Категорирование объектов КИИ в 2022: три клиента, типичные ошибки первичного заполнения

В июне ФСТЭК выпустил обновлённые методические рекомендации по категорированию объектов КИИ - формально добровольный документ, но с учётом того, как регулятор последние полгода выстраивает надзор, ориентироваться на него стоит как на де-факто обязательный. Параллельно пошли новости о предписаниях по итогам проверок: субъекты, которые думали, что вопрос закрыт, обнаруживают, что нет.

У нас сейчас три активных клиента в процессе первичного категорирования - два из энергетики и один транспортник. Разные отрасли, похожие грабли. Рассказываем, что происходит на этапе первичного заполнения форм.

Откуда берётся проблема

Типичная история выглядит так: к нам приходит внутренний ИТ-специалист или безопасник, у него уже есть черновик перечня объектов и заготовка акта, он хочет помощи с «оформлением». Смотришь в черновик - и понимаешь, что проблема не в оформлении.

Форма акта категорирования сама по себе несложная. Именно это и подводит: кажется, что достаточно заполнить поля, которые очевидны, и дело сделано. Но регулятор при рассмотрении сведений смотрит не на красоту заполнения, а на логическую связность между полями. Три наиболее частых разрыва, которые мы видим у всех трёх клиентов.

Первый - состав объекта не соответствует описанию критического процесса. Объект описан одним образом, а в разделе про состав программных и технических средств - другой набор компонентов. Инспектор задаёт вопрос: «Как этот процесс реализуется с этим составом?». Ответа в документе нет. У нашего транспортного клиента в акте был описан процесс диспетчеризации, а в составе объекта - только серверное ядро. Без рабочих мест диспетчеров и каналов связи с линейными объектами. Это не хитрость и не экономия - просто те, кто заполнял, не видели всей картины.

Второй - описание взаимодействий сделано на уровне «взаимодействует с корпоративной сетью». Это проблема не новая, мы про неё писали ещё в декабре, но она никуда не делась. В новых методических рекомендациях ФСТЭК явно обращает внимание именно на раздел взаимодействий: регулятор хочет видеть точки сопряжения, направления обмена данными, внешние сети. «Корпоративная сеть» - это не ответ. У одного из энергетических клиентов оказалось, что объект взаимодействует с системой коммерческого учёта электроэнергии через выделенный канал - и этого не было ни в одной версии черновика, потому что канал проложен через смежное подразделение.

Третий - обоснование категории только по одному показателю. Постановление 127 требует рассчитать показатели по всем четырём группам последствий. Даже если по трём из них результат явно нулевой, это нужно написать явно и обосновать. Вместо этого обычно просто молчание: одна группа расписана, остальные не тронуты. ФСТЭК возвращает с замечанием «не рассмотрены показатели по группам X, Y».

Специфика по отраслям

У энергетиков отдельная история с АСУ ТП: технологический сегмент и корпоративный сегмент разделены физически, ответственные за них - разные люди из разных подразделений, и когда начинаешь собирать полную картину объекта, выясняется, что никто из двоих не знает картины целиком. Акт категорирования - первый документ, который требует от организации ответить на вопрос «что вообще входит в объект» - и для некоторых этот вопрос неожиданно сложный.

Транспортники сталкиваются с другим: у них объекты могут быть территориально распределены, и граница объекта как понятие требует дополнительного обоснования. Где заканчивается один объект и начинается следующий - это не всегда очевидно из схемы, и если не проработать этот вопрос до заполнения формы, потом приходится переделывать.

Как мы работаем с этим на практике

В рамках аудита перед тем как прикасаться к форме акта, мы проводим сессию с представителями трёх подразделений: ИТ, ИБ и технологической службы (или эксплуатации - в зависимости от отрасли). Без этого трёхстороннего разговора полная картина объекта не складывается. Это занимает время - обычно две-три встречи - и часть клиентов воспринимает это как лишний шаг. Лишним это не является.

По итогу сессии у нас есть: описание критического процесса, полный состав компонентов объекта, схема взаимодействий с внешними системами, и уже из этого мы заполняем акт. Форма при таком подходе заполняется быстро - потому что ответы на вопросы уже есть.

Методические рекомендации ФСТЭК - документ полезный, но сам по себе проблему не решает. Главная проблема категорирования не в непонимании требований, а в том, что форма кажется проще, чем есть. Три клиента, три первичных черновика с похожими ошибками - статистика небольшая, но убедительная.