Категорирование КИИ на практике: 340 систем, Приказ №236 и живой чеклист

Закон 187-ФЗ «О безопасности критической информационной инфраструктуры» работает с января 2018 года, Приказ №236 ФСТЭК с порядком категорирования вышел в конце того же года, и формально субъекты КИИ обязаны были провести категорирование и направить сведения в реестр. На практике к середине 2020 года картина следующая: часть организаций процедуру прошла, часть - в процессе, часть - пока делает вид, что процедуры не существует. ФСТЭК регулярно напоминает, что это не опция, и методическое сопровождение продолжается: выходят уточняющие письма, проводятся разъяснительные мероприятия. Дедлайны обсуждаются и уточняются, но сама обязанность никуда не делась.

К нам обратился промышленный заказчик - производственное предприятие с развитой технологической инфраструктурой. Задача: пройти категорирование объектов КИИ. Ресурсов внутри для этого не хватало, опыта работы с процедурой - тоже. Взяли.

Что нас ждало

Первая же инвентаризация показала масштаб: только технологических систем, которые потенциально попадают под определение объекта КИИ, набралось свыше трёхсот сорока. Это не только АСУ ТП производственных линий - сюда входят системы видеонаблюдения технологических зон, системы контроля доступа на производственные объекты, системы диспетчеризации, отдельные сегменты корпоративной сети, напрямую влияющие на непрерывность производства. Всё это надо было описать, оценить по критериям значимости и оформить как объект КИИ либо обоснованно исключить из перечня.

Категорирование по Приказу №236 - это не просто табличка «есть система/нет системы». Для каждого объекта нужно:

• Определить принадлежность к сфере. Промышленность, энергетика, транспорт - у каждой сферы свои показатели значимости. У заказчика основная сфера - промышленность, но часть объектов пересекается с энергетикой (собственная подстанция и система энергоснабжения цехов).
• Оценить показатели значимости. Это конкретные критерии: ущерб для жизни и здоровья людей, экономический ущерб, социальный ущерб, ущерб обороноспособности и безопасности. Для каждого показателя - три категории (1, 2, 3) и критерии для каждой.
• Заполнить акт категорирования. Форма задана приказом, но заполнение - это отдельная история.
• Согласовать с регулятором. Сведения направляются во ФСТЭК, регулятор может задать вопросы или вернуть на доработку.

Организация инвентаризации

На 340+ систем понадобилась методология, а не энтузиазм. Разбили на рабочие группы по производственным площадкам - у заказчика несколько объектов в разных городах. На каждой площадке - ответственный со стороны заказчика, который знает реальную инфраструктуру, и наш специалист, который знает требования приказа. Это принципиально: без носителя знаний о конкретной системе акт превращается в упражнение по угадыванию.

Инвентаризацию вели в структурированном реестре: каждая система - строка с набором атрибутов. Наименование, тип (АСУ ТП, ИС, ИТКС), производитель и версия ПО, физическое расположение, связи с другими системами, предварительная оценка по показателям значимости, статус (в работе / исключена / требует уточнения). Никакого специализированного ПО - обычный электронный реестр, которым могут работать все участники.

Ключевое решение, которое сэкономило время: сначала быстро пройтись по всему списку и вынести очевидно несущественные объекты. Административные ПК бухгалтерии, принтеры, офисная АТС корпуса управления - они попали в первоначальный список из-за широкой трактовки термина «информационная система». После первичного отсева список сократился примерно на треть, и с оставшимися можно работать предметно.

Акты категорирования: где больно

Форма акта по Приказу №236 выглядит относительно понятно, пока не начинаешь заполнять. Несколько мест, где мы потратили больше времени, чем ожидали:

• Обоснование показателей. Регулятор ожидает не просто галочку «категория 3», а обоснование - почему именно так, какие исходные данные использованы. Для промышленного объекта это часто означает расчёт: сколько продукции теряется при остановке, какой объём поставок срывается, какой экономический ущерб. Данные надо брать у заказчика, и не всегда они сразу в нужном формате.
• Граница объекта. Что именно является объектом КИИ - программный компонент, аппаратный комплекс или весь технологический сегмент? Приказ даёт рамку, но конкретные решения нужно принимать и обосновывать. Мы видели случаи, когда логичнее объединить несколько тесно связанных систем в один объект, и случаи, когда одну систему правильнее разделить по площадкам.
• Документация на АСУ ТП. Для систем автоматизации часто нет нормальной актуальной документации. Паспорт написан при сдаче объекта, с тех пор - куча изменений без фиксации. Это создаёт проблему: описываешь систему по факту, а не по бумаге.

Чеклист для категорирования

По итогам работы с заказчиком у нас сложился рабочий список проверок. Не претендует на полноту, но закрывает основные грабли:

1. Получить реальный перечень систем, а не список из ИТ-инвентаря. АСУ ТП часто не попадают в корпоративный CMDB.
2. Определить сферу и подсферу для каждой системы до оценки показателей - это влияет на набор применимых критериев.
3. Зафиксировать связи между системами - особенно там, где остановка одной автоматически останавливает другую. Это влияет и на границы объекта, и на оценку ущерба.
4. Собрать данные для экономического расчёта заранее: объём производства, стоимость простоя, объём поставок - финансовый блок заказчика должен быть в процессе с самого начала.
5. Согласовать черновик перечня с регулятором до финального оформления актов, если есть такая возможность - это экономит итерации.
6. Не путать категорию объекта с уровнем защиты. Категорирование определяет, является ли объект значимым и какой категории. Требования к защите - следующий шаг, и они из категории следуют, но автоматически из акта не вытекают.

Где стоим

Работа с этим заказчиком продолжается. Инвентаризация завершена, акты на значимые объекты в финальной стадии оформления, готовимся к направлению сведений во ФСТЭК. Часть вопросов по квалификации отдельных объектов ещё открыта - в переписке с регулятором.

Процедура категорирования по 187-ФЗ - это не разовая бюрократическая акция, а работа с реальным знанием о своей инфраструктуре. Самое полезное, что из неё выходит помимо соответствия требованиям, - это актуальный реестр технологических систем и понимание, что от чего зависит. Для организаций, где эта картина существовала только в головах ключевых людей, это уже ценность.

Если занимаетесь категорированием и нужна методологическая помощь - аудит и оценка соответствия как раз про это.