Критическая информационная инфраструктура (КИИ)

К критической информационной инфраструктуре (КИИ) относятся системы и сети информационных ресурсов, технологий и объектов, от которых зависят жизненно важные функции государства и общественной жизни. Сбои их работы могут вызвать серьезные негативные последствия в сферах обороноспособности, экономики, финансовой системы, здравоохранения и промышленных отраслей.

Компания УЦ ПРОФИ оказывает полный перечень услуг в сфере КИИ, необходимых организациям, владеющим объектами критической информационной инфраструктуры (в т.ч. ЗОКИИ): категорирование, обеспечение безопасности и внедрение СЗИ, подключение к мониторинговым центрам ГосСОПКА.

Что такое КИИ

Понятие критической информационной инфраструктуры – не новое для сферы информационной безопасности. Еще в 2006 году вышло Постановление правительства, устанавливающее перечень объектов ключевой системы информационной инфраструктуры (КСИИ).

С 2017 года, основным документом является Федеральный Закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (187-ФЗ). Данный нормативно-правовой акт устанавливает обязательные нормы и правила защиты, дает разъяснение по сферам и отраслям КИИ, определяет функции структур, отвечающих за безопасность информации.

Сферы КИИ

187-ФЗ распространяется на следующие отрасли:

• охрана здоровья;
• наука;
• транспорт;
• коммуникации;
• энергосистема (в т.ч. атомная);
• государственная регистрация прав;
• банковская, финансовая деятельность;
• государственная регистрация прав на недвижимое имущество и сделок с ним;
• топливно-энергетический комплекс;
• оборонная, космическая индустрии;
• горнопромышленный сектор;
• металлургия и химическая промышленность.

Субъекты и объекты КИИ

Согласно 187-ФЗ:

• Объекты КИИ - информсистемы, системы баз данных, сетевая структура, программные продукты и другие элементы инфраструктуры, создающие условия работы важных сфер жизнедеятельности страны и социума.
• Субъекты КИИ - это организации, которые относятся к одной из сфер КИИ и владеют одним или несколькими объектами КИИ.

Необходимость защиты КИИ

Критическая инфраструктура подвергается различным угрозам. Это кибератаки, кибершпионаж, кибертерроризм, физическое воздействие на сети коммутации, другие виды.

Целью атак может быть похищение информации, повреждение или утрата данных, а также нанесение ущерба работе системы или даже проведение диверсий, поэтому обеспечение безопасности объектов КИИ является важной задачей, требующей применения современных технологий кибербезопасности.

Преимущества обращения в УЦ ПРОФИ

Обеспечение безопасной эксплуатации критической информационной инфраструктуры - комплексная задача, требующая постоянного внимания и усилий. Важно следовать установленным порядкам, правилам, знать современные угрозы и методы их предотвращения. Внедрение актуальных СЗИ, обновление программных средств и обучение сотрудников - это лишь некоторые шаги из комплекса работ.

Наша компания оказывает полный комплекс услуг как отдельно в сфере КИИ, так и в глобальном обеспечении кибербезопасности организаций. Надежные технологии и профессиональное экспертное сопровождение специалистов обеспечат гарантированную безопасность вашей информационной инфраструктуры.

Категории КИИ

Для определения мер защиты необходимо разграничить, какие объекты являются наиболее критическими и требуют особого внимания, а какие - менее значимы. Это помогает определить приоритеты, чтобы сконцентрировать усилия на наиболее уязвимых и ключевых точках.

187-ФЗ устанавливает классификацию критической информационной инфраструктуры с учетом ее ценности и роли для нацбезопасности и стабильности различных отраслей экономики.

Постановление Правительства РФ от 8 февраля 2018 года № 127 (Постановление 127) вводит правила дифференциации и параметры значимости объектов КИИ, в соответствие с которыми они подразделяются на две основные группы:

• Значимые (ЗОКИИ). Включают три категории значимости согласно степени их важности и роли в сферах жизнеобеспечения.
• Не значимые. Деления на подкатегории не имеют.

Такая классификация помогает оценить потенциальные последствия инцидентов в критической информационной инфраструктуре для различных групп населения и экономических секторов.

Например, если в случае происшествия транспортные услуги станут недоступны для более чем 5000 граждан - такой объект будет отнесен к самой высокой категории - первой. А если после кибератаки связь станет недоступной для менее, чем тысяча пользователей – его категорируют по наименьшей категории - третьей.

Безопасность КИИ

Приказ ФСТЭК России от 25 декабря 2017 года № 239 (Приказ 239) предписывает проведение конкретных мероприятий и процедур для защиты критической информационной инфраструктуры от различных видов угроз.

При отсутствии значимых объектов

Это не избавляет субъект КИИ от обязанностей, установленных ст.9 187-ФЗ. Организация может самостоятельно определить необходимые мероприятия и политику безопасности, опираясь на специфику своей деятельности и уровень рисков. С учетом потребностей можно применять Приказ 239, или Приказ ФСТЭК России от 14 марта 2014 года № 31, который регулирует защиту АСУТП.

В случае присутствия значимых объектов

Эта ситуация требует проведения мероприятий для организации системы защиты КИИ в соответствии с Приказом 239. Последовательность действий в таком случае включает:

1. Проектирование организационно-технических мер. В него входит анализ и формирование модели угроз, технического проекта и плана выполнения мероприятий для каждой информсистемы.
2. Оснащение средствами защиты информации (СЗИ). Подробные требования к составу мер защиты, опираясь на которые необходимо подбирать соответствующие средства, перечислен в приложении к Приказу 239.
3. Аттестацию и пуск системы в эксплуатацию. Готовность информсистемы к работе, уровень безопасности и выполнение стандартов защиты фиксируется в аттестате соответствия после проведения испытаний. Его получение дает разрешение на запуск объекта в промышленную эксплуатацию.
4. Поддержку работы СЗИ. Включает защиту от вторжений, мониторинг безопасности системы, актуализацию программного обеспечения и аппаратно-технических средств.

Требования к СЗИ

Указ Президента РФ от 30 марта 2022 года № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры РФ» вносит новые требования к СЗИ:

• С 31.03.2022 разрешено приобретать СЗИ для оснащения значимых объектов КИИ только отечественного производства.
• С 01.01.2025 запрещено использовать зарубежные СЗИ на ключевых объектах КИИ. Нормативный акт предусмотрен для киберзащиты от деструктивных действий недружественных стран.

Организациям-владельцам критической информационной инфраструктуры, построенной на использовании зарубежных СЗИ, необходимо начать импортозамещение уже сегодня.

Интеграция с ГосСОПКА

По Приказу 239 все субъекты КИИ обязаны оперативно передавать информацию о чрезвычайном происшествии, случившемся в его информационной системе, в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

Основным центром ГосСОПКА является Национальный координационный центр по компьютерным инцидентам (НКЦКИ). Он объединяет усилия различных владельцев КИИ, регулирует их работу в случае кибератак, вырабатывает единый подход к выходу из создавшейся ситуации и последующего предупреждения инцидентов.