КИИ: практика категорирования в 2021 - что ФСТЭК видит как типичные ошибки

187-ФЗ вступил в силу в январе 2018-го, срок первичного категорирования - год с момента утверждения перечня объектов. Сейчас середина 2021-го, и у ФСТЭК накопилась практика проверок результатов категорирования. Регулятор начал публично говорить о типичных ошибках - и это полезнее любого методического письма, потому что речь уже не о теории.

Мы сами прошли через несколько проектов категорирования у клиентов разного профиля - производство, энергетика, транспорт. Картина, которую описывает ФСТЭК, совпадает с тем, что мы видим на практике.

Главная ошибка: узкий взгляд на «критические процессы»

Когда субъект КИИ формирует перечень объектов, он, как правило, смотрит на основной технологический процесс. Электростанция - на АСУ ТП. Завод - на диспетчерские системы и SCADA. Транспортник - на системы управления движением. Это логично и правильно, но недостаточно.

Проблема в том, что 187-ФЗ и постановление 127 требуют включать в перечень объектов те информационные системы, нарушение работы которых приводит к прекращению или существенному нарушению критических процессов. А критический процесс - это не только то, что написано в основном регламенте. Это всё, от чего этот процесс зависит.

И вот здесь начинается расхождение между тем, что субъекты подают на согласование, и тем, что ФСТЭК ожидает увидеть.

Кадровые системы. Без персонала критический процесс не идёт. Если кадровая система выходит из строя и организация не может оформить допуски, провести обязательный инструктаж, зафиксировать табель - это уже влияние на критический процесс. При этом кадровую систему в перечень практически никто не включает.

Финансовые системы. Поставщик не отгрузит запчасти без оплаты. Банк не проведёт платёж без работающей системы. Для предприятий с длинными цепочками поставок остановка финансовой системы на несколько дней - это прямой риск остановки производства. В перечнях - редкость.

Системы снабжения и логистики. Склад, управление запасами, заявки на ремонт. Если нет учёта остатков запчастей - нет планового обслуживания - нет работающего оборудования. Связь очевидная, но через несколько звеньев, и именно поэтому её не видят при формировании перечня.

Почему это происходит

Здесь нет злого умысла. Обычная история такая: перечень объектов готовит ИТ-подразделение или служба безопасности, и они описывают то, что хорошо знают - технологические системы. До ERP-систем, HRM и систем снабжения дотягиваются редко, потому что те находятся в зоне ответственности других подразделений, а координации между ними при категорировании не было.

Вторая причина - желание минимизировать количество объектов в перечне. Это понятная логика: меньше объектов - меньше требований - меньше затрат на защиту. Но ФСТЭК при проверке смотрит именно на полноту, и неполный перечень - это нарушение, которое само по себе создаёт проблемы.

Третья причина - неправильная интерпретация «значимости». Субъекты иногда рассуждают так: финансовая система не катастрофически опасна сама по себе, значит, и включать не надо. Но категорирование - это не про опасность системы, это про влияние на критический процесс. Финансовая система безопасна, но если без неё встанет производство - она в перечне.

Как мы это проверяем

В рамках аудита при работе с субъектами КИИ мы проходим процесс категорирования по цепочке зависимостей, а не по оргструктуре. Берём критический процесс и идём от него: что нужно для его выполнения, что обеспечивает каждый из этих элементов, какие системы задействованы в обеспечении.

Это занимает время и требует интервью с представителями разных подразделений - не только ИТ. Главный технолог, финансовый директор, начальник отдела кадров - все они видят свои участки, и именно на пересечении этих участков обычно и обнаруживаются системы, которые в перечень не попали.

Результат такой работы - не просто более длинный перечень. Это понятная модель зависимостей, которую можно защитить перед ФСТЭК: вот критический процесс, вот цепочка обеспечивающих процессов, вот системы на каждом уровне, вот обоснование включения каждой из них.

Что с этим делать, если перечень уже утверждён

Перечень объектов - живой документ, его можно и нужно пересматривать. Если категорирование делалось год-два назад по узкому контуру, сейчас есть смысл вернуться и проверить: не появились ли в периметре системы, влияющие на критические процессы, и не упущены ли смежные процессы при первичном анализе.

ФСТЭК при проверках задаёт вопросы не только «что включено», но и «почему не включено то-то». К этому вопросу лучше быть готовым с документально оформленным обоснованием, а не пожиманием плечами.

Практика категорирования формируется прямо сейчас, и у тех, кто успеет привести перечни в порядок без давления надзорного органа, будет заметно более спокойная позиция при любых проверках.