О порядке перехода субъектов КИИ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ (ПП РФ 1912). Ответ: Субъекты КИИ, владельцы значимых объектов КИИ, обязаны в срок не позднее 90 календарных дней с момента включения данного объекта в реестр значимых объектов КИИ. Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели.
Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Вывод строя или уничтожение субъектов КИИ подорвет безопасность, экономическую ситуацию, общественное здравоохранение. Основные сферы, в которых могут быть объекты КИИ. Марченко также напомнил о законодательстве в сфере КИИ – на слайдах более десятка различных нормативных документов, в том числе о проверках субъектов КИИ. Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП. Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному.
ФСТЭК России проводит проверки субъектов КИИ
Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. Именно с такого подхода рекомендует начинать ФСТЭК при определении принадлежности Организации к субъектам КИИ. Субъекты КИИИ: кто это, подходы к определению статуса субъекта критической информационной инфраструктуры, определение сферы деятельности субъекта КИИ и как не. Категорирование объектов КИИ проведение работ всех категорий от здравоохранения до МО.
ЦБ РФ напомнил о категорировании субъектов КИИ
Кроме того, Приказом вводится возможность привлекать для обеспечения безопасности объектов КИИ специалистов со средним профессиональным образованием в области ИБ. Также Приказом вводятся обязательные меры по реализации компенсирующих мер в случае невозможности обеспечения технической поддержки средств защиты информации со стороны производителя. СУБД 5 класса защиты - 2 категории значимости.
Важно отметить, что если объект относится к высшей категории по одному из показателей критериев, то расчет по остальным показателям не выполняется. Категории значимости КИИ Описание Социальная Возможность причинения ущерба жизни или здоровью людей, а также прекращения или нарушения функционирования объектов, обеспечивающих жизнедеятельность населения. Без категорирования объектов КИИ невозможно определить необходимые технические и организационные меры защиты. От результатов категорирования зависят дальнейшие работы в области информационной безопасности.
Также Приказом вводятся обязательные меры по реализации компенсирующих мер в случае невозможности обеспечения технической поддержки средств защиты информации со стороны производителя. СУБД 5 класса защиты - 2 категории значимости. СУБД 4 класса защиты - 1 категории значимости.
В союзе затраты на переход оценивают в 1 трлн рублей. Компании считают требования труднореализуемыми, а затраты — слишком высокими. IT-бизнес не согласен с расчетами и просит не откладывать принятие директивы.
В чем суть готовящихся требований? Речь о том, чтобы предприятия, управляющие КИИ, при выборе софта или оборудования отдавали предпочтение российским продуктам, если таковые имеются. Сегодня доля отечественного ПО и оборудования на таких предприятиях меньше, чем доля импортного. Госкомпании начнут согласовывать приобретение зарубежного софта с Минцифры В требованиях Минцифры не указана доля российского ПО и оборудования, которая должна использоваться на предприятиях. На запрос ТАСС в пресс-службе ведомства уточнили: "При обосновании, в котором могут быть описаны все риски для бесперебойной, безопасной и эффективной работы объектов КИИ, субъект КИИ вправе продолжить использовать иностранное ПО, телекоммуникационное оборудование и радиоэлектронную продукцию.
О критической информационной инфраструктуре (КИИ)
Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП. Построение системы безопасности КИИ по выгодной цене в Москве и на всей территории РФ: обеспечение защиты субъектов и объектов критической информационной инфраструктуры. Категорирование субъектов КИИ осуществляется на основе критериев значимости и показателей их значений, а также соблюдением установленного порядка. Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО, планирующие.
С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК – постановление
Что такое доверенный ПАК? Критерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами 1. Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции. Программное обеспечение, используемое в составе программно-аппаратного комплекса, соответствует требованиям к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц« за исключением организаций с муниципальным участием , на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденным постановлением Правительства Российской Федерации от 22 августа 2022 г. Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и или Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом сертификатом. Что будет, если этого не сделать? ФСТЭК редко проводит ее в компаниях, а вот прокуратура вполне может осуществить. Что грозит компаниям, если при проверке выявится правонарушение: Уголовная ответственность по ст.
Безопасности, как известно, много не бывает, тем более если речь идет о сохранности данных.
КИИ — это системы, атаки по которым могут привести к серьезным экономическим, политическим, социальным или экологическим последствиям. Документ, запрещающий использование зарубежного ПО на объектах КИИ, разработан как раз в целях обеспечения безопасности. Вмешательство через импортный софт может полностью остановить работу организаций, что приведет к серьезным социальным и технологическим последствиям. В этой связи отказ от иностранного софта и переход на отечественное ПО неизбежен. Иностранного оборудования до последнего времени применялось достаточно много и сегодня его необходимо замещать, параллельно создавая новое. Каких решений не хватает? За это время отечественные компании-разработчики создали большое количество ПО и оборудования, которые могут быть использованы для КИИ. В реестр Минцифры РФ, по последним данным, включено 14, 6 тыс.
Это неплохие цифры. При этом доля российского программного обеспечения на отечественных промышленных предприятиях составляет всего четверть. Речь в данном случае идет о технологиях, выполняющих ключевые функции: управление данными о продукции, диспетчеризация, сбор информации со станков и т. Возможности обрести технологический суверенитет у страны есть. В России есть ПО, которое част ично замещает функционал популярных иностранных продуктов. Однако некоторым программным продуктам аналогов пока нет. Промышленные предприятия преимущественно используют импортный софт для ERP-систем управление процессами и зарубежный инженерный софт проектирование сложных изделий.
Например, в одной из предыдущих статей мы подробно разобрали специфику обеспечения информационной безопасности в финансовых организациях. Соблюдение цифрового суверенитета на объектах КИИ Выполнение требований к безопасности КИИ осложняется тем, что организации обязаны соблюдать не менее строгие требования по импортозамещению программного обеспечения.
С тех пор нормативно-правовая база в области обеспечения независимости от иностранных технологий заметно расширилась, а в 2022 году был выпущен Указ Президента РФ N 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации», который запрещает Закупать иностранное ПО для использования на объектах КИИ с 31 марта 2022 года, Использовать иностранное ПО в КИИ с 1 января 2025 года. Даже если организация успела приобрести ПО от иностранного вендора до 2022 года, ей все равно придется осуществить миграцию на отечественные технологии. Чем дольше она откладывает переход, тем сложнее будет уложиться в срок. Но даже если абстрагироваться от требований законодательства, такие организации сейчас подвергаются гораздо большему риску, чем им кажется, рассчитывая на собственную внутреннюю ИТ-экспертизу. Одно из следствий ухода зарубежных вендоров с российского рынка и отсутствия техподдержки и обновлений — это накопление багов и уязвимостей в программном обеспечении, создающее удобное поле для кибератак. Трудности импортозамещения ПО По данным экспертов в России насчитывается порядка 300 тысяч объектов КИИ, поэтому жесткие требования импортозамещения программного обеспечения в нашей стране действительно являются критически важными. При этом, несмотря на то, что ответственные лица почти в каждой организации имеют KPI по импортозамещению, вопрос о невозможности уложиться в срок до 2025 года остается актуальным.
КоАП РФ ст. Категории значимости объектов КИИ представлены в трех уровнях: высокий 1 , средний 2 и низкий 3. Важно отметить, что если объект относится к высшей категории по одному из показателей критериев, то расчет по остальным показателям не выполняется. Категории значимости КИИ Описание Социальная Возможность причинения ущерба жизни или здоровью людей, а также прекращения или нарушения функционирования объектов, обеспечивающих жизнедеятельность населения.
Импортозамещение ПО для критической информационной инфраструктуры
С выходом данного Постановления в области критической информационной инфраструктуры выделены следующие аспекты: Значимые субъекты КИИ должны перейти к использованию доверенных программно-аппаратных комплексов на своих объектах до 1 января 2030 года. В соответствии с определениями в документе, ПАК включает в себя радиоэлектронные продукты, телекоммуникационное оборудование, программное обеспечение и технические средства, используемые для решения задач субъектов КИИ. С 1 сентября 2024 года запрещено использование комплексов, не являющихся доверенными, за исключением случаев единичных, произведенных в России.
По стандарту план перехода утверждает руководитель субъекта КИИ, а затем в течение последующих 10 дней отправляет в уполномоченные органы, соблюдая требования законодательства в отношении гостайны. Отметим, организация вправе при определенных обстоятельствах изменить план. Для этого нужно отправить копию утвержденного документа, приложив сопроводительное письмо с правками. Далее уполномоченный орган повторит те же действия, что и при утверждении: в течение месяца рассмотрит, а в последующие 5 дней сообщит о решении.
Подтверждающий документ от госслужбы безопасности потребуется для ПАК, у которых есть функция защиты информации. В остальном программное обеспечение, на котором работает ПАК, должно соответствовать еще двум требованиям : сведения об этом ПО включены не только в единый реестр программ РФ для ЭВМ, но и в аналогичный перечень, но для стран ЕАЭС; безопасность и эффективность программ, предназначенных для защиты от кибератак, ликвидации последствий от последних и подобного рода проблем, подтверждена госслужбами, включая ФСБ.
Это могут быть как организации-лицензиаты, создающие центры для оказания услуг сторонним компаниям, так и организации, строящие центр для собственных нужд. Москва, ул. Большая Лубянка д.
В запросе необходимо изложить сферы деятельности субъекта КИИ, перечень информационных ресурсов, включенных в зону ответственности субъекта, контактные данные руководителя и лиц, ответственных за взаимодействие. Для обмена информацией об инцидентах через техническую инфраструктуру необходимо организовать канал защищенного межсетевого взаимодействия, решить организационные вопросы по определению зоны ответственности, и подключить организацию к технической инфраструктуре НКЦКИ под определенной учетной записью. При создании центра необходимо руководствоваться документами ФСБ России, которые определяют требования к организациям и методическую основу деятельности таких центров. Перечислим эти документы: Требования к подразделениям и должностным лицам субъектов государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по обнаружению компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по установлению причин и ликвидации последствий компьютерных инцидентов, связанных с функционированием информационных ресурсов Российской Федерации; Методические рекомендации по проведению мероприятий по оценке степени защищенности от компьютерных атак; Регламент взаимодействия подразделений Федеральной службы безопасности Российской Федерации и организации при осуществлении информационного обмена в области обнаружения, предупреждения и ликвидации последствий компьютерных атак.
Даже если компания-разработчик — российская, ее продукты не будут считаться российским ПО, пока они не будут включены в РРПО. Подробнее о порядке включения в реестр российского ПО писали тут , а про основные трудности включения тут. В какие сроки вы обязаны осуществить переход? Что такое доверенный ПАК? Критерии признания программно-аппаратных комплексов доверенными программно-аппаратными комплексами 1.
Сведения о программно-аппаратном комплексе содержатся в едином реестре российской радиоэлектронной продукции. Программное обеспечение, используемое в составе программно-аппаратного комплекса, соответствует требованиям к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц« за исключением организаций с муниципальным участием , на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденным постановлением Правительства Российской Федерации от 22 августа 2022 г. Программно-аппаратный комплекс в случае реализации в нем функции защиты информации соответствует требованиям, установленным Федеральной службой по техническому и экспортному контролю и или Федеральной службой безопасности Российской Федерации в пределах их полномочий, что должно быть подтверждено соответствующим документом сертификатом.
Перечень объектов критической информационной инфраструктуры будет расширен
Помимо субъектов в процессе обеспечения безопасности объектов КИИ принимают участие: 1 ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, при этом: осуществляет государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры; ведет реестр значимых объектов критической информационной инфраструктуры; проверяет правильность соблюдения порядка осуществления категорирования и определения категории значимости объекта КИИ, и другое. Постановление Правительства РФ от 08. Нарушение требований действующего законодательства в области КИИ влечет за собой административную или уголовную ответственность ст. НКЦКИ — это организация, созданная для обеспечения координации деятельности субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты.
Одной из мер обеспечения безопасности информации объекта КИИ является обмен информацией о компьютерных инцидентах с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации далее — ГосСОПКА , в том числе посредством организации взаимодействия с Национальным координационным центром по компьютерным инцидентам далее — НКЦКИ.
Как правило, в информационных системах разработки заводятся тикеты. По данным тикетам разработчикам ставится в план задача по устранению критических уязвимостей и уязвимостей, имеющих высокий приоритет. Устранив уязвимость, разработчик в комментариях может сделать пометку с идентификатором тикета. Тем самым будет обеспечена прослеживаемость закрытия выявленных уязвимостей. Информирование о выявленных уязвимостях и компенсирующих мероприятиях конечных пользователей. В качестве примера можно привести сообщения на сайтах крупных разработчиков средств защиты информации. Там публикуются сообщения, в которых дается ссылка на источник скачивания обновлений, указываются идентификаторы уязвимостей, а также даются ссылки на инструкции по устранению уязвимостей и проведению дополнительных мероприятий. Оповещение конечного пользователя об окончании жизненного цикла ПО.
К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь.
Чтобы производители отвечали на запрос потребителей, а заказчики в свою очередь могли выстроить приоритизацию перехода на отечественные решения. По мнению участников Ассоциации, в целях гармонизации действующего законодательства целесообразно утвердить ключевой нормативный правовой акт, в котором будут закреплены основополагающие принципы, понятийный аппарат, критерии определения технологической независимости и доверенности в сфере КИИ и другое. Такой НПА может лечь в основу разграничения полномочий и ответственности при определении политики достижения технологического суверенитета, а также задаст для организаций различных отраслей экономики единый вектор на пути достижения технологической независимости. Кроме того, представители крупнейших компаний страны озвучили запрос на информационное и консультационное сопровождение процессов импортозамещения на объектах КИИ для получения компетентных разъяснений, например, как трактовать пункты нормативных актов или как применять методические рекомендации. Сегодня тема технологической независимости критической информационной инфраструктуры находится на стыке нескольких направлений и, безусловно, в этом вопросе нам нужно регулирование, дополнительный понятийный аппарат. Сегодня Председатель Правительства поручил всем индустриальным центрам компетенций провести работу по выделению критических информационных систем и процессов, с точки зрения устойчивости к вызовам и угрозам, связанным с не утратой контроля за теми инструментами, которые мы у себя применяем. Такую работу мы проведем, типовые объекты КИИ утвердим, посоветовавшись с отраслями, после чего должны будут появиться планы перехода, которые станут отображением матрицы: что мы должны поменять, почему, на что, когда и зачем. Работа для нас понятная, ведем ее вместе со всеми отраслями. Вице-президент Транснефти Андрей Бадалов высказал обеспокоенность большим количеством отчетных показателей по импортозамещению. При этом ключевыми показателями должны стать безопасность и непрерывность работы и это в прямом смысле не эквивалентно просто импортозамещению. Важно выбрать такие отечественные решения, которые обеспечат более высокий уровень безопасности КИИ, чем импортные. Делать это надо, сохраняя устойчивость КИИ.
N 1085, ФСТЭК России осуществляет рассмотрение представляемых субъектами критической информационной инфраструктуры далее — КИИ перечней объектов КИИ, подлежащих категорированию далее — перечень , а также сведений о присвоении объектам КИИ одной из категорий значимости либо неприсвоения им одной из таких категорий далее — сведения. В части субъектов КИИ, осуществляющих деятельность в сфере cвязи, являющихся федеральными органами исполнительной власти, подведомственными им учреждениями, а также организациями, осуществляющими деятельность в сфере cвязи в двух и более субъектах Российской Федерации, рассмотрение перечней и сведений осуществляется центральным аппаратом ФСТЭК России.
Безопасность критической информационной инфраструктуры
Категорирование субъектов КИИ осуществляется на основе критериев значимости и показателей их значений, а также соблюдением установленного порядка. В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Статья про идентификацию объектов КИИ и субъектов КИИ. В их числе – субъекты критической информационной инфраструктуры (КИИ). Переход субъектов КИИ РФ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ РФ должен быть завершен до 1 января 2030 года. Сегодня в отечественной индустрии разработки программных продуктов сложилась уникальная ситуация, когда практически все субъекты КИИ и разработчики прикладного ПО.