Новое ПП-127: разбор изменений в категорировании и чек-лист для субъектов КИИ

В постановление Правительства РФ № 127 внесены масштабные правки. Новая редакция уже действует и меняет сам подход к категорированию: больше не изучаем «критические процессы», а работаем по типовым перечням объектов (которых пока нет). Появились новые и уточнённые показатели значимости, усилен надзор, обновлён состав сведений, подаваемых во ФСТЭК.

Попытаемся разобраться, что поменялось и что в связи с этим делать субъектам КИИ.

Что изменилось?

• Процессы — в прошлом, фокус — на типовых объектах. Из методики исключено выявление «критических процессов» и привязка к ним систем. Теперь категорированию подлежат объекты, соответствующие типам из перечней типовых отраслевых ОКИИ, которые утверждаются Правительством.

На текущий момент есть только проект таких перечней, да и он, вероятно, претерпит изменения перед утверждением. Тем не менее ориентироваться целесообразно именно на него, а также на перечни типовых объектов, утвержденные почти во всех сферах отраслевыми регуляторами.

• Если вашего объекта нет в типовых перечнях. Если последствия инцидента по объекту соответствуют показателям значимости, субъект обязан присвоить ему категорию, направить сведения во ФСТЭК по установленной форме и внести предложение о дополнении типовых перечней.

«Перечни — не «лазейка». Отсутствие объекта в списке не снимает обязанностей: оцениваем реальные последствия, и, если они дотягивают до критериев, — категорируем, уведомляем ФСТЭК и инициируем включение объекта в перечни. Это прямо закрывает попытки «не заметить» критичные активы», — Илья Романов, руководитель отдела консалтинга

• Расчёт показателей — с учётом отраслевых особенностей. Значения показателей теперь рассчитываются не только с учётом специфики объекта, но и отраслевых особенностей категорирования, которые также будет утверждать Правительство.

• Показатели критериев значимости обновлены. Проверьте чек-лист в конце статьи — он показывает, затрагивают ли вас изменения и в каком объёме. Существенные изменения коснулись:
• транспорта: отдельно учтены организации-перевозчики, добавлены показатели по типам нарушенных перевозок/грузов и по категориям объектов транспортной инфраструктуры;
• связи: появился показатель по уровню органов власти/организаций (включая госкорпорации), для которых могут быть недоступны услуги связи;
• политической значимости: прямо указаны организации, созданные на основании федерального закона;
• финансового сектора: для микрофинансовых организаций и бюро кредитных историй теперь есть отдельные показатели; кроме того, уточнены формулировки для НПФ и страховых;
• новые субъекты: отдельные показатели для микрофинансовых организаций и бюро кредитных историй;
• гособоронзаказ: показатели расширены с учётом участия не только головных исполнителей, но и соисполнителей, субподрядчиков, поставщиков части продукции, работ или услуг.
• Состав подаваемых сведений расширен. При уведомлении во ФСТЭК теперь нужно указывать доменные имена и сетевые адреса объекта, взаимодействующего с сетями электросвязи общего пользования (включая Интернет).
• Пересмотр категорий. Категории подлежат пересмотру не реже одного раза в 5 лет, а также при изменении показателей/их значений или появлении отраслевых особенностей.
• ВАЖНО: надзор ужесточён. Отраслевые регуляторы обязаны мониторить актуальность сведений и в течение 30 дней сообщать во ФСТЭК о выявленных нарушениях.

«Теперь отраслевые регуляторы не только «мониторят», но и обязаны сигнализировать о нарушениях во ФСТЭК. Акцент на трёх вещах: срыв сроков категорирования, несоблюдение отраслевых особенностей, неактуальные или недостоверные сведения. Плюс — случаи, когда у субъекта обнаружены неучтённые (незаявленные) объекты», — Илья Романов, руководитель отдела консалтинга

Что делать?

Задача — определить свой статус и зафиксировать решения. Возможны три сценария, но во всех случаях — оформляйте результаты документально.

Сценарий 1 — изменения вас не затрагивают.
Нужно провести сверку объектов и показателей и зафиксировать неприменимость изменений.

Сценарий 2 — требуется пересмотр результатов категорирования.
Необходимо пересчитать показатели, оформить расчёты и выводы с подготовкой актуализированного пакета сведений, направляемого во ФСТЭК.

Сценарий 3 — появляются новые объекты КИИ.
Нужно провести инвентаризацию, определить объекты и категорировать их, подготовить комплект сведений во ФСТЭК. Отсутствие объекта в типовых перечнях не освобождает от действий — ориентироваться нужно на возможные последствия компьютерных инцидентов.

«Все решения должны быть оформлены письменно. Практика сопровождения наших заказчиков показывает: формула «это нас не касается» без документального обоснования неприемлема для регуляторов. Даже если изменения не влияют на итог категорирования, вывод обязан подтверждаться комплектом документов с обоснованными расчётами по показателям и ссылками на применимые критерии», — Илья Романов, руководитель отдела консалтинга

Чек-лист для оценки

Эксперты АО «ДиалогНаука» подготовили чек-лист, который поможет быстро определить, какие изменения ПП-127 распространяются на вашу организацию и что нужно сделать сейчас.

• Вы — организация, осуществляющая грузовые и/или пассажирские перевозки?
  Да → вы прямо подпадаете под субъекты КИИ: выявляйте и категорируйте объекты.
• Вы работаете в сфере транспорта?
  Да → проверьте уточнённые показатели: отдельно учитываются пассажирские и грузовые перевозки; появились новые метрики по типам нарушенных перевозок и категориям объектов транспорта.

• Вы — в сфере связи? 
  Да → появился новый показатель по уровню органов власти/организаций, для которых могут быть нарушены или недоступны услуги связи. Перекатегорируйтесь с учётом этого показателя.

• Вы — организация, созданная на основании федерального закона (например, госкорпорация, Банк России и др.)?
  Да → для вас теперь применим блок политической значимости: при нарушении функционирования учитывайте соответствующие показатели. Нужно выявлять и категорировать объекты.

• Вы — НПФ или страховая организация?
  Да → уточнены формулировки экономических показателей — перепроверьте расчёты и обоснования, при необходимости — перекатегорирование.

• Вы — микрофинансовая компания?
  Да → вы теперь явно подпадаете под 187-ФЗ; к вам применяются отдельные показатели — категорируйтесь (перекатегорируйтесь).

• Вы — бюро кредитных историй? 
  Да → аналогично: появились специальные показатели — проведите категорирование/пересмотр.

• Вы участвуете в государственном оборонном заказе (не только головной исполнитель, но и соисполнитель, субподрядчик или просто поставщик части продукции, работ или услуг)?
  Да → для вас введён отдельный показатель: если ранее не считали себя субъектом КИИ, с высокой вероятностью теперь подпадаете — требуется выявление объектов и их категорирование.

Наши услуги

АО «ДиалогНаука» предлагает комплексные услуги по КИИ — от быстрой оценки статуса до проектирования и внедрения защиты. Коротко, что делаем:

• Экспресс-оценка статуса и перечня объектов.
• Категорирование: методика, обследование, расчёты показателей, присвоение категорий; комплект сведений во ФСТЭК.
• Документы: модель угроз; приказы, регламенты, протоколы комиссии.
• Защита по приказам ФСТЭК № 235/239: проектирование, поставка и внедрение средств защиты.

Связаться: +7 (495) 980-67-76, +7 (499) 670-95-95, info@dialognauka.ru.