| Полное название | Приказ ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» |
|---|---|
| Кто утвердил | ФСТЭК России |
| Номер и дата | 239, 25.12.2017 |
| Статус | Действует |
| Кого касается | Субъекты КИИ, которым нужно категорировать объекты и подтверждать значимость |
Что это за документ
Приказ № 239 определяет требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры. Практически он тесно связан с категорированием: прежде чем защищать объект, нужно понять, насколько он значим.
Категорирование — это не формальность. От категории зависит, какие требования применяются, какие документы нужны и как часто проводится оценка.
Три категории значимости
Объекты КИИ делят на первую, вторую и третью категории. Первая — самая высокая.
Категория зависит от последствий, которые наступят при нарушении работы объекта: для жизни и здоровья людей, для экономики, для обороны и безопасности государства. Чем серьёзнее последствия, тем выше категория.
Порядок категорирования установлен постановлением Правительства № 127, а приказ № 239 уточняет требования к самому процессу и документам.
Как проходит категорирование
Сначала субъект КИИ обследует свои объекты: какие системы есть, что они делают, какие процессы обеспечивают. Затем оценивает возможные последствия нарушения их работы.
По результатам объекту присваивается категория или делается вывод, что он не является значимым. Сведения о значимых объектах направляются в ФСТЭК для включения в реестр.
Если категория присвоена, объект становится значимым, и к нему применяются обязательные требования по защите, включая создание системы безопасности и взаимодействие с ГосСОПКА.
Что нужно подготовить
Обычно требуются:
- акт обследования и результаты инвентаризации;
- обоснование категории или вывод об отсутствии значимости;
- сведения для реестра;
- документы по системе безопасности значимого объекта;
- план мероприятий по защите.
Конкретный набор зависит от отрасли и категории, поэтому важно сверяться с актуальными разъяснениями ФСТЭК.
Частые ошибки
Первая — категорировать «по размеру компании», а не по последствиям. Небольшая организация может управлять жизненно важным объектом.
Вторая — считать, что категорирование делается один раз и навсегда. При изменении технологического процесса, состава систем или характера последствий категория может измениться.
Третья — откладывать документы до проверки. Категорирование — это основа для всех дальнейших требований, и без него невозможно выстроить защиту.
Официальный текст
Документ и методические разъяснения — на сайте ФСТЭК.