Тайм-менеджмент в проекте по созданию системы защиты КИИ

В ближайшие 3 года организациям, относящимся к ФЗ №187 от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации», необходимо спроектировать систему информационной безопасности и внедрить средства защиты значимых объектов КИИ в соответствии с требованиями ФСТЭК. Нарушение правил эксплуатации, согласно ст. 241 УК РФ, влечет за собой уголовную ответственность.

Успешность реализации проекта зависит от глубокого планирования на всех стадиях – необходима строгая этапность и последовательность реализации. Эксперт Digital Design по информационной безопасности и защите КИИ Дмитрий Цветков разбил основные этапы проекта по тайм-лайну: проанализируйте, на каком этапе сейчас находитесь вы, что следует учесть и что делать дальше.  

До конца 2018 года провести аудит и сформировать требования к защите КИИ

Цель этого этапа – анализ текущего состояния ИС. За текущий год все более-менее с этим разобрались, но, напомним ключевые моменты из чек-листа.

Прежде всего необходимо назначить ответственного и создать комиссию по КИИ, которая и определяет перечень информационных систем, обеспечивающих непрерывное функционирование критических процессов, – эти ИС и будут являться объектами критической информационной инфраструктуры (ОКИИ), согласно Постановлению Правительства РФ №127 от 08.02.2018 «Об утверждении Правил категорирования объектов КИИ РФ». Полученный перечень передается в ФСТЭК и согласовывается в течение пяти дней. После чего организации отведен один год на категорирование объектов.

В течение года организациям, утвердившим перечень КИИ, необходимо установить категорию значимости для каждого объекта. Категория устанавливается на основе оценки возможных последствий вывода ИС из строя и актуальных угроз для ОКИИ. Результаты категорирования и методические указания также необходимо направить в ФСТЭК.

ФСТЭК России формирует реестр значимых объектов на основании тех данных, которые предоставили организации. Любые сведения об изменении категории организации должны своевременно сообщать в ФСТЭК и раз в 5 лет организациям нужно будет повторять процесс категорирования и также сообщать об изменениях в ФСТЭК.

Несмотря, на то, что в ПП 127 сроки на утверждение перечня объектов КИИ не установлены, есть решение Коллегии ФСТЭК России от 24.04.2018 №59, в котором озвучены сроки. Они в свою очередь доносятся на заседаниях по защите информации во всех субъектах РФ. Так, срок проведения категорирования объектов КИИ истекает 1 января 2019 г.

Главной задачей 2019 года будет проектирование средств защиты

С нового года организациям рекомендуется приступить к разработке концепции создания системы защиты инфраструктуры, и здесь также важна последовательность. Чтобы предотвратить кибератаки (напомним, что за нарушение правил эксплуатации КИИ грозит лишение свободы на срок от 2 до 10 лет), необходимо тщательно продумать комплекс мер по защите КИИ.

Порядок действий:

1. Рассматриваем существующие на рынке технические средства, которые могут войти в состав системы защиты КИИ:

●        Защита КИИ и АСУ ТП (Positive Technologies ISIM, Kaspersky Industrial CyberSecurity)

●        Защита периметра сети (РКСС, Alltel)

●        Защита веб-приложений, государственных и коммерческих порталов (Positive Technologies WAF)

●        Мониторинг и управление событиями ИБ (Positive Technologies SIEM)

●        Защита от утечек и несанкционированного доступа (SecretNet, Dallas Lock)

●        Защита приложений и систем (Positive Technologies, Код безопасности, Infowatch)

●        Защита платформ виртуализации (vGate, Dallas Lock)

А также:

●        Многофакторная и усиленная аутентификация

●        Электронная цифровая подпись

Важно: для создания системы необходимо использовать отечественное ПО и оборудование, прошедшие проверку в форме испытаний (ПиМИ) и сертифицированные средства защиты.

2. Разрабатываем концепцию и проводим оценку стоимости создания системы.

Поскольку не все технические меры защиты можно реализовать, важно правильно расставить приоритеты – вначале защищаем периметр сети и готовим инфраструктуру (серверы, СХД, сетевые устройства, ПО, необходимые для последующего развёртывания СЗИ).

3. Разрабатываем частное техническое задание на создание системы.

Если вы тщательно продумали концепцию создания системы защиты КИИ и учли непрерывное взаимодействия с ГосСОПКА, то на третьем этапе не должно возникнуть проблем.

Лейтмотив 2020 года – эксплуатация СЗИ и подключение к ГосСОПКА

На этом этапе необходимо:

1. Разработать ОРД и пакет рабочих эксплуатационных документов.
2. Развернуть средства защиты информации.
3. Проанализировать уязвимости (как минимум на отсутствие угроз в БДУ ФСТЭК).
4. Провести предварительные испытания СЗИ.
5. Ввести в опытную эксплуатацию, согласно Приказу ФСТЭК от 25.12.2017 №239 «Об утверждении Требований по обеспечению безопасности объектов КИИ».
6. По результатам внедрения необходимо дополнительно провести аудит соответствия существующих мер защиты на предмет отсутствия угроз информационной безопасности и полноты реализованных технических и организационных мер и передать систему в промышленную эксплуатацию.
7. Подключить к ГосСОПКА.

Начиная с 2022 – поддержка и развитие системы защиты КИИ 

В рамках эксплуатации систем информационной безопасности инфраструктуры организации предлагается сформировать план график мероприятий, направленных на:

●        совершенствование и развитие систем информационной безопасности;

●        выполнение плановых проверок (аудитов) реализованных мер защиты с внесением изменений в параметры настройки, рабочую и эксплуатационную документацию;

●        пересмотр критических для обеспечения деятельности предприятия процессов и объектов КИИ;

●        архивирование и уничтожение информации о средствах защиты вышедших из эксплуатации систем.