Файл: Управления, как правило, имеет многоуровневую структуру.docx

Наименование объекта (наименование информационной системы, автоматизированной системы управления или информационно-телекоммуникационной сети)

Адреса размещения объекта, в том числе адреса обособленных подразделений (филиалов, представительств) субъекта критической информационной инфраструктуры, в которых размещаются сегменты распределенного объекта

Сфера (область) деятельности, в которой функционирует объект, в соответствии с пунктом 8 статьи 2 Федерального закона от 26 июля 2017 г. N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"

Назначение объекта - Назначение объекта КИИ указывается в соответствии с рабочей, проектной, эксплуатационной или иной документацией на объект КИИ, а также в соответствии с локальными нормативно-правовыми актами о создании и (или) вводе объекта КИИ в эксплуатацию

Тип объекта (информационная система, автоматизированная система управления, информационно-телекоммуникационная сеть)

Архитектура объекта (одноранговая сеть, клиент-серверная система, технология "тонкий клиент", сеть передачи данных, система диспетчерского управления и контроля, распределенная система управления, иная архитектура)

Оценка возможных последствий в результате возникновения компьютерных инцидентов на объектах КИИ

31 вопрос

Формирование перечня объектов КИИ, подлежащих категорированию

Категорированию подлежат объекты критической информационной инфраструктуры, которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов критической информационной инфраструктуры

Сначала комиссия по категорированию выполняет запрос на формирования перечня систем

Руководители подразделений формируют полный перечень ИС, АСУ ТП.

Комиссия по категорированию предоставляет перечень критических процессов, затем руководители подразделений формируют перечень ИС и АСУ ТП по процессам

Затем Комиссия по категорированию проверяет объекты на предмет владения организацией, формирует перечень объектов КИИ, подлежащих категорированию

Надведомственная организация согласует данный перечень

Комиссия по категорированию отправляет утверждённый перечень во ФСТЭК России

Порядок категорирования объектов КИИ

22 вопрос

Анализ угроз безопасности информации, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ

Анализ возможных угроз безопасности информации объекта КИИ и компьютерных инцидентов, которые могут произойти в результате реализации угроз безопасности информации проводится для каждого объекта КИИ, подлежащего категорировани

Оценка возможных последствий в результате возникновения компьютерных инцидентов на объектах КИИ

Оценка возможных последствий в результате возникновения компьютерных инцидентов на объектах КИИ осуществляется на основании выявленных типов инцидентов для объекта КИИ (см. предыдущий раздел) и анализа возможного ущерба, связанного с данными инцидентами. Оценка возможных последствий осуществляется по каждому из рассчитываемых показателей критериев значимости.

I. Социальная значимость

Причинение ущерба жизни и здоровью людей (человек)

Оценивается возможность причинения ущерба жизни и здоровью из-за нарушения информационной безопасности рассматриваемого объекта. Рассматриваются различные сценарии компьютерных инцидентов, которые могут привести к техногенным катастрофам на производстве, авариям, угрозам потребителям продукции и услуг. Масштаб возможного ущерба может быть рассчитан по числу людей, которые могут находиться в зоне поражения или подвержены последствиям катастрофы, а также по числу потенциальных потребителей продукции.

Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения

Оценивается возможность нарушения обеспечения жизнедеятельности населения: водо-, тепло-, газо- и электроснабжения.

Рассматриваются инциденты, вызывающие прекращение или нарушение работы объектов снабжения, такие как нарушение техпроцесса, выдача команд останова, сбои в управляющих или исполнительных механизмах. Оценка масштаба возможного ущерба основывается на данных о подключенных объектах и числе потребителей.

Прекращение или нарушение функционирования объектов транспортной инфраструктуры

Необходимо рассматривать возможность нарушения функционирования объектов транспортной инфраструктуры, таких как железнодорожные стрелки, авиадиспетчеризация, управление шлюзами трубопроводов и другие системы управления и мониторинга. Рассматриваемые инциденты включают нарушение параметров процессов управления, диспетчеризации, выдачу неверных команд или команд останова, а также сбои или нарушение работоспособности управляющих или исполнительных механизмов. Масштаб возможного ущерба должен оцениваться на основе паспорта объекта транспортной инфраструктуры и сведений о статусе управляемого объекта.

Прекращение или нарушение функционирования сети связи, оцениваемые по количеству абонентов, для которых могут быть недоступны услуги связи (тыс. человек)

Оценивается возможность прекращения или нарушения функционирования сетей связи, используемых для предоставления услуг связи в соответствии с законодательством о связи. Рассматриваются инциденты, такие как нарушение коммутации, неполадки в оборудовании, атаки типа "отказ в обслуживании" и блокирование доступа к сети связи. В данном критерии не рассматриваются локальные или корпоративные сети связи, включая распределенные сети.

Масштаб возможного ущерба оценивается по числу абонентов, которые могут остаться без услуг связи, на основе данных о заключенных договорах и обязанностях по предоставлению услуг связи, использующих рассматриваемую объект сети связи.

Отсутствие доступа к государственной услуге, оцениваемое в максимальном допустимом времени, в течение которого государственная услуга может быть недоступна для получателей такой услуги (часов)

Оценивается возможность нарушения работоспособности или блокирования доступа к системам, предоставляющим государственные услуги в соответствии с законодательством о предоставлении государственных и муниципальных услуг. Рассматриваются инциденты, такие как нарушение работоспособности компонентов, удаление, изменение или блокирование данных, сбои или неполадки в оборудовании, атаки типа "отказ в обслуживании" и блокирование доступа к ресурсам. Рассматриваются информационные системы, смежные системы и реестры, используемые этими системами, а также инфраструктурные сервисы для сбора и передачи данных и запросов.

Масштаб возможного ущерба оценивается на основе целевого показателя допустимого времени недоступности государственной услуги, установленного в регламентах предоставления государственных услуг и требований к системам, непосредственно участвующим в предоставлении услуг, установленных в техническом задании и связанных с ним соглашениях об уровне обслуживания (SLA).

II. Политическая значимость

Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)

Оценивается возможность нарушения функционирования государственных органов из-за нарушения функционирования или ограничения доступности рассматриваемого объекта Критической Информационной Инфраструктуры (КИИ). Рассматриваются государственные информационные системы (ГИС), реализующие полномочия органов государственной власти, а также смежные системы и реестры, используемые ГИС, системы и сети связи, используемые данными ГИС. Критерий применим для объектов КИИ, которые непосредственно обеспечивают функционирование органов государственной власти и не могут быть временно заменены альтернативными средствами (например, бумажный документооборот или электронная почта), так как это может привести к невыполнению возложенных на них функций, хотя и с дополнительными затратами или временными задержками, при условии, что они не превышают допустимые нормы.

Рассматриваются инциденты, такие как нарушение работоспособности компонентов, удаление, изменение или блокирование данных, сбои или неполадки в оборудовании, атаки типа "отказ в обслуживании" и блокирование доступа к ресурсам.

Масштаб возможного ущерба оценивается на основе информации о целях и назначении рассматриваемого объекта КИИ и типе государственного органа, функции которого зависят от этого объекта КИИ

Нарушение условий международного договора Российской Федерации, срыв переговоров или подписания планируемого к заключению международного договора Российской Федерации, оцениваемые по уровню международного договора Российской Федерации

Оценивается возможность нарушения условий международного договора Российской Федерации, а также деятельности по переговорам или подписанию планируемого к заключению международного договора Российской Федерации из-за нарушения функционирования рассматриваемого объекта Критической Информационной Инфраструктуры (КИИ). Этот критерий применим к информационным системам (ИС), работоспособность которых влияет на выполнение соответствующих договорных обязательств или соблюдение предварительных условий, необходимых для заключения соответствующих международных договоров.