КИИ: дедлайн 1 января 2022 и типичные ошибки в актах категорирования

ФСТЭК в очередной раз напомнил субъектам КИИ: 1 января 2022 года - дата, после которой отсутствие утверждённого акта категорирования перестаёт быть административной мелочью и становится основанием для предписания. До дедлайна чуть больше четырёх месяцев, и несколько наших промышленных заказчиков прямо сейчас находятся в разных точках этого процесса - кто-то заканчивает первый акт, кто-то уже на втором согласовательном круге.

На этом фоне полезно зафиксировать, что реально тормозит процесс и где накапливаются ошибки, которые потом стоят нескольких недель переделки.

Как выглядит согласовательный цикл на практике

Теория простая: субъект формирует перечень объектов, создаёт комиссию, проводит категорирование, подписывает акт, направляет сведения во ФСТЭК. Регулятор рассматривает в 30-дневный срок, даёт замечания или регистрирует. На практике между «направили» и «зарегистрировали» нередко оказывается два-три цикла переписки.

Цикл выглядит примерно так: субъект направляет сведения - ФСТЭК через 30 дней возвращает письмо с перечнем замечаний - субъект исправляет акт, переутверждает на комиссии, направляет повторно. Каждый круг - ещё 30 дней. При нынешней очереди на рассмотрение рассчитывать, что всё пройдёт за один заход, не стоит.

Это означает, что тем, кто ещё не начал или только начинает, четыре месяца - это не запас, а минимум. Особенно если в акте есть ошибки, которые ФСТЭК точно вернёт.

Что возвращают чаще всего

Мы видим несколько устойчивых паттернов - ошибки, которые встречаются из проекта в проект и которые ФСТЭК в замечаниях указывает почти всегда.

Неполный перечень объектов. Про это писали в июне: субъекты включают в перечень то, что видят сами - технологические системы, АСУ ТП, SCADA - и пропускают смежные: кадровые, финансовые, системы снабжения. ФСТЭК при проверке сведений смотрит на то, какие процессы заявлены критическими, и сравнивает их с составом объектов. Если критический процесс зависит от системы, которой нет в перечне, - это замечание.

Неправильно оформленные сведения о взаимодействии объектов. В акте должно быть описано, как объект взаимодействует с другими информационными системами и сетями, в том числе сетями связи общего пользования. Этот раздел часто заполняют формально - «взаимодействует с корпоративной сетью» без детализации архитектуры и точек сопряжения. ФСТЭК возвращает на доработку с требованием уточнить.

Категория присвоена без обоснования масштаба последствий. Постановление 127 требует обоснования категории через показатели критериев значимости: масштаб возможных последствий - социальный, экономический, экологический, для обороны. Формулировка «присвоена первая категория» без расчёта показателей или с расчётом по одному критерию из четырёх - частая причина замечаний.

Состав комиссии не соответствует требованиям. Технически это оргвопрос, но он тормозит переутверждение акта: если комиссия была сформирована с нарушением требований к составу, то и все её решения под вопросом.

Что занимает больше всего времени

Помимо переписки с ФСТЭК, есть внутренняя работа, которая систематически недооценивается при планировании.

Интервью с владельцами процессов. Чтобы правильно описать критические процессы и их зависимости, нужно поговорить с теми, кто их ведёт. Технологи, начальники производства, финансовая служба, логистика - каждый видит свой фрагмент. На крупном предприятии это несколько недель координации, не дней.

Инвентаризация информационных систем в границах объекта. У промышленных заказчиков часто нет актуального реестра всего, что работает в технологическом сегменте. Выяснение того, что там установлено, на каком оборудовании, с каким сетевым окружением, - само по себе задача, которая решается параллельно с категорированием и съедает ресурс.

Согласование акта внутри организации. До того как акт уйдёт во ФСТЭК, его подписывают руководитель организации и члены комиссии. В больших структурах с распределённой подписью этот шаг может занять две-три недели. Про это вспоминают в последний момент.

Где сейчас наши заказчики

У одного - акт уже прошёл первый круг, получили замечания по составу перечня и описанию взаимодействий. Сейчас дорабатываем: добавляем смежные системы с обоснованием зависимости от критического процесса, расписываем точки интеграции. Второй проход отправим на следующей неделе.

У двух других - ещё на стадии инвентаризации и интервью. Январский срок они, вероятно, выдержат, но запаса на два согласовательных цикла уже нет. Это означает, что акт должен быть хорошим с первого раза - то, что обычно достигается за счёт тщательной проверки перед отправкой, а не по итогам замечаний ФСТЭК.

Если аудит категорирования ведётся самостоятельно, стоит хотя бы пройтись по типовым замечаниям как по чеклисту перед отправкой сведений. Регулятор вполне последовательно проверяет одни и те же вещи - это не секрет, и использовать это знание имеет смысл.