Самый важный этап для успешного завершения проекта — это качественное проведение категорирования и аудита объектов КИИ. Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ.
Список отраслей, относящихся к критической инфраструктуре
- Категорирование объектов КИИ, ФСТЭК, примеры, акты
- Почему нельзя откладывать внедрение безопасной разработки ПО?
- ВсеПрофи24
- Треть российских компаний увеличивает бюджет на безопасность - SearchInform
Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт
В основном атакам подвергаются системы промышленных предприятий и государственных учреждений. Ее основное назначение — обеспечить защиту информационных ресурсов страны от атак и штатное функционирование таких ресурсов в условиях возникновения компьютерных инцидентов. В рамках исполнения Указа, ФСБ России разрабатывает методики обнаружения атак, рекомендации по организации защиты, определяет порядок обмена информацией об инцидентах. Для того, чтобы обеспечить это взаимодействие, создаются центры, где будут сосредоточены силы и средства для обнаружения, предупреждения атак, ликвидации их последствий и реагирования на инциденты. Упомянутые выше центры создаются для развития ГосСОПКА и реализации задач по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в том числе на объекты КИИ. Для их выполнения центры применяют технические, программные, программно-аппаратные и иные средства ГосСОПКА, которые должны соответствовать требованиям нормативно-правовых актов ФСБ России. Также для решения указанных задач в центрах ГосСОПКА сконцентрированы функции, позволяющие выстроить процессы противодействия атакам.
Будьте в курсе последних новостей отрасли Подписаться.
Закон подразумевает запрет на приобретение иностранного программного обеспечения ПО для объектов критической информационной структуры России. Также документ запрещает с 1 января 2025 года органам государственной власти использовать на таких объектах иностранное ПО без согласования с уполномоченным органом исполнительной власти. В конце января Государственная дума приняла в первом чтении законопроект об отнесении к субъектам критической информационной инфраструктуры КИИ владельцев информационных систем в сфере государственной регистрации недвижимости.
Артём Шейкин.
Зачастую компании, органы и организации этим правом пренебрегали и минимизировали количество систем, которые определяются как КИИ, чтобы не нести существенные затраты на обеспечение информационной безопасности Артём Шейкин, член Комитета СФ по госстроительству и законодательству Сегодня в верхней палате пошёл круглый стол, где обсуждались вопросы обеспечения технологической независимости и безопасности критической информационной инфраструктуры РФ. Как сообщил глава департамента цифровых технологий Минпромторга РФ Владимир Дождев, уже готов перечень типовых объектов критической инфраструктуры , которые в обязательном порядке должны пройти категорирование и быть защищены. Сенатор Шейкин в ходе мероприятия преждожил распространить господдержку не только на разработку российского программного обеспечения, но его внедрение и сопровожение проектов в данной сфере.
Как и кому необходимо подключаться к ГосСОПКА
Системы, осуществляющие передачу информации по линиям связи. Автоматизированные системы управления АСУ. Комплекс средств автоматизации и информационных технологий для реализации производственных функций. Как правило, у различных сегментов экономики преобладает конкретный тип объекта КИИ, в случае с операторами связи — информационно-телекоммуникационные сети ИТКС. Оператор связи это субъект КИИ?
Законодатель пошел простым путем, он ввел критерии, по которым можно быстро определить является организация субъектом КИИ или нет. То есть субъектами КИИ операторов связи обозначили сразу, а далее каждый утверждает отсутствие, наличие и количество объектов КИИ, описывает их и обеспечивает выполнение мер для обнаружения, предупреждения и ликвидации последствий компьютерных атак. Надзорный орган производит оценку действий и решений субъектов КИИ, контролирует и корректирует их работу. Необходимо провести инвентаризацию следующих систем: Информационных базы данных, файлы данных ; Программных системное и прикладное ПО ; Технических компьютеры, сервера, коммутационное оборудование, носители данных.
В случае с операторами связи необходимо выделить критические процессы, прекращение и некорректная работа которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, в том числе у других субъектов КИИ, которые обеспечивают оборону, безопасность и правопорядок государства и критической информационной инфраструктуры. Необходимо провести анализ угроз безопасности информации, мониторинг критических процессов и уязвимостей, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ, а также рассмотреть возможные действия нарушителей: создать модель угроз нарушителя безопасности информации. С чего начать? Все начинается с создания комиссии, которая будет делать анализ информации и процессов компании, создавать приказы, положения и принимать решение о наличии и отсутствии объектов КИИ.
При этом не имеет значения степень важности этих ИС, автоматизированных систем управления и телекоммуникаций и связи для самого предприятия. Главное — это то, что они классифицируются как часть КИИ страны, соответственно, требуют повышенной защиты от внутренних и внешних угроз. Основная часть условий по обеспечению безопасности в рамках ФЗ-187 касается только тех объектов, которые в результате категорирования признаются значимыми. В качестве субъекта может выступать: орган муниципальной власти; государственные учреждения; юридические лица, зарегистрированные на территории российского государства. Общее условие для всех — владение информационно-телекоммуникационными системами, автоматизированными элементами управления либо ИС, которые относятся к отраслям КИИ. Основание для распоряжения сетями может быть любым — оформленное по всем правилам право собственности, договор аренды и т. Также к числу субъектов относятся компании и предприниматели, которые осуществляют деятельность, обеспечивающую взаимодействие ИТКС, АСУ и информационных систем.
Чтобы полностью отвечать актуальным требованиям закона в отношении критической информационной инфраструктуры Российской Федерации, госорганам, частным фирмам и учреждениям необходимо: Своевременно осуществлять передачу сведений об инцидентах, независимо от причин их возникновения, а также проводить тщательные расследования.
Критерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами 1. Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции. Программное обеспечение, используемое в составе программно-аппаратного комплекса, соответствует требованиям к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц« за исключением организаций с муниципальным участием , на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденным постановлением Правительства Российской Федерации от 22 августа 2022 г.
Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и или Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом сертификатом. Что будет, если этого не сделать? ФСТЭК редко проводит ее в компаниях, а вот прокуратура вполне может осуществить. Что грозит компаниям, если при проверке выявится правонарушение: Уголовная ответственность по ст.
Нарушение требований в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации; Штраф от 10 до 20 тысяч рублей.
Об этом заявил в ходе стратегической сессии «Об импортозамещении ПО в отраслях» премьер-министр Михаил Мишустин. К чему следует готовиться отечественным предприятиям и организациям, какие практические шаги следует предпринимать? ИС организационного управления предназначены для автоматизации функций управленческого персонала. К этому классу относятся информационные системы управления промышленными организациями и непромышленными объектами: гостиницами, банками, торговыми предприятиями и др. Основными функциями подобных систем являются контроль и регулирование, оперативный учет и анализ, перспективное и оперативное планирование, бухгалтерский учет, управление сбытом-снабжением и другие экономические и организационные задачи. ИС управления технологическими процессами ТП служат для автоматизации функций производственного персонала.
Такие системы широко используются для поддержания технологического процесса в металлургической и машиностроительной промышленности. ИС автоматизированного проектирования, или САПР, предназначены для автоматизации работы инженеров-проектировщиков, конструкторов, архитекторов, дизайнеров. Основными функциями подобных систем являются: инженерные расчеты, создание графической и проектной документации, моделирование проектируемых объектов. Интегрированные корпоративные ИС используются для автоматизации всех функций предприятия и охватывают весь цикл работ от проектирования до сбыта продукции. Учитывая тот факт, что цифровая трансформация в той или иной степени уже затронула большинство сфер экономики страны, к объектам КИИ могут быть причислены любые информсистемы, ИТК-сети, автоматизированные системы управления АСУ. К числу ключевых ИС можно причислить информсистемы операторов связи, банков, медицинских организаций, железнодорожных и авиакомпаний и др. Очевидно: если информационная система функционирует в области здравоохранения, в банковской и финансовой сфере, в организациях транспорта и связи, ТЭК, атомной промышленности, ВПК, ракетно-космической промышленности РКП , горнодобывающей промышленности, металлургической и химической промышленности, она по определению является важным объектом, которому необходимо обеспечить безопасность.
В любом случае он запущен, и сроки перехода уже обозначены на уровне руководства страны. Так, запрет на закупку зарубежного ПО для госструктур действует с 31 марта 2022 года. Полностью отказаться от него они должны с 1 января 2025 года.
Оставить свой комментарий:
- Обеспечение безопасности КИИ
- Оставить свой комментарий:
- Связаться с нами
- Обновление подборки законодательства о КИИ на сентябрь 2023
Обзор законодательства РФ о критической информационной инфраструктуре
Около трети направленных сведений о результатах присвоения объекту КИИ категории значимости ФСТЭК России возвращает промышленным объектам на доработку. Субъекты критической информационной инфраструктуры (КИИ) должны предоставлять во ФСТЭК сведения в том числе о программных, программно-аппаратных средствах, а также. Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. Именно с такого подхода рекомендует начинать ФСТЭК при определении принадлежности Организации к субъектам КИИ.
Безопасность КИИ - Безопасность объектов критической информационной инфраструктуры
Если объект КИИ не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из таких категорий. После формирования комиссии идут следующие действия: 1 Формируется перечень объектов КИИ, подлежащих категорированию, с указанием сроков проведения их категорирования и согласование указанного перечня со ФСТЭК России. Акт категорирования подписывается членами комиссии и утверждается руководителем субъекта КИИ. ФСТЭК России после получения сведений о результатах категорирования от субъекта КИИ обязан в течение 30 дней проверить правильность категорирования и при выявлении нарушений возвратить направленный документ субъекту КИИ для исправления.
IT-бизнес не согласен с расчетами и просит не откладывать принятие директивы.
В чем суть готовящихся требований? Речь о том, чтобы предприятия, управляющие КИИ, при выборе софта или оборудования отдавали предпочтение российским продуктам, если таковые имеются. Сегодня доля отечественного ПО и оборудования на таких предприятиях меньше, чем доля импортного. Госкомпании начнут согласовывать приобретение зарубежного софта с Минцифры В требованиях Минцифры не указана доля российского ПО и оборудования, которая должна использоваться на предприятиях.
На запрос ТАСС в пресс-службе ведомства уточнили: "При обосновании, в котором могут быть описаны все риски для бесперебойной, безопасной и эффективной работы объектов КИИ, субъект КИИ вправе продолжить использовать иностранное ПО, телекоммуникационное оборудование и радиоэлектронную продукцию. Преимущественное использование означает, что при наличии выбора между аналогичным российским и иностранным ПО и или оборудованием приоритет должен отдаваться российским продуктам. Проект постановления правительства предусматривает ряд исключений, учитывающих специфику всех отраслей, а также отсутствие на сегодняшний день отдельных российских аналогов используемых на объектах КИИ оборудования, продукции и ПО.
СУБД 5 класса защиты - 2 категории значимости. СУБД 4 класса защиты - 1 категории значимости. Многофункциональные МЭ уровня сети 5 класса защиты - 2 категории значимости.
Кто должен защищать КИИ?
Защиту объектов КИИ и сетей электросвязи, используемых для организации взаимодействия объектов КИИ, обеспечивают субъекты КИИ в соответствии с действующим законодательством в области информационной безопасности посредством принятия правовых, организационных и технических мер. Субъектами КИИ выступают: 1 государственные органы, государственные учреждения, российские юридические лица и или индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат объекты КИИ, а также 2 российские юридические лица и или индивидуальные предприниматели, которые обеспечивают взаимодействие объектов КИИ ст. Помимо субъектов в процессе обеспечения безопасности объектов КИИ принимают участие: 1 ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, при этом: осуществляет государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры; ведет реестр значимых объектов критической информационной инфраструктуры; проверяет правильность соблюдения порядка осуществления категорирования и определения категории значимости объекта КИИ, и другое. Постановление Правительства РФ от 08.
Владимир Путин подписал закон об изменении перечня субъектов КИИ
Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Новости законодательства. Кто же такие субъекты КИИ?
Что такое КИИ?
В решение для безопасности объектов критической информационной инфраструктуры (КИИ) мы объединили продукты Positive Technologies. К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг. Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Современные вызовы КИИ российской промышленности».
Безопасность критической информационной инфраструктуры
По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета. Тем самым будет обеспечена прослеживаемость закрытия выявленных уязвимостей. Информирование о выявленных уязвимостях и компенсирующих мероприятиях конечных пользователей. В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий. Оповещение конечного пользователя об окончании жизненного цикла ПО. К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла.
Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь. На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий.
Закупить такое ПО можно лишь после согласования с профильным ведомством.
В полном объёме мера вступит в силу в 2025 году.
Функционирует при финансовой поддержке Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации Регион Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт В Госдуму внесён законопроект о переходе субъектов КИИ на ПО РФ для безопасности Правительство РФ внесло в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры КИИ в России на отечественное программное обеспечение ПО для безопасности. Соответствующий документ появился в базе нижней палаты парламента в четверг, 21 марта. Согласно документу, речь идёт о переходе на преимущественное использование отечественных программ для электронных вычислительных машин ЭВМ , а также баз данных и радиоэлектронной продукции.
В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации СЗИ : в значимых объектах 1 категории применяются СЗИ не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса; в значимых объектах 2 категории применяются СЗИ не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса; в значимых объектах 3 категории применяются СЗИ 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 и 2 категорий значимости применяются сертифицированные СЗИ , прошедшие проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей. Функции безопасности СЗИ должны обеспечивать выполнение требований П-239. Часть 4. Требования к вышеупомянутым процессам определены в разделе 5 П-235.
Внедрение организационных и технических мер защиты значимых объектов КИИ Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей эксплуатационной документацией на значимый объект, стандартами организаций и включает: установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств; разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта; внедрение организационных мер по обеспечению безопасности значимого объекта; предварительные испытания значимого объекта и его подсистемы безопасности; опытную эксплуатацию значимого объекта и его подсистемы безопасности; анализ уязвимостей значимого объекта и принятие мер по их устранению; приемочные испытания значимого объекта и его подсистемы безопасности. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются: организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств; проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер; определение администратора безопасности значимого объекта; отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления: анализ проектной, рабочей эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта; анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля анализа защищенности и или иных средств защиты информации; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля анализа защищенности; тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации.
Допускается проведение анализа уязвимостей на макете в тестовой зоне значимого объекта или макетах отдельных сегментов значимого объекта. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации способствовать возникновению угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования эксплуатации нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий испытаний , в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности требованиям П-239, а также требованиям ТЗ на создание значимого объекта и или ТЗ частного технического задания на создание подсистемы безопасности значимого объекта. Ввод в действие значимого объекта и его подсистемы безопасности осуществляется при положительном заключении выводе в акте приемки или в аттестате соответствия о соответствии значимого объекта установленным требованиям по обеспечению безопасности.
Силы обеспечения безопасности значимых объектов КИИ В соответствии с п.
Категорирование КИИ
О порядке перехода субъектов КИИ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ (ПП РФ 1912). Что такое КИИ и кто попадает под ФЗ-187? Обязанности субъектов КИИ: категорирование объектов КИИ, обеспечение интеграции с ГосСОПКА, принятие мер по безопасности объектов. Правительство РФ утвердило для субъектов КИИ порядок перехода на использование доверенных ПАК, соответствующих специальным требованиям. Также вспомним определение объекта КИИ, приведенное в 187-ФЗ, согласно которому объектами КИИ является некое множество ИС/ИТ/АСУ, принадлежащих субъекту КИИ. Докладчик: Алексей КомаровВторой вебинар из серии: "Безопасность КИИ и требования 187-ФЗ"Темы: Главные определения, их смысловое наполнение, практические нюа. Методические рекомендации по категорированию объектов КИИ Порядок принятия решения о признании организации субъектом КИИ.