Федеральный закон 187-ФЗ обязывает владельцев критической информационной инфраструктуры (КИИ) защищать свои системы. Руководители предприятий несут персональную ответственность за срывы сроков категорирования или отсутствие систем защиты. Нарушения ведут к штрафам до пятисот тысяч рублей по КоАП РФ или лишению свободы до десяти лет по УК РФ. Консалтинг решает задачу соответствия нормативам без расширения штата ИТ-отдела.
Соблюдение требований регуляторов предотвращает остановку производства и исключает юридические претензии со стороны ФСТЭК и ФСБ.
Этапы категорирования объектов КИИ
Процедура начинается с приказа о создании комиссии. В состав входят руководители ИТ, ИБ и ключевых бизнес-подразделений. Эксперты определяют перечень информационных систем, автоматизированных систем управления и сетей связи. Каждую систему оценивают на наличие критических процессов.
Комиссия анализирует масштаб последствий при компьютерной атаке. Оценка включает пять групп критериев значимости: социальную, политическую, экономическую, экологическую и оборонную. Специалисты рассчитывают показатели ущерба и присваивают объекту категорию значимости либо обосновывают ее отсутствие. Итоговые сведения уходят на проверку во ФСТЭК России.
Основные работы по категорированию:
- Инвентаризация ИТ-активов. Составление списка всех серверов, контроллеров и рабочих станций.
- Анализ бизнес-процессов. Выявление точек отказа, которые влияют на выполнение обязательств компании.
- Подготовка актов. Формирование пакета документов с результатами расчетов и подписями членов комиссии.
- Взаимодействие с регулятором. Ответы на запросы ФСТЭК при проверке поданных сведений.
Разработка системы защиты значимых объектов
После присвоения категории закон требует внедрить систему безопасности. Требования зависят от присвоенного уровня. Инженеры разрабатывают модель угроз на основе актуальных данных ФСТЭК. Документ описывает вероятные сценарии атак и определяет потенциального нарушителя.
Техническое задание определяет выбор средств защиты. Компания закупает сертифицированное оборудование и софт. Настройка межсетевых экранов, систем обнаружения вторжений и средств защиты от несанкционированного доступа требует узкой экспертизы. Аутсорсинг позволяет привлечь специалистов с опытом настройки специфического ПО для промышленного сегмента.
Проектирование безопасности учитывает специфику технологического цикла и исключает сбои в работе оборудования.
Документальное сопровождение (ОРД):
- Положения об информационной безопасности. Общие правила работы с данными внутри организации.
- Регламенты реагирования на инциденты. Пошаговые инструкции для персонала при обнаружении атак.
- Инструкции для администраторов. Правила настройки и обновления средств защиты.
- Планы восстановления. Алгоритмы запуска систем после аварийных ситуаций.
Подключение к ГосСОПКА и мониторинг
Субъекты КИИ обязаны передавать информацию о компьютерных атаках в главный центр ГосСОПКА. Закон устанавливает жесткие сроки информирования: от трех до двадцати четырех часов с момента обнаружения события. Для этого компания создает собственный центр мониторинга или заключает договор с сервис-провайдером (MSSP).
Аутсорсинг безопасности закрывает вопрос круглосуточного дежурства. Операторы следят за трафиком в реальном времени и блокируют подозрительную активность. Передача функций на сторону экономит бюджет на покупку дорогостоящих SIEM-систем и обучение сотрудников. Консультанты настраивают каналы связи с НКЦКИ и автоматизируют отправку карточек инцидентов.
Преимущества консалтинга по безопасности КИИ
Внешние эксперты знают актуальную практику проверок ФСТЭК. Они предвидят замечания инспекторов и заранее устраняют ошибки в документах. Штатные сотрудники часто игнорируют мелкие требования приказов №235 и №239, что приводит к выдаче предписаний.
Консалтинг обеспечивает непрерывность бизнес-процессов. Безопасность не мешает инженерам обслуживать станки или управлять логистикой. Эксперты подбирают решения, которые сохраняют работоспособность устаревшего оборудования. Это важно для заводов с парком техники, которая не поддерживает современные антивирусы.
Комплексный подход минимизирует риски ответственности руководства. Вы получаете прозрачную систему защиты и полный комплект документов для надзорных органов. Профессиональное сопровождение гарантирует прохождение проверок прокуратуры и регуляторов с первого раза.