Категорируем системы управления движением, логистические и билетные системы транспортных предприятий по 187-ФЗ.
Спасибо! Специалист свяжется с вами в ближайшее время.
Транспортная сфера входит в перечень критических. Объекты КИИ — АСУ движением, диспетчерские, системы продажи билетов и логистики.
Транспорт прямо назван в 187-ФЗ среди критических сфер. Субъектом КИИ становится организация этой сферы, которой на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления. Под это подпадают перевозчики и владельцы инфраструктуры на всех видах транспорта: железнодорожном, автомобильном, воздушном, водном, а также метрополитены и городской пассажирский транспорт.
Форма собственности и масштаб значения не имеют: закон не делит организации на государственные и частные и не устанавливает нижнего порога. Автотранспортное предприятие с диспетчерской и системой планирования рейсов относится к сфере транспорта на тех же основаниях, что и железная дорога. Статус субъекта КИИ возникает в силу закона — ни решения регулятора, ни включения в какой-либо перечень для этого не требуется. Разбор общего случая — на странице проверки на КИИ.
На транспорте действует ещё одно категорирование — объектов транспортной инфраструктуры и транспортных средств по законодательству о транспортной безопасности, с категориями, которые обозначаются номерами. Его проводят по своим правилам, по своим критериям и для другой цели — защиты от актов незаконного вмешательства. Из-за совпадения слова «категорирование» эти процедуры регулярно путают, и это одна из самых частых причин, по которой на предприятии считают обязанность по 187-ФЗ уже выполненной.
Общего у них только название. Категорирование по транспортной безопасности присваивает категорию объекту инфраструктуры или транспортному средству — вокзалу, станции, мосту, судну. Категорирование по 187-ФЗ присваивает категорию значимости информационной системе, сети связи или АСУ и заканчивается направлением сведений во ФСТЭК России. Проведённое категорирование объекта транспортной инфраструктуры не заменяет категорирование объектов КИИ и не учитывается при нём — это отдельная работа с отдельным комплектом документов.
Признак, по которому их проще всего развести: если категорию присваивают физическому объекту — вокзалу, порту, транспортному средству — это транспортная безопасность. Если категорию присваивают информационной системе, сети или АСУ и результат уходит во ФСТЭК России — это 187-ФЗ и ПП РФ № 127.
Состав зависит от вида транспорта и роли организации, но набор систем повторяется. Ниже — то, что чаще всего попадает в перечень объектов транспортного предприятия.
| ТИПОВОЙ ОБЪЕКТ КИИ НА ТРАНСПОРТЕ | ПОЧЕМУ ПОПАДАЕТ В ПЕРЕЧЕНЬ |
|---|---|
| АСУ движением и диспетчерское управление | Управляет движением поездов, судов, воздушных судов или транспортных средств — отказ прямо влияет на безопасность и регулярность перевозок. |
| Системы сигнализации, централизации и блокировки (СЦБ), АСУ инфраструктуры | Обеспечивают технологический процесс на путях, в портах, депо и терминалах. |
| Система продажи и бронирования билетов | Кассы и онлайн-продажа: при отказе перевозка не оформляется и пассажиры не могут воспользоваться услугой. |
| Информационная система планирования перевозок и логистики | Планирование рейсов, формирование составов и рейсовых заданий, управление грузопотоком. |
| Система весогабаритного и технического контроля | Контроль подвижного состава и допуск к перевозке — влияет на безопасность движения. |
| Система информирования пассажиров и оповещения | Табло, объявления и оповещение на вокзалах, станциях и в аэропортах. |
| АСУ инженерных систем транспортных объектов | Электроснабжение, вентиляция и эскалаторы вокзалов, станций метрополитена, терминалов. |
| Сеть передачи данных предприятия | Обеспечивает взаимодействие остальных объектов КИИ между собой и с диспетчерским контуром. |
Порядок общий — ПП РФ № 127 для транспорта исключений не делает. Отличается то, по какому показателю объект достигает порога. У транспортного предприятия обычно работают сразу два показателя социальной значимости: причинение ущерба жизни и здоровью людей — если отказ системы влияет на безопасность движения, и прекращение или нарушение функционирования транспортной инфраструктуры — если отказ останавливает перевозки. Пороговые значения общие для всех отраслей и приведены в приложении к ПП РФ № 127; порядок оценки разобран на странице критериев значимости.
Вторая особенность — сезонность и пиковые нагрузки. Последствия отказа билетной системы в разгар перевозок и в межсезонье различаются на порядок, и комиссии приходится решать, от какого сценария считать. Оценивать нужно по наихудшему реалистичному, а не по среднему — иначе обоснование в акте не выдержит проверки.
Третья — распределение экспертизы. Оценить, что произойдёт при отказе АСУ движением, ИТ-служба не может: это знают служба движения, диспетчеры и служба безопасности движения. Поэтому в комиссию по категорированию включают представителей эксплуатационных подразделений, а обоснование в акте строят на их данных.
На транспорте один процесс почти всегда обеспечивают несколько организаций: одна владеет инфраструктурой, другая перевозит, третья управляет вокзалом или терминалом. Категорировать нужно то, что принадлежит вам: обязанность идёт за владельцем объекта и не переносится тем, что систему кто-то предоставил или сопровождает.
| СИТУАЦИЯ | КТО КАТЕГОРИРУЕТ ОБЪЕКТ |
|---|---|
| Системы управления движением на путях общего пользования | Владелец инфраструктуры — это его объект КИИ. |
| Системы перевозчика: планирование рейсов, подвижной состав, билеты | Перевозчик, даже если он работает на чужой инфраструктуре. |
| АСУ вокзала, порта, аэропорта или терминала | Организация, эксплуатирующая объект: у неё свои системы, отдельные от систем перевозчиков. |
| Билетная система в облаке поставщика или у агрегатора | Тот, кому система принадлежит по договору. Размещение у провайдера обязанность не снимает; агрегатор категорирует свою платформу. |
| Системы организации воздушного движения | Организация, которой они принадлежат. Авиакомпания категорирует свои системы, а не их. |
| Собственные системы на путях необщего пользования у промышленного предприятия | Предприятие-владелец. При этом оно может относиться и к другой критической сфере — по основному виду деятельности. |
Подробный разбор ролей — на странице «Кто проводит категорирование».
Создаём постоянно действующую комиссию по категорированию, включая в неё службу движения и эксплуатации, ИТ и специалиста по защите информации.
Выявляем критические процессы: управление движением, обеспечение безопасности перевозок, оформление и перевозка пассажиров и грузов, работа объектов инфраструктуры.
Формируем перечень объектов КИИ от этих процессов, а не от списка серверов, и направляем его во ФСТЭК России.
Собираем исходные данные по каждому объекту вместе с эксплуатацией: кого затронет отказ, есть ли резервный порядок работы и за какое время он разворачивается.
Оцениваем показатели значимости по ПП РФ № 127 — для транспорта прежде всего ущерб жизни и здоровью людей и нарушение функционирования транспортной инфраструктуры — и фиксируем обоснование.
Оформляем акт категорирования по каждому объекту и направляем сведения о результатах во ФСТЭК России.
Работы не требуют остановки перевозок, изменения настроек систем и вмешательства в диспетчерский контур: комиссии нужны сведения о процессах, составе систем и последствиях отказа. Обследование ведём преимущественно дистанционно, по согласованному с эксплуатацией графику.
| ОШИБКА | ЧЕМ ОБОРАЧИВАЕТСЯ |
|---|---|
| Категорирование по транспортной безопасности принято за выполнение 187-ФЗ | Категорирование объектов КИИ не проводится вовсе; обязанность считается неисполненной. |
| Перечень собран по списку серверов, а не по процессам перевозки | В перечень попадают почтовый и файловый сервер, а система управления движением или билетная — нет. |
| Вокзал, станция или транспортное средство записаны объектом КИИ | Категорируется физический объект вместо информационной системы — замечание при проверке перечня. |
| Показатели оценены по среднему, а не по пиковому сценарию | Последствия занижаются, категория не бьётся с обоснованием и возвращается на доработку. |
| Системы владельца инфраструктуры включены в перечень перевозчика | Категорируется чужой объект, а собственные системы остаются неучтёнными. |
| В комиссию включены только ИТ и служба безопасности | Некому обосновать последствия для движения и перевозок — акт получается формальным. |
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Цена по количеству объектов КИИ. Фиксируется в договоре, без скрытых доплат за этапы.
Категорирование — это работа постоянной комиссии субъекта КИИ по строгому регламенту. Мы готовим комиссию, ведём её и отвечаем за результат по договору: вы получаете готовый комплект документов и подтверждение ФСТЭК.
Да, если оно эксплуатирует информационные системы, сети связи или АСУ. Транспорт прямо назван в 187-ФЗ среди критических сфер, поэтому статус субъекта КИИ возникает в силу закона — отдельного решения или включения в перечень для этого не требуется.
Это разные процедуры с разными основаниями и результатами. По транспортной безопасности категорию присваивают объекту инфраструктуры или транспортному средству для защиты от актов незаконного вмешательства. По 187-ФЗ категорию значимости присваивают информационной системе, сети связи или АСУ, а результат направляют во ФСТЭК России. Одно не заменяет другое.
АСУ движением и диспетчерское управление, системы сигнализации и АСУ инфраструктуры, системы продажи и бронирования билетов, планирование перевозок и логистика, весогабаритный и технический контроль, информирование пассажиров, АСУ инженерных систем транспортных объектов и сеть передачи данных предприятия.
Нет. Объектом КИИ является информационная система, сеть связи или АСУ, а не здание, сооружение или транспортное средство. В перечень включают системы, которые обеспечивают работу этих объектов, — например АСУ инженерных систем вокзала или систему управления движением.
Чаще всего К2 или К3 — по показателям ущерба жизни и здоровью людей и нарушения функционирования транспортной инфраструктуры. У систем, напрямую управляющих движением на крупной сети, результат может быть выше. Точную категорию определяет комиссия субъекта по фактическим данным объекта.
Каждый — своё. Владелец инфраструктуры категорирует системы управления движением и объектов пути, перевозчик — свои системы планирования рейсов, подвижного состава и продажи билетов. Обязанность идёт за владельцем объекта.
Да, если система эксплуатируется вами по договору: 187-ФЗ говорит о владении на праве собственности, аренды или ином законном основании, поэтому размещение у провайдера обязанность не снимает. Если же вы просто подключены к платформе агрегатора, категорирует её агрегатор.
Да, если они относятся к сфере транспорта и эксплуатируют информационные системы или АСУ — например диспетчерскую, систему управления перевозками или планирования рейсов. Нижнего порога по масштабу закон не устанавливает, от него зависит только категория значимости.
Нет. Категорирование — это обследование и документы: нужны сведения о процессах, составе систем и последствиях отказа, а не изменение настроек, остановка систем или вмешательство в диспетчерский контур. Работаем преимущественно дистанционно.
Стоимость зависит от числа объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных АСУ расчёт индивидуальный. Цена фиксируется в договоре.
Проверка по 13 критическим сферам: покажет, является ли ваше предприятие субъектом КИИ, сколько систем подлежит категорированию и во сколько это обойдётся. Без регистрации, результат сразу на экране.
Транспорт прямо назван в 187-ФЗ среди критических сфер, поэтому перевозчики и владельцы инфраструктуры на железнодорожном, автомобильном, воздушном и водном транспорте, а также метрополитены и городской пассажирский транспорт являются субъектами КИИ. Форма собственности и масштаб на обязанность не влияют: автотранспортное предприятие с диспетчерской попадает под требования на тех же основаниях, что и железная дорога. Категорирование охватывает системы управления движением, диспетчерские, логистические платформы и системы продажи билетов.
В перечень попадают АСУ движением и диспетчерское управление, системы сигнализации и АСУ объектов инфраструктуры, системы продажи и бронирования билетов, информационные системы планирования перевозок и логистики, системы весогабаритного и технического контроля, информирование пассажиров, АСУ инженерных систем вокзалов и станций, сеть передачи данных предприятия. Само здание вокзала, порт или транспортное средство объектом КИИ не является: объект КИИ — это информационная система, сеть связи или АСУ, а не сооружение. Типовые категории значимости для отрасли — К2–К3.
На транспорте действует ещё одно категорирование — объектов транспортной инфраструктуры и транспортных средств по законодательству о транспортной безопасности. Его проводят по своим правилам, по своим критериям и для другой цели — защиты от актов незаконного вмешательства. Общего у процедур только название. По транспортной безопасности категорию присваивают физическому объекту: вокзалу, станции, мосту, судну. По 187-ФЗ категорию значимости присваивают информационной системе, сети связи или АСУ, и результат направляют во ФСТЭК России. Одно не заменяет другое и не учитывается при другом — это отдельная работа с отдельным комплектом документов.
Порядок общий: ПП РФ № 127 для транспорта исключений не делает. Отличается то, по каким показателям объект достигает порога — обычно работают сразу два показателя социальной значимости: причинение ущерба жизни и здоровью людей, если отказ системы влияет на безопасность движения, и прекращение или нарушение функционирования транспортной инфраструктуры, если отказ останавливает перевозки. Отдельная сложность отрасли — сезонность: последствия отказа билетной системы в пик перевозок и в межсезонье различаются на порядок, и оценивать нужно наихудший реалистичный сценарий, иначе обоснование в акте не выдержит проверки.
На транспорте один процесс почти всегда обеспечивают несколько организаций. Владелец инфраструктуры категорирует системы управления движением и объектов пути, перевозчик — свои системы планирования рейсов, подвижного состава и продажи билетов, организация, эксплуатирующая вокзал, порт или терминал, — свои. Обязанность идёт за владельцем объекта: аренда, облачное размещение и передача обслуживания подрядчику её не переносят.
Услуга включает идентификацию субъекта КИИ, инвентаризацию и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. На выходе — готовый комплект документов и присвоенные категории значимости.
Категорирование объектов КИИ на транспорте проводится по 187-ФЗ, ПП РФ № 127 и приказам ФСТЭК России. Перечень объектов направляется во ФСТЭК в течение 5 рабочих дней, срок категорирования — до одного года, сведения о результатах подаются в течение 10 рабочих дней после утверждения акта.
Категорирование ведёт постоянно действующая комиссия предприятия. Мы создаём комиссию с участием службы движения и эксплуатации, а не только ИТ, выявляем критические процессы, формируем перечень объектов от процессов перевозки, а не от списка серверов, собираем исходные данные вместе с эксплуатацией, оцениваем показатели значимости и оформляем акт по каждому объекту. Остановка перевозок и вмешательство в диспетчерский контур для этого не требуются.
Для значимых объектов транспорта после категорирования строят систему безопасности по требованиям ФСТЭК России и организуют взаимодействие с ГосСОПКА. Эта часть выполняется отдельно и профильным исполнителем; наша работа заканчивается принятыми сведениями о результатах категорирования, которые становятся основанием для всех дальнейших шагов.
Стоимость зависит от количества объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных АСУ — индивидуальный расчёт. Срок под ключ — от 2 до 5 месяцев, цена фиксируется в договоре.
Оставьте заявку или закажите звонок — бесплатно определим перечень объектов КИИ вашего транспортного предприятия и рассчитаем стоимость. Работаем по всей России, преимущественно дистанционно.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.