Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом. В их числе – субъекты критической информационной инфраструктуры (КИИ). Также к субъектам КИИ относятся юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие объектов КИИ.
С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК
Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября. Ответственность возлагается на должностных лиц субъекта КИИ. В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ.
Субъекты КИИ перейдут на российский софт к 2030 году
Подробный план перехода субъектов КИИ будет утвержден до 1 сентября 2024 года. На официальном веб-ресурсе правовой информации появился документ, предполагающий расширение перечня субъектов критической информационной инфраструктуры (КИИ). Согласно данному закону, КИИ – это объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов. Субъекты КИИ обяжут перейти на доверенные программно-аппаратные комплексы. Соответствующее постановление Правительства РФ было официально опубликовано 14 ноября.
Список субъектов КИИ расширен сферой госрегистрации недвижимости
Но есть механизм исключения, позволяющий использовать иностранные софт и железо при отсутствии российских аналогов. Новое постановление правительства С 1 сентября 2024 г. С 1 сентября 2024 г. До 1 января 2030 г. По версии документа ПАК — это радиоэлектронная продукция, в том числе телекоммуникационное оборудование , программное обеспечение ПО и технические средства, работающие совместно для выполнения одной или нескольких сходных задач.
Данные планы будут с пометкой «ДСП», а некоторые могут быть и секретными. Уполномоченные органы начиная с 2026 года ежегодно до 1 мая обеспечивают актуализацию отраслевых планов перехода. Есть особенности для «ГК Росатом», кредитных и некредитных финансовых организаций. Субъект КИИ в течение 10 рабочих дней со дня утверждения плана перехода направляет копию утвержденного плана с соблюдением требований законодательства РФ о государственной тайне не совсем понятно, почему сделан акцент именно на законодательстве о государственной тайне, так как выше указано, что отраслевые планы могут быть и несекретными в Уполномоченный орган, который определяется субъектом КИИ в соответствии со сферой областью деятельности субъекта КИИ и или основным видом экономической деятельности КИИ указано как определять сферу — по основному ОКВЭД : а до 1 января 2025 г. Уполномоченный орган в течение 30 рабочих дней со дня поступления от субъекта КИИ копии утвержденного плана перехода принимает решение о включении сведений о плане в отраслевой реестр планов перехода либо об отказе во включении в документе указаны основания, почему план могут не принять. В случае принятия решения о включении сведений о плане в отраслевой реестр планов перехода уполномоченный орган в течение 5 рабочих дней со дня принятия такого решения включает соответствующие сведения в отраслевой реестр планов перехода и направляет субъекту КИИ уведомление о включении.
Решения "Лаборатории Касперского" защищают критические IT-инфраструктуры крупнейших российских банков, промышленных предприятий, федеральных органов власти и госкорпораций. В основе этих продуктов лежат передовые технологии многоуровневой защиты, многие из которых являются уникальными", - рассказал Алексей Киселев, менеджер по развитию бизнеса "Лаборатории Касперского". Какие есть решения Решения "Лаборатории Касперского" для КИИ помогают закрыть требования закона и обеспечить реальную безопасность организации. Для крупных корпораций и промышленных предприятий с развитой ИБ-экспертизой предназначен пул решений из уровня защиты Kaspersky Expert Security , состоящий из взаимосвязанных и взаимодополняющих друг друга компонентов. Благодаря тесной интеграции бизнес получает набор решений, удовлетворяющий требованиям регулирующих органов и повышающий устойчивость системы безопасности к новым и сложным угрозам. Его центральный элемент - SIEM-система Kaspersky Unified Monitoring and Analysis Platform KUMA , которая предназначена для централизованного сбора, анализа и корреляции событий информационной безопасности из различных источников данных. Она предлагает единую консоль мониторинга, анализа и реагирования на киберугрозы. Рабочие места по-прежнему остаются основной мишенью злоумышленников и удобными точками входа при проведении кибератак. Поэтому важно в первую очередь начинать выстраивать свою передовую защиту с рабочих мест и серверов. Kaspersky EDR как раз позволяет защитить их, обеспечивая сбор, запись и хранение информации о событиях безопасности и обеспечивает централизованное расследование и реагирование на сложные кибератаки, направленные на инфраструктуру конечных точек. По нашим оценкам, в среднем в мире ущерб для крупных предприятий превышает 1 миллион долларов. Поэтому так важно внедрять комплексные защитные решения".
В частности, в письмах говорится о необходимости пересмотреть категории значимости объектов КИИ с учётом обновлённых критериев и их значений. Обновление, о котором идёт речь, в свою очередь связано с постановлением Правительства РФ от 20. Мы рассказывали об этом здесь. Категорирование объектов КИИ В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ. Сама по себе эта необходимость для них, разумеется, новостью не является — речь о ней шла весь прошлый год. В первую очередь нужно определить критические процессы — в случае банков это основная финансовая деятельность, на которую ЦБ выдаёт лицензию. Также важно не забыть про вспомогательные процессы, нарушение которых может привести к проблемам в КИИ.
Наши проекты
- Подписан закон об изменении перечня субъектов критической информационной инфраструктуры
- Часть 2. Система безопасности значимых объектов КИИ
- Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
- ФСТЭК сообщила об увеличении категории значимости для более чем 40 объектов КИИ в 2023 году
- Читайте также
Повышенная ответственность
- КИИ. Информационная безопасность объектов критической информационной инфраструктуры.
- Владимир Путин подписал закон об изменении перечня субъектов КИИ
- ФЗ-187 — основной нормативно-правовой акт в отношении КИИ
- Главные новости
- Импортозамещение ПО для критической информационной инфраструктуры
- Повышенная ответственность
Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
В КоАП внесена ответственность за предоставление недостоверных сведений о категорировании объектов КИИ, а также утверждены правки в процедуру категорирования объектов КИИ и. В Госдуму внесен законопроект Минцифры о переходе субъектов критической информационной инфраструктуры (КИИ) на отечественное программное обеспечение и радиоэлектронную. Согласно данному закону, КИИ – это объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов. Максимальный срок категорирования не должен превышать одного года со дня утверждения субъектом КИИ перечня объектов КИИ.
Переход критической инфраструктуры на отечественный софт и программно-аппаратные комплексы
Оповещение конечного пользователя об окончании жизненного цикла ПО. К примеру, в специальном разделе сайта разработчика могут быть организованы специальные «фильтры» по продуктам, которые ведут на страницы с планами по поддержке ПО в ходе жизненного цикла. На рис. Рекомендуем закладывать процессы таким образом, чтобы в дальнейшем расширять их до охвата всех необходимых этапов жизненного цикла. Далее мы рассмотрим проект по внедрению процесса БРПО в соответствии с требованиями регулятора. Когда прикладное ПО разрабатывается силами собственных разработчиков, необходимо внедрить наиболее полный состав процессов безопасности. В случае заказной разработки или использования вендорского ПО необходимо обеспечить наличие всех необходимых свидетельств по процессам безопасности, выстроенным на стороне вендора — производителя ПО, и приобщить их в проектную документацию на ЗО КИИ. Как правило, типовой проект внедрения процессов безопасной разработки ПО разделяется на пять основных этапов. На первом этапе готовится технико-экономическое обоснование для руководства с верхнеуровневыми финансовыми параметрами проекта, основными этапами работ, основными результатами, которые достигаются в ходе проекта, а также персоналом, который требуется привлечь. На втором этапе проводится аудит текущих бизнес-процессов разработки, формируется целевое состояние процессов разработки, исходя из требований регулятора либо бизнес-потребностей, далее выявляются несоответствия и формируются рекомендации по внедрению организационных и технических мероприятий. На третьем этапе рекомендации ранжируются по степени их реализуемости и сводятся в дорожную карту.
Настоятельно рекомендуем разрабатывать детальный план перехода и пояснительную записку с обоснованием принятых решений, чтобы всегда можно было поднять историю и причины принятых решений. Четвертый этап — это уже непосредственно работа проектной команды, которая движется по дорожной карте. Исходя из практики, оптимальным вариантом является тот, в котором техническое лидерство в проекте остается за разработчиками, а организационное лидерство, то есть руководство проектом, возложено на специалиста по информационной безопасности. В этом случае происходит тесная интеграция компетенций безопасников и разработчиков. И наконец, на последнем этапе происходит контроль функционирования внедренных процессов.
Собрав воедино и проанализировав нормативные правовые акты — видишь насколько важна совместная работа всех участников рынка.
Так как сегодня в достаточно сжатые сроки требуется перевести на отечественные решения все объекты КИИ, нам необходимы выверенные термины и правила, которые будут трактоваться однозначно. Чтобы производители отвечали на запрос потребителей, а заказчики в свою очередь могли выстроить приоритизацию перехода на отечественные решения. По мнению участников Ассоциации, в целях гармонизации действующего законодательства целесообразно утвердить ключевой нормативный правовой акт, в котором будут закреплены основополагающие принципы, понятийный аппарат, критерии определения технологической независимости и доверенности в сфере КИИ и другое. Такой НПА может лечь в основу разграничения полномочий и ответственности при определении политики достижения технологического суверенитета, а также задаст для организаций различных отраслей экономики единый вектор на пути достижения технологической независимости. Кроме того, представители крупнейших компаний страны озвучили запрос на информационное и консультационное сопровождение процессов импортозамещения на объектах КИИ для получения компетентных разъяснений, например, как трактовать пункты нормативных актов или как применять методические рекомендации. Сегодня тема технологической независимости критической информационной инфраструктуры находится на стыке нескольких направлений и, безусловно, в этом вопросе нам нужно регулирование, дополнительный понятийный аппарат.
Сегодня Председатель Правительства поручил всем индустриальным центрам компетенций провести работу по выделению критических информационных систем и процессов, с точки зрения устойчивости к вызовам и угрозам, связанным с не утратой контроля за теми инструментами, которые мы у себя применяем. Такую работу мы проведем, типовые объекты КИИ утвердим, посоветовавшись с отраслями, после чего должны будут появиться планы перехода, которые станут отображением матрицы: что мы должны поменять, почему, на что, когда и зачем. Работа для нас понятная, ведем ее вместе со всеми отраслями. Вице-президент Транснефти Андрей Бадалов высказал обеспокоенность большим количеством отчетных показателей по импортозамещению. При этом ключевыми показателями должны стать безопасность и непрерывность работы и это в прямом смысле не эквивалентно просто импортозамещению.
Также не учитывается, что инцидент на одном объекте может привести к цепной реакции инцидентов по всем объектам, что может существенно увеличить значение показателей значимости. Проблемы могут возникнуть и у тех, кто прошел процедуру категорирования и работает над модернизацией системы обеспечения безопасности или даже завершает этот процесс. ФСТЭК в ходе проверок оценивает реализацию организационных мер. Для соответствия требованиям необходимо не просто разработать или актуализировать пакет документов, регламентирующий работу с КИИ, но и ознакомить с ним всех ответственных сотрудников.
Основным нормативным правовым документом, регулирующим взаимодействие различных субъектов в сфере критической информационной инфраструктуры, выступает Федеральный закон от 26. Кто должен защищать КИИ? Защиту объектов КИИ и сетей электросвязи, используемых для организации взаимодействия объектов КИИ, обеспечивают субъекты КИИ в соответствии с действующим законодательством в области информационной безопасности посредством принятия правовых, организационных и технических мер. Субъектами КИИ выступают: 1 государственные органы, государственные учреждения, российские юридические лица и или индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат объекты КИИ, а также 2 российские юридические лица и или индивидуальные предприниматели, которые обеспечивают взаимодействие объектов КИИ ст. Помимо субъектов в процессе обеспечения безопасности объектов КИИ принимают участие: 1 ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, при этом: осуществляет государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры; ведет реестр значимых объектов критической информационной инфраструктуры; проверяет правильность соблюдения порядка осуществления категорирования и определения категории значимости объекта КИИ, и другое.
ЦБ РФ напомнил о категорировании субъектов КИИ
Сильнее всего бюджет на безопасность вырос среди компаний, которые относятся к критической инфраструктуре – 39% опрошенных представителей субъектов КИИ сообщили об этом. Максимальный срок категорирования не должен превышать 1 года со дня утверждения субъектом КИИ перечня объектов. В январском письме Центральный Банк призвал поднадзорные организации провести повторное категорирование субъектов КИИ и до 31 марта 2023 отчитаться о статусе работ.
Новые требования для субъектов КИИ: Безопасная разработка прикладного ПО
Провести категорирование объектов КИИ Для всех объектов КИИ, включенных в утвержденный перечень, необходимо провести категорирование в срок, не превышающий одного года с даты утверждения перечня объектов КИИ. Так как данный процесс является довольно долгим и может вызвать ряд затруднений, специалисты нашей организация, готовы помочь вам с проведением всех необходимых мероприятий, связанных с КИИ, от выделения объектов КИИ до получения уведомления во ФСТЭК, что вы являетесь объектом КИИ. Ознакомьтесь так же с нашей презентацией, посвященной Критической Информационной Инфраструктуре. По итогу мероприятий по КИИ, вы сможете не бояться проверки регуляторов и быть уверенны, что ваша критическая инфраструктура находится под защитой.
В основе этих продуктов лежат передовые технологии многоуровневой защиты, многие из которых являются уникальными", - рассказал Алексей Киселев, менеджер по развитию бизнеса "Лаборатории Касперского". Какие есть решения Решения "Лаборатории Касперского" для КИИ помогают закрыть требования закона и обеспечить реальную безопасность организации. Для крупных корпораций и промышленных предприятий с развитой ИБ-экспертизой предназначен пул решений из уровня защиты Kaspersky Expert Security , состоящий из взаимосвязанных и взаимодополняющих друг друга компонентов. Благодаря тесной интеграции бизнес получает набор решений, удовлетворяющий требованиям регулирующих органов и повышающий устойчивость системы безопасности к новым и сложным угрозам. Его центральный элемент - SIEM-система Kaspersky Unified Monitoring and Analysis Platform KUMA , которая предназначена для централизованного сбора, анализа и корреляции событий информационной безопасности из различных источников данных.
Она предлагает единую консоль мониторинга, анализа и реагирования на киберугрозы. Рабочие места по-прежнему остаются основной мишенью злоумышленников и удобными точками входа при проведении кибератак. Поэтому важно в первую очередь начинать выстраивать свою передовую защиту с рабочих мест и серверов. Kaspersky EDR как раз позволяет защитить их, обеспечивая сбор, запись и хранение информации о событиях безопасности и обеспечивает централизованное расследование и реагирование на сложные кибератаки, направленные на инфраструктуру конечных точек. По нашим оценкам, в среднем в мире ущерб для крупных предприятий превышает 1 миллион долларов. Поэтому так важно внедрять комплексные защитные решения". Это мощная система информационной безопасности класса XDR Extended Detection and Response , которая предоставляет специалистам по информационной безопасности полную картину событий как на уровне сети, так и в инфраструктуре рабочих мест и серверов и обеспечивает их эффективную защиту от сложных угроз и целевых атак.
После ввода визитера направляют на другую страницу, где предлагается установить на телефон некий «сертификат безопасности», а на самом деле — SMS-трояна. Заметим, уловка не нова, такое же прикрытие в начале года использовал MetaStealer. Для верности жертву в заключение еще раз проводят по тому же кругу, но уже в другом домене — n0wpay[. Выбор хостинга для Android-трояна, по словам аналитиков, необычен: это украинский сервис Ucoz, а не российский или европейский дата-центр, которым отдают предпочтение фишеры рунета.
У нас информацию об инцидентах почти никто не публикует. Передавать ее надо, но обязанности такой нет. Как в ряде случаев определить, что это было — кибератака или какой-то сбой оборудования? Это же — разная ответственность. Но здесь удивляет позиция правоохранительных органов. Если есть явная информация, что скорее всего совершено преступление, украдены персональные данные из какого-то конкретного банка — надо провести проверку. Есть экспертные организации, которые расследуют, — надо это сделать с их помощью. Я допускаю, что есть ситуации, в которых достоверно не разберешься. Но большинство крупных прецедентов, связанных с массовыми утечками данных, не так часто происходит, они все — на слуху. И важно, чтобы эта функция со стороны правоохранительных органов появилась и работала — надо разбираться, приезжать в банк, проверять ритейлеров, всех «протрясти». Важно двигаться вперед. И «нормативка» развивается именно таким образом. Появляется что-то новое, апробируется, по результатам возникают новые идеи — и в итоге понятны следующие шаги. Что дальше можно было бы сделать? Относительно КИИ есть нюанс — такие инциденты случаются нечасто. И этот нюанс в некотором роде мешает: у нас нет хорошей статистики, чтобы применять адекватные решения по управлению этими рисками. В связи с этим проблемы в персональных данных — явные, видно, как их можно решить. Но для того, чтобы было понятно, как будет работать механизм компенсаций в случае нарушения безопасности в объектах работы КИИ, надо наработать опыт — эти нарушения надо фиксировать. На основе того, как эти нарушения будут отрабатываться, мы можем смотреть, как можно улучшить процесс. Конечно, хотелось бы, чтоб события развивались не таким образом — то есть частота инцидентов не увеличивалась, а «на берегу» удалось придумать работающую методику. Складывается впечатление, что 187-ФЗ и вся подзаконная база, которая вокруг него выросла, во многом повторяют логику 152-ФЗ: если я отвечаю за кибербезопасность на предприятии и выполнил всё, что рекомендует сделать ФСТЭК, по бумагам всё прекрасно, но что-то у меня взорвалось — я ни в чём не виноват? Я сейчас говорю про бумажное уменьшение реальных рисков. Если правила эксплуатации объекта КИИ не были нарушены внутри самой организации — всё категорировали, поставили средства, аттестовали, оценили соответствие, — но что-то всё же произошло, я убежден, что уголовная ответственность в таких случаях наступать не должна. В этой части статья 274. Но ответственность организации должна наступать. Как в примере с банком: если приехали гангстеры и деньги украли, а вся охрана действовала согласно инструкции, то претензии к охране предъявлять неправильно. Но эти деньги — чьи-то. И это банк лишился денег, а не те клиенты, которые эти деньги ему принесли. С точки зрения безопасности ситуация та же: если хакеры захотят, они в объект КИИ проникнут и навредят — защитники не при чём. Но компенсации тем людям, которые от этого пострадают, должны быть. Почему опять навязывается такая модель, когда со стороны ФСТЭК приходят методички с перечислением средств, которые надо устанавливать, что именно надо делать? Почему нельзя людям, если они не госорганизации, самим решить, что устанавливать? Если строить модель по принципу «ты должен защитить чужие интересы, а как — ты сам реши», то этой защиты просто не будет. И тут регуляторов можно понять, они прописывают то, что должно быть сделано. Можно, конечно, обсуждать, насколько это адекватно, нет ли каких-то завышенных требований — на этом уровне всегда есть куда оптимизироваться. Еще раз проговорю: ситуация встанет с головы на ноги, если субъекты КИИ станут защищать не чьи-то интересы, а свои, потому что будут понимать, что в случае чего им придется компенсировать ущерб пострадавшим. В случае с персональными данными, где частота проблем высока, это сработает. Выбор механизмов защиты станет куда более правильным. В случае с КИИ это, скорее всего, не сработает. Например, мы сейчас пропишем, что если у тебя возник инцидент, то ты должен компенсировать тем, кто пострадал, их потери. Но специфика такова, что инциденты — нечастые, да ещё и непубличные. Непубличность инцидентов порождает то, что мы живем, как слепые котята — появляется ложное ощущение, будто ничего не происходит, что мы в безопасности. Поэтому есть сомнения, будут ли ставить правильные средства защиты, повысят ли уровень безопасности. Хотя, если это реализовать, это повысит внимание к вопросу. По логике, для того же 187-ФЗ ответственность за нераскрытие инцидентов должна быть даже большей, чем за последствия. Ты должен понимать, что если сейчас не расскажешь, то хуже будет всем. В случае инцидента на объекте КИИ информация должна быть опубликована, может быть, в каком-то обезличенном виде, чтобы угрозы репутации не возникало, — этот реестр, доступный для всех субъектов КИИ, был бы очень полезен. Например, желательно сделать так, чтобы каждый, кто признал себя субъектом КИИ, мог подключиться к этом реестру и на основе данных из него выполнить оценку рисков для объектов КИИ и уже потом отправить сведения о присвоенных категориях во ФСТЭК. Это — важное направление движения. Было бы неплохо, чтобы от НКЦКИ была периодически какая-то отчетность по реальным инцидентам, пусть даже в обезличенном виде, а не так, как они предоставляют — по количеству заблокированных вредоносных URL и объектов и так далее.