Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года.
Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
Кто же такие субъекты КИИ? Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. Современные вызовы КИИ российской промышленности». Статья про идентификацию объектов КИИ и субъектов КИИ. Ответ: Субъекты КИИ, владельцы значимых объектов КИИ, обязаны в срок не позднее 90 календарных дней с момента включения данного объекта в реестр значимых объектов КИИ. Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября.
Вопрос-ответ
Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Было проверено более 400 объектов КИИ, принадлежащие 73 субъектам. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования. Все субъекты КИИ должны быть подключены к ведомственным или корпоративным центрам ГосСОПКА либо создать свой центр ГосСОПКА. Что важно делать всем субъектам КИИ, и кто такие субъекты вообще.
Безопасность КИИ - Безопасность объектов критической информационной инфраструктуры
Сегодня Председатель Правительства поручил всем индустриальным центрам компетенций провести работу по выделению критических информационных систем и процессов, с точки зрения устойчивости к вызовам и угрозам, связанным с не утратой контроля за теми инструментами, которые мы у себя применяем. Такую работу мы проведем, типовые объекты КИИ утвердим, посоветовавшись с отраслями, после чего должны будут появиться планы перехода, которые станут отображением матрицы: что мы должны поменять, почему, на что, когда и зачем. Работа для нас понятная, ведем ее вместе со всеми отраслями», — рассказал директор Департамента цифровых технологий Министерства промышленности и торговли России Владимир Дождев. Вице-президент Транснефти Андрей Бадалов высказал обеспокоенность большим количеством отчетных показателей по импортозамещению. При этом ключевыми показателями должны стать безопасность и непрерывность работы и это в прямом смысле не эквивалентно просто импортозамещению. Важно выбрать такие отечественные решения, которые обеспечат более высокий уровень безопасности КИИ, чем импортные. Делать это надо, сохраняя устойчивость КИИ. Решения не просто должны заработать, но и обеспечить в компаниях непрерывность и безопасность их производственных процессов.
Мы понимаем, что иногда запрашиваем большое количество информации по различным вопросам, связанным с объектами КИИ, однако, эта детализация необходима, чтобы в том числе понимать в каких областях есть сложности и где требуется скорректировать подходы», — рассказал заместитель министра цифрового развития, связи и массовых коммуникаций России Андрей Заренин. Директор дирекции информационных технологий, автоматизации и телекоммуникаций «Газпром нефти» Антон Думин поднял вопрос неоднозначного толкования понятийного аппарата в нормативной базе: «Не всегда однозначно трактуются термины, которые применяются, например, такие как «программно-аппаратные комплексы» или что означает понятие «импортозаместить» внутри КИИ».
Осуществления рекламной деятельности с согласия Пользователя. Способы и сроки обработки персональной информации 5. Обработка персональных данных Пользователя осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств. Пользователь соглашается с тем, что Администрация вправе передавать персональные данные третьим лицам, в частности, курьерским службам, организациями почтовой связи в том числе электронной , операторам электросвязи, исключительно в целях выполнения заказа Пользователя, оформленного на сайте , включая доставку Товара, документации или e-mail сообщений. Персональные данные Пользователя могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.
При утрате или разглашении персональных данных Администрация вправе не информировать Пользователя об утрате или разглашении персональных данных. Администрация принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц. Администрация совместно с Пользователем принимает все необходимые меры по предотвращению убытков или иных отрицательных последствий, вызванных утратой или разглашением персональных данных Пользователя. Права и обязанности сторон 6. Пользователь вправе: 6. Принимать свободное решение о предоставлении своих персональных данных, необходимых для использования сайта , и давать согласие на их обработку. Обновить, дополнить предоставленную информацию о персональных данных в случае изменения данной информации.
Пользователь имеет право на получение у Администрации информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами. Пользователь вправе требовать от Администрации уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Администрация обязана: 6.
Отраслевые планы перехода, начиная с 2026 года, содержат информацию о мерах по переходу субъектов критической рабочей силы по использованию доверенных программно-аппаратных комплексов и о долях этих комплексов в их общем количестве.
Уполномоченные органы должны ежегодно до 1 мая обновлять эти планы. После утверждения они направляют их субъектам КИИ.
С другой — инциденты возникают нечасто, что позволит воспринимать их как некий форс-мажор. Возможно, стоит прописывать это в договорах наряду с другими вариантами прерывания получения услуги. И если всё-таки ядовитое облако накрывает город, то это — серьезная ситуация: здесь возможен коллективный иск в сторону предприятия, что оно должно компенсировать потерю здоровья, лечение достаточно большой группе людей. И, наверное, этот механизм может быть работающим. Встает вопрос о верификации инцидентов. У нас информацию об инцидентах почти никто не публикует. Передавать ее надо, но обязанности такой нет.
Как в ряде случаев определить, что это было — кибератака или какой-то сбой оборудования? Это же — разная ответственность. Но здесь удивляет позиция правоохранительных органов. Если есть явная информация, что скорее всего совершено преступление, украдены персональные данные из какого-то конкретного банка — надо провести проверку. Есть экспертные организации, которые расследуют, — надо это сделать с их помощью. Я допускаю, что есть ситуации, в которых достоверно не разберешься. Но большинство крупных прецедентов, связанных с массовыми утечками данных, не так часто происходит, они все — на слуху. И важно, чтобы эта функция со стороны правоохранительных органов появилась и работала — надо разбираться, приезжать в банк, проверять ритейлеров, всех «протрясти». Важно двигаться вперед.
И «нормативка» развивается именно таким образом. Появляется что-то новое, апробируется, по результатам возникают новые идеи — и в итоге понятны следующие шаги. Что дальше можно было бы сделать? Относительно КИИ есть нюанс — такие инциденты случаются нечасто. И этот нюанс в некотором роде мешает: у нас нет хорошей статистики, чтобы применять адекватные решения по управлению этими рисками. В связи с этим проблемы в персональных данных — явные, видно, как их можно решить. Но для того, чтобы было понятно, как будет работать механизм компенсаций в случае нарушения безопасности в объектах работы КИИ, надо наработать опыт — эти нарушения надо фиксировать. На основе того, как эти нарушения будут отрабатываться, мы можем смотреть, как можно улучшить процесс. Конечно, хотелось бы, чтоб события развивались не таким образом — то есть частота инцидентов не увеличивалась, а «на берегу» удалось придумать работающую методику.
Складывается впечатление, что 187-ФЗ и вся подзаконная база, которая вокруг него выросла, во многом повторяют логику 152-ФЗ: если я отвечаю за кибербезопасность на предприятии и выполнил всё, что рекомендует сделать ФСТЭК, по бумагам всё прекрасно, но что-то у меня взорвалось — я ни в чём не виноват? Я сейчас говорю про бумажное уменьшение реальных рисков. Если правила эксплуатации объекта КИИ не были нарушены внутри самой организации — всё категорировали, поставили средства, аттестовали, оценили соответствие, — но что-то всё же произошло, я убежден, что уголовная ответственность в таких случаях наступать не должна. В этой части статья 274. Но ответственность организации должна наступать. Как в примере с банком: если приехали гангстеры и деньги украли, а вся охрана действовала согласно инструкции, то претензии к охране предъявлять неправильно. Но эти деньги — чьи-то. И это банк лишился денег, а не те клиенты, которые эти деньги ему принесли. С точки зрения безопасности ситуация та же: если хакеры захотят, они в объект КИИ проникнут и навредят — защитники не при чём.
Но компенсации тем людям, которые от этого пострадают, должны быть. Почему опять навязывается такая модель, когда со стороны ФСТЭК приходят методички с перечислением средств, которые надо устанавливать, что именно надо делать? Почему нельзя людям, если они не госорганизации, самим решить, что устанавливать? Если строить модель по принципу «ты должен защитить чужие интересы, а как — ты сам реши», то этой защиты просто не будет. И тут регуляторов можно понять, они прописывают то, что должно быть сделано. Можно, конечно, обсуждать, насколько это адекватно, нет ли каких-то завышенных требований — на этом уровне всегда есть куда оптимизироваться. Еще раз проговорю: ситуация встанет с головы на ноги, если субъекты КИИ станут защищать не чьи-то интересы, а свои, потому что будут понимать, что в случае чего им придется компенсировать ущерб пострадавшим. В случае с персональными данными, где частота проблем высока, это сработает. Выбор механизмов защиты станет куда более правильным.
В случае с КИИ это, скорее всего, не сработает. Например, мы сейчас пропишем, что если у тебя возник инцидент, то ты должен компенсировать тем, кто пострадал, их потери. Но специфика такова, что инциденты — нечастые, да ещё и непубличные. Непубличность инцидентов порождает то, что мы живем, как слепые котята — появляется ложное ощущение, будто ничего не происходит, что мы в безопасности. Поэтому есть сомнения, будут ли ставить правильные средства защиты, повысят ли уровень безопасности. Хотя, если это реализовать, это повысит внимание к вопросу. По логике, для того же 187-ФЗ ответственность за нераскрытие инцидентов должна быть даже большей, чем за последствия.
Что такое КИИ?
Все субъекты КИИ должны быть подключены к ведомственным или корпоративным центрам ГосСОПКА либо создать свой центр ГосСОПКА. Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели. субъекты КИИ) на принадлежащих им значимых объектах не.
Новые требования для субъектов КИИ: безопасная разработка прикладного ПО
Если говорить об утечке биометрических данных — что человек будет делать? Он же не может пальцы или лицо заменить? Ответственность той организации, которая защищает биометрические данные, должна быть в разы выше? Но если украден рисунок радужной оболочки глаза, то человек по сути теряет возможность такой идентификации. И для него это начинает быть проблемой: ему нужно удалить это отовсюду, где он им пользовался, и в дальнейшем этого не применять.
Для человека это — потери, и это тоже можно посчитать в деньгах. Если речь — про отпечаток пальца, то придется пользоваться не привычным, а остальными. И это — тоже некое неудобство, которое можно также просчитать. Такая схема касается персональных данных, там ситуация является классической в смысле триады «конфиденциальность, целостность, доступность».
Когда мы говорим о следующем объекте регулирования — критической информационной инфраструктуре, — там эта триада уже эффективно не работает. Там мы говорим о безопасности киберфизических систем, там о конфиденциальности этих данных мало кто беспокоится, всех волнует то, чтобы резервуар с какими-то химикатами не лопнул из-за избыточного давления и ядовитое облако не накрыло город. Тут ситуация несколько меняется: это — риски не ИБ, не нарушения конфиденциальности, и нет процесса передачи информации какому-то оператору, как в случае с персональными данными. Есть много сторон, заинтересованных в том, чтобы эти последствия не наступили: чтобы отопление продолжало поступать в дома, чтобы работало электричество и никого не накрывало ядовитыми облаками.
Но схема — примерно та же самая: те риски, которые видит для себя промышленное предприятие, химпредприятие, медицинское учреждение, транспортное, и те риски, которые могут возникнуть вне самого предприятия, но из-за проблем у них — разные. И мы можем предполагать, что эту внутреннюю оценку рисков предприятия для себя сделали. Но последствия для других они точно при этой оценке не рассматривали. На SOC-Форуме Виталий Лютиков в одном из вопросов очень эмоционально сказал, что сообщество информационной безопасности оказалось не готово работать с внешней моделью рисков, которая заложена в 187-ФЗ.
Все эти риски, на его взгляд, оказались непонятными. Потому что все «крутились» внутри. Если у тебя что-то происходит — простой производства, взорвался резервуар с химикатами, еще что-либо, — то, наверное, ты можешь посчитать, сколько на территории твоего предприятия займет нейтрализация последствий. Может, вообще ничего не потребуется и облако просто унесет на город, само предприятие никак не пострадает: все противогазы надели, полчаса посидели и сняли.
Единственное, что есть — это поврежденный резервуар; вероятность того, что это случится из-за каких-то киберпроблем, крайне низка. Поэтому защитные мероприятия — не очень то и серьезные. Но облако пошло в сторону города, его накрыло, и будем надеяться, что никто не умер. И этот риск — это не полчаса посидеть в противогазе.
До принятия закона его никто не оценивал. Сейчас «нормативка» по ФЗ-187 расширяет и формализует имеющуюся оценку рисков. Если кто-то делал оценку рисков умозрительно, ему это непривычно. Если как-то пытался формализовать — с калькулятором, Excel или еще чем-то, — то ему всё равно непривычно, потому что он оценивал внутренние риски для своей организации.
А об экологии, жизни и здоровье граждан никто не заботился. Но и ждать от организаций, что они сами будут расширять оценку рисков, было бы странно. Особенность защиты технологических сетей состоит в том, что инцидентов не очень много — публичными являются всего несколько в год по всему миру. И внутренняя оценка рисков из-за этого страдает — нет правильной оценки риска возникновения инцидента, он воспринимается как маловероятный.
И это накладывает свой отпечаток. Когда со сцены «SOC-Форума» звучало, что, мол, как же вы, ребята, не выполняете требования закона, не защищаете себя самих — это некорректно. Самих себя субъекты КИИ как владельцы информации, информационных систем или киберфизических систем как-то защищают, причем, скорее всего, вполне адекватно. Внутренняя модель рисков работает.
Поэтому закон именно расширяет охват, заставляет защищать от последствий не столько себя самого, сколько остальных. Понятно, что если реализовать требования закона и подзаконных актов, более защищенным станет именно объект КИИ — он будет менее подвержен тому спектру угроз, который там прописан. И в том числе повысится внутренняя безопасность предприятия, и в примере выше не надо будет надевать противогазы — резервуар не лопнет от хакерской атаки. Для того чтобы всё это заработало, мало просто порассуждать об этом.
Надо действительно что-то менять. Сейчас в плане обеспечения выполнения требований закона о КИИ у нас есть статья Уголовного кодекса 274. В принципе, она достаточно серьезна — там есть несколько пунктов, часть из них говорит как раз об атаках с внешней стороны: если кто-то зловредный нарушит работу объекта КИИ и это нанесет ущерб, то статья работает, кого-то сажают. Даже есть судебные прецеденты — несколько месяцев назад на Дальнем Востоке было судебное решение по отношению к группе лиц, которые что-то «нахимичили» с объектом КИИ, им дали условные сроки от 2 до 3 лет.
Это — одна из первых правоприменительных практик на этот счет. И есть пункты, которые касаются ответственности за безопасность объекта КИИ в самой организации: если ты не соблюдаешь установленные правила эксплуатации и в результате что-то произошло, то уголовная ответственность тоже должна наступить. Насколько это эффективно, пока не очень понятно. Если в случае с персональными данными ответственность очевидно может стать финансовой, и ущерб можно компенсировать, то в случае с инцидентами на объекте КИИ сделать это сложнее.
Вот есть предприятие, остановилась подача электричества, полгорода сидело во тьме несколько часов.
Как отмечает министерство, по таким объектам КИИ правительство будет устанавливать сроки перехода на российские ИТ-продукты. Согласно тексту проекта, в частности, предлагается наделить правительство полномочиями устанавливать требования к используемым на значимых объектах КИИ программному обеспечению ПО и радиоэлектронной продукции, в том числе - к телеком-оборудованию и программно-аппаратным комплексам ПАК. Также правительство будет устанавливать случаи и порядок согласования использования на значимых объектах КИИ иностранного ПО, радиоэлектроники, телеком-оборудования и ПАК. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования.
В поручении говорилось, что проект должен устанавливать «требования по преимущественному использованию всеми субъектами КИИ отечественных ПО, программно-аппаратных комплексов, телекоммуникационного оборудования и радиоэлектронной продукции с учетом их готовности к массовому внедрению на принадлежащих им значимых инфраструктурных объектах». Законопроект наделяет правительство и отраслевые ведомства правом устанавливать перечень критических информационных систем, которые будут относиться к объектам КИИ, в каждой отрасли», — указал тогда в ходе своего выступления Максут Шадаев. Кроме того, по каждой отрасли, по каждому виду таких объектов будут определяться предельные сроки перехода на российские решения, сказал министр. До этого мысль о том, что запрет для каждой отрасли на использование иностранного ПО будет определять правительство, озвучивал вице-премьер Дмитрий Чернышенко. Причем эти сроки должны быть синхронизированы со сроками готовности к массовому внедрению соответствующих отечественных решений.
На сегодняшний день документ уже готов, согласован с заинтересованными сторонами и в ближайшее время будет внесен в Госдуму, сообщали «Ведомости» со ссылкой на свои источники, знакомые с ходом обсуждения законопроекта. Есть ли готовность? По словам советника генерального директора Content AI Олега Сажина, с точки зрения готовности отечественных игроков заместить иностранные решения ситуация выглядит по-разному для разных классов ПО. Ранее и Максут Шадаев в своих публичных выступлениях отмечал: у правительства нет сомнений, что требования закона в части прикладного ПО будут исполнены в полном объеме. Евгений Царев согласился с коллегами и добавил, что некоторые решения только кажутся незаменимыми, не являясь таковыми на самом деле.
Хотя 187-ФЗ вступил в силу достаточно давно, на сегодняшний день еще далеко не все организации, относимые к субъектам КИИ, прошли категорирование, подчеркнул Евгений Царев. По нему госзаказчикам с 31 марта 2022 г. Из софта к средствам защиты информации относятся программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной рабочей информации типа временных файлов, тестового контроля системы защиты и др. Так, в конце апреля глава Минцифры Максут Шадаев, выступая на годовом собрании АРПП «Отечественный софт», сообщил, что министерство очень рассчитывает на принятие в весеннюю сессию законопроекта о преимущественном использовании всеми субъектами КИИ отечественного ПО. Такой документ еще в сентябре 2022 г. В поручении говорилось, что проект должен устанавливать «требования по преимущественному использованию всеми субъектами КИИ отечественных ПО, программно-аппаратных комплексов, телекоммуникационного оборудования и радиоэлектронной продукции с учетом их готовности к массовому внедрению на принадлежащих им значимых инфраструктурных объектах».
Законопроект наделяет правительство и отраслевые ведомства правом устанавливать перечень критических информационных систем, которые будут относиться к объектам КИИ, в каждой отрасли», — указал тогда в ходе своего выступления Максут Шадаев. Кроме того, по каждой отрасли, по каждому виду таких объектов будут определяться предельные сроки перехода на российские решения, сказал министр. До этого мысль о том, что запрет для каждой отрасли на использование иностранного ПО будет определять правительство, озвучивал вице-премьер Дмитрий Чернышенко. Причем эти сроки должны быть синхронизированы со сроками готовности к массовому внедрению соответствующих отечественных решений.
Боковое меню
- ВсеПрофи24
- Получить консультацию
- Дата-центры и Закон о КИИ: разбираем нюансы
- Критично, чтобы российское - «Ведомости. Импортозамещение»
Обновлены проекты о переводе субъектов КИИ на отечественный софт
КоАП РФ ст. Категории значимости объектов КИИ представлены в трех уровнях: высокий 1 , средний 2 и низкий 3. Важно отметить, что если объект относится к высшей категории по одному из показателей критериев, то расчет по остальным показателям не выполняется. Категории значимости КИИ Описание Социальная Возможность причинения ущерба жизни или здоровью людей, а также прекращения или нарушения функционирования объектов, обеспечивающих жизнедеятельность населения.
Также правительство будет устанавливать случаи и порядок согласования использования на значимых объектах КИИ иностранного ПО, радиоэлектроники, телеком-оборудования и ПАК. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования. Правительство также установит порядок проведения мониторинга перехода на российские продукты. В банковской и финансовой сферах это будет согласовываться с ЦБ РФ.
Определены уполномоченные органы в сферах деятельности для перехода на иные доверенные комплексы, которым поручено утверждение планов и определение ответственных лиц.
Отраслевые планы перехода, начиная с 2026 года, содержат информацию о мерах по переходу субъектов критической рабочей силы по использованию доверенных программно-аппаратных комплексов и о долях этих комплексов в их общем количестве. Уполномоченные органы должны ежегодно до 1 мая обновлять эти планы.
Основание для распоряжения сетями может быть любым — оформленное по всем правилам право собственности, договор аренды и т. Также к числу субъектов относятся компании и предприниматели, которые осуществляют деятельность, обеспечивающую взаимодействие ИТКС, АСУ и информационных систем. Чтобы полностью отвечать актуальным требованиям закона в отношении критической информационной инфраструктуры Российской Федерации, госорганам, частным фирмам и учреждениям необходимо: Своевременно осуществлять передачу сведений об инцидентах, независимо от причин их возникновения, а также проводить тщательные расследования. Выполнить категоризацию объектов, чтобы гарантировать безопасность объектов КИИ. Процедура предполагает глубокий анализ всех аспектов деятельности с учетом предусмотренных законом критериев, в числе которых: серьезность последствий хакерской атаки для экологической обстановки, размер ущерба российскому населению и государству в целом при краже данных, влияние на обороноспособность РФ и действие правоохранительной системы.
Проинформировать о проведенной категоризации ФСТЭК и добиться добавления сведений в единый Реестр объектов критической инфраструктуры. Исполнять действующие условия эксплуатации КИИ, своевременно корректировать меры безопасности в случае изменения правовых нормативов, в частности, осуществлять переход на отечественное оборудование и ПО. Как обеспечивается информационная безопасность КИИ?
Детки в ИИ-клетке
- Правила перехода субъектов КИИ к эксплуатации ПАК
- Список субъектов КИИ расширен сферой госрегистрации недвижимости
- Требования для операторов по критической информационной инфраструктуре | Кабельщик
- Что говорят владельцы объектов КИИ
- Закон о безопасности КИИ в вопросах и ответах | Kaspersky ICS CERT
- Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Оставить свой комментарий:
- Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
- Что такое критическая информационная инфраструктура?
- Кабмин определит перечень объектов критической информационной инфраструктуры
- Критично, чтобы российское - «Ведомости. Импортозамещение»
- Субъекты КИИ перейдут на российский софт к 2030 году - RSpectr