Pre-audit КИИ: сверяем реестр с реальностью до прихода ФСТЭК

Последние недели в среде специалистов по КИИ активно обсуждается одна тема: ФСТЭК начинает проверять не только факт подачи сведений о категорировании, но и их соответствие реальному состоянию инфраструктуры. То есть приходит и смотрит: а то, что вы написали в акте - оно вообще совпадает с тем, что стоит в стойке?

Это логичный шаг. Два с лишним года прошло с момента вступления в силу 187-ФЗ, многие субъекты КИИ успели подать сведения - и часть из них, прямо скажем, подала то, что было проще написать, а не то, что отражает действительность. Расхождения бывают разные: где-то инфраструктура изменилась после подачи и никто не обновил сведения, где-то изначальное описание технологических процессов было настолько общим, что непонятно, про что вообще речь. ФСТЭК, судя по всему, это видит и решил посмотреть ближе.

Что конкретно проверяют

По тому, что доходит через коллег и отраслевые каналы, картина примерно такая. Проверяющие сопоставляют:

• Описание технологического процесса в акте категорирования с тем, как он реально устроен на объекте. Если в акте написано «система управления технологическим процессом производства», а по факту это пять разных систем с разными производителями и разными зонами ответственности - вопросы возникнут.
• Состав объекта КИИ - что именно включено, какое оборудование, какое ПО, версии. Здесь любимое место для расхождений: оборудование заменили, ПО обновили, а в акте осталась информация двухлетней давности.
• Категорию значимости и её обоснование. Расчёты показателей значимости, исходные данные, которые в них легли.
• Меры защиты - применительно к значимым объектам: что реально реализовано, а не что числится в плане.

Наш pre-audit: что и как смотрим

К нам обратился заказчик - субъект КИИ в промышленной сфере, который проходил категорирование в 2019 году. Сведения поданы, всё официально. Задача: понять, насколько то, что лежит во ФСТЭК, соответствует текущей реальности, и привести в порядок до возможной проверки.

Начали с простого - попросили достать сами акты категорирования и все сопроводительные документы, которые подавались. Потом пошли на объект и стали сверять по пунктам.

Первое - описание технологических процессов. Здесь обнаружили типичную историю: в акте процесс описан на уровне, достаточном для формального прохождения. «Управление производственной линией», «контроль параметров технологического процесса» - формулировки правильные, но настолько общие, что по ним невозможно понять, как именно это работает. За два года на ряде участков изменились схемы управления - часть функций перешла на новые контроллеры, добавили несколько точек интеграции с корпоративными системами. В актах этого нет.

Второе - состав объектов. Открываем перечень оборудования в акте, идём в серверную и цех. Несколько позиций уже не те: один промышленный коммутатор заменён на другой, на двух АРМ оператора сменилась операционная система (переехали с Windows 7 на Windows 10 - это казалось незначительным, но формально это изменение состава объекта). Один контроллер добавился в сегмент в прошлом году после расширения линии.

Третье - связи между объектами. В исходных актах связи между объектами КИИ описаны минимально. А за прошедшее время добавили интеграцию между производственной MES-системой и системой управления энергопотреблением - теперь они обмениваются данными в реальном времени. По логике 187-ФЗ это может влиять на оценку ущерба и на требования к защите, потому что остановка одного объекта теперь быстрее тянет за собой другой.

Четвёртое - меры защиты. Для значимых объектов смотрим, что реально реализовано из того, что требует приказ ФСТЭК №239. Здесь картина смешанная: базовые меры в основном есть, но часть организационных документов не обновлялась с момента первичного категорирования. Модель угроз, например, актуализации не проходила.

Что получается в итоге

По результатам первичного прохода - список расхождений. Делим на три группы:

• Критичные - то, что при проверке ФСТЭК точно потребует объяснений: изменение состава объектов без уведомления регулятора, существенные изменения в технологическом процессе.
• Значимые - расхождения, которые не критичны сами по себе, но в совокупности дают картину «документация живёт отдельно от инфраструктуры».
• Рабочие - мелкие несоответствия, которые закрываются обновлением документов без взаимодействия с ФСТЭК.

По критичным позициям готовим обновлённые сведения для подачи в реестр - 187-ФЗ предусматривает обязанность уведомлять регулятора при изменении сведений. Это не катастрофа: лучше самим актуализировать, чем объяснять расхождения при проверке.

Работа продолжается. Сейчас в процессе обновление описаний технологических процессов - это самая трудоёмкая часть, потому что требует времени людей, которые знают производство, а не только ИТ-инфраструктуру.

Если у вас подобная ситуация - сведения поданы, но с тех пор инфраструктура менялась и документы за ней не успевали - аудит соответствия как раз помогает разобраться с таким расхождением до того, как это сделают за вас.