Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. Для подключения субъекта КИИ к ГосСОПКА необходимо направить письменный запрос в ФСБ России по адресу: 107031, г. Москва, ул. Большая Лубянка д. 1/3. нарушить правила обмена информацией об инцидентах (в частности, между субъектами КИИ). Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом. Правительство РФ утвердило для субъектов КИИ порядок перехода на использование доверенных ПАК, соответствующих специальным требованиям.
Обзор Постановления Правительства Российской Федерации от 14.11.2023 № 1912
Субъект КИИ не реже чем один раз в 5 лет осуществляет пересмотр установленной категории значимости в соответствии с требованиями 127-П. Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. Докладчик: Алексей КомаровВторой вебинар из серии: "Безопасность КИИ и требования 187-ФЗ"Темы: Главные определения, их смысловое наполнение, практические нюа. нарушить правила обмена информацией об инцидентах (в частности, между субъектами КИИ). Докладчик: Алексей КомаровВторой вебинар из серии: "Безопасность КИИ и требования 187-ФЗ"Темы: Главные определения, их смысловое наполнение, практические нюа.
Вопрос-ответ
После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию. Короче говоря, объекты КИИ — это информационные системы, принадлежащие субъектам КИИ и помогающие в выполнении критических процессов. В КоАП внесена ответственность за предоставление недостоверных сведений о категорировании объектов КИИ, а также утверждены правки в процедуру категорирования объектов КИИ и. Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред. Мы рассмотрели, кто такой субъект критической информационной инфраструктуры, что такое объект КИИ и какие необходимо выполнить действия для выполнения требований ФСТЭК.
Субъект КИИ: два подхода к определению статуса
Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования. Марченко также напомнил о законодательстве в сфере КИИ – на слайдах более десятка различных нормативных документов, в том числе о проверках субъектов КИИ. К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг.
Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Объекты — это информационные системы, информационнотелекоммуникационные сети и автоматизированные системы управления субъектов КИИ. Данная логическая ошибка называется «порочным кругом». Коммерческий дата-центр как организация может являться именно субъектом КИИ, если он ведет деятельность в одной из следующих сфер: связь; здравоохранение; наука; транспорт; энергетика; банковская сфера и иные сферы финансового рынка; топливно-энергетический комплекс; атомная энергия; оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. К примеру, если дата-центр имеет государственные лицензии на оказание услуг связи например телематические услуги или услуги по передаче данных , то его деятельность, вполне очевидно, относится к сфере связи. Следует учитывать выбранные компанией коды ОКВЭД и сведения о видах деятельности, указанные в учредительных документах.
Эквивалентен ли он новому понятию КИИ? Впрочем, в этом законе КСИИ не упоминаются вовсе. Вопросы определения КСИИ и обеспечения их безопасности регламентировались на уровне подзаконных актов и ведомствен ных документов с ограниченным доступом. Исходя из Указа Президента РФ от 25.
ФСТЭК от 18. ФСТЭК от 19.
Руководство дата-центра проводит категорирование в течение одного года после утверждения перечня п.
Для этого в организации создается специальная комиссия из числа работников. Основываясь на категориях значимости, дата-центр определяет те организационные и технические требования к обеспечению безопасности значимого объекта, которые он должен выполнить. Данные требования могут также применяться для обеспечения безопасности объектов КИИ, не отнесенных к числу значимых, по решению субъекта КИИ п.
Это распределенный комплекс сил и средств для реагирования на компьютерные инциденты и борьбы с компьютерными атаками. Как указывалась выше, субъекты КИИ несут обязанность по информированию о компьютерных инцидентах и оказанию содействия в борьбе с инцидентами и кибератаками, поэтому участвуют в ГосСОПКЕ. Невыполнение требований Закона о КИИ в ряде случаев может быть расценено как преступление.
К примеру, нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в КИИ, или относящихся к КИИ систем и сетей если это повлекло причинение вреда КИИ может повлечь ответственность до шести лет лишения свободы ч. В некоторых случаях может наступить и административная ответственность. Например, нарушение требований о защите информации за исключением информации, составляющей государственную тайну влечет наложение штрафа до 2000 рублей на должностных лиц, а на юридическихлиц—до 15 ООО рублей ч.
Кроме того, в договоре оказания услуг, заключенном между дата-центром и заказчиком — субъектом КИИ, могут содержаться обязательства дата-центра по обеспечению безопасности размещаемых объектов КИИ.
Если объект КИИ не соответствует ни одному из установленных критериев, ему категория не присваивается. В реестр включается следующая информация: наименование значимого объекта КИИ; сведения о взаимодействии значимого объекта КИИ и сетей электросвязи; сведения о лице, эксплуатирующем значимый объект КИИ; присвоенная категория значимости; сведения о программных и программно-аппаратных средствах, используемых на значимом объекте КИИ; меры, применяемые для обеспечения безопасности значимого объекта КИИ. Важно отметить, что если в процессе категорирования было определено отсутствие категории значимости у объекта КИИ, результаты категорирования все равно должны быть представлены во ФСТЭК России. Регулятор проверяет представленные материалы и при необходимости направляет замечания, которые должен учесть субъект КИИ. Как проводить категорирование объектов КИИ?
Показатели критериев значимости, а также порядок и сроки категорирования определены в «Правилах категорирования объектов критической информационной инфраструктуры Российской Федерации» утверждённых соответствующим постановлением правительства от 8 февраля 2018 г. Правила регламентируют процедуру категорирования, а также содержат перечень критериев и их показатели для значимых объектов КИИ первой, второй и третьей категории. Согласно Правилам, процедура категорирования включает в себя: Определение субъектом КИИ перечня всех процессов, выполняемых в рамках своей деятельности. Выявление критических процессов, то есть тех процессов, нарушение и или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, управления и контроля ими. Формирование перечня объектов КИИ, подлежащих категорированию.
Перечень объектов для категорирования подлежит согласованию с ведомством-регулятором, утверждается субъектом КИИ и в течение 5 рабочих дней после утверждения направляется во ФСТЭК России. Оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ в соответствии с показателями, указанных в Правилах.
Согласно документу, к субъектам критической информационной инфраструктуры КИИ теперь будут отнесены лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, функционирующие в сфере государственной регистрации недвижимости. Например, есть системы, связанные со здравоохранением, транспортом, обороной, безопасностью. Читайте также: Болтун — находка для хакера: нейросети стали помогать мошенникам "Государство заинтересовано в том, чтобы предотвращать компьютерные атаки и сбои в этих системах, так как они угрожают безопасности как страны, так и жизни граждан. У субъекта КИИ, то есть у организаций, которые к этим системам имеют отношение, есть ряд обязанностей. С недавних пор через ГосСОПКА передаются также и сведения об инцидентах, связанных с утечкой персональных данных", — объясняет он. По большому счёту закон не устанавливает большое количество обязанностей, но довольно чётко регламентирует взаимодействие государственных органов и субъектов КИИ.
Например, 1 мая 2022 года был принят указ президента, по которому субъекты КИИ, относящиеся к государственным или связанным с государством, должны выполнять ряд дополнительных действий. Например, назначать ответственное лицо, которое должно следить за компьютерными инцидентами, предоставлять доступ к своим системам сотрудникам ФСБ. Эти требования устанавливались на фоне многочисленных компьютерных атак, с которыми столкнулись многие российские организации и государственные органы", — добавляет Максим Али. Экономика, экология и оборона Анна Сарбукова, ведущий юрисконсульт практики интеллектуальной собственности юридической компании ЭБР, обращает внимание, что сейчас субъектами КИИ являются организации очень во многих сферах: здравоохранения, транспорта, связи, энергетики, банковской деятельности и финансового рынка, топливно—энергетического комплекса, атомной энергии, оборонной и ракетно—космической.
Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
Всего устанавливается три категории — первая, вторая или третья в порядке убывания значимости. Если объект КИИ не соответствует ни одному из установленных критериев, ему категория не присваивается. В реестр включается следующая информация: наименование значимого объекта КИИ; сведения о взаимодействии значимого объекта КИИ и сетей электросвязи; сведения о лице, эксплуатирующем значимый объект КИИ; присвоенная категория значимости; сведения о программных и программно-аппаратных средствах, используемых на значимом объекте КИИ; меры, применяемые для обеспечения безопасности значимого объекта КИИ. Важно отметить, что если в процессе категорирования было определено отсутствие категории значимости у объекта КИИ, результаты категорирования все равно должны быть представлены во ФСТЭК России. Регулятор проверяет представленные материалы и при необходимости направляет замечания, которые должен учесть субъект КИИ. Как проводить категорирование объектов КИИ? Показатели критериев значимости, а также порядок и сроки категорирования определены в «Правилах категорирования объектов критической информационной инфраструктуры Российской Федерации» утверждённых соответствующим постановлением правительства от 8 февраля 2018 г. Правила регламентируют процедуру категорирования, а также содержат перечень критериев и их показатели для значимых объектов КИИ первой, второй и третьей категории. Согласно Правилам, процедура категорирования включает в себя: Определение субъектом КИИ перечня всех процессов, выполняемых в рамках своей деятельности.
Выявление критических процессов, то есть тех процессов, нарушение и или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, управления и контроля ими. Формирование перечня объектов КИИ, подлежащих категорированию. Перечень объектов для категорирования подлежит согласованию с ведомством-регулятором, утверждается субъектом КИИ и в течение 5 рабочих дней после утверждения направляется во ФСТЭК России.
Скорректированы формулировки предмета лицензионного контроля, наименование административных процедур. Исключена блок-схема исполнения государственной функции.
Согласно проектам для осуществления контрольных мероприятий предлагается возможность привлечения сторонних экспертов по решению директора ФСТЭК России. Такие эксперты не должны состоять в гражданско-правовых и трудовых отношениях с проверяемой организацией или быть аффилированными лицами лицензиата. Основанием для включения в ежегодный план проведения проверок теперь является истечение трех лет со дня: государственной регистрации юридического лица, индивидуального предпринимателя ранее был установлен срок — по истечении одного года ; окончания проведения последней плановой проверки юридического лица, индивидуального предпринимателя осталось без изменений. Публичное обсуждение проектов завершилось 25 апреля. Действующее постановление Правительства Российской Федерации от 03. Проект приказа разработан с целью устранить существующий пробел, а также унифицировать порядок обращения со служебной информацией для иных государственных органов, органов государственных внебюджетных фондов, органов местного самоуправления, а также организаций, осуществляющим в соответствии с федеральными законами отдельные публичные полномочия, при обращении со служебной информацией.
При этом конкретизируется область действия положений, вводятся отдельно термины «служебная информация ограниченного доступа» и «документ для служебного пользования», а также иная терминология для уточнения порядка обращения с указанными сведениями и документами. Согласно проекту, внутренний порядок обращения с документами для служебного пользования в органах и организациях определяется самостоятельно руководителем. Общественное обсуждение приказа завершилось 5 мая. ТК 362 На странице технического комитета по стандартизации «Защита информации» далее — ТК 362 опубликован ряд отчетных документов о выполненных работах: традиционные справки-доклады о ходе работ по плану по состоянию на 29. Согласно указанным документам выполнены следующие работы: 1. Идентификация и аутентификация.
Формальная модель управления доступом. Часть 3. Часть 4. Руководство по управлению рисками информационной безопасности. Защита информации от утечки из программной среды информационных и автоматизированных систем.
Чем дольше она откладывает переход, тем сложнее будет уложиться в срок. Но даже если абстрагироваться от требований законодательства, такие организации сейчас подвергаются гораздо большему риску, чем им кажется, рассчитывая на собственную внутреннюю ИТ-экспертизу. Одно из следствий ухода зарубежных вендоров с российского рынка и отсутствия техподдержки и обновлений — это накопление багов и уязвимостей в программном обеспечении, создающее удобное поле для кибератак. Трудности импортозамещения ПО По данным экспертов в России насчитывается порядка 300 тысяч объектов КИИ, поэтому жесткие требования импортозамещения программного обеспечения в нашей стране действительно являются критически важными. При этом, несмотря на то, что ответственные лица почти в каждой организации имеют KPI по импортозамещению, вопрос о невозможности уложиться в срок до 2025 года остается актуальным.
В чем же проблема? Главный барьер на пути к замещению импортного программного обеспечения — отсутствие полных аналогов на российском ИТ-рынке. Еще сложнее дело обстоит с целыми экосистемами, основанными на импортных решениях: в этом случае создание полного стека отечественных технологий может потребовать нескольких лет. Пока что выходом является комбинирование нескольких продуктов для обеспечения компании необходимым функционалом.
Постановление Правительства РФ от 08. Нарушение требований действующего законодательства в области КИИ влечет за собой административную или уголовную ответственность ст. НКЦКИ — это организация, созданная для обеспечения координации деятельности субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. Одной из мер обеспечения безопасности информации объекта КИИ является обмен информацией о компьютерных инцидентах с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации далее — ГосСОПКА , в том числе посредством организации взаимодействия с Национальным координационным центром по компьютерным инцидентам далее — НКЦКИ. Приказы ФСБ России от 24.
Обновлены проекты о переводе субъектов КИИ на отечественный софт
Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом. Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. Итак, мы с вами разобрались, что такое КИИ и кого мы можем называть субъектом критической информационной инфраструктурой. Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО. По нему к субъектам КИИ относятся те организации, которые для страны жизненно важны и потому должны работать при любой ситуации.
Критическая информационная инфраструктура (КИИ)
| Критическая информационная инфраструктура (КИИ) | Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. |
| Субъекты КИИ перейдут на российский софт к 2030 году - RSpectr | Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года. |
| К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование | Субъект КИИ — это организация, т.е. государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, у кого присутствует объект КИИ. |
| Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы | Согласно данному закону, КИИ – это объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов. |
| В Госдуму внесён законопроект о переходе субъектов КИИ на ПО РФ для безопасности | Субъекты критической информационной инфраструктуры (КИИ) должны предоставлять во ФСТЭК сведения в том числе о программных, программно-аппаратных средствах, а также. |
ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
Статья про идентификацию объектов КИИ и субъектов КИИ. Министерство цифрового развития, связи и массовых коммуникаций РФ предложило обязать субъекты КИИ «преимущественно использовать» отечественный софт с 1 января 2021 года и. К субъектам КИИ относятся органы власти, ИП и российские организации, которые владеют объектами критической информационной инфраструктуры или обеспечивают взаимодействие. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов.