Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. в) работники субъекта КИИ, на которых возложены функции обеспечения безопасности (информационной безопасности) объектов критической информационной инфраструктуры. Новости законодательства.
Новые требования для “железа” и иностранного ПО для субъектов КИИ
| ФСТЭК России проводит проверки субъектов КИИ | Что важно делать всем субъектам КИИ, и кто такие субъекты вообще. |
| Вопрос-ответ | Новые субъекты КИИ, индикаторы риска нарушения требований при обработке ПДн, сертификация МЭ уровня сети и СУБД, импортозамещение в финансовой сфере. |
К 2030 году субъекты КИИ в РФ полностью импортозаместят ПО и оборудование
Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. Современные вызовы КИИ российской промышленности». Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. Так как сегодня в достаточно сжатые сроки требуется. Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП. В Госдуму внесен законопроект Минцифры о переходе субъектов критической информационной инфраструктуры (КИИ) на отечественное программное обеспечение и радиоэлектронную. Права и обязанности субъектов КИИ, реестр значимых объектов (ЗО) КИИ, надзорная деятельность регулятора.
Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Во второй половине марта 2022 года президент России Владимир Путин подписал закон о технологической независимости России. Закон подразумевает запрет на приобретение иностранного программного обеспечения ПО для объектов критической информационной структуры России. Также документ запрещает с 1 января 2025 года органам государственной власти использовать на таких объектах иностранное ПО без согласования с уполномоченным органом исполнительной власти.
Анатолий Сазонов Руководитель направления безопасности промышленных предприятий Infosecurity a Softline company В связи со всеми законодательными изменениями бизнес и госструктуры понимают, что им необходимо правильно строить или улучшать существующую систему ИБ, опираясь при этом преимущественно на отечественные решения. Куда уходят деньги Как отмечают собеседники Cyber Media, в 2022 году основная масса средств направлялась на замену иностранных решений. В итоге к 2023 году субъекты КИИ подошли с разной степенью готовности: часть компаний успела полностью заменить системы защиты, другая — спроектировать и закупить, третья — только запланировать. Именно поэтому в текущем году тренд продолжается — ведется проектирование, закупка, внедрение и доработка систем для защиты КИИ. И хотя инвестиции возросли, безопасность критической инфраструктуры пока зачастую остается на том же уровне. Но это в лучшем случае. Есть немало историй с печальным финалом — сетуют эксперты. Федор Музалевский Директор технического департамента RTM Group Дело в том, что даже кратный рост бюджета не позволяет покупать средства защиты больше или лучше.
Рост цен на отечественные межсетевые экраны, средства управления уязвимостями и иные технические средства защиты информации — все это нивелирует рост бюджета. Более того, многие субъекты КИИ, которые планировали приобретение дополнительного ПО в прошлом году, сейчас вынуждены тратить бюджет на замену уже имеющихся неподдерживаемых импортных решений отечественными. По словам Федора Музалевского, девиз российских вендоров «второго такого шанса повышать цены не будет» обернулся катастрофическим снижением реальной безопасности. Однако с этим мнением согласны не все собеседники Cyber Media. В прошлом году, по наблюдениям Александра Моисеева, в основном закупались шлюзы безопасности — взамен ушедших с рынка игроков Fortigate, Paloalto, Cisco и т. В этом году компании в основном бюджеты расходуют на внедрение систем класса SIEM. Также на рынке есть интерес к средствам безопасной разработки ПО — статическим и динамическим анализаторам. Импортозамещение: честно и по-серому После ухода западных вендоров с рынка организации-субъекты КИИ разделились на три группы. Первая переключилась на российские аналоги, вторая — на решения оставшихся западных вендоров.
Соответствующее изменение внесены в федеральный закон 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», сообщается на сайте Президента России. Денис Чупров Денис Чупров К субъектам критической информационной инфраструктуры теперь также отнесена сфера государственной регистрации прав на недвижимое имущество и сделок с ним. Президент России Владимир Путин подписал Федеральный закон «О внесении изменения в статью 2 Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации».
Опубликован 10 июля. Ранее «Телеспутник» писал , что правительство в ближайшее время разработает нормативное определение программно-аппаратного комплекса и представит стандарт для оборудования в сфере критической информационной инфраструктуры. Об этом корреспонденту «Телеспутника» в кулуарах Петербургского международного экономического форума рассказал заместитель главы Минпромторга Василий Шпак.
Закон о безопасности КИИ в вопросах и ответах
Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП. Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. В Госдуму внесен законопроект Минцифры о переходе субъектов критической информационной инфраструктуры (КИИ) на отечественное программное обеспечение и радиоэлектронную. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ. Современные вызовы КИИ российской промышленности».
Закон о безопасности КИИ в вопросах и ответах
Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред. К субъектам КИИ относятся. Сейчас субъекты КИИ регулярно и специально снижают степень значимости имеющихся в их распоряжении объектов КИИ, и эту проблему отмечают в Правительстве РФ уже давно. Кроме того, по решению субъекта КИИ на территории объекта КИИ может быть размещено оборудование ГосСОПКА. Согласно данному закону, КИИ – это объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов. Также вспомним определение объекта КИИ, приведенное в 187-ФЗ, согласно которому объектами КИИ является некое множество ИС/ИТ/АСУ, принадлежащих субъекту КИИ.
Субъекты КИИ перейдут на российский софт к 2030 году
Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. Субъектам КИИ, осуществляющим деятельность в сфере связи, рекомендуется направлять перечни и сведения в центральный аппарат ФСТЭК России или управление ФСТЭК России по. К субъектам КИИ относятся.
Безопасность КИИ - Безопасность объектов критической информационной инфраструктуры
Минпромторг установил порядок проведения оценки и критерии определения организаций, привлекаемых к оценке. Создается рабочая группа, включающая представителей Минпромторга и или представителей отраслевого центра компетенций по информационной безопасности в промышленности, образованного на базе подведомственной Министерству организации, включенной в перечень юрлиц, привлекаемых к оценке. Обозначены этапы управления уязвимостями.
Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь. На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий.
На третьем этапе рекомендации ранжируются по степени их реализуемости и сводятся в дорожную карту. Настоятельно рекомендуем разрабатывать детальный план перехода и пояснительную записку с обоснованием принятых решений, чтобы всегда можно было поднять историю и причины принятых решений. Четвертый этап — это уже непосредственно работа проектной команды, которая движется по дорожной карте. Исходя из практики, оптимальным вариантом является тот, в котором техническое лидерство в проекте остается за разработчиками, а организационное лидерство, то есть руководство проектом, возложено на специалиста по информационной безопасности. В этом случае происходит тесная интеграция компетенций безопасников и разработчиков. И наконец, на последнем этапе происходит контроль функционирования внедренных процессов. Через несколько месяцев после завершения внедрения производится сбор и анализ всех свидетельств и записей процессов безопасной разработки ПО на предмет их полноты и достаточности. Разумеется, подобных процессов безопасности и проверок может быть гораздо больше: сканирование на уязвимости, сканирование зависимостей, антивирусная проверка, анализ дампа сетевого трафика при динамическом анализе ПО или анализ логов при сборке проекта, любые другие виды проверок ПО на стендах или проведение пентестов.
При реализации проекта по внедрению БРПО необходимо учитывать существующие процессы разработки, специфику организации и ее значимых объектов КИИ. Старт проекту должно дать руководство при полном понимании выгод от его реализации и затрат на него.
Внедрение организационных и технических мер защиты значимых объектов КИИ Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей эксплуатационной документацией на значимый объект, стандартами организаций и включает: установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств; разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта; внедрение организационных мер по обеспечению безопасности значимого объекта; предварительные испытания значимого объекта и его подсистемы безопасности; опытную эксплуатацию значимого объекта и его подсистемы безопасности; анализ уязвимостей значимого объекта и принятие мер по их устранению; приемочные испытания значимого объекта и его подсистемы безопасности. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются: организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств; проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер; определение администратора безопасности значимого объекта; отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления: анализ проектной, рабочей эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта; анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля анализа защищенности и или иных средств защиты информации; выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля анализа защищенности; тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Допускается проведение анализа уязвимостей на макете в тестовой зоне значимого объекта или макетах отдельных сегментов значимого объекта. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации способствовать возникновению угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования эксплуатации нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта.
В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий испытаний , в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности требованиям П-239, а также требованиям ТЗ на создание значимого объекта и или ТЗ частного технического задания на создание подсистемы безопасности значимого объекта. Ввод в действие значимого объекта и его подсистемы безопасности осуществляется при положительном заключении выводе в акте приемки или в аттестате соответствия о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Силы обеспечения безопасности значимых объектов КИИ В соответствии с п. Руководитель субъекта КИИ определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов КИИ в зависимости от количества значимых объектов КИИ , а также особенностей деятельности субъекта КИИ. Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции: разрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта КИИ уполномоченному лицу ; проводить анализ угроз безопасности информации в отношении значимых объектов КИИ и выявлять уязвимости в них; обеспечивать реализацию требований по обеспечению безопасности значимых объектов КИИ , установленных в соответствии со ст. Структурное подразделение по безопасности, специалисты по безопасности реализуют вышеуказанные функции во взаимодействии с подразделениями работниками , эксплуатирующими значимые объекты КИИ , и подразделениями работниками , обеспечивающими функционирование значимых объектов КИИ. Для выполнения вышеупомянутых функций, субъектами КИИ могут привлекаться организации, имеющие в зависимости от информации, обрабатываемой значимым объектом КИИ , лицензию на деятельность по технической защите информации, составляющей государственную тайну, и или на деятельность по технической защите конфиденциальной информации далее - лицензии в области защиты информации. Работники структурного подразделения по безопасности, специалисты по безопасности должны обладать знаниями и навыками, необходимыми для обеспечения безопасности значимых объектов КИИ в соответствии с требованиями П-235.
При этом ежегодный план проведения плановых проверок будет утверждаться до 20 декабря года, предшествующего году проведения плановых проверок, и выписка из плана проверок будет направляться субъектам КИИ в срок до 1 января года проведения данных проверок. Можно ли для защиты КИИ использовать несертифицированные средства? Согласно п. Сертифицированные средства применяются в случаях, установленных законодательством РФ, а также в случае принятия решения субъектом КИИ.
Новые требования для субъектов КИИ: Безопасная разработка прикладного ПО
Объекты КИИ, а также сети электросвязи, используемые для организации взаимодействия между ними, составляют понятие критической информационной инфраструктуры. Что является целью Закона и как он должен работать? Главной целью обеспечения безопасности КИИ является устойчивое функционирование КИИ при проведении в отношении нее компьютерных атак. Одним из главных принципов обеспечения безопасности является предотвращение компьютерных атак.
Какие организации попадают в сферу действия Закона? Требования Закона затрагивают те организации государственные органы и учреждения, юридические лица и индивидуальных предпринимателей , которым принадлежат на праве собственности, аренды или ином законном основании объекты КИИ или которые обеспечивают их взаимодействие. Такие организации в Законе называются субъектами КИИ.
Какие действия должны предпринять субъекты КИИ для выполнения Закона? Согласно закону, субъекты КИИ должны: провести категорирование объектов КИИ; обеспечить интеграцию встраивание в Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации ГосСОПКА ; принять организационные и технические меры по обеспечению безопасности объектов КИИ. Что подлежит категорированию?
Категорированию подлежат объекты КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и или иные процессы в рамках выполнения функций полномочий или осуществления видов деятельности субъектов КИИ. Что в себя включает категорирование объектов КИИ? Категорирование объекта КИИ предполагает определение его категории значимости на основе ряда критериев и показателей.
Планы перехода субъектов КИИ на доверенные программно-аппаратные комплексы к следующему сентябрю уже должны быть утверждены. Под субъектами КИИ в документе подразумеваются госорганы, предприятия или индивидуальные предприниматели, использующие информсистемы в критически важных отраслях: здравоохранении, науке, транспорте, связи, энергетике и других.
Категорированию подлежат объекты КИИ, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и или иные процессы в рамках выполнения функций или осуществления видов деятельности субъектов КИИ. В соответствии с ч. Если объект КИИ не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из таких категорий. После формирования комиссии идут следующие действия: 1 Формируется перечень объектов КИИ, подлежащих категорированию, с указанием сроков проведения их категорирования и согласование указанного перечня со ФСТЭК России.
Помните, что провести категорирование объектов можно и самостоятельно, обучив сотрудников. Но в таком случае есть риск понести значительные финансовые потери из-за ошибок, возникших при категорировании. Разумеется, это все отразится на итоговой стоимости средств защиты информации объектов КИИ.
А можно обратиться к нашим специалистам, которые помогут определить, относится ли организация к субъектам КИИ, организуют и проведут полный комплекс мероприятий по категорированию объектов КИИ и обеспечению их безопасности. Вы сможете сэкономить время, существенно снизить стоимость работ и избежать ошибок при подготовке документов. Оставить заявку До 1 января осталось совсем немного времени!