Заказать счет на подписку у менеджера
Поделитесь с друзьями:

"Защита КИИ"

С полными текстами всех статей вы можете ознакомиться на страницах журнала

Тайм-менеджмент в проекте по созданию системы защиты КИИ

В ближайшие 3 года организациям, относящимся к ФЗ №187 от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации», необходимо спроектировать систему информационной безопасности и внедрить средства защиты значимых объектов КИИ в соответствии с требованиями ФСТЭК. Нарушение правил эксплуатации, согласно ст. 241 УК РФ, влечет за собой уголовную ответственность.

Успешность реализации проекта зависит от глубокого планирования на всех стадиях – необходима строгая этапность и последовательность реализации. Эксперт Digital Design по информационной безопасности и защите КИИ Дмитрий Цветков разбил основные этапы проекта по тайм-лайну: проанализируйте, на каком этапе сейчас находитесь вы, что следует учесть и что делать дальше.  

До конца 2018 года провести аудит и сформировать требования к защите КИИ

Цель этого этапа – анализ текущего состояния ИС. За текущий год все более-менее с этим разобрались, но, напомним ключевые моменты из чек-листа.

Прежде всего необходимо назначить ответственного и создать комиссию по КИИ, которая и определяет перечень информационных систем, обеспечивающих непрерывное функционирование критических процессов, – эти ИС и будут являться объектами критической информационной инфраструктуры (ОКИИ), согласно Постановлению Правительства РФ №127 от 08.02.2018 «Об утверждении Правил категорирования объектов КИИ РФ». Полученный перечень передается в ФСТЭК и согласовывается в течение пяти дней. После чего организации отведен один год на категорирование объектов.

В течение года организациям, утвердившим перечень КИИ, необходимо установить категорию значимости для каждого объекта. Категория устанавливается на основе оценки возможных последствий вывода ИС из строя и актуальных угроз для ОКИИ. Результаты категорирования и методические указания также необходимо направить в ФСТЭК.

ФСТЭК России формирует реестр значимых объектов на основании тех данных, которые предоставили организации. Любые сведения об изменении категории организации должны своевременно сообщать в ФСТЭК и раз в 5 лет организациям нужно будет повторять процесс категорирования и также сообщать об изменениях в ФСТЭК.

Несмотря, на то, что в ПП 127 сроки на утверждение перечня объектов КИИ не установлены, есть решение Коллегии ФСТЭК России от 24.04.2018 №59, в котором озвучены сроки. Они в свою очередь доносятся на заседаниях по защите информации во всех субъектах РФ. Так, срок проведения категорирования объектов КИИ истекает 1 января 2019 г.

Главной задачей 2019 года будет проектирование средств защиты

С нового года организациям рекомендуется приступить к разработке концепции создания системы защиты инфраструктуры, и здесь также важна последовательность. Чтобы предотвратить кибератаки (напомним, что за нарушение правил эксплуатации КИИ грозит лишение свободы на срок от 2 до 10 лет), необходимо тщательно продумать комплекс мер по защите КИИ.

Порядок действий:

1. Рассматриваем существующие на рынке технические средства, которые могут войти в состав системы защиты КИИ:

●        Защита КИИ и АСУ ТП (Positive Technologies ISIM, Kaspersky Industrial CyberSecurity)

●        Защита периметра сети (РКСС, Alltel)

●        Защита веб-приложений, государственных и коммерческих порталов (Positive Technologies WAF)

●        Мониторинг и управление событиями ИБ (Positive Technologies SIEM)

●        Защита от утечек и несанкционированного доступа (SecretNet, Dallas Lock)

●        Защита приложений и систем (Positive Technologies, Код безопасности, Infowatch)

●        Защита платформ виртуализации (vGate, Dallas Lock)

А также:

●        Многофакторная и усиленная аутентификация

●        Электронная цифровая подпись

Важно: для создания системы необходимо использовать отечественное ПО и оборудование, прошедшие проверку в форме испытаний (ПиМИ) и сертифицированные средства защиты.

2. Разрабатываем концепцию и проводим оценку стоимости создания системы.

Поскольку не все технические меры защиты можно реализовать, важно правильно расставить приоритеты – вначале защищаем периметр сети и готовим инфраструктуру (серверы, СХД, сетевые устройства, ПО, необходимые для последующего развёртывания СЗИ).

3. Разрабатываем частное техническое задание на создание системы.

Если вы тщательно продумали концепцию создания системы защиты КИИ и учли непрерывное взаимодействия с ГосСОПКА, то на третьем этапе не должно возникнуть проблем.

Лейтмотив 2020 года – эксплуатация СЗИ и подключение к ГосСОПКА

На этом этапе необходимо:

  1. Разработать ОРД и пакет рабочих эксплуатационных документов.
  2. Развернуть средства защиты информации.
  3. Проанализировать уязвимости (как минимум на отсутствие угроз в БДУ ФСТЭК).
  4. Провести предварительные испытания СЗИ.
  5. Ввести в опытную эксплуатацию, согласно Приказу ФСТЭК от 25.12.2017 №239 «Об утверждении Требований по обеспечению безопасности значимых объектов КИИ».
  6. По результатам внедрения необходимо дополнительно провести аудит соответствия существующих мер защиты на предмет отсутствия угроз информационной безопасности и полноты реализованных технических и организационных мер и передать систему в промышленную эксплуатацию.
  7. Подключить к ГосСОПКА.

Начиная с 2022 – поддержка и развитие системы защиты КИИ 

В рамках эксплуатации систем информационной безопасности инфраструктуры организации предлагается сформировать план график мероприятий, направленных на:

●        совершенствование и развитие систем информационной безопасности;

●        выполнение плановых проверок (аудитов) реализованных мер защиты с внесением изменений в параметры настройки, рабочую и эксплуатационную документацию;

●        пересмотр критических для обеспечения деятельности предприятия процессов и объектов КИИ;

●        архивирование и уничтожение информации о средствах защиты вышедших из эксплуатации систем.





Для того, чтобы добавить публикацию,
вам необходимо или зарегистрироваться


Статьи журнала "Директор по безопасности"

Лояльность и мотивированность персонала
Не самая простая задача. Реально серьезными, а не показными успехами в этом направлении может похвас...
Молодой специалист: как с ним управляться?Молодой специалист: как с ним управляться?
  о у недовольства молодежью есть еще  один контекст. Это − бизнес-контекст. И, ес...
Как оценить искренность кандидата на собеседованииКак оценить искренность кандидата на собеседовании
Любой человек, готовясь к встрече с работодателем, просматривает в Интернете информацию на предмет т...
Не болтай! Судебная практика по проблеме нарушения  коммерческой тайныНе болтай! Судебная практика по проблеме нарушения коммерческой тайны
В сегодняшней статье я хочу продолжить обсуждение вопроса о коммерческой тайне и рассмотреть сложивш...
Все статьи

Журнал

В следующем номере

  • Риски и угрозы при использовании криптовалют
  • Интервью с топ-менеджерами при проведении расследований: психологические аспекты
  • Читать полностью

Контакты

Прямая линия рекламной службы:
+7 (499) 267-40-10, доб. 206
e-mail: reklama@s-director.ru

Отдел подписки:
+7 (499) 267-40-10
e-mail: podpiska@s-director.ru

Редакция: +7 (499) 267-40-10
e-mail: info@s-director.ru

Поделитесь с друзьями:

Недостаточно средств

Пополнить счет

Если Вы является подписчиком годовой электронной копии журнала, то Вам не нужно покупать статьи в журналах подписного периода.
Доступ к ним осуществляется в Личном кабинете в разделе «Электронные копии статей».
Логин или E-mail
Пароль (Забыли пароль?)
Запомнить
Если Вы ещё не зарегистрированы в системе, Вам необходимо зарегистрироваться
Введите e-Mail:
Wed, 23 Oct 2019 00:33:53


«Предупреждение и противодействие корпоративной коррупции»