Категория значимости — это то, чем заканчивается категорирование объекта критической информационной инфраструктуры. Категорий три: первая — самая высокая, третья — самая низкая. Есть и четвёртый исход, который на практике встречается чаще всех остальных: комиссия принимает решение об отсутствии необходимости присваивать объекту категорию значимости. Такой объект остаётся объектом КИИ, но не становится значимым, и требования к нему принципиально мягче.
От того, какая цифра оказалась в акте, зависит почти всё: попадёт ли объект в реестр значимых объектов, будут ли применяться требования приказа ФСТЭК № 239, за какое время нужно информировать государственный центр о компьютерных инцидентах, придёт ли к вам плановая проверка. Поэтому категорирование — не бумажная процедура, а решение с прямыми последствиями для бюджета и для персональной ответственности руководителей.
Что вы получаете:
- расчёт категории значимости по показателям критериев с письменным обоснованием;
- проверку уже присвоенной категории — завышенная категория стоит денег, заниженная стоит рисков;
- корректное оформление акта категорирования и сведений во ФСТЭК;
- сопровождение при возврате сведений регулятором и устранение замечаний;
- разбор последствий: какие требования включаются при каждой категории;
- сопровождение пересмотра категории при изменениях в компании.
Кому это нужно
- субъектам КИИ, впервые проводящим категорирование;
- компаниям, которым ФСТЭК вернул сведения с замечаниями;
- организациям, меняющим масштаб деятельности — новые площадки, слияния, рост числа обслуживаемых лиц;
- руководителям и ИТ-директорам, чья ответственность за нарушение требований по КИИ персональная.
Нормативная рамка
- Федеральный закон от 26.07.2017 № 187-ФЗ, статья 7 — категорирование объектов КИИ: три категории значимости, порядок направления сведений и проверки их уполномоченным органом, ведение реестра значимых объектов;
- постановление Правительства РФ от 08.02.2018 № 127 — Правила категорирования объектов КИИ и перечень показателей критериев значимости с их значениями. Основной рабочий документ, и именно его действующую редакцию нужно открывать при расчёте;
- отраслевые особенности категорирования, утверждаемые отдельными постановлениями Правительства по сферам деятельности, — их число растёт, и они меняют порядок расчёта для конкретной отрасли;
- перечни типовых отраслевых объектов КИИ, формируемые уполномоченными органами по согласованию с ФСТЭК России, — исходные данные для выявления объектов;
- приказ ФСТЭК России № 239 — требования по обеспечению безопасности значимых объектов КИИ;
- приказ ФСТЭК России № 235 — требования к созданию систем безопасности значимых объектов КИИ;
- статья 274.1 Уголовного кодекса РФ — ответственность за нарушение правил эксплуатации средств хранения, обработки и передачи информации, содержащихся в КИИ.
Пять групп критериев значимости
Значимость объекта оценивается по последствиям, которые наступят, если объект перестанет работать или его работа будет нарушена. Закон выделяет пять групп:
1. Социальная значимость. Ущерб жизни и здоровью людей, прекращение или нарушение оказания услуг связи, транспортных услуг, услуг здравоохранения, услуг в области энергетики и жилищно-коммунального хозяйства, а также число людей, которых это затронет.
2. Политическая значимость. Прекращение или нарушение функционирования государственных органов, срыв выполнения ими полномочий.
3. Экономическая значимость. Прямой и косвенный ущерб субъекту КИИ и бюджетам, снижение показателей деятельности, ущерб для отрасли.
4. Экологическая значимость. Вредное воздействие на окружающую среду.
5. Значимость для обороны страны, безопасности государства и правопорядка. Влияние на обороноспособность и на деятельность органов безопасности.
Внутри групп раскрываются конкретные показатели с числовыми значениями — количество пострадавших, размер ущерба, площадь территории, продолжительность нарушения, число обслуживаемых лиц. Именно значения показателей и разграничивают первую, вторую и третью категории. Эти значения периодически пересматриваются, поэтому расчёт всегда ведётся по действующей редакции перечня, а не по методичке двухлетней давности.
Как определяется категория: правила расчёта
Правило наивысшего значения. Объекту присваивается категория с наивысшим значением из всех показателей, по которым он проходит. Если по экономическому показателю объект тянет на третью категорию, а по социальному — на первую, категория будет первой.
Правило остановки расчёта. Если объект отнесён к первой категории хотя бы по одному показателю, расчёт по остальным показателям не проводится — выше первой категории ничего нет.
Правило отсутствия категории. Если объект не соответствует ни одному показателю критериев значимости, категория значимости не присваивается. Это законный и очень частый результат, и он оформляется тем же актом.
Правило наихудшего сценария. При оценке масштаба возможных последствий рассматриваются наихудшие сценарии, учитывающие целенаправленные компьютерные атаки, приводящие к прекращению или нарушению параметров функционирования объекта. Оценивать «а у нас такого не случится» нельзя — оценивается именно худший вариант.
Правило зависимостей. Если работа одного объекта зависит от другого, оценка проводится исходя из предположения, что зависимый объект прекратил работу или его параметры нарушены. Это правило регулярно упускают, и именно оно чаще всего меняет расчёт по сложным производственным площадкам.
Для создаваемых объектов категория определяется на этапе формирования требований к объекту и может уточняться в ходе проектирования. Как оформляется расчёт и что должно быть в обосновании — разработка акта категорирования КИИ.
Что меняется в зависимости от категории
Категория не присвоена. Объект остаётся объектом КИИ. В реестр значимых объектов он не вносится, требования приказа № 239 к нему не применяются. Обязанность информировать о компьютерных инцидентах при этом сохраняется — как у субъекта КИИ.
Третья категория. Объект вносится в реестр значимых объектов, применяются требования к созданию системы безопасности и к обеспечению безопасности значимого объекта в базовом составе, включается государственный контроль.
Вторая категория. Тот же набор требований в расширенном объёме: усиленные меры по приказу № 239, более жёсткие требования к средствам защиты и к персоналу.
Первая категория. Максимальный объём требований, наиболее строгие условия по применяемым средствам защиты, по составу подразделения безопасности и по взаимодействию с государственными органами.
Общее для всех значимых объектов: обязанность обеспечить их безопасность, реагировать на компьютерные инциденты, взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, а также предоставлять доступ представителям регулятора при проверках. Состав требований разобран в материале защита значимых объектов КИИ по приказу ФСТЭК № 239, порядок включения в реестр — реестр значимых объектов КИИ.
Порядок: от комиссии до записи в реестре
Комиссия по категорированию. Создаётся решением руководителя субъекта КИИ и является постоянно действующей. В состав входят руководитель или уполномоченное им лицо, специалисты по выполняемым функциям и по информационным технологиям, работники, обеспечивающие информационную безопасность, при необходимости — работники подразделения по защите государственной тайны и подразделения по гражданской обороне. В филиалах и представительствах могут создаваться отдельные комиссии, координирует их основная. Состав документов по комиссии — документальное оформление комиссии по категорированию КИИ.
Работа комиссии. Выявление объектов, соответствующих типовым отраслевым объектам; рассмотрение возможных действий нарушителей и иных источников угроз; анализ угроз, способных привести к компьютерным инцидентам; оценка масштаба возможных последствий по каждому показателю и присвоение категории либо решение об отсутствии необходимости её присвоения.
Акт. Решение комиссии оформляется актом со сведениями об объекте и присвоенной категории. Допускается единый акт по нескольким объектам одного субъекта. Акт подписывается членами комиссии и утверждается руководителем субъекта, хранится до вывода объекта из эксплуатации или изменения категории.
Направление сведений. В течение 10 рабочих дней со дня утверждения акта субъект направляет во ФСТЭК России сведения о результатах присвоения категории либо об отсутствии необходимости её присвоения — в печатном и электронном виде по утверждённой форме.
Проверка и реестр. Уполномоченный орган проверяет соблюдение порядка категорирования в тридцатидневный срок. При отсутствии нарушений сведения об объекте вносятся в реестр значимых объектов КИИ, о чём субъект уведомляется в течение десяти дней. При выявлении нарушений сведения возвращаются с мотивированным обоснованием, а субъект в десятидневный срок устраняет замечания и направляет сведения повторно. Если ранее направленные сведения изменились, новые направляются не позднее 20 рабочих дней со дня изменения.
Пересмотр категории
Категория не присваивается навсегда. Субъект КИИ пересматривает установленные категории значимости не реже одного раза в 5 лет, если иные сроки не установлены отраслевыми особенностями, а также при изменении показателей критериев значимости или самих отраслевых особенностей. При изменении категории сведения направляются во ФСТЭК заново.
Пересмотр нужен не только по календарю: рост числа обслуживаемых лиц, ввод новой площадки, объединение систем, изменение технологического процесса способны поднять категорию, а вывод части функций на аутсорс — обоснованно её снизить.
Что входит в работу
- Расчёт категории значимости по действующему перечню показателей с письменным обоснованием по каждому показателю.
- Проверка ранее присвоенной категории — на завышение, на занижение и на корректность обоснования.
- Организация комиссии: приказ о создании, положение, состав, распределение ролей, протоколы.
- Подготовка акта категорирования и комплекта сведений во ФСТЭК в требуемой форме.
- Сопровождение проверки регулятором, ответы на замечания, повторное направление сведений.
- Оценка последствий присвоения категории: какие требования включаются, во что это обходится и что можно сделать законно, чтобы объём был обоснованным.
- Сопровождение пересмотра категории при изменениях в деятельности и при изменении нормативных требований.
Сроки и стоимость
Сроки, которые задаёт закон, жёсткие: 10 рабочих дней на направление сведений после утверждения акта, 30 дней на проверку регулятором, 10 дней на уведомление о внесении в реестр, 10 дней на устранение замечаний, 20 рабочих дней при изменении сведений. Срок самой работы комиссии закон не ограничивает, и здесь всё определяется масштабом: для одной площадки расчёт занимает недели, для холдинга с десятками объектов — месяцы, причём основная нагрузка приходится не на расчёт, а на сбор исходных данных по технологическим процессам.
Стоимость сопровождения зависит от числа объектов, числа площадок и отраслевой специфики: категорирование одной информационной системы и категорирование производственного комплекса с автоматизированными системами управления — работы разного порядка. Цены не являются публичной офертой; смета формируется после предварительного обследования.
Вопросы и ответы
Сколько всего категорий значимости?
Три: первая, вторая и третья, где первая — самая высокая. Четвёртый возможный исход — решение об отсутствии необходимости присваивать категорию: объект остаётся объектом КИИ, но значимым не становится.
Что если объект не подошёл ни под один показатель?
Категория не присваивается. Это законный результат, он оформляется актом, и сведения об этом всё равно направляются во ФСТЭК в тот же десятидневный срок. Молчать нельзя: отсутствие категории и отсутствие сведений — разные вещи.
Можно ли законно снизить категорию?
Иногда да — но не «переписав акт», а изменив фактические обстоятельства или исправив ошибку в расчёте. Типичные основания: неверно взяты значения показателя, не учтены отраслевые особенности, объект оценён вместе со смежными системами, хотя границы объекта проходят иначе. Пересмотр оформляется той же процедурой.
Кто отвечает, если категория определена неверно?
Субъект КИИ. Категорирование проводится самостоятельно, привлечённый подрядчик отвечает по договору, но перед регулятором отвечаете вы. При этом занижение категории — это ещё и уголовный риск для конкретных должностных лиц по статье 274.1 УК РФ, если следствием станет инцидент.
Как часто нужно пересматривать категорию?
Не реже одного раза в 5 лет, если отраслевые особенности не устанавливают иной срок, а также при изменении показателей критериев значимости или отраслевых особенностей. Практически — ещё и при каждом существенном изменении масштаба деятельности.
Получить консультацию
Пришлите перечень ваших систем и описание того, что они обслуживают, — посчитаем категорию по действующему перечню показателей и покажем расчёт по каждому. Если категория уже присвоена, проверим обоснование: завышенная категория означает лишние требования и лишние деньги, заниженная — риск для руководителя.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.