Защиту критической информационной инфраструктуры (КИИ) оказывают интеграторы, сервис-провайдеры, аудиторы и специалисты по проверке защищённости. Для части работ исполнителю нужна лицензия ФСТЭК, и проверить её можно в открытом реестре. Ниже — кто относится к субъектам КИИ, как проходит категорирование, какие работы бывают и по каким признакам выбирать подрядчика. Сведения о компаниях — в рейтинге компаний по информационной безопасности и кибербезопасности в России.
Что такое КИИ и кто субъект по 187-ФЗ
Закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (от 26.07.2017) называет КИИ информационные системы, сети и системы управления организаций в важных для государства сферах. Субъекты КИИ — государственные органы и организации в сферах здравоохранения, науки, транспорта, связи, энергетики, банковской и иных сфер финансового рынка, топливно-энергетического комплекса, атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.
Закон возлагает на субъектов обязанности: провести категорирование, обеспечить защиту значимых объектов, сообщать об инцидентах. К объектам КИИ относятся информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления. Для производственных организаций это не только корпоративная сеть: в круг объектов нередко попадают системы управления технологическими процессами, и защита таких систем отличается от защиты офисной сети. За неправомерное воздействие на объекты КИИ предусмотрена уголовная ответственность (ст. 274.1 УК РФ), а за нарушение требований по защите — административная. Если ваша организация работает в одной из этих сфер, начните с вопроса, есть ли у вас объекты КИИ и проведено ли категорирование.
Категорирование и значимые объекты
Категорирование — это определение, какие ваши системы относятся к КИИ и насколько они значимы. Порядок задан постановлением Правительства № 127 от 08.02.2018. Организация создаёт комиссию, составляет перечень объектов, подлежащих категорированию, и оценивает возможные последствия их сбоя по нескольким показателям: социальная, политическая, экономическая, экологическая значимость и значимость для обороны и правопорядка. По результатам объекту присваивается категория или принимается решение, что объект не значимый. Значимые объекты получают одну из трёх категорий; чем выше категория, тем жёстче требования. Сведения о значимых объектах направляют во ФСТЭК, который ведёт реестр.
Если категорирование не проведено, подрядчик по защите вам ещё не нужен: сначала нужен специалист по категорированию. Ошибка на этом шаге делает неверными все последующие работы.
Какие работы по защите КИИ бывают
Требования к защите значимых объектов закреплены в приказе ФСТЭК № 239. Работы делятся на четыре группы, и у каждой свой набор подтверждений права их оказывать.
| Работа | Что делается | Что подтверждает право оказывать услугу |
|---|---|---|
| Анализ защищённости и пентест | Поиск уязвимостей, проверка возможности их эксплуатации | Лицензия ФСТЭК на ТЗКИ, пункт о контроле защищённости; образцы отчётов |
| Проектирование системы безопасности | Разработка архитектуры защиты по требованиям приказа № 239 | Отдельные пункты лицензии ФСТЭК на ТЗКИ |
| Внедрение средств защиты | Установка, настройка, испытания | Отдельные пункты лицензии ФСТЭК на ТЗКИ; сертификаты на средства защиты |
| Мониторинг и реагирование | Наблюдение за событиями, реагирование, связь с ГосСОПКА | Опыт подключения к ГосСОПКА, регламенты реагирования, рекомендации клиентов |
Что получает заказчик по каждой группе. Анализ защищённости заканчивается отчётом: перечень уязвимостей, доказательства возможности их эксплуатации, оценка критичности, рекомендации. Проектирование даёт пакет документов по системе безопасности объекта: модель угроз, технические решения, требования к средствам защиты. Внедрение — настроенные и принятые в эксплуатацию средства защиты с протоколами испытаний. Мониторинг и реагирование — регламенты, каналы связи и регулярные отчёты о событиях. Проверка защищённости логично идёт после внедрения: она показывает, работает ли защита на практике, а не только на бумаге.
Сроки зависят от числа объектов, их сложности и доступа к ним. Для объектов, связанных с технологическими процессами, проверки согласуют отдельно: работы нельзя проводить в момент, когда они могут повлиять на производство. Точный срок и цену исполнитель называет после изучения перечня объектов.
Одна лицензия не покрывает все четыре группы. У компании может быть пункт на контроль защищённости и не быть пунктов на проектирование и внедрение, и наоборот. Проверяйте, что нужные виды работ есть именно в вашем перечне.
ГосСОПКА: что это и как подключаются
ГосСОПКА — государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Субъекты КИИ обязаны сообщать в неё об инцидентах; координирует систему Национальный координационный центр по компьютерным инцидентам (НКЦКИ).
Организация выбирает один из путей: создать собственный центр ГосСОПКА, договориться о взаимодействии с центром другой организации или подключиться через коммерческий центр. Что подойдёт, зависит от размера организации и числа объектов. При выборе подрядчика по этому направлению спросите, как устроено взаимодействие с НКЦКИ и кто отвечает за отправку уведомлений об инцидентах.
Практический вопрос — что считать инцидентом. Закон требует сообщать о компьютерных инцидентах, связанных с функционированием объектов КИИ, поэтому в регламентах нужно описать признаки инцидента, сроки и ответственных. Подрядчик по мониторингу помогает отличить значимое событие от шума, но решение об уведомлении остаётся за субъектом КИИ. Если ответственность размыта между заказчиком и исполнителем, уведомление уходит с опозданием или не уходит совсем.
Как проверить подрядчика по защите КИИ
- Реестр лицензий. Откройте реестр лицензий ФСТЭК, найдите компанию и сверьте номер, виды работ и срок. Лицензия должна покрывать именно ту работу, которую вы заказываете.
- Образец отчёта. Для проверки защищённости попросите обезличенный отчёт: доказательства уязвимостей, оценки, план исправления.
- Опыт в вашей отрасли. Энергетика, транспорт и финансовый сектор имеют разные требования и сценарии атак. Попросите назвать типовые проблемы вашей сферы.
- Субподряд. Уточните, кто физически выполнит работы. Если часть уходит субподрядчику, у него тоже должна быть лицензия на нужные виды.
- Работа с данными. Согласуйте порядок доступа к системам, хранение материалов и удаление после проекта.
- Ретест. Условия повторной проверки после исправлений записываются в договоре.
Типичные ошибки заказчика. Выбор по цене без проверки лицензии: если лицензия не покрывает нужный вид работ, результат могут не принять. Смешение КИИ с защитой персональных данных: это разные режимы с разными требованиями. Отсутствие согласованного порядка доступа к технологическим системам: проверка откладывается или идёт хаотично. Забытый ретест: уязвимости закрыты, а подтверждения нет.
Как сравнивать предложения. Составьте единое техническое задание для всех участников: перечень объектов, виды работ, формат отчёта, срок, условия ретеста. Тогда предложения можно сравнивать по составу, а не по итоговой цене. Предложение заметно дешевле остальных почти всегда означает, что часть работ не включена: проверьте, что именно исключено. Заложите в договор порядок работы с данными и ответственность за ущерб при проверке технологических систем.
Если исполнитель называет работы «под ключ» и не уточняет, какая часть подкреплена лицензией, запросите перечень.
Кто из рейтинга какие направления заявляет
В рейтинге представлены интеграторы, сервис-провайдеры, аудиторы и компании по проверке защищённости; направления по КИИ указаны в карточках не у всех, поэтому сверяйте карточку компании и реестр лицензий. Сводная таблица типов — на странице о видах компаний, карточки — на главной странице рейтинга.
У Paranoid Security лицензия ФСТЭК на ТЗКИ № Л024-00107-77/01794242, пункт «б» (услуги по контролю защищённости конфиденциальной информации от несанкционированного доступа). Подходит ли лицензия под конкретный вид работ на объекте КИИ, уточняйте в реестре и у регулятора; пример услуги по проверке защищённости — пентест. Проектирование и внедрение средств защиты в эту лицензию не входят: для них нужны другие пункты и другие исполнители.
На практике защита значимого объекта редко делается одним подрядчиком. Типовая схема: интегратор проектирует и внедряет систему безопасности, сервис-провайдер подключает мониторинг, а независимый исполнитель проверяет защиту на практике. Независимость проверяющего важна: если защиту оценивает та же компания, которая её строила, результат менее убедителен для заказчика и регулятора.
Вопросы и ответы
Кто обязан защищать объекты КИИ?
Субъекты КИИ по 187-ФЗ: организации в сферах здравоохранения, транспорта, связи, энергетики, финансового сектора и других отраслей, перечисленных в законе. Начинается всё с категорирования.
Нужна ли лицензия для пентеста объекта КИИ?
Для работ по анализу защищённости значимых объектов КИИ субъекты, как правило, привлекают подрядчиков с лицензией ФСТЭК на ТЗКИ. Необходимость лицензии зависит от состава работ, поэтому уточняйте её у регулятора или юриста и проверяйте формулировку пункта в реестре.
Достаточно ли одной лицензии для всех работ по КИИ?
Нет. Проектирование, внедрение и контроль защищённости относятся к разным пунктам; у компании может быть не весь набор.
Нужно ли подключаться к ГосСОПКА, если у нас нет значимых объектов?
Требования зависят от того, есть ли у организации значимые объекты. Уточните это у специалиста по категорированию.
С чего начать защиту КИИ?
С категорирования: пока не определено, какие системы значимые, выбирать защиту и подрядчика рано.
Источники. 187-ФЗ, постановление Правительства № 127, приказ ФСТЭК № 239, реестр лицензий ФСТЭК.