Правительство РФ внесло в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры (КИИ) в России на отечественное программное обеспечение. Докладчик: Алексей КомаровВторой вебинар из серии: "Безопасность КИИ и требования 187-ФЗ"Темы: Главные определения, их смысловое наполнение, практические нюа. После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию.
О критической информационной инфраструктуре (КИИ)
К субъектам КИИ относятся. Самый важный этап для успешного завершения проекта — это качественное проведение категорирования и аудита объектов КИИ. Субъектам КИИ, выполняющим гособоронзаказ, теперь следует рассчитывать увеличение времени изготовления для единицы продукции. субъекты КИИ) на принадлежащих им значимых объектах не. По таким объектам КИИ установят сроки перехода на российские продукты. Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели.
Обновление подборки законодательства о КИИ на сентябрь 2023
| Субъект критической информационной инфраструктуры: кто это? Подходы к определению КИИ | Вывод строя или уничтожение субъектов КИИ подорвет безопасность, экономическую ситуацию, общественное здравоохранение. Основные сферы, в которых могут быть объекты КИИ. |
| Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818 | Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. |
| Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ | Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. |
| ЦБ РФ напомнил о категорировании субъектов КИИ | Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. |
Новые требования для субъектов КИИ: безопасная разработка прикладного ПО
На данном этапе проводится автоматизация процедур реагирования на выявленные уязвимости, которые возникли в ходе разработки либо по сообщениям от пользователей. Как правило, в информационных системах разработки заводятся тикеты. По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета. Тем самым будет обеспечена прослеживаемость закрытия выявленных уязвимостей.
Информирование о выявленных уязвимостях и компенсирующих мероприятиях конечных пользователей. В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий. Оповещение конечного пользователя об окончании жизненного цикла ПО.
К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора.
Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов.
При этом, основанием для проведения плановой проверки будет являться истечение 3 лет со дня: а внесения сведений об объекте КИИ в реестр значимых объектов критической информационной инфраструктуры; б окончания осуществления последней плановой проверки в отношении значимого объекта критической информационной инфраструктуры. Основаниями для внеплановых проверок являются: а истечение срока выполнения субъектом КИИ выданного предписания об устранении выявленного нарушения требований по обеспечению безопасности; б возникновение компьютерного инцидента на значимом объекте КИИ, повлекшего негативные последствия; в приказ органа государственного контроля, изданный в соответствии с поручением Президента РФ или Правительства РФ либо на основании требования прокурора об осуществлении внеплановой проверки. При этом ежегодный план проведения плановых проверок будет утверждаться до 20 декабря года, предшествующего году проведения плановых проверок, и выписка из плана проверок будет направляться субъектам КИИ в срок до 1 января года проведения данных проверок. Можно ли для защиты КИИ использовать несертифицированные средства?
Обозначены этапы управления уязвимостями.
Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Также Приказом вводятся обязательные меры по реализации компенсирующих мер в случае невозможности обеспечения технической поддержки средств защиты информации со стороны производителя.
Денис Чупров Денис Чупров К субъектам критической информационной инфраструктуры теперь также отнесена сфера государственной регистрации прав на недвижимое имущество и сделок с ним. Президент России Владимир Путин подписал Федеральный закон «О внесении изменения в статью 2 Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации». Федеральный закон принят Государственной Думой 28 июня 2023 года и одобрен Советом Федерации 5 июля 2023 года.
Подписан закон об изменении перечня субъектов критической информационной инфраструктуры
Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. Мониторинг перехода субъектов КИИ на преимущественное применение российского ПО предлагается закрепить за Минцифры. Мониторинг перехода субъектов КИИ на преимущественное применение российского ПО предлагается закрепить за Минцифры.
Владимир Путин подписал закон об изменении перечня субъектов КИИ
Но это — не частая история. Чаще всего операторы персональных данных — работодатели, например, — склонны эту информацию не причислять ни к коммерческой тайне, ни к конфиденциальным данным, ведь они же оценивают именно свои риски. При передаче информации каждому отдельному человеку сложно договориться, как работодатель будет ее защищать — человек некомпетентен, мало что понимает в ИБ. Может быть, он немного нервничает на этот счет, но не более того. Поэтому государство берет на себя вопросы защиты интересов граждан. Как это формулирует государство: операторы персональных данных, которые получают эти данные от субъектов, должны учитывать интересы этих самых субъектов, а не только свои собственные. Картинка складывается: есть «нормативка», можно ее обсуждать, насколько она хороша — оставим за скобками, но сама идея правильна. Иначе интересы граждан никак не защитишь. Пустить дело на самотек — не вариант. Отсюда и понятно, почему персональные данные мало кто хочет защищать. Что-то навязано сверху, рисков для себя организация не видит, она видит риски того, что их будет «прижимать» регулятор.
В сообществе по информационной безопасности возникло понятие «регуляторные риски» — то есть в качестве вероятной проблемы рассматривается не то, что от разглашения информации кто-то пострадает, а то, что тебя за это могут как-то наказать. Если кто-то является лицензиатом ФСТЭК и ФСБ — а такие организации есть, — и если у них что-то не в порядке с персональными данными, то им, скорее всего, будут задавать вопросы, когда надо будет продлевать лицензию. Эти вещи организации начинают учитывать. И у нас получается вывернутая ситуация: операторы персональных данных защищаются от регулятора, а не защищают персональные данные. Поэтому большинство операторов персональных данных останавливается на том, что разрабатывает комплект организационно-распорядительной документации, которую демонстрирует при проверках. Роскомнадзор пришел, проверка проходит, документальная часть — нормальная, там всё описано, а что в реальности происходит — может, проверяющие и увидят какие-то несоответствия, но это маловероятно. При проверках, как правило, изучается только бумажная часть. То, что процесс существует только на бумаге и не реализуется, обычно при проверках не вскрывается. Почему-то у нас всё пошло, если мы говорим от 152-ФЗ, в неправильное русло. Ответственность есть за обработку и хранение, а не за факт утечки.
Если я как физическое лицо передаю свои данные, я заинтересован не в том, чтобы они там обрабатывались и защищались какими-то специальными средствами, а в том, чтобы они просто не утекали. И мне кажется, в этом заключается риск для меня как для физического лица. Получается, регулятор сейчас за это не наказывает. Существующая «нормативка» не учитывает инциденты по утечкам. Такая ситуация скорее защищает интересы операторов: есть список требований, и если ты их выполнил — ты молодец. Если ты выполнил все требования, но информация утекла, — ты всё равно молодец. Ты сделал всё, что должен был сделать. И такая парадигма устраивает операторов ПДн. Но на самом деле она — сомнительная. Она, возможно, пришла из пожарной безопасности: там тоже, если все требования выполнены — стены не горючие, огнетушители развешаны и так далее, — но всё равно всё сгорело, люди погибли, то в итоге разводят руками и говорят: «Ну, у нас же всё в порядке было, огнетушители висели, извините».
И в принципе это так сейчас и происходит: если у тебя были какие-то нарушения по пожарной части и случился пожар, то это — уголовная ответственность. А если ты всё правильно защищал, но всё равно случился пожар, то, как и в персональных данных, ты — молодец, просто так получилось. А субъекты персональных данных пострадали, на их паспортные данные кто-то берет мошеннические кредиты. Сейчас в обществе безопасности начинает всплывать эта тема, обсуждается неэффективность такой парадигмы, все интересуются, как быть, если инцидент всё-таки случится. И многие кивают на западный опыт, который традиционно на шаг или даже поболее впереди нас. Я думаю, с точки зрения интересов субъектов персональных данных правильно пользоваться другой терминологией — «нормативкой» не по пожарной безопасности, а, допустим, по работе банков. Если, скажем, ты берешь деньги, относишь в банк, а потом приехали ребята с автогеном, с динамитом и твои деньги из банка украли — это не твои проблемы, это проблемы банка, и всё равно он эти деньги должен будет тебе вернуть. И с точки зрения защиты персональных данных — чужой информации — мы должны прийти к аналогичной ситуации. Если утекает информация, то речь должна идти не о штрафах, а о компенсациях владельцам персональных данных. Логика следующая: если у тебя украли деньги, то с ними понятно — вот они здесь, а вот их нет.
Если украли персональные данные, то ты уже не можешь сделать «как было» — найти в интернете украденные сведения и стереть их. Соответственно, речь должна идти о какой-то компенсации. Достаточно сложно выработать механизм расчета, сколько надо компенсировать, в том числе — в зависимости от того, какие потенциальные данные хранились и какой ущерб, в том числе моральный, их утечка могла нанести владельцам этих персональных данных. Но тем не менее это можно разработать. И тогда защита персональных данных станет сбалансированной. С пониманием того, что утечка персональных данных одного субъекта грозит компенсацией в таком-то размере, ситуация сразу нормализуется. Возникает конкретный финансовый риск организации — не нарушение, которое регулятор, может быть, не заметит, не штраф 75000 рублей, который не так уж велик для крупных организаций, а реальный финансовый риск, даже если это — 10 рублей за одну запись. Десять рублей — это условная сумма: конечно, если человеку в результате утечки придется менять паспорт, то мы говорим про совсем иные суммы компенсаций. Мой прогноз — так или иначе мы к этому придем.
Работа для нас понятная, ведем ее вместе со всеми отраслями», — подчеркнул директор Департамента цифровых технологий Министерства промышленности и торговли России Владимир Дождев. В рамках дискуссии Евгений Абакумов рассказал про критерии доверенности ПАК, которые видятся важными для крупнейших заказчиков: «Нам важно знать, кто является производителем решения, как выстроены процессы их разработки. Иногда бывают ситуации, когда часть приложений наших партнеров разрабатывается за границей. Этот вопрос мы должны контролировать в том числе». Среди требований к производителю и разработчику: собственная сеть сервисных центров на территории РФ; наличие прав на документацию, технологию, патентов и исключительных прав на ПО; поддержка продукта на протяжении всего жизненного цикла. Также отдельно Евгений Абакумов остановился на требованиях к аппаратному и программному обеспечению ПАК.
Требования включают ряд мер, в том числе: требования к положению ключа дистанционного управления; защита трафика команд дистанционного управления в том числе криптографическая защита ; обеспечение межсетевой защиты; поддержка безопасности программного обеспечения. Оценка соблюдения требований, предусмотренных проектом приказа, будет осуществляться в рамках государственного контроля в области обеспечения безопасности значимых объектов КИИ в соответствии со ст. Общественное обсуждение проекта завершится 12 мая. Согласно постановлению, государственный контроль в сфере идентификации и или аутентификации осуществляет Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации далее — Минцифры России. Положение утверждает перечень должностных лиц, уполномоченных на осуществление контрольных мероприятий, объекты контроля и порядок его проведения. Согласно Положению, на сайте Минцифры России будет вестись учет объектов контроля в виде постоянно обновляемого реестра. При осуществлении государственного контроля применяется уже известная система оценки и управления рисками причинения вреда охраняемым законом ценностям. Минцифры России при планировании контрольных мероприятий оценивает объекты контроля по трем уровням риска в соответствии с приложением к Положению: высокий — проверка 1 раз в 2 года; средний — 1 раз в 2,5 года; низкий — не установлена периодичность. При проведении контрольных мероприятий допускается фото-, видеосъемка, аудиозапись для фиксации свидетельств выявленных нарушений при этом требуется фиксировать факт нарушения не менее чем 2 снимками. Указанные материалы являются приложением к Акту о результатах контрольного надзорного мероприятия. Положение вступает в силу с 1 июня 2023 года. Аккредитация владельцев и операторов Официально опубликовано постановление Правительства Российской Федерации от 28. Постановлением утверждены требования к владельцам и операторам информационных систем, обеспечивающих аутентификацию физических лиц. Требования включают в том числе: необходимость владения шифровальными средствами и лицензии на деятельность по разработке, производству, распространению шифровальных криптографических средств последнее актуально для операторов ; наличие в штате не менее 2 работников, осуществляющих эксплуатацию указанных информационных систем; обязательное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; использование для аутентификации программного обеспечения, входящего в единый реестр российского программного обеспечения ; использование для обработки биометрических ПДн векторов ЕБС, находящихся только на территории Российской Федерации; для операторов — обязательность выполнения требований по обеспечению безопасности информации в соответствии с ч. Постановление также утверждает Правила осуществления аккредитации для владельцев и операторов информационных систем, обеспечивающих аутентификацию физических лиц. Согласно Правилам, аккредитация проводится Минцифры России. Правила включают порядок подачи и рассмотрения заявления на аккредитацию, содержание такого заявления, сроки мероприятий в рамках получения аккредитации, основания для приостановления и прекращения действия аккредитации, внесения изменений в перечень аккредитованных органов, а также порядок обжалования полученных решений. Постановление вступает в силу с 1 июня 2023 года и действует до 1 июня 2029 года. Электронные документы, удостоверяющие личность Для общественного обсуждения представлен проект Указа Президента Российской Федерации «О предъявлении документов с использованием информационных технологий».
С 1 сентября 2024 г. До 1 января 2030 г. По версии документа ПАК — это радиоэлектронная продукция, в том числе телекоммуникационное оборудование , программное обеспечение ПО и технические средства, работающие совместно для выполнения одной или нескольких сходных задач. Механизм исключений В документе сказано, что допускается к использованию иная продукция «в случае отсутствия произведенных в России доверенных ПАК, являющихся аналогами приобретенных субъектами КИИ». Из документа следует, что управлять этим механизмом будет Министерство промышленности и торговли России.
ФСТЭК России проводит проверки субъектов КИИ
Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. Методические рекомендации по категорированию объектов КИИ Порядок принятия решения о признании организации субъектом КИИ. Статья про идентификацию объектов КИИ и субъектов КИИ. Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. Таким образом, закон предусматривает два вида субъектов КИИ — владельцы объектов КИИ и координаторы взаимодействия этих объектов. Категорирование объектов КИИ проведение работ всех категорий от здравоохранения до МО.
Секретные адреса: сделки с недвижимостью защитили от хакеров
| Критическая информационная инфраструктура - где объекты КИИ | Объекты КИИ | Субъект КИИ — это организация, т.е. государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, у кого присутствует объект КИИ. |
| Как и кому необходимо подключаться к ГосСОПКА | Для подключения субъекта КИИ к ГосСОПКА необходимо направить письменный запрос в ФСБ России по адресу: 107031, г. Москва, ул. Большая Лубянка д. 1/3. |
| С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК - | Таким образом, закон предусматривает два вида субъектов КИИ — владельцы объектов КИИ и координаторы взаимодействия этих объектов. |
| С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК | Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. |
| Новые требования для субъектов КИИ: Безопасная разработка прикладного ПО | Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. |
Новые требования для субъектов КИИ: Безопасная разработка прикладного ПО
Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. Самый важный этап для успешного завершения проекта — это качественное проведение категорирования и аудита объектов КИИ. Правительство РФ внесло в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры (КИИ) в России на отечественное программное обеспечение.
Критическая информационная инфраструктура (КИИ)
Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. Кто же такие субъекты КИИ? Мониторинг перехода субъектов КИИ на преимущественное применение российского ПО предлагается закрепить за Минцифры.