Карточка защитной меры

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Создание комиссии по категорированию объектов КИИ

2 1 1

Постоянно действующая комиссия по категорированию объектов критической инфраструктуры создается для выявления критических процессов и объектов критической информационной инфраструктуры, которые обеспечивают выполнение и (или) мониторинг критических процессов и их категорирования.

Вариант выполнения меры - выпуск приказа который включает:

состав комиссии;
положение о работе комиссии;
Требование к комиссии провести обследование и категорирование КИИ

Общий алгоритм действий:

Согласовать состав комиссии
Требования к составу комиссии установлены в п. 11 Постановления Правительства РФ от 8 февраля 2018 г. N 127
Подготовить приказ и положение о комиссии на базе шаблонов
В Заметках к мере приведены шаблоны Приказа о создании комиссии и Положения о комиссии.
Выпустить/утвердить приказ
Довести приказ до членов комиссии

В SECURITM можно вести учет членов комиссий, для этого

добавить в команду Тип актива Группа \ Комиссия по категорированию объектов критической информационной инфраструктуры
Создать актив Комиссия по категорированию объектов КИИ
(или несколько активов, для каждой созданной комиссии)
Привязать созданный актив (комиссию) к данной защитной мере (вкладка Инструменты)
Создать для каждого члена комиссии соответствующий актив типа Человек \ Работник
Указать для созданных работников место расположения - Комиссия по категорированию объектов КИИ

Область действия: Вся организация

Классификация

Тип

Организационная

Реализация

Вручную

Периодичность

Разово

Ответственный

Не определено

Инструменты

Не определено

Ресурсная оценка

	Качественная оценка			Количественная оценка		Итоговая оценка
	Стоимость	Трудозатраты	Сложность	Стоимость, тыс. руб	Трудозатраты, дней/ год	Итоговая оценка
CAPEX ^?	Неизвестно	Неизвестно	Неизвестно	Неизвестно	Неизвестно	Отсутствует
OPEX ^?	Неизвестно	Неизвестно	Неизвестно	Неизвестно	Неизвестно	Отсутствует

Связанные риски

Риск	Связи
Нарушение законодательства в области критической информационной инфраструктуры из-за отсутствия комиссии по категорированию объектов критической информационной инфраструктуры в юридической структуре Финансы Право Репутация	1

Заметки

Николай Казанцев

3 года назад

Community

Шаблон приказа о создании комиссии по категорированию объектов критической информационной инфраструктуры

П Р И К А З
О создании комиссии по категорированию объектов критической информационной инфраструктуры

Во исполнение Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и Постановления Правительства РФ от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»
приказываю:
Создать комиссию по категорированию объектов критической информационной инфраструктуры (далее – Комиссия) и утвердить в следующем составе:
Председатель Комиссии – ФИО, должность.
Заместитель председателя Комиссии – ФИО, должность.
Секретарь Комиссии – ФИО, должность.
Члены Комиссии:
ФИО - должность.
ФИО - должность.
ФИО - должность.
Утвердить Положение о комиссии по категорированию объектов критической информационной инфраструктуры (Приложение № 1).
Комиссии в срок до "XX" ХХ 202X г. завершить обследование (выявление критических процессов и объектов критической информационной инфраструктуры, которые обеспечивают выполнение и (или) мониторинг критических процессов), и при необходимости категорирование объектов критической информационной инфраструктуры, руководствуясь Положением о комиссии по категорированию объектов критической информационной инфраструктуры.
Руководителям структурных подразделений предоставлять все необходимые сведения по запросу Комиссии.
Контроль исполнения приказа возложить на должность ФИО.

Генеральный директор ФИО

Николай Казанцев

3 года назад

Community

Шаблон Положения о комиссии по категорированию объектов критической информационной инфраструктуры

ПОЛОЖЕНИЕ
о комиссии по категорированию объектов критической информационной инфраструктуры

Общие положения
Настоящее положение о комиссии по категорированию объектов критической информационной инфраструктуры (далее – Положение) разработано с целью выполнения требований Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры» и подзаконных нормативно-правовых актов.
Комиссия по категорированию объектов критической информационной инфраструктуры ООО "Моя Компания" (далее – Комиссия) является постоянно действующим, совещательным и консультативным органом, созданным в целях установления категории значимости (категорирования) объектов критической информационной инфраструктуры (информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления технологическими процессами, в том числе с числовым программным управлением), которые принадлежат ООО "Моя Компания" (далее – субъект КИИ) на праве собственности, аренды или ином законном основании.
Категорированию подлежат объекты критической информационной инфраструктуры (далее – ОКИИ), которые обеспечивают управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъекта КИИ и принадлежат субъекту КИИ или дочерним (зависимым) обществам, филиалам, представительствам субъекта КИИ, на праве собственности, аренды или на ином законном основании (договор пользования, договор на право хозяйственного ведения, договор на право оперативного управления и т. п.).
Определение категорий значимости ОКИИ (далее - категория значимости) осуществляется на основании перечня показателей критериев значимости ОКИИ и их значений, утвержденного постановлением Правительства Российской Федерации от 8.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».
Комиссия по категорированию подлежит расформированию в следующих случаях:
Прекращение субъектом критической информационной инфраструктуры выполнения функций (полномочий) или осуществления видов деятельности в областях (сферах), установленных пунктом 8 статьи 2 федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации».
Ликвидация, реорганизация субъекта критической информационной инфраструктуры и (или) изменение его организационно-правовой формы, в результате которых были утрачены признаки субъекта критической информационной инфраструктуры.
Основные задачи Комиссии
Основными задачами Комиссии являются:
Определение управленческих, технологических, производственных, финансово-экономических и (или) иных процессов в рамках выполнения функций (полномочий) или осуществления видов деятельности субъекта КИИ.
Выявление наличия критических процессов.
Выявление ОКИИ (информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления технологическими процессами, в том числе с числовым программным управлением), которые обрабатывают информацию, необходимую для обеспечения выполнения критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов.
Формирование перечня ОКИИ, подлежащих категорированию.
В течение 10-ти рабочих дней после утверждения перечня ОКИИ, подлежащих категорированию, отправка указанного перечня в центральный аппарат ФСТЭК России с учетом информационного сообщения ФСТЭК России от 17.04.2020 г. № 240/84/611.
Рассмотрение возможных действий нарушителя в отношении ОКИИ, а также иных источников угроз безопасности информации.
Анализ угроз безопасности информации и уязвимостей, которые могут привести к возникновению компьютерных инцидентов на ОКИИ. При этом учитываются наихудшие сценарии, учитывающие проведение целенаправленных компьютерных атак на ОКИИ, например, без учета цифровых устройств противоаварийной автоматики и системы резервного копирования информации.
Принятие решений о порядке категорирования ОКИИ в ситуации, когда критический процесс зависит от иных критических процессов, в том числе критических процессов иных субъектов критической информационной инфраструктуры.
Оценка в соответствии с перечнем показателей критериев значимости, утвержденным Постановлением Правительства РФ от 08.02.2018 № 127, масштаба возможных последствий в случае возникновения компьютерных инцидентов на ОКИИ. При этом должны быть рассмотрены наихудшие сценарии, учитывающие проведение целенаправленных компьютерных атак на ОКИИ, результатом которых являются прекращение или нарушение выполнения критических процессов и нанесение максимально возможного ущерба.
Присвоение каждому из ОКИИ одной из категории значимости либо принятие решения об отсутствии необходимости присвоения им категорий значимости.
Оформление акта (актов) категорирования, который должен содержать сведения об ОКИИ, сведения о присвоенной категории значимости либо об отсутствии необходимости присвоения ему одной из таких категорий. Допускается оформление единого акта по результатам категорирования нескольких ОКИИ.
В течение 10-ти рабочих дней со дня утверждения акта (актов), направление сведений в центральный аппарат ФСТЭК России по форме, утвержденной приказом ФСТЭК России от 22.12.2017 № 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий».
В течение 10-ти рабочих дней после утверждения требований к создаваемому ОКИИ, направление сведений в центральный аппарат ФСТЭК России по форме, утвержденной приказом ФСТЭК России от 22.12.2017 № 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий».
В течение 10-ти рабочих дней после ввода ОКИИ в эксплуатацию (принятия на снабжение), направление сведений в центральный аппарат ФСТЭК России по форме, утвержденной приказом ФСТЭК России от 22.12.2017 № 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий».
Согласование форм направления сведений со ФСТЭК России в ходе проверки регулятором соблюдения порядка и правильности категорирования.
Получение уведомления от ФСТЭК России о внесении в реестр значимых ОКИИ (решение принимается в течении 30-ти дней со дня получения ФСТЭК России сведений от субъекта КИИ).
В случае изменения категории значимости, направление сведений о результатах пересмотра категории в центральный аппарат ФСТЭК России.
Координация и контроль деятельности комиссий по категорированию в филиалах (представительствах).
Не реже чем один раз в 5 лет, а также в случаях изменения показателей критериев значимости ОКИИ или их значений, ввода в эксплуатацию новых ОКИИ, изменения бизнес-процессов и (или) структурно-функциональных характеристик ОКИИ, осуществлять оценку критичности ОКИИ и пересмотр установленных категорий значимости или решений об отсутствии необходимости присвоения указанным объектам таких категорий.
Состав и организация деятельности Комиссии
Состав Комиссии утверждается генеральным директором ООО "Моя компания". Комиссия состоит из председателя Комиссии, заместителя председателя Комиссии, секретаря Комиссии и членов Комиссии.
К участию в работе Комиссии по согласованию могут привлекаться представители государственных органов и российских юридических лиц, выполняющих функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в сфере здравоохранения.
Заседание Комиссии проводится в течение одного года с даты ее создания, в случаях, описанных в п. 2.2.19 настоящего Положения, а также каждые 5 лет с целью пересмотра результатов категорирования.
В случаях ввода в эксплуатацию или вывода из эксплуатации ОКИИ, сроки заседания устанавливаются отдельно для каждого конкретного случая.
Комиссию возглавляет председатель Комиссии. В отсутствие председателя Комиссии полномочия председателя осуществляет заместитель председателя Комиссии.
Председатель комиссии:
- осуществляет руководство деятельностью Комиссии, определяет повестку дня, сроки, порядок, место и время проведения заседания Комиссии, рассмотрения вопросов на ее заседаниях;
- председательствует на заседаниях Комиссии;
- формирует на основе предложений членов Комиссии план работы и повестку дня очередного (внеочередного) заседания;
- дает поручения членам Комиссии;
- подписывает протоколы и акты по итогам заседаний Комиссии;
- и другие задачи, описанные в разделе 2 настоящего положения.
Секретарь комиссии:
- обеспечивает подготовку заседания Комиссии, составляет проект повестки дня заседания, организует подготовку материалов к заседаниям, а также проектов соответствующих решений;
- по телефонной связи и по электронной почте уведомляет членов Комиссии о месте, времени проведения и повестке дня очередного заседания Комиссии не менее чем за 1 день до даты его проведения, обеспечивает членов Комиссии необходимыми материалами;
- исполняет поручения председателя Комиссии;
- ведет и подписывает протоколы и акты заседаний Комиссии;
- обеспечивает визирование оформленных документов всеми членами Комиссии;
- обеспечивает направление экземпляров документов в центральный аппарат ФСТЭК России, государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в сфере здравоохранения.
Члены Комиссии:
- рассматривают исходные данные об ОКИИ;
- принимают участие в подготовке вопросов, выносимых на заседание Комиссии;
- обследуют ОКИИ для установления степени актуальности угроз безопасности информации и возможных последствий их реализации;
- вносят предложения по плану работы, повестке дня заседаний и порядку обсуждения вопросов, участвуют в подготовке материалов к заседаниям, а также проектов решений Комиссии;
- визируют оформленные документы;
- выполняют задачи, описанные в разделе 2 настоящего Положения.
В случае отсутствия (временная нетрудоспособность, отпуск, командировка и прочее) члена Комиссии, заместителя председателя Комиссии и секретаря Комиссии, участие в работе Комиссии принимает лицо, официально исполняющее обязанности (полномочия) по должности отсутствующего.
Заседания Комиссии правомочны, если на них присутствует не менее половины его членов, включая председательствующего на заседании Комиссии.
Решения Комиссии принимаются простым большинством голосов путем открытого голосования или на основе общего согласия без проведения голосования, если против решения никто не выступает, либо при исключении мнения немногих несогласных участников если отсутствуют принципиальные возражения у большинства членов комиссии.
В случае равенства голосов решающим является голос председательствующего на заседании Комиссии. В случае несогласия с принятым решением член Комиссии вправе изложить в письменном виде свое мнение, которое подлежит обязательному приобщению к протоколу заседания Комиссии.
Голосование с целью принятия решений по вопросам, выносимым на заседание Комиссии может осуществляться членами комиссии заочно по корпоративной электронной почте (@mycompany.local).
Решения Комиссии оформляются протоколом, который подписывается лицом, председательствующим на заседании Комиссии и секретарем Комиссии.
Копии подписанного протокола заседания Комиссии направляются всем членам Комиссии в течение 3-х рабочих дней после соответствующего заседания Комиссии.
Результаты работы Комиссии оформляются актом, который составляется в одном экземпляре и подписывается всеми членами Комиссии.

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.