КИИ-2021: итоги года по категорированию - 6 прошли, двое с предписаниями

До 1 января осталось десять дней. Для большинства субъектов КИИ это финишная черта первой волны категорирования - той самой, которую ФСТЭК объявил обязательной ещё в 2017-м, а потом несколько раз продлевал. В этом году продлений не будет.

Мы вели восемь клиентов по теме КИИ в течение года - в разных ролях, от полного сопровождения до разовых консультаций по конкретным замечаниям ФСТЭК. Шестеро к декабрю получили зарегистрированные акты. Двое - предписания. Время подвести промежуточный итог и зафиксировать, что реально работало, а что нет.

Что помогло шести пройти

Общего у них немного - разные отрасли, разные размеры, разный уровень зрелости ИБ. Но несколько вещей совпали у всех, кто прошёл без критичных замечаний.

Начали с перечня, а не с акта. Соблазн сразу переходить к форме акта категорирования велик - форма понятная, кажется, что заполнить проще простого. На практике именно неполный перечень объектов оказывается главной причиной возврата. Те, кто прошёл, потратили время на то, чтобы сначала честно инвентаризировать критические процессы и только потом понять, какие информационные системы их обслуживают. Смежные системы - кадровые, финансовые, снабженческие - попали в акт, потому что были видны на этом этапе.

Описание взаимодействий не было формальным. ФСТЭК при рассмотрении сведений обращает внимание на раздел про взаимодействие объекта с другими системами и сетями связи. «Взаимодействует с корпоративной сетью» - это не описание, это отписка. Те, кто прошёл с первого захода, расписали точки сопряжения, направления трафика, протоколы - не полный архитектурный документ, но достаточно, чтобы инспектор не задавал вопросов.

Обоснование категории через все четыре критерия. Постановление Правительства №127 требует рассчитать показатели по социальным, экономическим, экологическим последствиям и последствиям для обороны. Делать это только по одному критерию, который очевидно применим, - распространённая ошибка. ФСТЭК возвращает акты с формулировкой «не обоснован выбор показателей». Работающий подход: даже если экологические последствия явно нулевые - написать это явно, с обоснованием, а не молчать.

Где споткнулись двое

Оба получили предписания, оба сейчас в процессе устранения. Разные причины.

Первый случай - классика: акт категорирования разошёлся с реальностью к моменту рассмотрения. Между подачей сведений и рассмотрением прошло около двух месяцев, за это время на объекте заменили часть оборудования и добавили сегмент. Акт описывал то, чего уже нет. ФСТЭК это установил - не магически, а через обычную сверку с техническими специалистами при выездном мероприятии. Предписание - актуализировать акт и подать повторно.

Второй случай тоньше - состав комиссии. Требования к составу комиссии по категорированию в методических рекомендациях описаны, но ёмко, и интерпретируют их по-разному. Комиссию оформили с нарушением - в итоге ФСТЭК усомнился в легитимности всех её решений. Всё, что подписано этой комиссией, нужно переоформлять. Это не технический вопрос, это орговый - и именно поэтому болезненный: переутверждение акта на новой комиссии требует внутреннего согласования, которое занимает время.

Самые частые замечания по году

Если собрать всё, что мы видели в письмах ФСТЭК по разным клиентам:

• Неполный перечень объектов - системы, обслуживающие критический процесс, но не включённые в акт. Особенно часто это касается инфраструктурных сервисов: Active Directory, системы резервного копирования, средства управления сетью.
• Формальное описание взаимодействий - без детализации точек сопряжения и сетевой архитектуры.
• Обоснование категории только по одному-двум критериям - остальные не рассмотрены или рассмотрены одной фразой.
• Разрыв между актом и реальностью - особенно у тех, кто вёл инфраструктуру и параллельно делал категорирование.
• Ошибки в составе или оформлении комиссии - редко, но болезненно, потому что тянет переделку всего пакета.

Что стоит поправить в 2022-м

Для тех, кто получил предписания, задача очевидна - устранить и подать повторно. Но есть и те, кто прошёл категорирование и думает, что вопрос закрыт. Это не совсем так.

Акт категорирования - живой документ. Если состав объекта меняется - новое оборудование, смена архитектуры, изменение состава ПО - его нужно актуализировать. ФСТЭК при проверках это проверяет, и расхождение между актом и реальностью - основание для предписания даже при наличии зарегистрированного акта. Про это подробно писали в ноябре.

Ещё одна вещь, которую стоит закрыть - документация по безопасности объекта. Акт категорирования - это только входной билет, дальше идут модель угроз, план мероприятий и технические меры по 239-му приказу ФСТЭК. Часть наших клиентов сосредоточилась исключительно на категорировании и сейчас в ситуации, когда акт есть, а дальнейшие обязательства не закрыты. Проверки по 235-му и 239-му приказам - следующий вопрос.

Год выдался плотным по теме КИИ. Аудит по 187-ФЗ - это не разовая работа, она продолжается. Восемь клиентов, разные результаты, набор наблюдений, которые уже перестали быть теорией. Продолжаем в следующем году.