связи — субъекты КИИ по 187-ФЗ. Объектами становятся сети передачи данных, узлы связи, системы биллинга и управления сетью.
Связь прямо названа в 187-ФЗ среди критических сфер. Субъектом КИИ становится организация этой сферы, которой на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления. Для оператора связи это выполняется по определению: сеть связи и есть информационно-телекоммуникационная сеть, а систем управления сетью и расчётов с абонентами без неё не бывает.
Масштаб на сам факт обязанности не влияет. Федеральный сотовый оператор, региональный магистральный провайдер и районный оператор широкополосного доступа попадают под 187-ФЗ на одинаковых основаниях — разница будет в категории значимости, а не в том, нужно категорирование или нет. Статус субъекта КИИ возникает в силу закона: ни решения регулятора, ни включения в какой-либо перечень для этого не требуется.
Обратная сторона тоже важна. Не всякая организация с собственной телефонией, корпоративной сетью или своим ЦОД является оператором связи: признак оператора — деятельность по возмездному оказанию услуг связи, для которой получают лицензию Роскомнадзора. Компания, которая использует связь для собственных нужд, оценивается по своей отрасли, а не по сфере связи, — проверить свой случай можно за пару минут.
Самый частый вопрос при формировании перечня — считать ли объектом КИИ вышку сотовой связи, антенно-мачтовое сооружение, кабельную канализацию или отдельную серверную стойку. Ответ следует из определения: 187-ФЗ называет объектом КИИ информационную систему, информационно-телекоммуникационную сеть или автоматизированную систему управления, а не сооружение и не единицу оборудования. Сооружения связи сами по себе в перечень объектов не попадают.
Базовая станция по той же причине не является самостоятельным объектом КИИ: это элемент сети радиодоступа, и категорируется сеть, а не каждая её точка. Иначе у оператора получаются тысячи однотипных объектов, которые невозможно ни описать, ни обосновать. То же с отдельным маршрутизатором: оценивают узел связи или сеть, в составе которых он работает.
Границу объекта определяет комиссия по категорированию — исходя из того, какую услугу связи система обеспечивает и что произойдёт с абонентами при её отказе. Дробление до отдельных узлов даёт сотни формальных объектов и лишнюю работу, укрупнение до «вся сеть оператора» — объект, границы которого нельзя описать в акте.
Состав зависит от вида деятельности и технологий, но набор систем у операторов повторяется. Ниже — то, что чаще всего попадает в перечень объектов оператора связи.
| ТИПОВОЙ ОБЪЕКТ КИИ У ОПЕРАТОРА СВЯЗИ | ПОЧЕМУ ПОПАДАЕТ В ПЕРЕЧЕНЬ |
|---|---|
| Транспортная сеть передачи данных | Магистраль и узлы агрегации, через которые проходит весь абонентский трафик: её отказ прекращает оказание услуги целиком. |
| Узел связи, коммутация и маршрутизация | Ядро сети и точки присоединения к сетям других операторов — управляют прохождением трафика. |
| Сеть радиодоступа мобильного оператора | Контроллеры и базовые станции обеспечивают доступ абонентов и оцениваются в составе сети, а не поштучно. |
| Система управления сетью (OSS, NMS) | Через неё ведут мониторинг и переконфигурирование: потеря управления равносильна потере контроля над услугой. |
| Биллинговая система | Тарификация и расчёты с абонентами — при её отказе услуга либо останавливается, либо оказывается неучтённой. |
| Платформа предоставления услуг абонентам | Телефония, доступ в интернет, IPTV, хостинг — то, что абонент получает поверх сети. |
| Центр обработки данных оператора | Площадка размещения оборудования сети и сервисов, в том числе клиентских. |
| АСУ инженерных систем узлов и ЦОД | Электропитание, гарантированное питание и климат: их отказ выводит узел связи из работы. |
Порядок для операторов связи общий — ПП РФ № 127 исключений для отрасли не делает. Отличается то, по какому показателю объект достигает порога. Для оператора решающей почти всегда оказывается первая группа показателей социальной значимости: прекращение или нарушение функционирования сети связи. Оценивают его не по техническим параметрам сети, а по тому, скольких людей и какую территорию затронет отсутствие услуги.
Вторая особенность — двойная роль оператора. Он одновременно субъект КИИ со своими объектами и поставщик каналов для других субъектов КИИ: банков, энергетиков, медицинских организаций. Это не расширяет его перечень чужими объектами, но означает, что взаимодействие с абонентами-субъектами КИИ придётся описывать в исходных данных по своим объектам.
Третья — сеть меняется непрерывно: вводятся узлы, меняются технологии доступа, растёт абонентская база. Категорирование не разовое мероприятие: перечень объектов ведут постоянно, а при изменении показателей значимости категорию пересматривают. Комиссия по категорированию у оператора создаётся как постоянно действующая именно поэтому.
Категория не назначается «по типу организации» — её нельзя определить из того, что перед нами оператор связи. Она следует из последствий: сколько абонентов останется без услуги и какая территория будет затронута. Пороговые значения по показателю прекращения услуги общие для всех отраслей и приведены в приложении к ПП РФ № 127; ориентиры и порядок оценки разобраны на странице критериев значимости.
Отсюда практический вывод. У федерального и крупного регионального оператора объекты обычно достигают верхних порогов — типовой результат К1 или К2. У оператора небольшого города или бизнес-центра результат чаще нижний, а по отдельным системам — вплоть до отсутствия категории. Это нормальный исход: если объект не достигает порога ни по одному показателю, он не является значимым, но акт категорирования по нему всё равно оформляется и сведения всё равно направляются.
У операторов почти всегда есть чужая инфраструктура в контуре: арендованные каналы, размещение оборудования на площадке партнёра, оборудование у абонента. Обязанность идёт за владельцем объекта и не переносится тем, что систему кто-то предоставил или обслуживает.
| СИТУАЦИЯ | КТО КАТЕГОРИРУЕТ ОБЪЕКТ |
|---|---|
| Собственная сеть, узлы связи и системы управления | Оператор — это его объекты КИИ. |
| Каналы, арендованные у другого оператора | Владелец канала. У вас они в перечень не включаются, но учитываются как взаимодействие при описании своих объектов. |
| Своё оборудование в чужом ЦОД (колокейшн) | Оператор категорирует своё оборудование и сервисы; инженерная инфраструктура площадки — объект её владельца. |
| Сеть, которую по договору эксплуатирует подрядчик | Оператор: передача обслуживания на аутсорсинг обязанность не переносит. |
| Абонентское оборудование на стороне клиента (CPE) | Никто из вас: это оборудование абонента, самостоятельным объектом КИИ оператора оно не является. |
| Виртуальный оператор, работающий на чужой сети | Владелец сети — сеть его. У виртуального оператора остаются собственные системы: биллинг, обслуживание абонентов, платформа услуг. |
Подробный разбор ролей — на странице «Кто проводит категорирование».
Создаём постоянно действующую комиссию по категорированию, включая в неё эксплуатацию сети, ИТ, биллинг и специалиста по защите информации.
Выявляем критические процессы оператора: оказание услуг связи абонентам, пропуск и маршрутизация трафика, управление сетью, тарификация и расчёты.
Формируем перечень объектов КИИ от этих процессов, а не от инвентарного списка оборудования, и направляем его во ФСТЭК России.
Собираем исходные данные по каждому объекту: сколько абонентов и какая территория затронуты, есть ли резервирование и за какое время восстанавливается услуга.
Оцениваем показатели значимости по ПП РФ № 127 — для оператора прежде всего прекращение или нарушение функционирования сети связи — и фиксируем обоснование по каждому показателю.
Оформляем акт категорирования по каждому объекту и направляем сведения о результатах во ФСТЭК России.
Работы не требуют остановки сети, изменения конфигураций и доступа к трафику: комиссии нужны сведения о процессах, составе систем и последствиях отказа. Обследование ведём преимущественно дистанционно, по согласованному с эксплуатацией графику.
| ОШИБКА | ЧЕМ ОБОРАЧИВАЕТСЯ |
|---|---|
| Перечень собран по инвентарному списку оборудования | В него попадают отдельные маршрутизаторы и стойки, а система управления сетью или биллинг — нет. |
| Каждая базовая станция записана отдельным объектом | Объектов становятся сотни, границы в акте не обосновываются, объём работ растёт без результата. |
| Антенно-мачтовые сооружения включены в перечень объектов КИИ | Категорируются сооружения, а не информационные системы, — замечание при проверке перечня. |
| Число абонентов в биллинге принято за число пострадавших | Показатель прекращения услуги завышается, категория не бьётся с обоснованием и возвращается на доработку. |
| Арендованные каналы включены в свой перечень | Категорируется чужой объект, а собственные системы при этом остаются неучтёнными. |
| Перечень составлен один раз и не ведётся | Новые узлы и сервисы остаются вне категорирования, а рост абонентской базы не приводит к пересмотру категории. |
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Цена по количеству объектов КИИ. Фиксируется в договоре, без скрытых доплат за этапы.
Категорирование — это работа постоянной комиссии субъекта КИИ по строгому регламенту. Мы готовим комиссию, ведём её и отвечаем за результат по договору: вы получаете готовый комплект документов и подтверждение ФСТЭК.
Да. Связь прямо названа в 187-ФЗ среди критических сфер, а сеть связи является информационно-телекоммуникационной сетью — то есть объектом КИИ по определению. Статус субъекта возникает в силу закона, отдельного решения или включения в перечень для этого не требуется.
Да, масштаб на обязанность не влияет: районный оператор широкополосного доступа попадает под требования на тех же основаниях, что и федеральный. Масштаб влияет только на категорию значимости — у небольшого оператора она ниже, а по отдельным объектам категория может не присваиваться вовсе.
Сами по себе нет. Объектом КИИ является информационная система, сеть связи или АСУ, а не сооружение: антенно-мачтовые сооружения и кабельная канализация в перечень объектов не включаются. Базовые станции оцениваются в составе сети радиодоступа, а не как отдельные объекты.
Как правило да: биллинг обеспечивает тарификацию и расчёты с абонентами, то есть критический процесс оператора. Проверять нужно по существу — если система решает только внутренние бухгалтерские задачи и не влияет на оказание услуги связи, комиссия может её в перечень не включать, зафиксировав обоснование.
Транспортная сеть передачи данных, узлы связи и системы маршрутизации, сеть радиодоступа у мобильного оператора, система управления сетью (OSS, NMS), биллинг, платформа предоставления услуг абонентам, центр обработки данных и АСУ инженерных систем узлов.
Определяется последствиями, а не типом организации: считают, сколько абонентов и какая территория останутся без услуги связи. У федеральных и крупных региональных операторов типовой результат — К1 или К2, у локальных чаще К3 или отсутствие категории. Точную категорию присваивает комиссия субъекта.
Нет, их категорирует владелец канала — тот оператор, которому сеть принадлежит. В свой перечень их включать не нужно, но взаимодействие с ними описывают в исходных данных по собственным объектам.
К сфере связи она не относится: оператором делает деятельность по возмездному оказанию услуг связи. Но компания может быть субъектом КИИ по своей отрасли — например как медицинская, транспортная или финансовая организация. Проверить это можно через проверку на КИИ.
Нет. Категорирование — это обследование и документы: нужны сведения о процессах, составе систем и последствиях отказа, а не изменение конфигураций, остановка узлов или доступ к трафику абонентов. Работаем преимущественно дистанционно.
Стоимость зависит от числа объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или распределённых сетей расчёт индивидуальный. Цена фиксируется в договоре.
Проверка по 13 критическим сферам: покажет, является ли ваша организация субъектом КИИ, сколько систем сети подлежит категорированию и во сколько это обойдётся. Без регистрации, результат сразу на экране.
Связь прямо названа в 187-ФЗ среди критических сфер, а сеть связи является информационно-телекоммуникационной сетью — то есть объектом КИИ по определению. Поэтому оператор связи является субъектом КИИ в силу закона, независимо от масштаба: федеральный сотовый оператор и районный провайдер широкополосного доступа попадают под требования на одинаковых основаниях. Категорирование объектов связи охватывает транспортную сеть, узлы и маршрутизацию, сеть радиодоступа, системы управления сетью и биллинг.
В перечень попадают транспортная сеть передачи данных, узлы связи и системы маршрутизации, сеть радиодоступа мобильного оператора, система управления сетью (OSS, NMS), биллинговая система, платформа предоставления услуг абонентам, центр обработки данных и АСУ инженерных систем узлов. Сооружения связи — антенно-мачтовые сооружения, кабельная канализация — объектами КИИ сами по себе не являются: объект КИИ это система или сеть, а не сооружение. Базовые станции оцениваются в составе сети радиодоступа, а не поштучно, иначе у оператора получаются тысячи однотипных объектов.
Как правило да: биллинговая система обеспечивает тарификацию и расчёты с абонентами, то есть критический процесс оператора. Проверять нужно по существу — если система решает только внутренние бухгалтерские задачи и не влияет на оказание услуги связи, комиссия может её в перечень не включать, зафиксировав обоснование. Тот же подход применяется к системе управления сетью и платформам дополнительных сервисов.
Категория не определяется типом организации — она следует из последствий: сколько абонентов и какая территория останутся без услуги связи при отказе объекта. Это первая группа показателей социальной значимости, пороговые значения по ней приведены в приложении к ПП РФ № 127. У федеральных и крупных региональных операторов типовой результат — К1 или К2, у локальных чаще К3 или отсутствие категории. Если объект не достигает порога ни по одному показателю, он не является значимым, но акт категорирования по нему всё равно оформляется и сведения всё равно направляются.
Услуга включает идентификацию субъекта КИИ, инвентаризацию и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. Результат — комплект документов и присвоенные категории значимости К1–К3.
Категорирование объектов КИИ операторов связи проводится по 187-ФЗ, ПП РФ № 127 и приказам ФСТЭК России. Перечень объектов направляется во ФСТЭК в течение 5 рабочих дней, на категорирование отводится до одного года, сведения о результатах — в течение 10 рабочих дней после утверждения акта.
Категорирование ведёт постоянно действующая комиссия оператора. Мы создаём комиссию, выявляем критические процессы — оказание услуг абонентам, пропуск и маршрутизацию трафика, управление сетью, тарификацию, — формируем перечень объектов от процессов, а не от инвентарного списка оборудования, собираем исходные данные о числе затронутых абонентов и резервировании, оцениваем показатели значимости и оформляем акт по каждому объекту. Остановка сети, изменение конфигураций и доступ к трафику для этого не требуются.
Для значимых объектов связи после категорирования строят систему безопасности по требованиям ФСТЭК России и организуют взаимодействие с ГосСОПКА. Эта часть выполняется отдельно и профильным исполнителем; наша работа заканчивается принятыми сведениями о результатах категорирования, которые становятся основанием для всех дальнейших шагов.
Цена категорирования объектов связи зависит от количества объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для распределённых сетей — индивидуальный расчёт. Срок под ключ — от 2 до 5 месяцев, стоимость фиксируется в договоре.
Оставьте заявку или закажите звонок — бесплатно определим объекты КИИ вашей сети и назовём точную стоимость и сроки. Работаем по всей России, преимущественно дистанционно.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.