Почему к защите критической информационной инфраструктуры (КИИ) предъявляются повышенные требования?
С 2018 года в России действует закон 187-ФЗ «О безопасности критической информационной инфраструктуры», обязывающий организации обеспечить комплексную защиту объектов КИИ. К данной категории относятся информационные системы и сети, нанесение ущерба которым может привести к возникновению угрозы для здоровья и жизни людей, негативному влиянию на экономическую, политическую, экологическую и социальную устойчивость региона и государства в целом. В законе даётся чёткая трактовка: в случае если объект КИИ не был защищён должным образом и ему был причинён вред, должностные лица могут понести ответственность в соответствии с Уголовным кодексом РФ.
В зависимости от тяжести нанесённого ущерба для непосредственных исполнителей (должностных лиц, ответственных за обеспечение безопасности КИИ), а также руководителей коммерческих и государственных компаний предусмотрены различные меры административного и уголовного наказания: от принудительных работ сроком до 5 лет и лишения права занимать определённые должности сроком до 3 лет до лишения свободы сроком на 10 лет и бессрочным запретом замещать определённые должности. Избежать ответственности за нарушение правил эксплуатации значимых объектов критической информационной инфраструктуры позволит обращение в стороннюю ИБ-организацию, деятельность которой сертифицирована ФСТЭК и ФСБ России.
Субъектами КИИ являются любые государственные или частные организации, которым принадлежат приложения, сети и АСУ ТП, работающие в следующих отраслях:
ПРОМЫШЛЕННОСТЬ:
ТЭК
ОРГАНЫ ГОСУДАРСТВЕННОГО УПРАВЛЕНИЯ
НАУКА
ТЕЛЕКОММУНИКАЦИИ
ЭНЕРГЕТИКА
ЗДРАВООХРАНЕНИЕ
ТРАНСПОРТ
ФИНАНСЫ
Аудит, категорирование, формирование требований
Комплексное проектирование мер защиты
Поставка и внедрение средств защиты
Поддержка системы КИИ
АУДИТ, КАТЕГОРИРОВАНИЕ, ФОРМИРОВАНИЕ ТРЕБОВАНИЙ
КОМПЛЕКСНОЕ ПРОЕКТИРОВАНИЕ МЕР ЗАЩИТЫ
ПОСТАВКА И ВНЕДРЕНИЕ СРЕДСТВ ЗАЩИТЫ
ПОДДЕРЖКА СИСТЕМЫ БЕЗОПАСНОСТИ КИИ
СЗИ ОТ НСД
МЕЖСЕТЕВЫЕ ЭКРАНЫ
СРЕДСТВА ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ
СРЕДСТВА ЗАЩИТЫ КАНАЛОВ ПЕРЕДАЧИ ДАННЫХ
СРЕДСТВА АНТИВИРУСНОЙ ЗАЩИТЫ
СРЕДСТВА КОНТРОЛЯ ЗАЩИЩЁННОСТИ
СРЕДСТВА КОНТРОЛЯ ЗАЩИЩЁННОСТИ
ЗАЩИТА ОТ НАПРАВЛЕННЫХ АТАК
ЗАЩИТА ОТ НАПРАВЛЕННЫХ АТАК
Поставляем сертифицированные решения для обеспечения защиты от направленных атак. Предлагаемые нами программные и программно-аппаратные средства позволяют: выявлять атаки на начальном этапе и минимизировать причиняемый ими ущерб; снижать риски проникновения угроз нулевого дня; повысить эффективность применяемых на предприятии средств обеспечения IT-безопасности путём интеграции с ними.
Направления защиты:
Предлагаемые продукты:
1. Категорирование объектов КИИ
Проводим аудит критически важных процессов деятельности предприятия, составляем список объектов КИИ, определяем категорию их значимости в соответствии с Постановлением правительства России от 08.02.2018 г. № 127.
2. Формирование требований к защите КИИ
Описывается архитектура значимого объекта критической информационной инфраструктуры, перечисляются возможные угрозы для него, а также модели потенциальных нарушителей. В результате клиент получает детальное техническое задание на построение комплексной системы безопасности КИИ.
3. Проектирование систем безопасности
На основе перечня требований готовится технический проект. Разрабатывается архитектура систем обеспечения безопасности для каждого объекта КИИ (ИС, АСУ ТП, ИТКС). Описывается порядок и параметры настройки необходимых программных и программно-аппаратных средств. Готовится рабочая документация.
4. Подготовка организационно-распорядительной документации
Составляем план организационных мер по обеспечению информационной безопасности КИИ. Готовим документацию, в которой прописываются обязанности сотрудников, ответственных за обслуживание и обеспечение безопасности объектов критической информационной инфраструктуры.
5. Внедрение технических средств защиты КИИ
Устанавливаем и настраиваем программные и программно-аппаратные средства обеспечения безопасности значимых объектов КИИ.
6. Внедрение организационных мер защиты КИИ
В соответствии с заранее подготовленными организационно-структурными документами формируем правила, политики и стандарты безопасной работы сотрудников предприятия с объектами критической информационной инфраструктуры.
Компания «Интелком» более 10 лет обеспечивает информационную безопасность на предприятиях государственного, промышленного и коммерческого секторов. Наша деятельность сертифицирована ФСТЭК и ФСБ РФ. Нам доверяют правительства Московской и Тульской областей, более 20 МФЦ Центрального региона России, ведущие оборонные предприятия и крупнейшие вузы страны. Наши проекты удостоены высоких оценок Госдумы, УФМС, МВД, ФСБ и МЧС России, госкорпораций «РОСТЕХ» и «Высокоточные комплексы». Обращаясь к нам за услугами организационно-технического и технического обеспечения безопасности КИИ, вы сможете быть уверены в надёжной всесторонней защите критически значимых информационных объектов в чётком соответствии с требованиями федерального закона № 187-ФЗ. Кроме того, поручив защиту КИИ профессионалам, вы застрахуете себя от уголовной ответственности за нарушение правил эксплуатации значимых объектов КИИ.
Нарушение стабильной и бесперебойной работы систем критической информационной инфраструктуры (КИИ) не только создает угрозу здоровью и жизни людей, но и негативно влияет на экономическую, политическую и социальную устойчивость региона и государства в целом.
В новом законе о КИИ дается ясная трактовка: в случае, если объект КИИ не был защищен должным образом и ему был нанесен вред, должностные лица могут понести ответственность в рамках Уголовного кодекса РФ.
Для выполнения требований законодательства организациям – субъектам КИИ необходимо выполнить следующие задачи:
1. Руководитель организации – субъекта КИИ – создает комиссию по категорированию, в обязанности которой входит выявление критических процессов субъекта (управленческих, технологических, производственных и т.д.).
2. Комиссией определяются объекты КИИ – информационные системы, сети и автоматизированные системы, которые связаны с этими процессами.
3. Перечень объектов КИИ владелец (субъект КИИ) согласовывает с регулятором в установленной сфере (Минэнерго для ТЭК и нефтехимической промышленности, Министерство связи и массовых коммуникаций для телеком-операторов и т.д.) и затем отправляет в ФСТЭК России.
4. В течение года с момента согласования субъект КИИ осуществляет категорирование объектов КИИ (Постановление Правительства РФ от 08.02.2018 N 127).
5. Результаты категорирования фиксируются в акте, который утверждает руководитель субъекта КИИ, далее согласовываются с отраслевым регулятором (если он установлен) и направляются в ФСТЭК России.
6. Субъект КИИ должен создать систему безопасности значимых объектов КИИ. В нее входят:
7. Для каждого значимого объекта КИИ должны быть реализованы меры по обеспечению безопасности.
Высокий уровень значимости защищаемых систем требует комплексного подхода к обеспечению информационной безопасности.
Для выполнения требований по защите КИИ систему обеспечения информационной безопасности потребуется серьезно изменить и расширить:
Перечисленные шаги – неполные. Комплексная система защиты должна покрывать все элементы ИТ-инфраструктуры, обеспечивать высокий уровень надежности, а также иметь удобные механизмы управления и мониторинга.
После внесения в реестр объектов КИИ или после последней проверки ФСТЭК России 1 раз в 3 года проводит новую проверку объектов КИИ на соответствие требованиям законодательства.
Кроме того, субъект КИИ могут ожидать и внеплановые проверки по следующим основаниям:
По результатам проверки возможны санкции в соответствии с действующим законодательством.
Не реже 1 раза в 5 лет осуществляется пересмотр установленной категории объекта КИИ. Также пересмотр осуществляется при следующих ситуациях:
