КИИ: ФСТЭК разъясняет состав акта категорирования - работаем с первым реальным документом

На прошлой неделе ФСТЭК опубликовала разъяснения по составу акта категорирования объектов КИИ и порядку его согласования с регулятором. Разъяснения - это не новый нормативный акт и не приказ, это ответы на вопросы, которые субъекты КИИ успели накопить с момента подписания 187-ФЗ. Тем не менее документ практически важный: первые категорирования уже идут, и форма акта была самым болезненным открытым вопросом.

Мы как раз сейчас работаем над первым реальным актом категорирования у одного из заказчиков - и разъяснения ФСТЭК упали в аккурат в тот момент, когда мы сами выясняли для себя, что именно туда должно войти.

Что прояснило ФСТЭК

Главное, что нужно понимать про разъяснения: они описывают логику, которой регулятор намерен придерживаться при проверке актов. Это не утверждённая форма с заполненными клеточками - до появления приказа с официально утверждённой формой мы, судя по всему, ещё не дошли. Но логика достаточно конкретная.

По разъяснениям ФСТЭК, акт категорирования должен содержать:

• Сведения об объекте КИИ - наименование, тип, принадлежность субъекту КИИ, отраслевая принадлежность.
• Описание критических процессов, которые объект обеспечивает - здесь прямая связь с инвентаризационным этапом, который мы проводим в самом начале.
• Оценку показателей по критериям значимости - для каждого критерия и по каждой из трёх категорий с обоснованием. Недостаточно написать «третья категория». Нужно объяснить, почему ущерб не выходит за рамки нижнего порога.
• Итоговую категорию с указанием, какой критерий оказался определяющим.
• Сведения о комиссии и подписи участников.

По согласованию: акт направляется в регулятор по отрасли (ФСТЭК, ФСБ или Банк России в зависимости от сферы) после утверждения внутри субъекта КИИ. Регулятор рассматривает его и может направить замечания - в этом случае категория пересматривается.

Что выяснилось на практике

Мы работаем с первым реальным актом, и у нас уже есть наблюдения, которые в разъяснениях прямо не написаны, но вытекают из работы с документом.

Форма не устоялась. Разные подразделения ФСТЭК, судя по общению коллег по отрасли, дают несколько различающиеся рекомендации по структуре. Кто-то рекомендует табличный вид для оценки критериев, кто-то - текстовый с таблицей только в приложении. Мы выбрали смешанный: краткое текстовое описание объекта и критических процессов плюс сводная таблица по критериям со столбцами «показатель - обоснование - категория».

Обосновывающие материалы не менее важны, чем сам акт. Это то, чего разъяснения не акцентируют, но логика проверки подразумевает. Написать в акте «социальный ущерб - третья категория» - значит принять на себя обязательство доказать это при проверке. Без документального обоснования это слово против слова.

Мы идём по такой структуре приложений к акту:

• Перечень критических бизнес-процессов - сам перечень плюс описание последствий нарушения по каждому.
• Матрица ИС и процессов - какие системы обеспечивают какие процессы, из инвентаризации.
• Расчёт показателей ущерба - для экономического и социального критериев это особенно важно, потому что именно эти два, как правило, определяют итоговую категорию у большинства субъектов из банков, промышленности и энергетики.
• Справка о комиссии - состав, реквизиты приказа о создании, подтверждение квалификации участников.

Комиссия - это не формальность. По тому, как ФСТЭК описывает порядок, комиссия является субъектом ответственности за оценку, а не просто коллективом подписантов. Если регулятор сочтёт оценку занижённой - вопросы пойдут к комиссии, а не абстрактному «субъекту КИИ». Это меняет отношение к составу: включение в комиссию формальных представителей «для галочки» - риск для конкретных людей.

Что тормозит работу

Честно: оценка экономического ущерба. Здесь нет методики расчёта, и это ощущается в работе. Мы смотрим на прямые потери от простоя системы, потом нас просят включить ущерб контрагентам - и здесь начинается зона, где любое число выглядит как экспертная оценка, а не расчёт. Пишем методику обоснования прямо в акте: допущения, источники данных, формулу. Если при проверке регулятор с цифрой не согласится - хотя бы будет понятно, откуда она взялась и как её скорректировать.

Второй тормоз - сроки согласования внутри заказчика. Акт подписывает комиссия, которая включает руководителей подразделений. У каждого свой календарь, командировки, отчётные периоды. На организационную часть уходит столько же времени, сколько на содержательную.

Где мы сейчас

Первый акт в процессе согласования внутри заказчика. Когда пройдём через регулятора - будет понятно, насколько наша структура и состав обосновывающих материалов соответствуют тому, что ФСТЭК хочет видеть. Пока есть только разъяснения и здравый смысл.

Если у вас категорирование ещё не начато или уже идёт, но форма акта вызывает вопросы - разбираем это в рамках аудита, в том числе помогаем выстроить состав обосновывающих материалов под конкретный объект.