КИИ: итоги года по категорированию - все дошли, самые трудные - АСУ ТП с распределёнными сетями

Конец года - хорошее время сверить ощущения с реальностью. По КИИ у нас за 2019-й накопилась статистика: больше дюжины заказчиков-субъектов, все в разных отраслях, все прошли через процедуру категорирования и направили сведения в ФСТЭК. Кто-то ещё в начале года, кто-то буквально на днях. Дедлайн поджимал, и последние месяцы были плотными.

Итог формально хороший: никто не отстал, сведения направлены, акты утверждены. Но за этой строчкой - очень разный опыт в зависимости от того, что именно за объекты у заказчика.

Почему 2019-й оказался таким насыщенным

Регулятор дал отрасли время с момента вступления 187-ФЗ в силу. Но многие субъекты откладывали категорирование до последнего - либо надеялись на разъяснения, либо не понимали, с чего начать, либо ждали пока сосед разберётся первым. В итоге основной поток работ сдвинулся на 2019 год, и у нас с весны шло несколько проектов параллельно.

Хорошая новость в том, что к этому моменту уже накопились методические материалы, был опыт первых утверждённых актов, и ФСТЭК стал чуть яснее в части того, что хочет видеть. Плохая новость - это не сделало работу быстрее. Категорирование по-прежнему требует глубокого погружения в реальную инфраструктуру, а не в бумажные схемы.

Что проходило легко, а что нет

У заказчиков с компактной инфраструктурой - банк, несколько информационных систем в одном ЦОД, понятные границы - категорирование шло относительно гладко. Пара месяцев на инвентаризацию, оценку показателей критичности, согласование акта внутри организации. Сложности были, но предсказуемые.

Совсем другая история с теми, у кого распределённые сети АСУ ТП. Из нескольких таких кейсов в этом году могу выделить три типичных проблемы:

• Границы объектов размыты физически. Технологический процесс не заканчивается на одной площадке. Трубопровод идёт через три региона, контроллеры стоят вдоль маршрута, связь между ними - через разные каналы. Где заканчивается один объект КИИ и начинается другой - не очевидно ни из нормативки, ни из здравого смысла.

• Документация отстаёт от реальности. На бумаге схема одна, в поле - другая. За годы эксплуатации добавляли оборудование, меняли топологию, подключали новых подрядчиков. Схемы не обновлялись - зачем, если всё работает. При категорировании это выходит боком: либо инвентаризируешь всё заново, либо подписываешь акт по устаревшим данным и потом объясняешь ФСТЭК расхождения.

• Показатели критичности в АСУ ТП требуют экспертизы двух миров. Чтобы оценить, насколько нарушение работы конкретного узла повлияет на технологический процесс, нужно понимать и регуляторную шкалу показателей, и реальную производственную логику. Это не то, что можно делегировать юристам или айтишникам в одиночку. В лучших случаях у заказчика были толковые главные инженеры, которые садились за стол вместе с нами.

Самое странное, что встречали

Один заказчик в начале года был уверен, что его системы под 187-ФЗ не попадают - «мы не критическая инфраструктура, мы просто производство». После совместного разбора отраслевой принадлежности и перечней объектов оказалось, что попадают, и ещё как. Не злой умысел, просто искренне не разобрались с периметром закона. Хорошо, что успели до конца года.

Другой кейс - заказчик с несколькими площадками в разных регионах, который попытался категорировать каждую площадку как отдельный объект, чтобы получить нулевые категории по каждой. Логика была: если смотреть на фрагмент, ущерб маленький. Пришлось объяснять, что объект КИИ - это функционально связанная совокупность, и рубить её на части для снижения категории - это не то, что имел в виду регулятор. Акт в итоге написали честно.

Что категорирование не закрывает

Сведения в ФСТЭК направлены - это финиш первого этапа, а не всей работы. Дальше по значимым объектам нужно строить систему защиты по Приказу №239, выстраивать СОБ по Приказу №235, подключаться к ГосСОПКА. У большинства наших заказчиков эти работы уже идут параллельно или начнутся в первом квартале.

Несколько из них получили нулевую категорию по всем объектам. Формально - вне требований по защите. Фактически - инфраструктура у них не стала менее чувствительной от того, что ФСТЭК не обязал их строить СЗИ. Часть из этих заказчиков сами понимают разрыв между регуляторным статусом и реальным риском.

Итог

Год по КИИ закрываем с хорошим результатом для заказчиков. Все сведения направлены, акты утверждены, никто не остался с незакрытым обязательством перед регулятором. Самые тяжёлые в работе - объекты с распределёнными сетями АСУ ТП, где физическая реальность и бумажная документация живут разной жизнью.

Если у вас ещё не завершено категорирование или нужна проверка того, что уже сделано - аудит по КИИ берём в работу.