ПКЗ - Требования к защите информации в КИИ

Что такое КИИ?

Критическая информационная инфраструктура (КИИ) — это совокупность информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления технологическими процессами, которые используются для управления критически важными объектами.

Критически важные объекты

Объекты обороны и безопасности
Объекты здравоохранения и социального обслуживания
Объекты транспорта и связи
Объекты энергетики
Объекты финансового рынка
Объекты топливно-энергетического комплекса
Объекты атомной энергетики
Объекты ракетно-космической промышленности
Объекты горнодобывающей промышленности
Объекты металлургической промышленности
Объекты химической промышленности

Правовая основа

Федеральный закон № 187-ФЗ

“О безопасности критической информационной инфраструктуры” от 26.07.2017

Подзаконные акты

Постановления Правительства РФ
Приказы ФСТЭК России
Методические документы
Технические требования

Категории значимости объектов КИИ

I категория значимости

Объекты, нарушение функционирования которых может привести к негативным последствиям для жизнедеятельности населения субъекта РФ

Критерии:

Население субъекта РФ
Территория субъекта РФ
Время восстановления — до 1 часа

Примеры:

Энергетические объекты регионального значения
Транспортные узлы
Связь и телекоммуникации

II категория значимости

Объекты, нарушение функционирования которых может привести к негативным последствиям для жизнедеятельности населения нескольких субъектов РФ

Критерии:

Население нескольких субъектов РФ
Территория нескольких субъектов РФ
Время восстановления — до 4 часов

Примеры:

Энергетические объекты федерального значения
Транспортные магистрали
Финансовые системы

III категория значимости

Объекты, нарушение функционирования которых может привести к негативным последствиям для жизнедеятельности населения РФ

Критерии:

Население РФ
Территория РФ
Время восстановления — до 24 часов

Примеры:

Энергетические объекты федерального значения
Транспортные системы
Финансовые системы
Связь и телекоммуникации

Обязательные мероприятия по защите информации

Для I категории значимости

Организационные мероприятия

Назначение ответственного за обеспечение безопасности
Разработка документов по обеспечению безопасности
Обучение персонала
Контроль соблюдения требований

Технические мероприятия

Средства защиты информации
Контроль целостности информации
Мониторинг безопасности
Резервное копирование

Для II категории значимости

Дополнительные требования

Сертифицированные средства защиты
Лицензирование деятельности
Аттестация объектов
Контроль со стороны ФСТЭК

Технические требования

Класс защиты информации
Уровень защищенности
Средства криптографической защиты
Системы обнаружения вторжений

Для III категории значимости

Максимальные требования

Высший класс защиты
Максимальный уровень защищенности
Специальные средства защиты
Постоянный мониторинг

Дополнительные меры

Дублирование систем
Резервирование данных
Избыточность каналов связи
Автономность функционирования

Средства защиты информации

Классификация средств

Средства криптографической защиты
Средства контроля доступа
Средства обнаружения вторжений
Средства мониторинга безопасности

Требования к средствам

Сертификация ФСТЭК России
Соответствие требованиям
Совместимость с системами
Эффективность защиты

Внедрение средств

Планирование внедрения
Тестирование средств
Обучение персонала
Мониторинг работы

Лицензирование деятельности

Виды лицензий

Разработка средств защиты
Производство средств защиты
Распространение средств защиты
Техническое обслуживание средств защиты
Предоставление услуг по защите информации

Требования к лицензиату

Наличие квалифицированного персонала
Соответствие техническим требованиям
Соблюдение требований безопасности
Финансовая состоятельность

Процедура лицензирования

Подача заявления
Предоставление документов
Проверка соответствия
Выдача лицензии

Аттестация объектов КИИ

Цель аттестации

Подтверждение соответствия требованиям
Оценка эффективности защиты
Выявление недостатков
Рекомендации по улучшению

Этапы аттестации

Планирование аттестации
Проведение проверки
Анализ результатов
Выдача заключения

Требования к аттестации

Квалификация экспертов
Методология проверки
Документирование результатов
Сроки проведения

Контроль и надзор

ФСТЭК России

Контроль соблюдения требований
Проверки объектов КИИ
Выдача предписаний
Привлечение к ответственности

Формы контроля

Плановые проверки
Внеплановые проверки
Документарные проверки
Выездные проверки

Меры воздействия

Предписания об устранении нарушений
Штрафы за нарушения
Приостановление деятельности
Отзыв лицензий

Ответственность за нарушения

Административная ответственность

Статья 13.12 КоАП РФ — нарушения в области защиты информации
Штрафы для должностных лиц: 5,000 - 10,000 руб.
Штрафы для юридических лиц: 30,000 - 50,000 руб.

Уголовная ответственность

Статья 274.1 УК РФ — неправомерный доступ к информации
Лишение свободы до 2 лет
Штрафы до 200,000 руб.

Гражданско-правовая ответственность

Возмещение ущерба
Компенсация морального вреда
Защита интересов

Практические шаги по соблюдению

1. Определение категории значимости

Анализ объекта
Оценка последствий
Определение категории
Документирование решения

2. Разработка документов

Политика безопасности
Процедуры защиты информации
Инструкции для персонала
Планы реагирования

3. Внедрение средств защиты

Выбор средств защиты
Установка и настройка
Тестирование работы
Обучение персонала

4. Обучение персонала

Осведомленность о требованиях
Процедуры работы с информацией
Безопасность данных
Реагирование на инциденты

5. Мониторинг и контроль

Контроль соблюдения требований
Мониторинг безопасности
Аудит систем
Улучшение процессов

Особенности для разных отраслей

Энергетика

Высокие требования к надежности
Специальные средства защиты
Дублирование систем
Автономность функционирования

Транспорт

Критичность времени
Безопасность пассажиров
Надежность систем
Мониторинг в реальном времени

Финансы

Конфиденциальность данных
Целостность информации
Доступность сервисов
Соответствие стандартам

Здравоохранение

Защита персональных данных
Надежность систем
Доступность информации
Соответствие медицинским стандартам

Заключение

ПКЗ — это комплекс требований, направленных на обеспечение безопасности критически важных объектов. Соблюдение требований требует:

Понимания категории значимости объекта
Разработки необходимых документов
Внедрения средств защиты
Обучения персонала
Непрерывного мониторинга

Помните: ПКЗ — это не просто правовое требование, а основа для обеспечения национальной безопасности. Соблюдение требований — это ответственность перед обществом и государством.