Категорирование объектов критической информационной инфраструктуры (КИИ)

Категорирование объектов критической информационной инфраструктуры (КИИ) — это обязательная процедура оценки важности информационных систем и сетей, ключевых для устойчивой работы страны. Закон №187-ФЗ «О безопасности КИИ» устанавливает, что субъекты КИИ (госорганы, компании в стратегических отраслях и др.) обязаны обеспечивать защиту своих систем, проходить категорирование и отчитываться перед регуляторами. Категорирование определяет уровень угроз и устанавливает необходимые меры защиты для каждого объекта.

Субъекты КИИ – организации, владеющие или эксплуатирующие критически важные ИТ-системы и сети. В эту категорию попадают государственные органы и крупные предприятия стратегических отраслей (энергетика, транспорт, связь, здравоохранение и пр.). (Например, владение электростанциями или крупными медицинскими комплексами делает компанию субъектом КИИ.)
Объекты КИИ – конкретные ИТ-ресурсы субъекта КИИ: информационные системы (ИС), информационно-телекоммуникационные сети (ИТС) и автоматизированные системы управления (АСУ). Это могут быть, например, системы управления энергосетями, сетевые узлы связи, банковские транзакционные платформы и другие критически важные решения.

Категорирование КИИ – это процедура присвоения категории значимости каждому объекту КИИ. Её цель – оценить потенциальные последствия инцидентов и определить уровень мер защиты. Согласно закону, субъекты КИИ обязаны провести категорирование и оформить Акт категорирования объектов КИИ. Категории (I, II, III) отражают уровень риска: I категория – самая высокая (угроза здоровью людей или крупному ущербу), III – наиболее низкая.

• Процедура включает анализ возможных инцидентов и присвоение категорий значимости на основе критериев (социальных, экономических, оборонных и т.д.)
  
• По результатам составляется Акт категорирования, где перечислены все объекты КИИ и их категории. (В акте обычно фиксируют дату, место утверждения и подписи ответственных лиц.)
  
• Акт категорирования утверждается внутри организации и в течение 10 дней после этого направляется во ФСТЭК России.
  
• Присвоенные категории пересматриваются не реже одного раза в 5 лет или при значительных изменениях систем. (Этот срок прямо указан в нормативных документах.)
  

Типовой пошаговый алгоритм категорирования объектов КИИ:

1. Определите статус субъекта КИИ – проверьте, принадлежит ли ваша организация к одной из отраслей, перечисленных в ФЗ-187 (энергетика, транспорт, связь, здравоохранение и др.)
   
2. Инвентаризируйте бизнес-процессы – зафиксируйте все ключевые процессы организации (управленческие, технологические, финансовые и т.д.).
   
3. Выделите критические процессы – выберите те процессы, остановка которых приведет к серьёзным последствиям (например, прекращение подачи энергии или крупный финансовый сбой).
   
4. Определите объекты КИИ – установите информационные системы и сети, участвующие в критических процессах; именно они подлежат категорированию
   
5. Оцените категорию значимости – по таблицам критериев (ПП РФ №127) присвойте каждому объекту категорию I, II или III
   
6. Оформите Акт категорирования – составьте документ с перечнем объектов КИИ и их категориями, утвердите его на комиссии организации.
   

Процедуру категорирования следует завершить в течение 1 года. После утверждения перечня объектов КИИ (исходный список) его направляют во ФСТЭК в течение 5 дней, а Акт категорирования – в течение 10 дней. (Обратите внимание: за несвоевременную подачу актов предусмотрены штрафные санкции.)

Значимые объекты КИИ делят на три категории: I, II, III. I категория – наивысшая: к ней относятся системы, сбой которых может повлечь смерть или массовый вред здоровью людей, значительный ущерб экономике или обороне. III категория – низшая, для объектов со сравнительно ограниченными последствиями. При категорировании оценивают масштаб последствий: например, если компьютерный инцидент может затронуть свыше 500 человек, объект получает I категорию. Категории помогают рационально распределять ресурсы на защиту систем.
Например:

• Если инцидент может затронуть здоровье более 500 человек, объект классифицируют как I категорию.
  
• Если же последствием сбоя станет недоступность услуг связи для нескольких тысяч абонентов, часто присваивают III категорию.
  

Категорирование КИИ – не формальность, а обязательное требование закона. Нарушение этой процедуры влечет строгую ответственность. Субъектам КИИ грозят штрафы до 500 000 руб. и административная ответственность за непредоставление или искажение данных. Кроме того, регуляторы (ФСТЭК, ФСБ) проводят проверки и могут выдать предписание об устранении нарушений, что влечёт дополнительные расходы. Поэтому организациям важно заранее подготовить всю необходимую документацию и точно выполнить алгоритм категорирования. Таким образом, своевременное категорирование объектов КИИ – это не только соблюдение требований закона, но и важный элемент обеспечения информационной безопасности организации.