В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. В обзоре изменений за апрель 2023 года рассмотрим: дополнительные требования для значимых объектов КИИ с удаленным управлением, госконтроль и аккредитация. С 1 сентября 2024 г. субъектам КИИ России будет запрещено приобретать и использовать ПАК, которые не является доверенными. Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. Министерство цифрового развития, связи и массовых коммуникаций РФ предложило обязать субъекты КИИ «преимущественно использовать» отечественный софт с 1 января 2021 года и.
Секретные адреса: сделки с недвижимостью защитили от хакеров
| Кабмин определит перечень объектов критической информационной инфраструктуры | Современные вызовы КИИ российской промышленности». |
| Новые требования для субъектов КИИ: безопасная разработка прикладного ПО | Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. |
| С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК - | По таким объектам КИИ установят сроки перехода на российские продукты. |
Владимир Путин подписал закон об изменении перечня субъектов КИИ
Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. К субъектам КИИ относятся. Министерство цифрового развития, связи и массовых коммуникаций РФ предложило обязать субъекты КИИ «преимущественно использовать» отечественный софт с 1 января 2021 года и.
Что такое критическая информационная инфраструктура?
- Категорирование объектов КИИ, ФСТЭК, примеры, акты
- Категорирование объектов КИИ, ФСТЭК, примеры, акты
- О критической информационной инфраструктуре (КИИ)
- Подписан закон об изменении перечня субъектов критической информационной инфраструктуры
- ЧТО ДЕЛАТЬ ЕСЛИ ВЫ СУБЪЕКТ КИИ?
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
Как выполнить требования закона о защите критической инфраструктуры
Генеральный директор холдинга Т1 Игорь Калганов также поддержал необходимость создания общего стратегического документа в сфере КИИ и единого глоссария: Когда мы придем к единому пониманию и найдем методы, при которых заказчики будут хотеть признавать себя КИИ, нам всем станет гораздо проще взаимодействовать и договариваться. Начальник Департамента информатизации РЖД Кирилл Семион высказал предложение разделить понятие безопасности и требований, которые предъявляются к КИИ: Отсутствие импортозависимых компонентов в КИИ не всегда является достаточным, чтобы обеспечить их безопасность. Также спикер обратил внимание на необходимость введения конкретных требований к понятию безопасная разработка. И ответственность подрядчиков за соблюдение данных требований по безопасности, чтобы крупнейшие потребители не несли дополнительных затрат для исправления ситуации. Директор по информационным технологиям Госкорпорации «Росатом» Евгений Абакумов рассказал про критерии доверенности ПАК, которые видятся важными для крупнейших заказчиков: Нам важно знать, кто является производителем решения, как выстроены процессы их разработки. Иногда бывают ситуации, когда часть приложений наших партнеров разрабатываются за границей. Этот вопрос мы должны контролировать в том числе. Среди требований к производителю и разработчику: собственная сеть сервисных центров на территории РФ; наличие прав на документацию, технологию, патентов и исключительных прав на ПО; поддержка продукта на протяжении всего жизненного цикла.
Также отдельно Евгений Абакумов остановился на требованиях к аппаратному и программному обеспечению ПАК. Старший вице-президент по информационным технологиям Ростелекома Кирилл Меньшов акцентировал внимание на предназначении ПАКов: Мне кажется, что решить вопрос ПАКов без понимания того, что они из себя представляют — невозможно. Они появились для специализированных задач, которые нельзя решить с помощью универсальных серверов. Поэтому ПАКи между собой различаются радикально.
Экономика, экология и оборона Анна Сарбукова, ведущий юрисконсульт практики интеллектуальной собственности юридической компании ЭБР, обращает внимание, что сейчас субъектами КИИ являются организации очень во многих сферах: здравоохранения, транспорта, связи, энергетики, банковской деятельности и финансового рынка, топливно—энергетического комплекса, атомной энергии, оборонной и ракетно—космической. Кроме того, к ним относятся информационные системы, информационно—телекоммуникационные сети и автоматизированные системы управления, а также российские юридические лица и индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей. Юрист, экономист, член комитета ТПП РФ по предпринимательству в сфере медиакоммуникаций Павел Катков добавляет, что объекты КИИ категорируются исходя из их социальной значимости и величины возможного ущерба интересам России в вопросах внутренней и внешней политики; экономической значимости и возможного причинения прямого и косвенного ущерба бюджетам страны; экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду.
А также значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка. В зависимости от этого объектам присваивается категория — первая, вторая или третья. Для узкого круга лиц Все опрошенные юристы отмечают, что новые поправки не имеют никакого отношения к закрытию Единого государственного реестра недвижимости, которое произошло в июле 2022 года. В результате стало невозможным просто так получить выписку из ЕГРН. Тогда же внесли изменения и в закон о нотариате, поскольку нотариус теперь является одним из немногих лиц, которое может получить доступ к данным о недвижимости. Поэтому включение оператора реестра недвижимости в перечень субъектов российской КИИ не сильно влияет на текущее положение дел", — подчёркивает Максим Али. При этом он отмечает, что в сфере регистрации недвижимости этот закон вряд ли как—то критически повлияет на текущее положение дел.
Об этом корреспонденту «Телеспутника» в кулуарах Петербургского международного экономического форума рассказал заместитель главы Минпромторга Василий Шпак. Понравилась статья?
Какие действия должны предпринять субъекты КИИ для выполнения Закона? Согласно закону, субъекты КИИ должны: провести категорирование объектов КИИ; обеспечить интеграцию встраивание в Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; принять организационные и технические меры по обеспечению безопасности объектов КИИ. Что подлежит категорированию? Категорированию подлежат объекты КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и или иные процессы в рамках выполнения функций полномочий или осуществления видов деятельности субъектов КИИ. Что в себя включает категорирование объектов КИИ?
Категорирование объекта КИИ предполагает определение его категории значимости на основе ряда критериев и показателей. Всего устанавливается три категории — первая, вторая или третья в порядке убывания значимости. Если объект КИИ не соответствует ни одному из установленных критериев, ему категория не присваивается. В реестр включается следующая информация: наименование значимого объекта КИИ; сведения о взаимодействии значимого объекта КИИ и сетей электросвязи; сведения о лице, эксплуатирующем значимый объект КИИ; присвоенная категория значимости; сведения о программных и программно-аппаратных средствах, используемых на значимом объекте КИИ; меры, применяемые для обеспечения безопасности значимого объекта КИИ. Важно отметить, что если в процессе категорирования было определено отсутствие категории значимости у объекта КИИ, результаты категорирования все равно должны быть представлены во ФСТЭК России. Регулятор проверяет представленные материалы и при необходимости направляет замечания, которые должен учесть субъект КИИ. Как проводить категорирование объектов КИИ? Показатели критериев значимости, а также порядок и сроки категорирования определены в «Правилах категорирования объектов критической информационной инфраструктуры Российской Федерации» утверждённых соответствующим постановлением правительства от 8 февраля 2018 г.
Что такое критическая информационная инфраструктура?
Субъекты могут сами определять значимость объектов и не относить их к КИИ. Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред Совета по развитию цифровой экономики при СФ, член Комитета верхней палаты по госстроительству и законодательству Артём Шейкин. Он отметил, что поправок ждут с осени 2022 года, и они просто необходимы для ускорения реализации положений Указов Президента РФ об обеспечении технологической независимости и безопасности критической информационной инфраструктуры страны, перехода на отечественный софт и «железо». Артём Шейкин.
По результатам обсуждения правового комитета ассоциации "Ростелесеть" мы рекомендуем для рассмотрения следующий список потенциальных участников комиссии: Руководитель компании или уполномоченное лицо генеральный директор, его заместитель ; Руководители, понимающие все технологические процессы в компании и их взаимосвязь технический директор, главный инженер ; Специалист, отвечающий за информационную безопасность главный администратор сети ; Сотрудник, отвечающий за гражданскую оборону и чрезвычайные ситуации если есть ; Специалист по защите государственной тайны если есть ; Специалист финансово-экономического подразделения: для расчета показателей экономической значимости экономист ; Специалист юридических подразделений: для проверки корректности соблюдения процедуры и оформления документов юрист. Рекомендованный состав больше относится к крупным операторам связи и лишь подсказывает кандидатов и затрагиваемые аспекты оценки процессов. Для небольших компаний этот перечень лучше сократить. Комиссия формирует положение о комиссии по категорированию объектов критической информационной инфраструктуры, где прописывает все принципы работы комиссии. После чего утверждается план работы и формируется перечень объектов критической информационной инфраструктуры на своем предприятии. Важно, что в перечень включаются все объекты КИИ, как значимые, так и не значимые. Нужно сформировать перечень всех объектов КИИ, после чего у организации будет еще год для проведения категорирования и установления степени значимости.
Общаясь с сотрудниками ФСТЭК, мы осознаем, что в службе только формируются подходы, регламентирующих документов много, они содержат обобщенный характер требований, а в ближайшие годы предстоит большая работа по трактовке и совместному их пониманию с регулятором. С целью выработки единых подходов ассоциация "Ростелесеть" формирует для своих участников рекомендованные документы. По мере корректировки видения этот пакет документов будет меняться и расширяться. Сроки исполнения Большинство государственных органов и учреждений уже прошли этап создания комиссии, утверждения перечня объектов КИИ и их категорирования. Процесс активно проходит с 2017 года. Для коммерческих компаний эти даты можно рассматривать как рекомендованные, ФСТЭК уже начал рассылать запросы участникам ассоциации, а привлечение прокуратуры в качестве дополнительного контроля подсказывает, что операторам уже сейчас необходимо запускать процедуры и быть готовыми к проверкам.
При этом при их дефиците нет и каких-то значимых мер господдержки, чтобы операторы ПД могли активнее внедрять защищающее ПО, особенно в сфере малого и среднего бизнеса», — комментирует Алексей Парфентьев, руководитель отдела аналитики «СёрчИнформ». По всем организациям, которые относятся к субъектам КИИ, системообразующим или операторам ПД эти цифры выше.
Компании, у которых затраты на ИБ в 2022 году выросли, заметно чаще направляют бюджет на закупку нового оборудования и ПО. Мы связываем это в большей степени с тем, что в компаниях стремились оплатить «железо» до того, как оно подорожало или опасаясь дефицита. На какие цели тратят ИБ-бюджеты Реальные потребности бизнеса по-прежнему заметно обгоняют мотив выполнять требование регуляторов. Зеркальная картина только у компаний — субъектов КИИ, госорганизаций. Строгие законодательные требования позитивно сказываются на оснащенности защитными решениями. Но ИБ-программы — это как правило сложные системы, с которыми нужно работать. И если ИБ-специалисты не видят для себя пользы, это создает риск формальной, а не реальной защиты», — комментирует Алексей Парфентьев.
Обозначены этапы управления уязвимостями. Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Также Приказом вводятся обязательные меры по реализации компенсирующих мер в случае невозможности обеспечения технической поддержки средств защиты информации со стороны производителя.
Новые требования для “железа” и иностранного ПО для субъектов КИИ
| С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК – постановление | Министерство цифрового развития, связи и массовых коммуникаций России готовит документ, в соответствии с которым субъекты телевещания признают объектами критической. |
| Категорирование КИИ | В КоАП внесена ответственность за предоставление недостоверных сведений о категорировании объектов КИИ, а также утверждены правки в процедуру категорирования объектов КИИ и. |
| Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт | Короче говоря, объекты КИИ — это информационные системы, принадлежащие субъектам КИИ и помогающие в выполнении критических процессов. |
| ФСТЭК России проводит проверки субъектов КИИ | Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. |
Владимир Путин подписал закон об изменении перечня субъектов КИИ
Современные вызовы КИИ российской промышленности», сообщает пресс-служба Ассоциация КП ПОО. В 2022 году многие организации пересмотрели свои ИБ-бюджеты, в том числе субъекты критической информационной инфраструктуры (КИИ). Современные вызовы КИИ российской промышленности». С 1 сентября 2024 г. субъектам КИИ России будет запрещено приобретать и использовать ПАК, которые не является доверенными.
Как выполнить требования закона о защите критической инфраструктуры
Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ. Мы рассмотрели, кто такой субъект критической информационной инфраструктуры, что такое объект КИИ и какие необходимо выполнить действия для выполнения требований ФСТЭК. Короче говоря, объекты КИИ — это информационные системы, принадлежащие субъектам КИИ и помогающие в выполнении критических процессов. Субъектам КИИ, выполняющим гособоронзаказ, теперь следует рассчитывать увеличение времени изготовления для единицы продукции. До 2025 года субъекты КИИ обязали перейти на всё отечественное.
Hормативные акты по КИИ
Минпромторг России будет отвечать за субъекты КИИ в области оборонной, горнодобывающей, металлургической и химических промышленности. Представитель Минпромторга отметил, что ведомство обеспечит взаимодействие с целью мониторинга состояния перехода путем обмена сводными отчетами и выписками. Федеральная служба государственной регистрации , кадастра и картографии будет отвечать за переход субъектов КИИ в сфере регистрации прав на недвижимое имущество и сделок с ним, « Росатом » в области атомной энергии , а « Роскосмос » в области ракетно- космической промышленности. Необходимо отметить, что Банк России будет отвечать за этот переход в банковской сфере и иных сферах финансового рынка, а также будет частично организовать его для ряда финансовых организаций. Перечисленные ведомства должны будут определить должностное лицо в должности не ниже заместителя руководителя уполномоченного органа, которое будет отвечать за организацию перехода субъектов КИИ на использование доверенных ПАК.
Еще сложнее дело обстоит с целыми экосистемами, основанными на импортных решениях: в этом случае создание полного стека отечественных технологий может потребовать нескольких лет. Пока что выходом является комбинирование нескольких продуктов для обеспечения компании необходимым функционалом. Альтернативной этому решению является использование отечественного стека совместимых продуктов от нескольких российских поставщиков. Также, переход на новое программное обеспечение требует времени. Тестирование нового решения обычно занимает от полугода до года, но перевод мощностей осуществляется постепенно и может длиться более пяти лет. Наконец, еще одна причина медленных темпов миграции — недоверие к отечественным технологиям. В мышление российских предпринимателей и потребителей вросла установка «западное происхождение товара — гарант качества», в то время как российские продукты воспринимаются как нечто сделанное наспех, не функциональное и не надежное. Зато теперь, когда государство говорит о том, что пора делать то же самое, но с отечественными решениями — осуществлять внедрение, получать обратную связь от заказчика для доработки продукта и т. Как бы то ни было, теперь миграции не избежать.
Для доказательства наличия аналогичных ПАК, которые могут быть приобретены, субъекты КИИ должны опираться на заключения об отнесении продукции к промышленной продукции Минпромторга на основании Постановления Правительства N 1135. Определены уполномоченные органы в сферах деятельности для перехода на иные доверенные комплексы, которым поручено утверждение планов и определение ответственных лиц. Отраслевые планы перехода, начиная с 2026 года, содержат информацию о мерах по переходу субъектов критической рабочей силы по использованию доверенных программно-аппаратных комплексов и о долях этих комплексов в их общем количестве.
Крайний срок для этого этапа — 1 января 2019 года. За уклонение от предоставления сведений и нарушение установленных сроков предусмотрена ответственность — от административной ст. Вы относитесь к субъектам КИИ? Помните, что провести категорирование объектов можно и самостоятельно, обучив сотрудников. Но в таком случае есть риск понести значительные финансовые потери из-за ошибок, возникших при категорировании. Разумеется, это все отразится на итоговой стоимости средств защиты информации объектов КИИ.
Подписан закон об изменении перечня субъектов критической информационной инфраструктуры
И с точки зрения защиты персональных данных — чужой информации — мы должны прийти к аналогичной ситуации. Если утекает информация, то речь должна идти не о штрафах, а о компенсациях владельцам персональных данных. Логика следующая: если у тебя украли деньги, то с ними понятно — вот они здесь, а вот их нет. Если украли персональные данные, то ты уже не можешь сделать «как было» — найти в интернете украденные сведения и стереть их. Соответственно, речь должна идти о какой-то компенсации. Достаточно сложно выработать механизм расчета, сколько надо компенсировать, в том числе — в зависимости от того, какие потенциальные данные хранились и какой ущерб, в том числе моральный, их утечка могла нанести владельцам этих персональных данных. Но тем не менее это можно разработать. И тогда защита персональных данных станет сбалансированной. С пониманием того, что утечка персональных данных одного субъекта грозит компенсацией в таком-то размере, ситуация сразу нормализуется.
Возникает конкретный финансовый риск организации — не нарушение, которое регулятор, может быть, не заметит, не штраф 75000 рублей, который не так уж велик для крупных организаций, а реальный финансовый риск, даже если это — 10 рублей за одну запись. Десять рублей — это условная сумма: конечно, если человеку в результате утечки придется менять паспорт, то мы говорим про совсем иные суммы компенсаций. Мой прогноз — так или иначе мы к этому придем. На «SOC-Форуме» один из выступающих сказал, что это — гражданские отношения, сами субъекты персональных данных должны эту ответственность где-то прописать. Но это — не работающее право. Если ты придешь в страховую и скажешь: «Я не буду с вами договор страхования заключать, если вы мне не гарантируете, что в случае утечки моих персональных данных вы мне заплатите 3000 рублей», то на тебя посмотрят как на идиота. Точно так же, как если бы до 2006 года кто-то начал «качать права», что это — мои персональные данные, давайте я вам напишу список, как вы должны их охранять. Так не будет работать.
Порядок нужно доверить государству, а государству — брать это всё в свои руки и регламентировать эти вопросы. Если говорить об утечке биометрических данных — что человек будет делать? Он же не может пальцы или лицо заменить? Ответственность той организации, которая защищает биометрические данные, должна быть в разы выше? Но если украден рисунок радужной оболочки глаза, то человек по сути теряет возможность такой идентификации. И для него это начинает быть проблемой: ему нужно удалить это отовсюду, где он им пользовался, и в дальнейшем этого не применять. Для человека это — потери, и это тоже можно посчитать в деньгах. Если речь — про отпечаток пальца, то придется пользоваться не привычным, а остальными.
И это — тоже некое неудобство, которое можно также просчитать. Такая схема касается персональных данных, там ситуация является классической в смысле триады «конфиденциальность, целостность, доступность». Когда мы говорим о следующем объекте регулирования — критической информационной инфраструктуре, — там эта триада уже эффективно не работает. Там мы говорим о безопасности киберфизических систем, там о конфиденциальности этих данных мало кто беспокоится, всех волнует то, чтобы резервуар с какими-то химикатами не лопнул из-за избыточного давления и ядовитое облако не накрыло город. Тут ситуация несколько меняется: это — риски не ИБ, не нарушения конфиденциальности, и нет процесса передачи информации какому-то оператору, как в случае с персональными данными. Есть много сторон, заинтересованных в том, чтобы эти последствия не наступили: чтобы отопление продолжало поступать в дома, чтобы работало электричество и никого не накрывало ядовитыми облаками. Но схема — примерно та же самая: те риски, которые видит для себя промышленное предприятие, химпредприятие, медицинское учреждение, транспортное, и те риски, которые могут возникнуть вне самого предприятия, но из-за проблем у них — разные. И мы можем предполагать, что эту внутреннюю оценку рисков предприятия для себя сделали.
Но последствия для других они точно при этой оценке не рассматривали. На SOC-Форуме Виталий Лютиков в одном из вопросов очень эмоционально сказал, что сообщество информационной безопасности оказалось не готово работать с внешней моделью рисков, которая заложена в 187-ФЗ. Все эти риски, на его взгляд, оказались непонятными. Потому что все «крутились» внутри. Если у тебя что-то происходит — простой производства, взорвался резервуар с химикатами, еще что-либо, — то, наверное, ты можешь посчитать, сколько на территории твоего предприятия займет нейтрализация последствий. Может, вообще ничего не потребуется и облако просто унесет на город, само предприятие никак не пострадает: все противогазы надели, полчаса посидели и сняли. Единственное, что есть — это поврежденный резервуар; вероятность того, что это случится из-за каких-то киберпроблем, крайне низка. Поэтому защитные мероприятия — не очень то и серьезные.
Но облако пошло в сторону города, его накрыло, и будем надеяться, что никто не умер. И этот риск — это не полчаса посидеть в противогазе. До принятия закона его никто не оценивал. Сейчас «нормативка» по ФЗ-187 расширяет и формализует имеющуюся оценку рисков. Если кто-то делал оценку рисков умозрительно, ему это непривычно. Если как-то пытался формализовать — с калькулятором, Excel или еще чем-то, — то ему всё равно непривычно, потому что он оценивал внутренние риски для своей организации. А об экологии, жизни и здоровье граждан никто не заботился. Но и ждать от организаций, что они сами будут расширять оценку рисков, было бы странно.
Особенность защиты технологических сетей состоит в том, что инцидентов не очень много — публичными являются всего несколько в год по всему миру.
Важно отметить, что если в процессе категорирования было определено отсутствие категории значимости у объекта КИИ, результаты категорирования все равно должны быть представлены во ФСТЭК России. Регулятор проверяет представленные материалы и при необходимости направляет замечания, которые должен учесть субъект КИИ. Как проводить категорирование объектов КИИ?
Показатели критериев значимости, а также порядок и сроки категорирования определены в «Правилах категорирования объектов критической информационной инфраструктуры Российской Федерации» утверждённых соответствующим постановлением правительства от 8 февраля 2018 г. Правила регламентируют процедуру категорирования, а также содержат перечень критериев и их показатели для значимых объектов КИИ первой, второй и третьей категории. Согласно Правилам, процедура категорирования включает в себя: Определение субъектом КИИ перечня всех процессов, выполняемых в рамках своей деятельности. Выявление критических процессов, то есть тех процессов, нарушение и или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка.
Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, управления и контроля ими. Формирование перечня объектов КИИ, подлежащих категорированию. Перечень объектов для категорирования подлежит согласованию с ведомством-регулятором, утверждается субъектом КИИ и в течение 5 рабочих дней после утверждения направляется во ФСТЭК России. Оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ в соответствии с показателями, указанных в Правилах.
Всего предусматривается 14 показателей, определяющих социальную, политическую, экономическую значимость объекта КИИ, а также его значимость для обеспечения правопорядка, обороны и безопасности страны. Присвоение каждому из объектов КИИ одной из категорий значимости в соответствии с наивысшим значением показателей, либо принятие решения об отсутствии необходимости присвоения категории.
К чему следует готовиться отечественным предприятиям и организациям, какие практические шаги следует предпринимать? ИС организационного управления предназначены для автоматизации функций управленческого персонала. К этому классу относятся информационные системы управления промышленными организациями и непромышленными объектами: гостиницами, банками, торговыми предприятиями и др.
Основными функциями подобных систем являются контроль и регулирование, оперативный учет и анализ, перспективное и оперативное планирование, бухгалтерский учет, управление сбытом-снабжением и другие экономические и организационные задачи. ИС управления технологическими процессами ТП служат для автоматизации функций производственного персонала. Такие системы широко используются для поддержания технологического процесса в металлургической и машиностроительной промышленности. ИС автоматизированного проектирования, или САПР, предназначены для автоматизации работы инженеров-проектировщиков, конструкторов, архитекторов, дизайнеров. Основными функциями подобных систем являются: инженерные расчеты, создание графической и проектной документации, моделирование проектируемых объектов.
Интегрированные корпоративные ИС используются для автоматизации всех функций предприятия и охватывают весь цикл работ от проектирования до сбыта продукции. Учитывая тот факт, что цифровая трансформация в той или иной степени уже затронула большинство сфер экономики страны, к объектам КИИ могут быть причислены любые информсистемы, ИТК-сети, автоматизированные системы управления АСУ. К числу ключевых ИС можно причислить информсистемы операторов связи, банков, медицинских организаций, железнодорожных и авиакомпаний и др. Очевидно: если информационная система функционирует в области здравоохранения, в банковской и финансовой сфере, в организациях транспорта и связи, ТЭК, атомной промышленности, ВПК, ракетно-космической промышленности РКП , горнодобывающей промышленности, металлургической и химической промышленности, она по определению является важным объектом, которому необходимо обеспечить безопасность. В любом случае он запущен, и сроки перехода уже обозначены на уровне руководства страны.
Так, запрет на закупку зарубежного ПО для госструктур действует с 31 марта 2022 года. Полностью отказаться от него они должны с 1 января 2025 года. При этом требование по переводу на отечественное ПО распространяется на все объекты, категорированные как КИИ, независимо от того, являются ли они государственными или частными организациями.
Отвечаем: нет, при расчете показателя оцениваются только выплаты, осуществляемые субъектом КИИ, которые оказались меньше ожидаемых из-за какого-то инцидента. Есть и другие подобные вопросы — будем рады помочь компаниям разобраться со всеми трудностями, обращайтесь».
Защита объектов КИИ В другом письме Центробанка, которое пришло участникам рынка в феврале, регулятор напоминает кредитным организациям, что если под их управлением находятся значимые объекты КИИ, то им необходимо привести систему безопасности в соответствие обновлённому законодательству в том числе, для них становятся актуальными требования Указа Президента РФ от 01. Из ближайших действий это включает в себя: разработку ОРД по защите значимых объектов КИИ ЗОКИИ ; подготовку планов мероприятий по обеспечению их безопасности; определение ответственного за выполнение этих планов; информирование Центробанка о выполнении всех требований законодательства о КИИ; создание системы защиты значимых объектов КИИ. В пакет входят от 10 типов документов — от модели угроз и проектной документации до разного рода инструкций и положений. В связке с финансовыми организациями Центробанк будет тщательно следить за этим процессом, поэтому всем причастным организациям стоит уже сейчас начать работу в этом направлении По практике iTPROTECT процесс обеспечения защиты КИИ делится на 8 основных этапов — от определения самих объектов и моделирования угроз, до внедрения средств защиты и выстраивания процесса сопровождения системы безопасности. Там же можно оставить заявку на бесплатную консультацию, если вам требуется помощь.
Ваше сообщение отправлено
- О критической информационной инфраструктуре (КИИ)
- Сроки категорирования объектов КИИ
- Повышенная ответственность
- ЦБ РФ напомнил о категорировании субъектов КИИ
- К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование
- ЦБ РФ напомнил о категорировании субъектов КИИ
Неделя кадровика в Казани
- Разделы сайта
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году | GST
- Куда уходят деньги
- Критично, чтобы российское - «Ведомости. Импортозамещение»
- Безопасность КИИ - Безопасность объектов критической информационной инфраструктуры
Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Переход субъектов КИИ РФ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ РФ должен быть завершен до 1 января 2030 года. В 2022 году многие организации пересмотрели свои ИБ-бюджеты, в том числе субъекты критической информационной инфраструктуры (КИИ). Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года. Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ.