Для выполнения требований законодательства организациям – субъектам КИИ необходимо выполнить следующие задачи:
1. Руководитель организации – субъекта КИИ – создает комиссию по категорированию, в обязанности которой входит выявление критических процессов субъекта (управленческих, технологических, производственных и т.д.).
2. Комиссией определяются объекты КИИ – информационные системы, сети и автоматизированные системы, которые связаны с этими процессами.
3. Перечень объектов КИИ владелец (субъект КИИ) согласовывает с регулятором в установленной сфере (Минэнерго для ТЭК и нефтехимической промышленности, Министерство связи и массовых коммуникаций для телеком-операторов и т.д.) и затем отправляет в ФСТЭК России.
4. В течение года с момента согласования субъект КИИ осуществляет категорирование объектов КИИ (Постановление Правительства РФ от 08.02.2018 N 127).
- При выборе категории объект оценивается по уровню влияния на показатели значимости. Итоговая оценка ставится по максимальному значению среди критериев.
- Объекту могут быть присвоены три категории значимости. Либо комиссия признает, что объект КИИ не является значимым.
5. Результаты категорирования фиксируются в акте, который утверждает руководитель субъекта КИИ, далее согласовываются с отраслевым регулятором (если он установлен) и направляются в ФСТЭК России.
6. Субъект КИИ должен создать систему безопасности значимых объектов КИИ. В нее входят:
- Люди (руководитель субъекта КИИ, уполномоченное лицо по контролю функционирования системы, сотрудники профильных структурных подразделений, сотрудники подразделений, ответственных за обеспечение безопасности).
- Средства защиты информации.
- Организационная документация (общесистемные документы, правила безопасной работы сотрудников и регламенты действий при нештатных ситуациях).
- Документы планирования (порядок приемки и проведения испытаний, порядок взаимодействия подразделений и т.д.) 7. Для каждого значимого объекта КИИ должны быть реализованы меры по обеспечению безопасности.
7. Для каждого значимого объекта КИИ должны быть реализованы меры по обеспечению безопасности.