Защита критической инфраструктуры. Взгляд изнутри
В статье описываются проблемы и трудности российских организаций различной формы собственности, вызванные вступлением в силу 01.01.2018 Федерального закона № 187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – 187-ФЗ). Оценивается сложность его выполнения.
Законопроект «О безопасности критической информационной инфраструктуры Российской Федерации» в первоначальной версии 2013 года предназначался исключительно для обеспечения защиты ключевых систем информационной инфраструктуры критически важных объектов, то есть для узкого класса объектов информатизации небольшого числа собственников таких объектов информатизации. В версии 2013 года организация становилась субъектом критической информационной инфраструктуры (далее – КИИ) через оценку влияния нарушения/прекращения деятельности самой организации на жизнь населения и экономики страны.
Однако 1 января 2018 года в силу вступила версия закона 2016 года, в которой организация становится субъектом КИИ через обладание на законных основаниях объектом КИИ [1]. Это породило самую существенную проблему по выполнению требований 187-ФЗ в стране – непонятно, кто должен исполнять это закон. Более того, проблему усугубляет тот факт, что для государственного регулирования выполнения 187-ФЗ в тексте закона указаны ФСБ России и ФСТЭК России, с четко ограниченными сферами деятельности в рамках этого закона. И ни одному из регуляторов не установлены полномочия по разъяснению норм и требований самого 187-ФЗ и/или по отнесению организаций к субъектам КИИ или идентификации объектов КИИ. В подзаконном акте [2] формально описана часть обязательных процедур по выявлению объектов КИИ субъектом КИИ, но это только приводит к возникновению парадоксальной ситуации: организация вынуждена выполнить подзаконный акт лишь для понимания отсутствия необходимости его выполнения.
Соответственно, каждая организация, чтобы оценить необходимость выполнения 187-ФЗ, должна самостоятельно реализовать процесс определения статуса организации как субъекта КИИ (рис. 1).
Рис. 1. Алгоритм отнесения организации к субъектам КИИ по 187-ФЗ
При попытке провести идентификацию и инвентаризацию объектов КИИ организация столкнется с следующими препятствиями:
- непонятно, каким образом определить сферы, в которых функционируют объекты. В российском законодательстве установлено только определение «информационная система в сфере здравоохранения» [3];
- сложности с определением собственника объекта.
ФСТЭК России публично, но неофициально рекомендует определять сферы деятельности не объектов, а организации в целом. Описание такого процесса приведено на рис. 2.
Рис. 2. Алгоритм отнесения организации к субъектам КИИ по рекомендациям ФСТЭК
В случае принятия решения об отнесении организации к субъектам КИИ, следует приступить к выполнению требований 187-ФЗ. При планировании такой деятельности необходимо руководствоваться сроками, указанными в 187-ФЗ и ПП 127 [2], с учетом рекомендаций ФСТЭК России [4].
График выполнения основных этапов по реализации требований 187-ФЗ приведен на рис. 3.
Рис. 3. Графики выполнения этапов 187-ФЗ
При анализе графиков можно увидеть следующее:
1. Перечень объектов КИИ необходимо создать до 1 августа 2018 года, то есть те же есть месяцев, что исчезли из проекта ПП 127 в процессе согласования.
2. Категорирование по рекомендациям ФСТЭК [4] необходимо провести до 1 января 2019 года, что является существенным ужесточением сроков. Согласно ПП 127 дается 12 месяцев на процедуру категорирования, в целом ее уменьшили до пяти месяцев. Конечный же срок проведения категорирования сократился на полтора месяца по сравнению с формальным подходом к выполнению ПП 127 – 21 февраля 2019 года.
После определения временных рамок этапов выполнения 187-ФЗ необходимо назначить исполнителей. Этапы учета и категорирования объектов КИИ обязательно выполняются комиссией, требования к составу комиссии жестко заданы в [2]. В итоге сформированная по требования [2] комиссия не компетентна в области защиты информации, поскольку в лучшем случае в ее составе будет только два специалиста (по информационной безопасности и по защите сведений, составляющих государственную тайну), имеющих представление о:
-
возможных действиях нарушителей в отношении объектов КИИ, а также иных источниках угроз безопасности информации;
-
анализе угроз безопасности информации и уязвимостей, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ, являющихся составной частью процесса категорирования в соответствии с [2].
При этом данные подпроцессы избыточны, они никак не учитываются при определении категорий значимости объектов КИИ.
Но даже для компетентных специалистов дополнительные сложности создаст отсутствие методических документов. ФСТЭК России допускает применение методических документов для информационных систем персональных данных или для ключевых систем информационной инфраструктуры (отнесены к информации ограниченного распространения) [5].
Оформление Перечней объектов, подлежащих категорированию (далее – Перечень) обычно проблем не вызывает, к тому же опубликована форма Перечня, рекомендованная ФСТЭК России [6]. При указании плановых сроков категорирования объектов КИИ в Перечне необходимо помнить об ограничении длительности этого этапа в 12 месяцев. А вот требование о согласовании Перечня с государственным органом или российским юридическим лицом, выполняющим функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере в части подведомственных им субъектов критической информационной инфраструктуры, порождает много вопросов, особенно у организаций, функционирующих в нескольких сферах деятельности.
По докладам представителей ФСТЭК России на профильных конференциях, трудности этапа учета и категорирования объектов КИИ к настоящему моменту смогли успешно преодолеть около 500 организаций.
В отношении основной массы объектов КИИ субъектами КИИ принято решение об отсутствии необходимости присвоения им категории значимости, по таким объектам отсутствуют обязательные требования по обеспечению их безопасности. Но субъектам КИИ нужно организовать процессы обнаружения и реагирования на компьютерные инциденты, с предоставлением информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее – ГосСОПКА) по установленной процедуре в сжатые сроки (не позднее 24 часов с момента обнаружения компьютерного инцидента) [7]. Реализация этих процессов потребует от организации дополнительных материальных затрат и приведет к включению в штат специалиста высокой квалификации в области информационной безопасности либо к подписанию договоров на оказание услуг по мониторингу событий информационной безопасности с внешними организациями.
Для субъектов КИИ, обеспечивающих безопасность значимых объектов КИИ, ситуация по взаимодействию с ГосСОПКА складывается более напряженно. До настоящего момента не утверждены требования ФСБ России к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, и не определены форматы предоставления информации о компьютерных инцидентах, что не позволяет организациям спланировать и осуществить закупку данных средств.
Особо следует отметить, что если по взаимодействию с ГосСОПКА утверждены хотя бы три приказа ФСБ России из шести необходимых для выполнения 187-ФЗ, то участь субъектов в области электроэнергетики особенно печальна – подзаконные акты, регулирующие обеспечение безопасности объектов электроэнергетики и ресурсов единой сети электросвязи России, отсутствуют.
Также отметим, что принципы организации взаимодействия субъектов КИИ с ГосСОПКА в 187-ФЗ не учитывают специфику деятельности по обеспечению безопасности банков и финансовых организаций, что приводит к необходимости для такого типа субъектов КИИ дублировать уже реализованные по требованиям Банка России процессы обнаружения и реагирования на компьютерные инциденты. Запрет на прямой международный обмен информацией о компьютерных инцидентах может создать сложности для субъектов КИИ в банковской и финансовой сфере, использующих международные платежные и иные информационные системы.
В целом, можно резюмировать, что первые 10 месяцев действия 187-ФЗ явно продемонстрировали насущную потребность в корректировке уже выпущенных подзаконных актов, а также необходимость разработки методических документов по реализации требований 187-ФЗ. Остро стоит вопрос о наделении какого-либо органа государственной власти полномочиями по разъяснению положений 187-ФЗ и ПП 127 [2]. На текущем этапе развития законодательства по обеспечению безопасности КИИ субъекты КИИ решают все возникающие проблемы на свой страх и риск.
Литература
1. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
2. Постановление Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».
3. Постановление Правительства Российской Федерации от 12.04.2018 № 447 «Об утверждении Правил взаимодействия иных информационных систем, предназначенных для сбора, хранения, обработки и предоставления информации, касающейся деятельности медицинских организаций и предоставляемых ими услуг, с информационными системами в сфере здравоохранения и медицинскими организациями».
4. Решение коллегии ФСТЭК России от 24.04.2018 № 59.
5. Информационное сообщение ФСТЭК России о методических документах по вопросам обеспечения безопасности информации в ключевых системах информационной инфраструктуры российской федерации от 4 мая 2018 г. № 240/22/2339.
6. Информационное сообщение ФСТЭК России по вопросам представления перечней объектов критической информационной инфраструктуры, подлежащих категорированию, и направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий от 24 августа 2018 г. № 240/25/3752.
7. Приказ ФСБ России от 24.07.2018 № 367 «Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».
Автор: Валерий Комаров, независимый эксперт, автор блога «Рупор бумажной безопасности» https://valerykomarov.blogspot.com/
Опубликовано 28.10.2018