Обеспечение безопасности критической информационной инфраструктуры (КИИ) начинается не с установки межсетевых экранов, а с разработки качественной нормативной базы. Федеральный закон № 187-ФЗ и подзаконные акты ФСТЭК России предъявляют жесткие требования к наличию и содержанию организационно-распорядительной документации. Отсутствие или формальный характер этих документов является нарушением законодательства и влечет административную ответственность. Разработка документов по защите КИИ — это фундамент, на котором строится вся система безопасности субъекта, и главный аргумент защиты при проверках регуляторов.
Комплект документов по защите КИИ — это не просто бюрократия. Это юридически значимые регламенты, которые определяют ответственность персонала, порядок действий в кризисных ситуациях и правила работы с оборудованием. В случае кибератаки именно эти документы будут изучать следователи и эксперты ФСТЭК, чтобы определить степень вины руководства и сотрудников. Качественная документация доказывает, что организация предприняла все необходимые меры для защиты.
Обязательный минимум документации
Пакет документов для субъекта КИИ можно разделить на несколько функциональных блоков. Каждый из них должен быть разработан с учетом специфики конкретной организации.
1. Организационные документы (Управление)
Этот блок фиксирует структуру системы безопасности.
- Политика информационной безопасности. Декларативный документ, определяющий цели и задачи защиты.
- Приказ о создании комиссии по категорированию. Определяет лиц, ответственных за выявление и оценку объектов КИИ.
- Положение о комиссии. Регламентирует порядок работы комиссии, методику оценки ущерба и принятия решений.
- Акт категорирования. Ключевой документ, фиксирующий результаты оценки значимости объектов. Он должен содержать обоснование присвоения (или неприсвоения) категории по всем показателям.
2. Проектная и техническая документация
Для значимых объектов КИИ (ЗОКИИ) необходимо создавать систему защиты в соответствии с Приказом ФСТЭК № 239.
Необходимы:
- Модель угроз безопасности информации. Документ, описывающий актуальные векторы атак, возможности нарушителя и уязвимости системы. Модель должна регулярно пересматриваться.
- Техническое задание (ТЗ) на создание системы защиты. Описывает требования к средствам защиты, их настройке и интеграции.
- Технический проект. Детальное описание архитектуры безопасности.
- Программа и методики испытаний. Документ для проверки эффективности внедренных мер защиты.
- Юридическая помощь в решении проблемных ситуаций
- Консультации юриста онлайн проводятся Пн-Пт, с 10:00 до 18:00 часов
3. Эксплуатационная документация (Регламенты)
Самый объемный блок, описывающий ежедневную работу.
В него входят:
- Инструкции администраторов и пользователей. Четкие правила: как создавать пароли, как работать со съемными носителями, что делать при ошибках.
- Регламент управления инцидентами. Пошаговый алгоритм действий при обнаружении атаки: кого уведомлять, как изолировать сеть, как собирать доказательства.
- План реагирования на компьютерные инциденты. Документ, согласованный с требованиями ГосСОПКА (НКЦКИ).
- Регламент проведения контроля (аудита). Порядок проверки состояния защищенности своими силами.
Типичные ошибки при разработке
Многие компании пытаются использовать типовые шаблоны из интернета. Это опасно по нескольким причинам:
- Несоответствие реальности. В документах описаны средства защиты, которых нет в организации, или процессы, которые не работают. Это трактуется как введение регулятора в заблуждение.
- Устаревшие нормы. Законодательство меняется быстро (новые указы Президента по импортозамещению, изменения в приказах ФСТЭК). Шаблоны часто ссылаются на отмененные акты.
- Отсутствие подписей. Документ не работает, если с ним не ознакомлены сотрудники под роспись.
Мы предлагаем разработку документов по защите КИИ «под ключ». Наши эксперты проводят аудит, интервьюируют сотрудников и создают комплект документов, который полностью соответствует вашей IT-инфраструктуре и требованиям 187-ФЗ.