КИИ на практике: как определить категорию значимости объекта в энергетике

Постановление Правительства № 127 вышло 8 февраля, мы его ждали, и теперь у нас наконец есть полный нормативный пакет для практической работы. Закон, форма акта от ФСТЭК, постановление с критериями - всё на столе. Беремся за первые проекты категорирования и сразу обнаруживаем, что читать постановление и применять его в энергетике - это, мягко говоря, разные задачи.

Несколько клиентов из электроэнергетики, с которыми мы начали аудит инфраструктуры КИИ в феврале-марте, дали хорошую базу для первых наблюдений. Делимся тем, что уже видно.

Что изменилось с выходом постановления № 127

До 8 февраля мы работали по проекту постановления. Финальный текст от проекта отличается, но не принципиально - логика та же: пять групп показателей значимости, три категории плюс «незначимые», пороговые значения в показателях.

Главное что добавилось - отраслевые особенности. Постановление содержит специфику для ряда отраслей: энергетика, транспорт, связь получили дополнительные разъяснения по применению критериев. Для энергетики это важно, потому что там есть показатели, которые в общем случае не очевидны.

Второй момент: постановление прямо указывает что категорирование проводит комиссия субъекта КИИ самостоятельно. Привлекать сторонних консультантов можно, но решение - за комиссией. Это меняет формат нашего участия: мы не «присваиваем категорию», мы помогаем комиссии правильно собрать доказательную базу.

Энергетика: где всё не так, как кажется

У первого клиента - региональная сетевая компания - объектов набралось хорошо за полусотню только на первом проходе инвентаризации. Из них реально значимых - по нашей предварительной оценке - около трети. Остальные либо незначимые, либо требуют детальной проработки.

Несколько вещей, которые мы не ожидали в таком объёме:

Граница между объектами КИИ и элементами технологической инфраструктуры. АСУ ТП подстанции - один объект? Или несколько? Формально постановление говорит что объект - это «информационная система, информационно-телекоммуникационная сеть или АСУ». На практике одна подстанция может иметь несколько уровней автоматизации: РЗА, SCADA, система коммерческого учёта электроэнергии. Каждая из них потенциально отдельный объект с отдельной оценкой. Комиссия должна принять осознанное решение о границах, и это решение нужно обосновать в акте.

Социальный показатель в электроэнергетике считается иначе, чем в ИТ. Для большинства информационных систем «количество пострадавших граждан» - абстрактная цифра, которую трудно обосновать. В электроэнергетике это конкретные данные: зона питания от подстанции, количество подключённых объектов, нормативы по надёжности электроснабжения. Формально цифру посчитать проще. На деле возникает вопрос: что считать «пострадавшим»? Потеря электроснабжения на час и потеря на трое суток - принципиально разные ситуации, но показатель один.

Взаимозависимость объектов. Отказ объекта А напрямую влияет на функционирование объектов Б и В. В методологии постановления это называется «влияние на другие объекты КИИ». На практике - это отдельная задача моделирования: нарисовать граф зависимостей между собственными объектами и оценить каскадные последствия. Без этого категория может оказаться занижена, и ФСТЭК при проверке это заметит.

Как мы строим работу с комиссией

Мы выработали что-то вроде рабочего порядка, который более-менее работает.

Первый шаг - инвентаризация и границы. Вместе с техническими специалистами клиента фиксируем что есть, и договариваемся о границах объектов. Это самое долгое - в сетевой компании ушло почти три недели только на то, чтобы собрать актуальный перечень и свериться с реальным состоянием систем. Документация есть, но она старше реальной инфраструктуры.

Второй шаг - сценарное моделирование для каждого объекта. Три сценария: полный отказ, частичный отказ, компрометация с возможностью ложных команд. Для АСУ ТП третий сценарий часто самый болезненный - отказ можно заметить быстро, а ложная команда может отрабатываться несколько минут прежде чем оперативный персонал что-то заподозрит.

Третий шаг - привязка к показателям. Берём каждый сценарий и по каждой из пяти групп последствий смотрим что выходит. Объект получает наивысшую категорию которую набрал хоть по одному показателю - это важно не забывать.

Что пока остаётся открытым

Несколько вопросов, по которым у нас нет уверенного ответа, и, судя по всему, пока нет и у регулятора.

Отраслевые модели угроз ещё не утверждены. ФСТЭК обещал типовые модели угроз для отраслей, которые должны использоваться при определении мер защиты значимых объектов. Для энергетики - отдельный документ, который учитывает специфику промышленных протоколов и конфигурации сетей АСУ ТП. Пока работаем по общей методике, с расчётом на то, что отраслевые документы скорректируют подход к защитным мерам, но не к самому категорированию.

Трактовка «влияния на другие критические процессы» у разных комиссий разная. Видели уже несколько подходов: один заказчик идёт очень консервативно и занижает связность, другой, напротив, рисует максимально широкие зависимости и выходит на первую категорию почти везде. Ни то, ни другое не выглядит правильным - истина где-то посередине, но методологически обосновать эту середину непросто.

Результаты первых поданных актов мы не видели - никто из знакомых коллег ещё не получил ответ от ФСТЭК. Первая волна реакций регулятора покажет, насколько практика расходится с нашими ожиданиями. Пока работаем с тем что есть.