Два вопроса — и вы увидите, попадаете ли под 187-ФЗ, сколько объектов подлежит категорированию и во сколько это обойдётся по нашему прайсу. Проверка даёт ориентир: категорию значимости присваивает комиссия субъекта КИИ, а не калькулятор.
187-ФЗ относит к критической информационной инфраструктуре 13 сфер деятельности. Субъектом КИИ организация становится, если работает хотя бы в одной из них и владеет информационными системами, сетями связи или автоматизированными системами управления. Выберите свою сферу — если основных направлений несколько, начните с того, где последствия сбоя тяжелее.
Пришлём точный перечень объектов, подлежащих категорированию, и фиксированную стоимость. Результат этой проверки уйдёт вместе с заявкой — повторно ничего заполнять не нужно.
Спасибо! Специалист свяжется с вами в ближайшее время.
Объектом КИИ система становится не по типу и не по стоимости, а по роли: она должна обеспечивать критический процесс субъекта — тот, нарушение которого приводит к значимым последствиям.
МИС и ЛИС в клинике, АБС и процессинг в банке, учётные и производственные системы на предприятии, системы продажи билетов на транспорте.
Сети передачи данных операторов, узлы связи, корпоративные сети, связывающие объекты между собой и с внешними системами.
SCADA и диспетчерское управление, АСУ ТП производств и подстанций, телемеханика, системы противоаварийной защиты.
Значимый объект КИИ — тот, которому по результатам категорирования присвоена одна из трёх категорий значимости. Если ни один показатель не достиг порога, объект остаётся объектом КИИ без категории — и это тоже результат, который фиксируется актом и уходит во ФСТЭК.
Наивысшая значимость. Инцидент влечёт тяжелейшие последствия для государства, экономики или населения.
Средняя значимость. Существенные, но ограниченные последствия в рамках отрасли или региона.
Низшая категория значимости. Последствия инцидента локальны и устранимы.
Категория присваивается по наивысшему достигнутому показателю: если хотя бы один дотягивает до порога К1, объекту присваивается К1, даже когда остальные соответствуют К3. Пороговые значения разобраны в критериях значимости, различия категорий — в разборе К1, К2 и К3.
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Идентификация субъекта КИИ, инвентаризация и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. Отдельных доплат за этапы нет — стоимость фиксируется в договоре после бесплатной оценки.
Подробно о стоимостиНужны два признака одновременно: организация работает хотя бы в одной из 13 критических сфер по 187-ФЗ и владеет информационными системами, сетями связи или АСУ, которые обеспечивают её деятельность в этой сфере. Форма собственности и размер значения не имеют — субъектом КИИ может быть и государственное учреждение, и небольшое ООО. Субъектами считаются также те, кто обеспечивает взаимодействие систем и сетей других субъектов КИИ.
Здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, а также оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность.
Субъект — это организация, объект — конкретная система. Категорируются объекты: информационные системы, сети связи и АСУ, обеспечивающие критические процессы субъекта. Одна организация обычно владеет несколькими объектами, и по каждому оформляется отдельный акт категорирования.
Объект КИИ, которому по результатам категорирования присвоена категория значимости К1, К2 или К3. Если ни один показатель значимости не достиг порогового значения, объект остаётся объектом КИИ без категории — это тоже фиксируется актом, а сведения так же направляются во ФСТЭК России.
Проверка даёт ориентир по двум вещам: являетесь ли вы субъектом КИИ и сколько объектов, скорее всего, придётся категорировать. Категорию значимости она не определяет и определить не может — её присваивает комиссия по категорированию на основании исходных данных по каждому объекту. Точный перечень объектов и стоимость мы считаем бесплатно по вашим данным.
Издать приказ о комиссии по категорированию, утвердить перечень объектов и направить его во ФСТЭК России в течение 5 рабочих дней, собрать исходные данные, оценить показатели значимости, оформить акт по каждому объекту и в течение 10 рабочих дней после утверждения акта направить сведения о результатах. На всё категорирование закон отводит до одного года с даты утверждения перечня.
Само категорирование лицензии не требует — это работа комиссии субъекта КИИ, и подрядчик помогает её организовать и оформить документы. Лицензируется последующая техническая защита значимых объектов по приказу № 239 — эту работу выполняет отдельный исполнитель, мы её не оказываем.
Скорее всего, да: если организация не работает ни в одной из 13 критических сфер и не обеспечивает взаимодействие чужих объектов КИИ, обязанности категорировать у неё нет. Стоит перепроверить только неочевидные случаи — например, собственную медицинскую службу, транспортное подразделение или сеть связи внутри непрофильной компании.
Субъект КИИ — это государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, которым на законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в одной из критических сфер. К субъектам КИИ 187-ФЗ относит и тех, кто обеспечивает взаимодействие таких систем и сетей, — например, операторов центров обработки данных и каналов связи между объектами КИИ. Ни размер организации, ни форма собственности значения не имеют: субъектом КИИ может оказаться и крупный комбинат, и небольшая клиника.
Закон перечисляет сферы прямо: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Если организация ведёт деятельность хотя бы в одной из них и эксплуатирует информационные системы, обеспечивающие эту деятельность, она является субъектом КИИ и обязана провести категорирование своих объектов.
Объект КИИ — это информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления субъекта КИИ. Определяющим является не тип системы, а её роль: объектом становится то, что обеспечивает критический процесс — процесс, нарушение или остановка которого приводит к значимым последствиям. Поэтому в перечень попадают и АСУ ТП производства, и медицинская информационная система, и банковская АБС, и учётная система на базе 1С, если без неё критический процесс встаёт. Выявление объектов идёт от процессов к системам, а не наоборот: сначала определяются критические процессы субъекта, затем — обеспечивающие их системы.
Значимый объект критической информационной инфраструктуры — объект КИИ, которому по результатам категорирования присвоена одна из категорий значимости: К1, К2 или К3. Если ни один показатель значимости не достиг порогового значения, объект остаётся объектом КИИ без категории. Это не освобождает от работы: результат так же фиксируется актом категорирования, а сведения направляются во ФСТЭК России. Разница в последствиях — требования по защите приказами ФСТЭК установлены именно для значимых объектов, и их объём зависит от присвоенной категории.
Категорирование проводится по показателям значимости, установленным ПП РФ № 127. Они разбиты на пять групп: социальная значимость, политическая, экономическая, экологическая и значимость для обеспечения обороны страны, безопасности государства и правопорядка. По каждому показателю оценивается масштаб возможных последствий инцидента и сравнивается с пороговым значением. Категория присваивается по наивысшему достигнутому показателю: одного показателя, дотянувшего до порога К1, достаточно, чтобы объекту была присвоена К1, даже если все остальные соответствуют К3.
Чтобы оценка показателей была обоснованной, комиссии нужны данные самой организации: перечень критических процессов и их характеристики, состав и архитектура объекта, сведения о взаимодействии с другими системами и сетями, данные о возможных последствиях инцидента — количество затронутых людей, ущерб, влияние на непрерывность деятельности, а также сведения об угрозах безопасности и категориях нарушителей. Именно исходные данные делают акт категорирования защищаемым при проверке — цифры в акте должны быть чем-то подкреплены.
Проверка на этой странице даёт ориентир: являетесь ли вы субъектом КИИ и сколько объектов, скорее всего, подлежит категорированию. Дальше порядок задаёт ПП РФ № 127 — приказом создаётся постоянно действующая комиссия по категорированию, формируется и направляется во ФСТЭК перечень объектов, по каждому объекту собираются исходные данные и оцениваются показатели значимости, оформляется акт категорирования, а сведения о результатах направляются во ФСТЭК России. Мы берём этот процесс на себя: стоимость считается по количеству объектов и фиксируется в договоре после бесплатной оценки.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.