Что такое категорирование объектов КИИ и зачем оно нужно?
Как-то быстро интернет превратился из забавы и места для общения в инструмент манипулирования массами... причем, весьма эффективный инструмент, который вытеснил большинство традиционных СМИ, в корне изменил способы распространения информации, рекламы, создания контента... К сожалению, этим инструментом пользуется не только один бизнес или, скажем, деятели культуры, но и политические группы, криминальные структуры деструктивные и экстремистские течения...
Противостоять злу
Государство, безусловно, стремится бороться с негативными проявлениями виртуального мира, где-то успешно, где-то нет... одни законы удачные, другие вызывают недоумение... третьи... впрочем, чтобы эффективно противостоять таким опасностям, надо прежде выявлять такие объекты, именно об этом тема сегодняшнего нашего разговора: Категорирование объектов КИИ - что это такое, цели, методы, итоги...
Категорирование объектов критической информационной инфраструктуры (КИИ) — это обязательный процесс оценки того, насколько важным является конкретный ИТ-ресурс (информационная система, автоматизированная система управления (АСУ ТП) или информационно-телекоммуникационная система) для безопасности и жизнедеятельности государства и общества.
Если говорить простыми словами, то государство определяет, какие системы в стране критически важны, и если их взломают или они откажут, где и как наступит катастрофа.
Зачем нужно категорирование?
Главная цель — защитить страну от масштабных кибератак, техногенных катастроф и экономического коллапса. Если классифицировать системы по уровню опасности, можно понять, куда направлять ресурсы в первую очередь. Категорирование решает следующие задачи:
- Невозможно одинаково эффективно защищать домашний компьютер, ПК бухгалтера и систему управления ядерным реактором. Категорирование отделяет критически важные или приоритетные узлы от второстепенных.
- Адресные требования к безопасности. В зависимости от присвоенной категории к объекту предъявляются четкие (и юридически обязательные) требования ФСТЭК и ФСБ России по защите информации. Чем выше категория — тем жестче требования.
- Готовность к инцидентам. Владельцы категорированных объектов обязаны подключиться к системе ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак), чтобы государство могло вовремя помочь в случае скоординированной кибератаки.
Кто обязан проводить категорирование?
Процедуру обязаны проходить все организации (государственные и частные), которые работают в стратегически важных сферах. Их называют субъектами КИИ. К ним относятся:
- Здравоохранение - больницы, фармкомпании.
- Наука и высшее образование.
- Транспорт - авиация, флот, РЖД, метрополитен.
- Связь - операторы связи, дата-центры.
- Энергетика - ТЭЦ, ГЭС, электросети.
- Банковская сфера и финансовый рынок.
- Топливная, атомная, оборонная, ракетно-космическая, химическая промышленность и металлургия.
Как определяются категории?
В результате анализа объекту КИИ может быть присвоена одна из трех категорий (где 1 — самая высокая) либо не присвоена ни одна (тогда объект признается некатегорированным). Оценка проводится по 5 группам показателей:
- Социальные. Угроза жизни и здоровью людей, прекращение работы транспорта, связи или ЖКХ.
- Политические. Прекращение работы госорганов, нарушение международного сотрудничества.
- Экономические. Финансовые убытки для организации или бюджета страны, прекращение критических транзакций.
- Экологические. Вред окружающей среде, выброс опасных веществ.
- Оборона страны. Срыв оборонного заказа, подрыв боеготовности.
Краткий алгоритм процесса включает в себя: во-первых, создание комиссии - в организации формируется рабочая группа. Во-вторых, инвентаризация - составляется полный список всех ИТ-систем и АСУ ТП. В третьих, оценка ущерба - моделируются наихудшие сценарии (что будет, если систему «уронят» хакеры) и сверяются с государственными критериями. И наконец, отправка данных - результаты оформляются в акты и отправляются на согласование во ФСТЭК.
Подведем итоги
Данная работа не просто критически важна, но она безусловное требование государства. За сокрытие объектов КИИ, умышленное занижение категории или невыполнение требований по их защите предусмотрена как административная (штрафы), так и уголовная ответственность (ст. 274.1 УК РФ).
Это один из тех "кирпичиков в фундаменте", который обеспечивает безопасность государства, общества, нас с вами, наших детей и наше будущее.
Удачи нам всем!
*** |
