Мониторинг перехода субъектов КИИ на преимущественное применение российского ПО предлагается закрепить за Минцифры. Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле. В 2022 году многие организации пересмотрели свои ИБ-бюджеты, в том числе субъекты критической информационной инфраструктуры (КИИ). Современные вызовы КИИ российской промышленности».
Субъект КИИ: два подхода к определению статуса
Рекомендуемый формат описание Процесса. Соотнесение Процессов и нормативных требований. НДС не облагается Онлайн участие —14 700 руб. НДС не облагается У вас появились вопросы?
Главный барьер на пути к замещению импортного программного обеспечения — отсутствие полных аналогов на российском ИТ-рынке. Еще сложнее дело обстоит с целыми экосистемами, основанными на импортных решениях: в этом случае создание полного стека отечественных технологий может потребовать нескольких лет.
Пока что выходом является комбинирование нескольких продуктов для обеспечения компании необходимым функционалом. Альтернативной этому решению является использование отечественного стека совместимых продуктов от нескольких российских поставщиков. Также, переход на новое программное обеспечение требует времени. Тестирование нового решения обычно занимает от полугода до года, но перевод мощностей осуществляется постепенно и может длиться более пяти лет. Наконец, еще одна причина медленных темпов миграции — недоверие к отечественным технологиям. В мышление российских предпринимателей и потребителей вросла установка «западное происхождение товара — гарант качества», в то время как российские продукты воспринимаются как нечто сделанное наспех, не функциональное и не надежное.
Зато теперь, когда государство говорит о том, что пора делать то же самое, но с отечественными решениями — осуществлять внедрение, получать обратную связь от заказчика для доработки продукта и т.
Похоже, вы используете устаревший браузер, для корректной работы скачайте свежую версию 22 апреля 2021, 10:40 Статья Переход бизнеса на российский софт. Подготовкой этого проекта ведомство занялось после поручения президента РФ Владимира Путина о мерах по обеспечению технологической независимости страны и безопасности субъектов КИИ. В союзе затраты на переход оценивают в 1 трлн рублей. Компании считают требования труднореализуемыми, а затраты — слишком высокими. IT-бизнес не согласен с расчетами и просит не откладывать принятие директивы. В чем суть готовящихся требований? Речь о том, чтобы предприятия, управляющие КИИ, при выборе софта или оборудования отдавали предпочтение российским продуктам, если таковые имеются. Сегодня доля отечественного ПО и оборудования на таких предприятиях меньше, чем доля импортного.
Важно отметить, что если объект относится к высшей категории по одному из показателей критериев, то расчет по остальным показателям не выполняется. Категории значимости КИИ Описание Социальная Возможность причинения ущерба жизни или здоровью людей, а также прекращения или нарушения функционирования объектов, обеспечивающих жизнедеятельность населения. Без категорирования объектов КИИ невозможно определить необходимые технические и организационные меры защиты. От результатов категорирования зависят дальнейшие работы в области информационной безопасности.
Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт
Определить, являетесь ли вы субъектом КИИ Сверить состав кодов ОКВЭД и лицензий и иных разрешительных документов, выданных организации, с составом сфер деятельности, приведенным в п. Сформировать Комиссию по категорированию Комиссия по категорированию создается приказом руководителя субъекта КИИ. Требования к составу комиссии приведены в п. Определите перечень объектов КИИ Выявить все управленческие, технологические, производственные, финансово-экономические и иные процессы в рамках выполнения функций полномочий или осуществления видов деятельности организации.
Объектами КИИ являются: информационные системы как «1С: Предприятие» и подобные ; информационно-телекоммуникационные сети например, локальные сети организаций ; автоматизированные системы управления например, система пожарной сигнализации и т. Кроме этого, различают значимые объекты КИИ. Им присваивается одна из категорий значимости, а сведения о них вносятся в соответствующий реестр. Процесс категорирования регламентируется Правилами категорирования объектов КИИ и включает несколько этапов: Создание руководителем предприятия комиссии по категорированию и утверждение плана по реализации ФЗ «О безопасности критической информационной инфраструктуры РФ». Это необходимо было реализовать до 10 июня 2018 года. Сбор исходных данных для категорирования: определение процессов, являющихся критическими для данной организации — от управленческих до финансово-экономических, и объектов КИИ, обрабатывающих информацию, необходимую для обеспечения этих процессов.
В случае с операторами связи необходимо выделить критические процессы, прекращение и некорректная работа которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, в том числе у других субъектов КИИ, которые обеспечивают оборону, безопасность и правопорядок государства и критической информационной инфраструктуры.
Необходимо провести анализ угроз безопасности информации, мониторинг критических процессов и уязвимостей, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ, а также рассмотреть возможные действия нарушителей: создать модель угроз нарушителя безопасности информации. С чего начать? Все начинается с создания комиссии, которая будет делать анализ информации и процессов компании, создавать приказы, положения и принимать решение о наличии и отсутствии объектов КИИ. По результатам обсуждения правового комитета ассоциации "Ростелесеть" мы рекомендуем для рассмотрения следующий список потенциальных участников комиссии: Руководитель компании или уполномоченное лицо генеральный директор, его заместитель ; Руководители, понимающие все технологические процессы в компании и их взаимосвязь технический директор, главный инженер ; Специалист, отвечающий за информационную безопасность главный администратор сети ; Сотрудник, отвечающий за гражданскую оборону и чрезвычайные ситуации если есть ; Специалист по защите государственной тайны если есть ; Специалист финансово-экономического подразделения: для расчета показателей экономической значимости экономист ; Специалист юридических подразделений: для проверки корректности соблюдения процедуры и оформления документов юрист. Рекомендованный состав больше относится к крупным операторам связи и лишь подсказывает кандидатов и затрагиваемые аспекты оценки процессов. Для небольших компаний этот перечень лучше сократить. Комиссия формирует положение о комиссии по категорированию объектов критической информационной инфраструктуры, где прописывает все принципы работы комиссии. После чего утверждается план работы и формируется перечень объектов критической информационной инфраструктуры на своем предприятии. Важно, что в перечень включаются все объекты КИИ, как значимые, так и не значимые. Нужно сформировать перечень всех объектов КИИ, после чего у организации будет еще год для проведения категорирования и установления степени значимости.
Общаясь с сотрудниками ФСТЭК, мы осознаем, что в службе только формируются подходы, регламентирующих документов много, они содержат обобщенный характер требований, а в ближайшие годы предстоит большая работа по трактовке и совместному их пониманию с регулятором. С целью выработки единых подходов ассоциация "Ростелесеть" формирует для своих участников рекомендованные документы.
От результатов категорирования зависят дальнейшие работы в области информационной безопасности. Комиссия по категорированию объектов критической инфраструктуры КИИ занимается определением и классификацией объектов, которые имеют важное значение для функционирования общества и государства. Эти объекты могут включать в себя системы энергетики, транспорта, информационные технологии, связь, водоснабжение, здравоохранение и другие.
Категоризация помогает установить приоритеты в области обеспечения безопасности и защиты таких объектов.
ЦБ РФ напомнил о категорировании субъектов КИИ
Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. Что такое КИИ и кто попадает под ФЗ-187? Обязанности субъектов КИИ: категорирование объектов КИИ, обеспечение интеграции с ГосСОПКА, принятие мер по безопасности объектов. В Госдуму внесен законопроект Минцифры о переходе субъектов критической информационной инфраструктуры (КИИ) на отечественное программное обеспечение и радиоэлектронную. Марченко также напомнил о законодательстве в сфере КИИ – на слайдах более десятка различных нормативных документов, в том числе о проверках субъектов КИИ. Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП.
Категорирование КИИ
ФСТЭК России после получения сведений о результатах категорирования от субъекта КИИ обязан в течение 30 дней проверить правильность категорирования и при выявлении нарушений возвратить направленный документ субъекту КИИ для исправления. Что будет, если не проводить категорирование? В случае непредставления субъектом КИИ сведений о результатах категорирования объекта критической информационной инфраструктуры происходит нарушение ч. Невыполнение данного требования влечет за собой административную ответственность по статьям 19.
А также все ЮЛ и или ИП, которые обеспечивают взаимодействие указанных систем или сетей. Здесь имеется в виду продажа лицензий для компаний из вышеперечисленных отраслей, хостинг, операторы связи.
Если вы субъект КИИ, какие обязанности на вас налагаются? Субъекты КИИ обязаны: незамедлительно информировать о компьютерных инцидентах ГосСОПКА; оказывать содействие ГосСОПКА; в случае установки на объектах критической информационной инфраструктуры средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, обеспечивать выполнение порядка, технических условий установки и эксплуатации таких средств, их сохранность; проводить категорирование объектов КИИ, определять значимые объекты КИИ ст. Категорирование — это присвоение всем объектам КИИ, принадлежащим компании, категории значимости. Критерии для присвоения категории значимости тут. Значимые объекты КИИ — это программы и информационные системы, атаки на которые повлекут существенный социальный, экономический или экологический вред.
Критерии определения критичности вреда выделяются в Перечне показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений.
Но есть механизм исключения, позволяющий использовать иностранные софт и железо при отсутствии российских аналогов. Новое постановление правительства С 1 сентября 2024 г. С 1 сентября 2024 г. До 1 января 2030 г. По версии документа ПАК — это радиоэлектронная продукция, в том числе телекоммуникационное оборудование , программное обеспечение ПО и технические средства, работающие совместно для выполнения одной или нескольких сходных задач.
Большая Лубянка д. В запросе необходимо изложить сферы деятельности субъекта КИИ, перечень информационных ресурсов, включенных в зону ответственности субъекта, контактные данные руководителя и лиц, ответственных за взаимодействие. Для обмена информацией об инцидентах через техническую инфраструктуру необходимо организовать канал защищенного межсетевого взаимодействия, решить организационные вопросы по определению зоны ответственности, и подключить организацию к технической инфраструктуре НКЦКИ под определенной учетной записью. При создании центра необходимо руководствоваться документами ФСБ России, которые определяют требования к организациям и методическую основу деятельности таких центров. Перечислим эти документы: Требования к подразделениям и должностным лицам субъектов государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по обнаружению компьютерных атак на информационные ресурсы Российской Федерации; Методические рекомендации по установлению причин и ликвидации последствий компьютерных инцидентов, связанных с функционированием информационных ресурсов Российской Федерации; Методические рекомендации по проведению мероприятий по оценке степени защищенности от компьютерных атак; Регламент взаимодействия подразделений Федеральной службы безопасности Российской Федерации и организации при осуществлении информационного обмена в области обнаружения, предупреждения и ликвидации последствий компьютерных атак. Чтобы стать субъектом ГосСОПКА и построить центр ГосСОПКА необходимо: Иметь лицензию ФСБ России на право осуществления работ, связанных с использованием сведений, составляющих государственную тайну, в случае если им обрабатывается соответствующая информация, либо осуществляется деятельность по мониторингу информационных систем, обрабатывающих сведения, составляющие государственную тайну. Порядок лицензирования определен постановлением Правительства Российской Федерации от 15 апреля 1995 г.
Субъектов телевещания могут признать объектами критической информационной инфраструктуры
| Обзор законодательства РФ о критической информационной инфраструктуре | Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. |
| Категорирование объектов КИИ, ФСТЭК, примеры, акты | Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. |
Информационное сообщение ФСТЭК России от 28 апреля 2023 г. N 240/82/818
Субъекты могут сами определять значимость объектов и не относить их к КИИ. Инициатива должна ускорить переход субъектов КИИ на отечественное ПО и оборудование, упростить этот процесс и внести в него определённость, объяснил «СенатИнформ» зампред Совета по развитию цифровой экономики при СФ, член Комитета верхней палаты по госстроительству и законодательству Артём Шейкин. Он отметил, что поправок ждут с осени 2022 года, и они просто необходимы для ускорения реализации положений Указов Президента РФ об обеспечении технологической независимости и безопасности критической информационной инфраструктуры страны, перехода на отечественный софт и «железо». Артём Шейкин.
Из софта к средствам защиты информации относятся программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной рабочей информации типа временных файлов, тестового контроля системы защиты и др. Так, в конце апреля глава Минцифры Максут Шадаев, выступая на годовом собрании АРПП «Отечественный софт», сообщил, что министерство очень рассчитывает на принятие в весеннюю сессию законопроекта о преимущественном использовании всеми субъектами КИИ отечественного ПО. Такой документ еще в сентябре 2022 г. В поручении говорилось, что проект должен устанавливать «требования по преимущественному использованию всеми субъектами КИИ отечественных ПО, программно-аппаратных комплексов, телекоммуникационного оборудования и радиоэлектронной продукции с учетом их готовности к массовому внедрению на принадлежащих им значимых инфраструктурных объектах». Законопроект наделяет правительство и отраслевые ведомства правом устанавливать перечень критических информационных систем, которые будут относиться к объектам КИИ, в каждой отрасли», — указал тогда в ходе своего выступления Максут Шадаев. Кроме того, по каждой отрасли, по каждому виду таких объектов будут определяться предельные сроки перехода на российские решения, сказал министр.
До этого мысль о том, что запрет для каждой отрасли на использование иностранного ПО будет определять правительство, озвучивал вице-премьер Дмитрий Чернышенко. Причем эти сроки должны быть синхронизированы со сроками готовности к массовому внедрению соответствующих отечественных решений. На сегодняшний день документ уже готов, согласован с заинтересованными сторонами и в ближайшее время будет внесен в Госдуму, сообщали «Ведомости» со ссылкой на свои источники, знакомые с ходом обсуждения законопроекта. Есть ли готовность?
Однако власти предусмотрели ряд исключений для ПАК.
Например, разрешено не пользоваться программой, приобретенной до этой даты, или если у этого ПАК нет аналогов из списка доверенных. Правила перехода субъектов КИИ к эксплуатации ПАК Чтобы перейти на преимущественное использование программно-аппаратных комплексов, необходимо следовать специальному плану перехода. При этом госорганы требуют индивидуального подхода к составлению в зависимости от сферы деятельности компании. Такие документы называются отраслевыми. Итак, после утверждения отраслевого плана уполномоченные органы в течение 20 рабочих суток направляют готовый вариант организации, работающей с субъектом КИИ.
Обработка персональных данных Пользователя осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств. Пользователь соглашается с тем, что Администрация вправе передавать персональные данные третьим лицам, в частности, курьерским службам, организациями почтовой связи в том числе электронной , операторам электросвязи, исключительно в целях выполнения заказа Пользователя, оформленного на сайте , включая доставку Товара, документации или e-mail сообщений. Персональные данные Пользователя могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.
При утрате или разглашении персональных данных Администрация вправе не информировать Пользователя об утрате или разглашении персональных данных. Администрация принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц. Администрация совместно с Пользователем принимает все необходимые меры по предотвращению убытков или иных отрицательных последствий, вызванных утратой или разглашением персональных данных Пользователя.
Права и обязанности сторон 6. Пользователь вправе: 6. Принимать свободное решение о предоставлении своих персональных данных, необходимых для использования сайта , и давать согласие на их обработку.
Обновить, дополнить предоставленную информацию о персональных данных в случае изменения данной информации. Пользователь имеет право на получение у Администрации информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами. Пользователь вправе требовать от Администрации уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
Администрация обязана: 6. Использовать полученную информацию исключительно для целей, указанных в п. Обеспечить хранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением п.
Категорирование КИИ
Субъектами КИИ являются государственные органы, а также госучреждения, российские юридические лица или индивидуальные предприниматели. Субъекты критической информационной инфраструктуры (КИИ) должны предоставлять во ФСТЭК сведения в том числе о программных, программно-аппаратных средствах, а также. Понять, что такое объекты критической инфраструктуры, предельно просто — это элементы ИТ-инфраструктуры компаний, попадающих под определение субъектов КИИ.
Список субъектов КИИ расширен сферой госрегистрации недвижимости
В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Субъект КИИ не реже чем один раз в 5 лет осуществляет пересмотр установленной категории значимости в соответствии с требованиями 127-П. Переход субъектов КИИ РФ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах КИИ РФ должен быть завершен до 1 января 2030 года. Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО.
Hормативные акты по КИИ
Субъект КИИ сам определяет свои объекты и проводит границы. То есть сегментировать объекты субъект КИИ может по-разному. В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Планируется, что субъекты критической информационной инфраструктуры (КИИ) до 2024 года должны перейти на преимущественное использование российского ПО. Ответственность возлагается на должностных лиц субъекта КИИ.
Защита субъектов и объектов КИИ
Современные вызовы КИИ российской промышленности». Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ. К субъектам КИИ относятся органы власти, ИП и российские организации, которые владеют объектами критической информационной инфраструктуры или обеспечивают взаимодействие. Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП.