Объекты КИИ — это информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления технологическими процессами, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ.

1. Как понять, является ли организация субъектом КИИ?
В первую очередь, определите свои сферы деятельности согласно ОКВЭД, определите, попадает ли ваша сфера деятельность под сферы деятельности, указанные в Федеральном законе от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ФЗ-187): сферы здравоохранения, науки, транспорта, связи, энергетики, банковская сфера и иных сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, сферы оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.

2. Что такое категория значимости и для чего она нужна?
Категория значимости объекта КИИ – главный показатель объектов КИИ, исходя из которого будет определено направление дальнейших работ для выполнения требований ФЗ-187, в частности, определен набор необходимых организационных и технических мер защиты, исходя из присвоенной категории. Перечень показателей критериев значимости представлен в Постановлении Правительства № 127. Категория значимости определяется, исходя из масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ.

3. Показатели критериев значимости объектов КИИ
Всего определено три категории — первая, вторая или третья (в порядке убывания значимости). Объекты КИИ, которым была присвоена одна из категорий, называются значимыми объектами КИИ. Если объект КИИ не соответствует ни одному из установленных критериев, ему категория не присваивается, но при этом у субъекта КИИ есть обязанность передачи сведений о компьютерных инцидентах в Государственную систему предотвращения и обнаружения компьютерных атак (ГосСОПКА).

4. Как происходит категорирование объектов КИИ?
Категорирование объекта КИИ предполагает определение его категории значимости на основе ряда критериев и показателей.
В рамках категорирования объектов КИИ необходимо сделать следующие шаги:

• создать комиссию по категорированию;
• определить все процессы организации и выделить из них критические;
• определить объекты КИИ, реализующие критические процессы;
• сформировать перечень объектов КИИ, подлежащих категорированию и направить его во ФСТЭК России;
• собрать исходные данные для категорирования и провести категорирование объектов КИИ;
• подготовить акты и сведения о категорировании объектов КИИ;
• направить сведения о категорировании во ФСТЭК России.

В реестр включается следующая информация:

• наименование значимого объекта КИИ;

• наименование субъекта КИИ;

• сведения о взаимодействии значимого объекта КИИ и сетей электросвязи;

• сведения о лице, эксплуатирующем значимый объект КИИ;

• присвоенная категория значимости;

• сведения о программных и программно-аппаратных средствах, используемых на значимом объекте КИИ;

• меры, применяемые для обеспечения безопасности значимого объекта КИИ.

• Показатель 1 – Причинение ущерба жизни и здоровью людей (человек).
• Показатель 9 – Возникновение ущерба бюджетам Российской Федерации, оцениваемого в снижении выплат (отчислений) в бюджеты Российской Федерации, осуществляемых субъектом критической информационной инфраструктуры (процентов прогнозируемого годового дохода федерального бюджета, усредненного за планируемый трехлетний период).
• Показатель 11 – Вредные воздействия на окружающую среду.

Источник статьи: https://in4security.com/bezopasnost-kii/tpost/r6jhiy9p41-kategorirovanie-obektov-kii

К списку новостей Следующая