Для организаций, работающих с критической информационной инфраструктурой (КИИ), это еще один повод проверить, насколько фактическая защита информационных систем, сетей и АСУ соответствует требованиям законодательства, а не только документам.
Что изменил Указ № 604
Указ предусматривает новый механизм на случай серьезных проблем с обеспечением безопасности КИ.
Основанием могут стать четыре ситуации:
Меры не приняты вовремя.
Необходимые меры безопасности не приняли либо приняли несвоевременно.
Требования нарушены.
Организация нарушила требования к обеспечению безопасности, установленные нормативными правовыми актами или решениями уполномоченных органов.
Создана угроза.
Действия хозяйствующего субъекта создали угрозу безопасности объекта или его нормальной работе.
Работу объекта не восстановили вовремя.
Объект не восстановили после нарушения функционирования либо сделали это несвоевременно.
Отдельно в Указе упоминается эффективность мероприятий по защите от нападений с применением беспилотных воздушных судов. Но БПЛА — только частный случай. Действие документа ими не ограничивается.
Временное управление может затронуть недвижимое и движимое имущество хозяйствующего субъекта, имущественные права, ценные бумаги и доли участия в российских юридических лицах.
При этом механизм не запускается автоматически после проверки или замечания регулятора. Необходимо поручение Президента РФ, на основании которого Правительство РФ принимает решение о введении временного управления.
Временным управляющим по общему правилу выступает Росимущество. Оно получает полномочия собственника в отношении переданных активов, но не вправе распоряжаться ими. Поэтому временное управление не равнозначно изъятию собственности.
Как критическая инфраструктура связана с КИИ
Критическая информационная инфраструктура (КИИ) — информационная составляющая критической инфраструктуры.
Современный критический объект зависит не только от зданий, оборудования и физических средств защиты. Его работу обеспечивают информационные системы (ИС), сети связи (ИТС) и автоматизированные системы управления (АСУ). Нарушение их работы может остановить уже не отдельный компьютер, а производственный, технологический или другой критический процесс.
187-ФЗ относит к объектам КИИ информационные системы, ИТС и АСУ субъектов КИИ. Вместе с сетями электросвязи, которые обеспечивают взаимодействие таких объектов, они образуют КИИ.
При этом с юридической точки зрения понятия «критическая инфраструктура» в Указе № 604 и «критическая информационная инфраструктура» в 187-ФЗ не тождественны.
Указ относит к критической инфраструктуре объекты промышленности и ТЭК, энергетики, связи, жизнеобеспечения, коммунальной, транспортной и логистической инфраструктуры. В перечень входят также критически важные и потенциально опасные объекты.
Перечень остается открытым: к критической инфраструктуре могут относиться и другие объекты, имеющие особо важное значение для безопасности, экономической стабильности России и жизнедеятельности населения.
Прямой ссылки на 187-ФЗ в Указе № 604 нет. Но из этого не следует, что информационную составляющую можно исключить из вопросов безопасности критического объекта.
Обратный вывод тоже будет неверным: нарушение требований законодательства о КИИ само по себе не означает автоматического введения временного управления. Такой связи Указ не устанавливает. Каждый случай должен оцениваться с учетом предусмотренных им оснований.
Каким организациям стоит разобраться в требованиях
Требования в сфере КИИ актуальны как для государственных, так и для коммерческих организаций.
187-ФЗ относит к субъектам КИИ государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или другом законном основании принадлежат соответствующие ИС, ИТС или АСУ в перечисленных законом сферах.
Поэтому сначала нужно определить, какие системы, сети и АСУ есть у организации, на каком основании они ей принадлежат и в какой сфере функционируют.
Для российских юридических лиц закон также учитывает случаи, когда они обеспечивают взаимодействие соответствующих информационных систем или сетей.
Например, ИС может использоваться как государственной больницей, так и частной медицинской организацией. В обоих случаях необходимо оценивать признаки, установленные 187-ФЗ, а не форму собственности организации.
Сферы действия Указа № 604 и законодательства о КИИ во многом пересекаются. Это видно на примере транспорта, энергетики, связи и промышленности. Но одного совпадения отрасли недостаточно, чтобы автоматически распространить на организацию тот или иной правовой режим.
Поэтому один из первых вопросов для руководителя звучит так:
Верно ли определен статус организации и выполнены ли относящиеся к ней обязанности в сфере КИИ?
Что требует законодательство о КИИ
Работа начинается с определения объектов КИИ и критических процессов, которые они обеспечивают.
Затем проводят категорирование: оценивают значимость объектов и направляют сведения о принятом решении во ФСТЭК России. Если объекту присвоена категория значимости, необходимо создать систему его безопасности и обеспечить ее работу. Порядок категорирования и направление сведений предусмотрены статьей 7 187-ФЗ.
Отдельный блок требований связан с компьютерными атаками и инцидентами. Субъекты КИИ обязаны сообщать о них в установленном порядке. Для субъектов, которым принадлежат значимые объекты КИИ, предусмотрены дополнительные обязанности по обеспечению их безопасности и реагированию.
Важно и восстановление работы после инцидента. Поэтому недостаточно иметь регламент резервного копирования. Организация должна понимать, можно ли на практике восстановить критическую систему и продолжить работу.
Выполнение требований КИИ — это не комплект документов. Организация должна понимать свои критические процессы, защищать обеспечивающие их системы и быть готовой подтвердить, что меры работают на практике.
Что проверить после выхода Указа № 604
Сам по себе новый Указ не означает, что каждой организации нужно срочно закупать новые средства защиты или заново выполнять все работы по КИИ.
Начать стоит с проверки текущего состояния.
Статус и состав объектов.
Отвечает ли организация признакам субъекта КИИ? Все ли объекты определены? Учтена ли их связь с критическими процессами?
Категорирование и сведения.
Актуальны ли результаты категорирования и сведения, направленные регулятору?
Защита на практике.
Соответствует ли реальная инфраструктура документам? Реализованы ли необходимые меры защиты? Устранены ли ранее выявленные замечания?
Действия при инциденте.
Кто обнаружит атаку? Кому о ней сообщат? Кто будет организовывать реагирование? Понимают ли сотрудники порядок действий?
Восстановление.
Пригодны ли резервные копии? Хватит ли ресурсов для восстановления? Проверялся ли этот процесс на практике?
Такая проверка показывает не только формальные несоответствия, но и реальные пробелы.
Например, инструкция по резервному копированию может существовать, но это еще не означает, что после инцидента организация действительно сможет восстановить критическую систему.
Результатом проверки должен стать понятный план: какие проблемы необходимо устранить в первую очередь и кто за это отвечает.
Мнение эксперта ООО «УИБ»
Евгений Рублёв, заместитель генерального директора ООО «УИБ»:
Сейчас нельзя утверждать, что любое нарушение требований в сфере КИИ приведет к временному управлению. Указ № 604 такого автоматического механизма не устанавливает, а практика его применения еще должна сформироваться.
При этом требования 187-ФЗ и подзаконных актов действуют уже сейчас. И претензии регуляторов к их выполнению — не теоретический риск. В нашей практике регулярно встречаются организации, которым необходимо уточнить перечень объектов КИИ, пересмотреть результаты категорирования, устранить замечания или привести фактические меры защиты в соответствие с установленными требованиями.
Поэтому ждать первого прецедента по Указу № 604 не стоит. Лучше проверить заранее: правильно ли определены критические процессы и объекты КИИ, актуально ли категорирование и действительно ли реализованные меры защиты работают на практике.
Начать можно с первичной консультации
Не уверены, относится ли ваша организация к субъектам КИИ или всё ли выполнено правильно?
На бесплатной первичной консультации эксперт ООО «УИБ» разберет вашу ситуацию, поможет предварительно определить применимые требования и подскажет, какие вопросы стоит проверить в первую очередь.
По итогам консультации станет понятнее, есть ли существенные пробелы и требуется ли дополнительная работа.
Первичная консультация с экспертом — бесплатно.