Категорирование объектов КИИ

С началом действия Федерального закона от 26.07.2017 № 187 «О безопасности критической информационной инфраструктуры Российской Федерации» субъекты, на которые распространяются нормы данного закона, должны организовать целый комплекс мероприятий по соблюдению положений данного нормативного акта. Под действие ФЗ №187 попадают организации многих отраслей, в том числе и транспортной. 

Все объекты транспортной и околотранспортной инфраструктуры потенциально являются объектами критической информационной инфраструктуры, и, соответственно, подпадают под действие 187-ФЗ. Поэтому представители отрасли обязаны как минимум провести категорирование.

Сбой в работе или выход из-под контроля ПО, управляющего, например, работой железной дороги может привести к трагическим последствиям. А руководитель организации в случае серьезного инцидента, повлекшего за собой причинение вреда здоровью людей, может быть привлечен не только к административной, но и к уголовной ответственности.

Объект КИИ, вне зависимости от того, в какой сфере работает организация, может быть отнесен к значимым или незначимым. Значимость объектов определяет постановление Правительства РФ.  «Об утверждении показателей критериев значимости объектов КИИ РФ и их значений, а также порядка и сроков осуществления их категорирования». Документ содержит требования, которые позволят организациям провести инвентаризацию и категорирование систем объекта. При этом искусственно занизить присвоенную объекту категорию значимости не получится, так как итоговый акт категорирования направляется на проверку в федеральный орган исполнительной власти, уполномоченный для обеспечения безопасности критической информационной инфраструктуры.

Итак, если ваша компания потенциально попадает в список субъектов критической информационной инфраструктуры, и вы по каким-то причинам еще не начали работы по приведению информационных систем и внутренних актов в соответствие с новым ФЗ, то вот какие семь первоочередных шагов следует предпринять в данном направлении:

  • разработать внутренние нормативные документы, в которых должны быть прописаны цели проекта и лица, ответственные за его исполнение;
  • создать рабочую группу по обеспечению безопасности критической информационной инфраструктуры;
  • уточнить актуальный перечень нормативных документов (принятых и планируемых к принятию);
  • пересмотреть решения по текущим или планируемым в ближайшее время внедрениям с учетом требований по обеспечению безопасности критической информационной инфраструктуры;
  • провести инвентаризацию существующих систем и оценить возможность их отнесения к значимым объектам КИИ;
  • провести GAP-анализ для потенциальных значимых объектов КИИ на предмет обеспечения в них информационной безопасности и соответствия нормативным требованиям;
  • провести бюджетную оценку приведения в соответствия с требованиями законодательства.

Перечень объектов КИИ после проведения категорирования отправляется на согласование сначала отраслевому регулятору (в случае с транспортной инфраструктурой это Министерство транспорта), а затем во ФСТЭК.

На четырех последних этапах можно привлечь к работе компанию-консультанта, например, ООО «Аргус Эксперт», что позволит получить квалифицированную экспертизу и существенно сократить время, затраченное на проведение работ.