КИИ: ФСТЭК опубликовала проект постановления о категорировании - разбираем три категории значимости

На прошлой неделе ФСТЭК выложила на согласование проект Постановления Правительства о порядке категорирования объектов КИИ. Это тот самый документ, которого все ждали с момента подписания 187-ФЗ: именно он должен описать, как именно присваивать категорию, из каких показателей исходить и какой документ в итоге оформлять.

Мы сели и прочитали его от начала до конца. Вот что важно.

Три категории и логика их различия

Проект вводит три категории значимости объектов КИИ: первая - высшая, третья - низшая. Категория определяется через показатели критериев значимости, которые в свою очередь отражают масштаб потенциального ущерба.

Принципиальная логика такая: чем крупнее масштаб последствий при нарушении работы объекта, тем выше категория. Масштаб измеряется по нескольким видам ущерба одновременно.

Основные критерии в проекте:

• Социальный ущерб - количество пострадавших граждан, нарушение жизнеобеспечения населённых пунктов, воздействие на здоровье и жизнь людей. Для первой категории - ущерб федерального масштаба, для третьей - муниципального.
• Политический ущерб - воздействие на государственное управление, международные отношения, деятельность органов власти.
• Экономический ущерб - размер прямых потерь и косвенного ущерба. Здесь в проекте указаны конкретные пороговые значения в рублях - хотя пока это черновик и цифры могут скорректироваться.
• Экологический ущерб - загрязнение окружающей среды, ущерб природным объектам.
• Ущерб для обороны и безопасности государства - специфический критерий для оборонных и силовых субъектов.

По каждому критерию показатели расписаны для каждой из трёх категорий. Итоговая категория объекта определяется по наихудшему показателю: если хотя бы один критерий даёт первую категорию - объект получает первую, даже если по остальным он третья.

Что весомее всего на практике

Разбирая методику с коллегами, мы пришли к выводу: на практике наиболее весомы два критерия - социальный и экономический. Вот почему.

Политический и оборонный ущерб актуальны для ограниченного круга субъектов - госорганов, оборонных предприятий. Большинство наших заказчиков из банков, энергетики и промышленности заполняют эти строки прочерком и не заблуждаются насчёт результата.

Экологический ущерб - критерий для опасных производств, химии, нефтянки. Опять же - не для всех.

А вот социальный и экономический затрагивают почти всех. Банк, у которого упал процессинг, - это экономический ущерб и нарушение доступности финансовых услуг для граждан. Подстанция, которая обесточила район, - это социальный ущерб с прямым указанием на число пострадавших.

Особенность социального критерия: в проекте он определяется в том числе через нарушение функционирования транспортной, коммунальной или иной критической инфраструктуры. То есть объект КИИ, который обеспечивает другой объект КИИ, автоматически получает дополнительный весомый показатель.

Как заполняется акт категорирования

Документ, который оформляется по итогам, называется «акт категорирования объекта КИИ». В проекте постановления описан его состав. По структуре это не произвольная форма, а достаточно детальный документ.

В акте должно быть:

• Сведения об объекте - наименование, тип (ИС, АСУ, ИТКС), отрасль, владелец.
• Описание критических процессов, которые объект обеспечивает, - именно здесь первый этап инвентаризации, который мы уже провели у ряда заказчиков, оказывается не просто «хорошей практикой», а прямым требованием акта.
• Оценка показателей по каждому критерию - заполняется в табличном виде с обоснованием. Недостаточно написать «третья категория» - нужно объяснить, почему социальный ущерб не превышает порог первой категории.
• Итоговая категория с обоснованием, какой критерий оказался определяющим.
• Состав комиссии по категорированию и подписи.

Последний пункт важен организационно: категорирование - это работа комиссии, а не одного специалиста по ИБ. В комиссию по проекту входят руководители подразделений, которые отвечают за критические процессы, плюс представитель ИБ. Это подтверждает нашу практику с интервью - без владельцев процессов акт не заполнить.

Что нас удивило в проекте

Честно говоря, методика по критериям в целом выглядит рабочей. Но есть два места, которые, по нашей оценке, вызовут трудности в реальном применении.

Первое - оценка экономического ущерба. Посчитать прямой ущерб от остановки системы - это одно. Но в проекте фигурирует и «ущерб третьим лицам», и «косвенный ущерб». Методики расчёта нет. На практике это означает, что один эксперт посчитает одно, другой - другое, и обосновать оба числа в акте вполне возможно. Для регулятора это серая зона, для заказчика - риск переоценки или недооценки категории.

Второе - сроки. Проект устанавливает срок категорирования в один год с момента утверждения постановления. Это звучит как много, но с учётом того что само постановление ещё не утверждено, а его утверждение ожидается ближе к концу 2017 года, реальный горизонт работы - меньше года. Для крупного субъекта с десятками объектов это напряжённо.

Где мы сейчас

Работу по первичному перечню объектов КИИ и описанию критических бизнес-процессов у нескольких заказчиков мы уже ведём. После публикации проекта постановления стало понятно, что делаем мы это в целом в правильной логике - инвентаризация снизу вверх через бизнес-процессы, а не сверху вниз от реестра систем.

Когда постановление будет утверждено, оформим результаты уже в форму акта. Пока работаем по проекту с пониманием, что незначительная переработка формы неизбежна.

Если хотите заранее понять, под какую категорию, скорее всего, попадут ваши объекты - можно пройти предварительный анализ в рамках аудита без ожидания финального текста постановления.