Марченко также напомнил о законодательстве в сфере КИИ – на слайдах более десятка различных нормативных документов, в том числе о проверках субъектов КИИ.
Обеспечение безопасности КИИ
Ответ: Субъекты КИИ, владельцы значимых объектов КИИ, обязаны в срок не позднее 90 календарных дней с момента включения данного объекта в реестр значимых объектов КИИ. Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. Итак, мы с вами разобрались, что такое КИИ и кого мы можем называть субъектом критической информационной инфраструктурой.
ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
Кабмин внес в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры РФ на использование российского программного обеспечения (ПО). Категорирование субъектов КИИ осуществляется на основе критериев значимости и показателей их значений, а также соблюдением установленного порядка. В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. В их числе – субъекты критической информационной инфраструктуры (КИИ). Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ.
Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
Помимо операторов связи под регулирование в области обеспечения безопасности КИИ попали и другие сферы и сегменты экономики: здравоохранение, наука, транспорт, энергетика, банковская сфера, сфера финансовых рынков, топливно-энергетический комплекс, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность, химическая промышленность. Субъект КИИ — это организация, то есть государственный орган, государственное учреждение, юридическое лицо или индивидуальный предприниматель, у кого присутствует объект КИИ. Объект КИИ — это то, что может быть подвержено атаке, как правило, это информационные системы и сети, а также системы управления. Совокупность информации в базах данных и средства, которые ее обрабатывают. Информационно-телекоммуникационные сети ИТКС. Системы, осуществляющие передачу информации по линиям связи. Автоматизированные системы управления АСУ. Комплекс средств автоматизации и информационных технологий для реализации производственных функций. Как правило, у различных сегментов экономики преобладает конкретный тип объекта КИИ, в случае с операторами связи — информационно-телекоммуникационные сети ИТКС. Оператор связи это субъект КИИ? Законодатель пошел простым путем, он ввел критерии, по которым можно быстро определить является организация субъектом КИИ или нет.
То есть субъектами КИИ операторов связи обозначили сразу, а далее каждый утверждает отсутствие, наличие и количество объектов КИИ, описывает их и обеспечивает выполнение мер для обнаружения, предупреждения и ликвидации последствий компьютерных атак. Надзорный орган производит оценку действий и решений субъектов КИИ, контролирует и корректирует их работу.
По информации участников рынка, в январе и феврале регулятор отправил подназорным организациям письма с уточнением важных вопросов в этой области. В частности, в письмах говорится о необходимости пересмотреть категории значимости объектов КИИ с учётом обновлённых критериев и их значений. Обновление, о котором идёт речь, в свою очередь связано с постановлением Правительства РФ от 20. Мы рассказывали об этом здесь. Категорирование объектов КИИ В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Сама по себе эта необходимость для них, разумеется, новостью не является — речь о ней шла весь прошлый год. В первую очередь нужно определить критические процессы — в случае банков это основная финансовая деятельность, на которую ЦБ выдаёт лицензию.
Исходя из Указа Президента РФ от 25. ФСТЭК от 18. ФСТЭК от 19. Таким образом, требования Закона о КИИ применяются ко всем объектам критической информационной инфраструктуры, даже если они соответствуют ранее действовавшим требованиям к КСИИ. Переаттестация законодательством не предусмотрена. И какие категории существуют на сегодняшний день? Наиболее важно определить, какие из них являются так называемыми значимыми объектами КИИ. Для этого Постановлением Правительства РФ от 08. Руководствуясь этими Правилами, субъект КИИ оценивает свои объекты по пяти группам критериев значимости: социальной, политической, экономической, экологической и значимости для обороны страны и безопасности государства. Каждому объекту присваивается одна из трех категорий, высшая из которых — первая. Если объект КИИ вообще не соответствует критериям значимости, ему не присваивается ни одна из категорий ч.
Краткое резюме ПАК, не являющиеся доверенными в контексте данного нормативного правового акта НПА , в том числе средства защиты информации СЗИ , можно приобрести до 01. Приобретение ПАК, не являющихся доверенными, с 01. Функции защиты на уровне идентификации, аутентификации пользователей, управления доступом реализованы во множестве ПАК, не являющихся сертифицированными СЗИ например, коммутатор, программируемый логический контроллер — это как раз те самые встроенные средства защиты, приоритетное использование которых предписывает Приказ ФСТЭК России от 25. Акцент на соблюдение законодательства о государственной тайне тоже оставляет вопросы. Тут можно порекомендовать субъектам КИИ ориентироваться на отраслевые планы перехода от Уполномоченных органов, с каким грифом или пометкой они придут, с такими же отправлять собственные разработанные планы и отчеты о ходе их реализации. Планы субъектов КИИ должны содержать довольно большой перечень информации.
ЦБ РФ напомнил о категорировании субъектов КИИ
Правительство также установит порядок проведения мониторинга перехода на российские продукты. В банковской и финансовой сферах это будет согласовываться с ЦБ РФ. Предполагаемая дата вступления закона в силу - 1 марта 2025 года. Как поясняет Минцифры, сейчас собственник той или иной информсистемы определяет, относить или нет объект КИИ к значимому.
Значимые объекты КИИ — это программы и информационные системы, атаки на которые повлекут существенный социальный, экономический или экологический вред. Критерии определения критичности вреда выделяются в Перечне показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. К значимым объектам КИИ предъявляются дополнительные особые требования, а именно: на значимых объектах КИИ должно использоваться российское ПО; на значимых объектах КИИ должны использоваться доверенные программно-аппаратные комплексы. Что имеется в виду под российским ПО? Российское программное обеспечение — Программное обеспечение, в том числе в составе программно-аппаратного комплекса, сведения о котором включены в единый реестр российского ПО. Методические рекомендации по переходу на использование российского программного обеспечения, в том числе на значимых объектах критической информационной инфраструктуры Российской Федерации.
Даже если компания-разработчик — российская, ее продукты не будут считаться российским ПО, пока они не будут включены в РРПО. Подробнее о порядке включения в реестр российского ПО писали тут , а про основные трудности включения тут.
Работники структурного подразделения по безопасности, специалисты по безопасности должны обладать знаниями и навыками, необходимыми для обеспечения безопасности значимых объектов КИИ в соответствии с требованиями П-235. Обязанности, возлагаемые на работников структурного подразделения по безопасности, специалистов по безопасности, должны быть определены в их должностных регламентах инструкциях. Работники, эксплуатирующие значимые объекты КИИ пользователи , а также работники, обеспечивающие функционирование значимых объектов КИИ , должны выполнять свои обязанности на значимых объектах КИИ в соответствии с правилами безопасности, установленными организационно-распорядительными документами по безопасности значимых объектов инструкциями, руководствами.
До работников должны быть доведены положения организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся. Представители организаций, привлекаемых субъектом КИИ для эксплуатации, обеспечения функционирования значимых объектов КИИ и или для обеспечения их безопасности, должны быть ознакомлены с организационно-распорядительными документами по безопасности значимых объектов. Обеспечение безопасности значимых объектов КИИ в ходе их эксплуатации В соответствии с п. Обеспечение безопасности значимых объектов КИИ при выводе их из эксплуатации В соответствии с п. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать: архивирование информации, содержащейся в значимом объекте; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации; уничтожение данных об архитектуре и конфигурации значимого объекта; архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта.
Государственный контроль в области обеспечения безопасности значимых объектов КИИ В соответствии с ч. Основанием для осуществления плановой проверки является истечение трех лет со дня: внесения сведений об объекте КИИ в реестр значимых объектов КИИ ; окончания осуществления последней плановой проверки в отношении значимого объекта КИИ. Основанием для осуществления внеплановой проверки является: истечение срока выполнения субъектом КИИ выданного ФСТЭК России предписания об устранении выявленного нарушения требований по обеспечению безопасности значимых объектов КИИ ; возникновение компьютерного инцидента, повлекшего негативные последствия, на значимом объекте КИИ ; приказ распоряжение руководителя ФСТЭК России, изданный в соответствии с поручением Президента РФ или Правительства РФ либо на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям. По итогам плановой или внеплановой проверки ФСТЭК России составляется акт проверки по утвержденной указанным органом форме. На основании акта проверки в случае выявления нарушения требований 187-ФЗ и принятых в соответствии с ним нормативных правовых актов по обеспечению безопасности значимых объектов КИИ ФСТЭК России выдает субъекту КИИ предписание об устранении выявленного нарушения с указанием сроков его устранения.
Часть 3 ст. Наказывается принудительными работами на срок до 5 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет или без такового либо лишением свободы на срок до 6 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет или без такового. Часть 4 ст.
Проектом предлагается установить дополнительные требования к обеспечению безопасности значимых объектов критической информационной инфраструктуры далее — КИИ теплоэнергетического комплекса, при организации или осуществлении дистанционного управления технологическими процессами. Проект в явном виде устанавливает область действия требований, а также требования как для организации дистанционного управления, так и для тех субъектов КИИ, которые до вступления проекта в силу уже организовали и осуществляют дистанционное управление. Требования включают ряд мер, в том числе: требования к положению ключа дистанционного управления; защита трафика команд дистанционного управления в том числе криптографическая защита ; обеспечение межсетевой защиты; поддержка безопасности программного обеспечения. Оценка соблюдения требований, предусмотренных проектом приказа, будет осуществляться в рамках государственного контроля в области обеспечения безопасности значимых объектов КИИ в соответствии со ст. Общественное обсуждение проекта завершится 12 мая. Согласно постановлению, государственный контроль в сфере идентификации и или аутентификации осуществляет Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации далее — Минцифры России.
Положение утверждает перечень должностных лиц, уполномоченных на осуществление контрольных мероприятий, объекты контроля и порядок его проведения. Согласно Положению, на сайте Минцифры России будет вестись учет объектов контроля в виде постоянно обновляемого реестра. При осуществлении государственного контроля применяется уже известная система оценки и управления рисками причинения вреда охраняемым законом ценностям. Минцифры России при планировании контрольных мероприятий оценивает объекты контроля по трем уровням риска в соответствии с приложением к Положению: высокий — проверка 1 раз в 2 года; средний — 1 раз в 2,5 года; низкий — не установлена периодичность. При проведении контрольных мероприятий допускается фото-, видеосъемка, аудиозапись для фиксации свидетельств выявленных нарушений при этом требуется фиксировать факт нарушения не менее чем 2 снимками. Указанные материалы являются приложением к Акту о результатах контрольного надзорного мероприятия. Положение вступает в силу с 1 июня 2023 года. Аккредитация владельцев и операторов Официально опубликовано постановление Правительства Российской Федерации от 28. Постановлением утверждены требования к владельцам и операторам информационных систем, обеспечивающих аутентификацию физических лиц.
Требования включают в том числе: необходимость владения шифровальными средствами и лицензии на деятельность по разработке, производству, распространению шифровальных криптографических средств последнее актуально для операторов ; наличие в штате не менее 2 работников, осуществляющих эксплуатацию указанных информационных систем; обязательное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; использование для аутентификации программного обеспечения, входящего в единый реестр российского программного обеспечения ; использование для обработки биометрических ПДн векторов ЕБС, находящихся только на территории Российской Федерации; для операторов — обязательность выполнения требований по обеспечению безопасности информации в соответствии с ч. Постановление также утверждает Правила осуществления аккредитации для владельцев и операторов информационных систем, обеспечивающих аутентификацию физических лиц. Согласно Правилам, аккредитация проводится Минцифры России. Правила включают порядок подачи и рассмотрения заявления на аккредитацию, содержание такого заявления, сроки мероприятий в рамках получения аккредитации, основания для приостановления и прекращения действия аккредитации, внесения изменений в перечень аккредитованных органов, а также порядок обжалования полученных решений.
К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование
Можно сделать вывод, что к ГосСОПКА может подключиться любая организация или орган государственной власти, осуществляющие обнаружение, предупреждение, ликвидацию последствий атак и реагирование на инциденты. Это могут быть как организации-лицензиаты, создающие центры для оказания услуг сторонним компаниям, так и организации, строящие центр для собственных нужд. Москва, ул. Большая Лубянка д. В запросе необходимо изложить сферы деятельности субъекта КИИ, перечень информационных ресурсов, включенных в зону ответственности субъекта, контактные данные руководителя и лиц, ответственных за взаимодействие. Для обмена информацией об инцидентах через техническую инфраструктуру необходимо организовать канал защищенного межсетевого взаимодействия, решить организационные вопросы по определению зоны ответственности, и подключить организацию к технической инфраструктуре НКЦКИ под определенной учетной записью. При создании центра необходимо руководствоваться документами ФСБ России, которые определяют требования к организациям и методическую основу деятельности таких центров.
Если страдают другие юридические организации, тоже достаточно крупные, у нас культура в области кибербезопасности меняется и, возможно, в договорах между генераторами и потребителями электроэнергии могут появиться пункты про компенсации. Но у нас же есть физлица, у которых отключение электричества — это самый простой вариант. А если химическое облако полетело — это вред здоровью. Есть и другие последствия. Если это — крупное предприятие, и оно обеспечивает определенный процент поступлений средств в местный бюджет, то у него возникнут проблемы с производством, упадет прибыль, оно меньше заплатит налогов. Это — один из рисков, которые рассматриваются в рамках 187-ФЗ.
Ты уже пострадал, а тут приходит налоговая инспекция и говорит: «Прибыль у вас упала, вы недоплатили налогов, потому что плохо защищали. К такому механизму возникает много вопросов. А есть еще моменты, связанные с нарушением обороноспособности. Приходит Минобороны и говорит: «Родина в опасности, потому что вы плохо защищали объект КИИ и сорвали гособоронзаказ. Как вы будете это компенсировать? С другой — инциденты возникают нечасто, что позволит воспринимать их как некий форс-мажор.
Возможно, стоит прописывать это в договорах наряду с другими вариантами прерывания получения услуги. И если всё-таки ядовитое облако накрывает город, то это — серьезная ситуация: здесь возможен коллективный иск в сторону предприятия, что оно должно компенсировать потерю здоровья, лечение достаточно большой группе людей. И, наверное, этот механизм может быть работающим. Встает вопрос о верификации инцидентов. У нас информацию об инцидентах почти никто не публикует. Передавать ее надо, но обязанности такой нет.
Как в ряде случаев определить, что это было — кибератака или какой-то сбой оборудования? Это же — разная ответственность. Но здесь удивляет позиция правоохранительных органов. Если есть явная информация, что скорее всего совершено преступление, украдены персональные данные из какого-то конкретного банка — надо провести проверку. Есть экспертные организации, которые расследуют, — надо это сделать с их помощью. Я допускаю, что есть ситуации, в которых достоверно не разберешься.
Но большинство крупных прецедентов, связанных с массовыми утечками данных, не так часто происходит, они все — на слуху. И важно, чтобы эта функция со стороны правоохранительных органов появилась и работала — надо разбираться, приезжать в банк, проверять ритейлеров, всех «протрясти». Важно двигаться вперед. И «нормативка» развивается именно таким образом. Появляется что-то новое, апробируется, по результатам возникают новые идеи — и в итоге понятны следующие шаги. Что дальше можно было бы сделать?
Относительно КИИ есть нюанс — такие инциденты случаются нечасто. И этот нюанс в некотором роде мешает: у нас нет хорошей статистики, чтобы применять адекватные решения по управлению этими рисками. В связи с этим проблемы в персональных данных — явные, видно, как их можно решить. Но для того, чтобы было понятно, как будет работать механизм компенсаций в случае нарушения безопасности в объектах работы КИИ, надо наработать опыт — эти нарушения надо фиксировать. На основе того, как эти нарушения будут отрабатываться, мы можем смотреть, как можно улучшить процесс. Конечно, хотелось бы, чтоб события развивались не таким образом — то есть частота инцидентов не увеличивалась, а «на берегу» удалось придумать работающую методику.
Складывается впечатление, что 187-ФЗ и вся подзаконная база, которая вокруг него выросла, во многом повторяют логику 152-ФЗ: если я отвечаю за кибербезопасность на предприятии и выполнил всё, что рекомендует сделать ФСТЭК, по бумагам всё прекрасно, но что-то у меня взорвалось — я ни в чём не виноват? Я сейчас говорю про бумажное уменьшение реальных рисков. Если правила эксплуатации объекта КИИ не были нарушены внутри самой организации — всё категорировали, поставили средства, аттестовали, оценили соответствие, — но что-то всё же произошло, я убежден, что уголовная ответственность в таких случаях наступать не должна. В этой части статья 274. Но ответственность организации должна наступать. Как в примере с банком: если приехали гангстеры и деньги украли, а вся охрана действовала согласно инструкции, то претензии к охране предъявлять неправильно.
Но эти деньги — чьи-то. И это банк лишился денег, а не те клиенты, которые эти деньги ему принесли. С точки зрения безопасности ситуация та же: если хакеры захотят, они в объект КИИ проникнут и навредят — защитники не при чём. Но компенсации тем людям, которые от этого пострадают, должны быть. Почему опять навязывается такая модель, когда со стороны ФСТЭК приходят методички с перечислением средств, которые надо устанавливать, что именно надо делать? Почему нельзя людям, если они не госорганизации, самим решить, что устанавливать?
Если строить модель по принципу «ты должен защитить чужие интересы, а как — ты сам реши», то этой защиты просто не будет. И тут регуляторов можно понять, они прописывают то, что должно быть сделано.
Краткое резюме ПАК, не являющиеся доверенными в контексте данного нормативного правового акта НПА , в том числе средства защиты информации СЗИ , можно приобрести до 01.
Приобретение ПАК, не являющихся доверенными, с 01. Функции защиты на уровне идентификации, аутентификации пользователей, управления доступом реализованы во множестве ПАК, не являющихся сертифицированными СЗИ например, коммутатор, программируемый логический контроллер — это как раз те самые встроенные средства защиты, приоритетное использование которых предписывает Приказ ФСТЭК России от 25. Акцент на соблюдение законодательства о государственной тайне тоже оставляет вопросы.
Тут можно порекомендовать субъектам КИИ ориентироваться на отраслевые планы перехода от Уполномоченных органов, с каким грифом или пометкой они придут, с такими же отправлять собственные разработанные планы и отчеты о ходе их реализации. Планы субъектов КИИ должны содержать довольно большой перечень информации.
Делать это надо, сохраняя устойчивость КИИ. Решения не просто должны заработать, но и обеспечить в компаниях непрерывность и безопасность их производственных процессов. Мы понимаем, что иногда запрашиваем большое количество информации по различным вопросам, связанным с объектами КИИ, однако, эта детализация необходима, чтобы в том числе понимать в каких областях есть сложности и где требуется скорректировать подходы», — рассказал заместитель министра цифрового развития, связи и массовых коммуникаций России Андрей Заренин. Директор дирекции информационных технологий, автоматизации и телекоммуникаций «Газпром нефти» Антон Думин поднял вопрос неоднозначного толкования понятийного аппарата в нормативной базе: «Не всегда однозначно трактуются термины, которые применяются, например, такие как «программно-аппаратные комплексы» или что означает понятие «импортозаместить» внутри КИИ». Эти циклы всегда более длинные и мы должны понимать, как будем двигаться, в том числе по таким направлениям, как восполнение кадрового потенциала или производство и эксплуатация радиоэлектроники», — добавил Антон Думин. Генеральный директор холдинга Т1 Игорь Калганов также поддержал необходимость создания общего стратегического документа в сфере КИИ и единого глоссария: «Когда мы придем к единому пониманию и найдем методы, при которых заказчики будут хотеть признавать себя КИИ, нам всем станет гораздо проще взаимодействовать и договариваться». Начальник Департамента информатизации РЖД Кирилл Семион высказал предложение разделить понятие безопасности и требований, которые предъявляются к КИИ: «Отсутствие импортозависимых компонентов в КИИ не всегда является достаточным, чтобы обеспечить их безопасность».
Также спикер обратил внимание на необходимость введения конкретных требований к понятию безопасная разработка. И ответственность подрядчиков за соблюдение данных требований по безопасности, чтобы крупнейшие потребители не несли дополнительных затрат для исправления ситуации. Директор по информационным технологиям Госкорпорации «Росатом» Евгений Абакумов рассказал про критерии доверенности ПАК, которые видятся важными для крупнейших заказчиков: «Нам важно знать, кто является производителем решения, как выстроены процессы их разработки.
ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
В то же время, когда многие решения только появились на рынке и являются замещением программ иностранных игроков, к обязательной сертификации «правительство будет подходить в индивидуальном порядке и гибко», отмечает Евгений Царев. Общая ключевая цель — это успешная реализация программы импортозамещения и оперативное внедрение российского софта в объекты КИИ, и никто не хочет этот процесс тормозить», — указал эксперт. Так, например, среди вендоров российского офисного ПО, которые подтвердили соответствие требованиям ФСТЭК России и получили разрешение на применение в значимых объектах КИИ, является компания «МойОфис», которая разрабатывает редакторы документов, облачные, почтовые и коммуникационные решения. Когда нельзя заменить В то же время, по словам экспертов, есть программные решения, которые пока заменить крайне сложно. По словам Олега Сажина, в качестве примера можно привести специализированное ПО для промышленности и энергетики. Олег Сажин указал, что велика вероятность того, что «правительству придется на определенных условиях легализовать использование специализированного зарубежного софта на то время, пока будут идти разработка и переход на конкурентные российские аналоги». По мнению Евгения Царева, переход полностью на отечественное ПО нужно воспринимать с оговорками.
Действующие нормативные акты позволяют при крайней необходимости субъектам КИИ приобретать иностранные решения, но лишь по согласованию с отраслевым регулятором, а при стоимости контракта от 100 млн руб. Но это скорее теория. Сейчас мы находимся в процессе перестройки всей регуляции», — отмечает Евгений Царев.
Медведев оценил идею отключить Россию от глобального интернета Как сообщал Life. Закупить такое ПО можно лишь после согласования с профильным ведомством. В полном объёме мера вступит в силу в 2025 году.
Критериями значимости являются: возможность причинения ущерба жизни и здоровью людей, прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения, сетей связи, транспортной инфраструктуры, возможное вредное воздействие на окружающую среду и др. Руководство дата-центра проводит категорирование в течение одного года после утверждения перечня п. Для этого в организации создается специальная комиссия из числа работников.
Основываясь на категориях значимости, дата-центр определяет те организационные и технические требования к обеспечению безопасности значимого объекта, которые он должен выполнить. Данные требования могут также применяться для обеспечения безопасности объектов КИИ, не отнесенных к числу значимых, по решению субъекта КИИ п. Это распределенный комплекс сил и средств для реагирования на компьютерные инциденты и борьбы с компьютерными атаками. Как указывалась выше, субъекты КИИ несут обязанность по информированию о компьютерных инцидентах и оказанию содействия в борьбе с инцидентами и кибератаками, поэтому участвуют в ГосСОПКЕ. Невыполнение требований Закона о КИИ в ряде случаев может быть расценено как преступление. К примеру, нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в КИИ, или относящихся к КИИ систем и сетей если это повлекло причинение вреда КИИ может повлечь ответственность до шести лет лишения свободы ч. В некоторых случаях может наступить и административная ответственность. Например, нарушение требований о защите информации за исключением информации, составляющей государственную тайну влечет наложение штрафа до 2000 рублей на должностных лиц, а на юридическихлиц—до 15 ООО рублей ч.
Отметим, организация вправе при определенных обстоятельствах изменить план. Для этого нужно отправить копию утвержденного документа, приложив сопроводительное письмо с правками. Далее уполномоченный орган повторит те же действия, что и при утверждении: в течение месяца рассмотрит, а в последующие 5 дней сообщит о решении. Подтверждающий документ от госслужбы безопасности потребуется для ПАК, у которых есть функция защиты информации. В остальном программное обеспечение, на котором работает ПАК, должно соответствовать еще двум требованиям : сведения об этом ПО включены не только в единый реестр программ РФ для ЭВМ, но и в аналогичный перечень, но для стран ЕАЭС; безопасность и эффективность программ, предназначенных для защиты от кибератак, ликвидации последствий от последних и подобного рода проблем, подтверждена госслужбами, включая ФСБ. Подпишитесь на нашу рассылку и получайте свежие подборки новостей и событий!
Владельцы социально значимых объектов КИИ будут использовать ПАК
Итак, мы с вами разобрались, что такое КИИ и кого мы можем называть субъектом критической информационной инфраструктурой. После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию. После осознания руководством предприятия принадлежности к субъектам КИИ, необходимо создать внутреннюю комиссию по категорированию. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости.