КИИ. Категорируй ЭТО!

В теме обеспечения безопасности критической информационной инфраструктуры одним из важных этапов является проведение категорирования объектов КИИ.

Федеральный закон № 187 ФЗ от 26.07.2017 года устанавливает, что объекты КИИ подлежат категорированию, которое представляет собой установление соответствия объекта КИИ критериям значимости и показателям их значений, в результате которого объекту КИИ присваивается категория значимости.

Правила категорирования объектов КИИ определены Постановлением Правительства РФ от 08.02.2018 № 127 и вступили в действие с 21 февраля 2018 года.

Для облегчения понимания порядка категорирования подготовил следующую схему:

Схема категорирования объектов КИИ

Кратко процесс категорирования можно описать следующим образом:

1) На основании решения руководителя субъекта КИИ (во исполнение положения п.11 Постановления Правительства РФ № 127) создается комиссия по категорированию (далее – Комиссия).

2) Комиссией определяют все процессы субъекта (управленческие, технологические, производственные и другие) в рамках основной деятельности субъекта КИИ.

3) Из выявленных процессов Комиссией выбираются критичные процессы субъекта.

4) На основе выявленных критичных процессов Комиссией определяются объекты КИИ, связанные с критичными процессами и составляется перечень объектов КИИ.

5) Сформированный перечень объектов КИИ, подлежащих категорированию (далее – Перечень объектов) утверждается субъектом КИИ, и, в случае наличия подведомственности, направляется на согласование в вышестоящую организацию.

6) Утвержденный (и согласованный, при необходимости) перечень объектов КИИ направляется субъектом КИИ (в течение 5 рабочих дней после утверждения) во ФСТЭК России в порядке уведомления.

7) Комиссией, в срок не превышающий одного года со дня утверждения Перечня объектов КИИ, проводится категорирование в соответствии с критериями значимости и показателями их значений, а также порядком осуществления категорирования и присваивает одну из категорий значимости принадлежащим им на законном основании объектам КИИ. Если объект КИИ не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из таких категорий.

8) Решение комиссии по категорированию оформляется актом.

9) Сведения о результатах категорирования (о присвоения объекту КИИ одной из категорий значимости, либо об отсутствии необходимости присвоения категории субъекты КИИ) в письменном виде в десятидневный срок со дня утверждения соответствующего решения направляют во ФСТЭК России, по утвержденной им форме.

10) ФСТЭК России, в тридцатидневный срок со дня получения сведений от субъекта КИИ проверяет соблюдение им порядка осуществления категорирования и правильность присвоения объекту КИИ одной из категорий значимости либо неприсвоения ему ни одной из таких категорий.

11) В случае, если субъектом КИИ соблюден порядок осуществления категорирования и принадлежащему ему на законном основании объекту КИИ правильно присвоена одна из категорий значимости, ФСТЭК России вносит сведения о таком объекте в реестр значимых объектов критической информационной инфраструктуры, о чем в десятидневный срок уведомляется субъект КИИ.

12) В случае, если ФСТЭК России выявлены нарушения порядка осуществления категорирования и (или) объекту КИИ, принадлежащему на законном основании субъекту КИИ, неправильно присвоена одна из категорий значимости и (или) необоснованно не присвоена ни одна из таких категорий и (или) КИИ представлены неполные и (или) недостоверные сведения о результатах присвоения такому объекту одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, ФСТЭК России в десятидневный срок со дня поступления представленных сведений возвращает их в письменном виде субъекту КИИ с мотивированным обоснованием причин возврата.

13) Субъект КИИ, после получения мотивированного обоснования причин возврата сведений, не более чем в десятидневный срок устраняет отмеченные ФСТЭК России недостатки и повторно направляет такие сведения ФСТЭК России.

14) Сведения об отсутствии необходимости присвоения объекту КИИ одной из категорий значимости после их проверки направляются ФСТЭК России в ГосСОПКА, о чем в десятидневный срок уведомляется субъект КИИ.

Update:

Перечень показателей критериев значимости объектов КИИ из 127 Постановления оформил в удобочитаемой форме.

1. Социальная значимость