Новые субъекты КИИ, индикаторы риска нарушения требований при обработке ПДн, сертификация МЭ уровня сети и СУБД, импортозамещение в финансовой сфере. Короче говоря, объекты КИИ — это информационные системы, принадлежащие субъектам КИИ и помогающие в выполнении критических процессов. В Госдуму внесен законопроект Минцифры о переходе субъектов критической информационной инфраструктуры (КИИ) на отечественное программное обеспечение и радиоэлектронную. Субъекты КИИ, разработчики, производители и ответственные ФОИВ должны работать в едином информационном поле.
Теперь все серьезно: как меняется безопасность субъектов КИИ
Кто же такие субъекты КИИ? Субъекты КИИИ: кто это, подходы к определению статуса субъекта критической информационной инфраструктуры, определение сферы деятельности субъекта КИИ и как не. До 1 января 2030 г. субъекты критической информационной инфраструктуры (КИИ) обязаны перевести принадлежащие им значимые объекты на доверенные программно-аппаратные. Категорирование субъектов КИИ осуществляется на основе критериев значимости и показателей их значений, а также соблюдением установленного порядка. Было проверено более 400 объектов КИИ, принадлежащие 73 субъектам. В решение для безопасности объектов критической информационной инфраструктуры (КИИ) мы объединили продукты Positive Technologies.
Что такое критическая информационная инфраструктура
- Что такое КИИ?
- Список отраслей, относящихся к критической инфраструктуре
- Ваше сообщение отправлено
- Hормативные акты по КИИ
- Новые требования для субъектов КИИ: Безопасная разработка прикладного ПО
- Что такое КИИ?
Обновление подборки законодательства о КИИ на сентябрь 2023
| Кабмин внёс законопроект о переходе субъектов критической инфраструктуры на российский софт | Министерство цифрового развития, связи и массовых коммуникаций России готовит документ, в соответствии с которым субъекты телевещания признают объектами критической. |
| Подписан закон об изменении перечня субъектов критической информационной инфраструктуры | С 1 сентября 2024 г. субъектам КИИ России будет запрещено приобретать и использовать ПАК, которые не является доверенными. |
| Критическая информационная инфраструктура (КИИ) | Президент России Владимир Путин подписал закон о расширении перечня субъектов критической информационной инфраструктуры. |
ЧТО ДЕЛАТЬ ЕСЛИ ВЫ СУБЪЕКТ КИИ?
- Hормативные акты по КИИ
- Теперь все серьезно: как меняется безопасность субъектов КИИ
- Критическая информационная инфраструктура - где объекты КИИ | Объекты КИИ
- Описание услуги категорирования объектов КИИ
- Основные разделы
Кабмин будет определять типы информсистем для их отнесения к важным объектам КИИ
Процедура включает формирование комиссии, составление и согласование точного списка исследуемых объектов с последующей отправкой его в ФСТЭК, сбор исходных сведений и изучение угроз ИБ. На основании полученных сведений осуществляется непосредственно категорирование, после чего данные направляются в контролирующий орган. Дополнительно требуется провести независимую экспертизу проведенных мероприятий. Создание проекта и интеграцию системы обеспечения ИБ, в которую включается совокупность мер технического и организационного характера, направленных на поддержание оптимального уровня информационной защиты. Кроме проектирования и внедрения СОИБ КИИ нужно будет подготовить ОРД, и для этого целесообразнее привлечь специалистов, чтобы не терять время и выполнить многочисленные нормативно-правовые требования. При грамотном подходе к обеспечению безопасности объектов КИИ защита информации будет на высоком уровне, что является залогом поддержания хорошей репутации, отсутствия штрафных санкций и постоянных проблем с утечкой данных. При этом сертифицированные СЗИ, приобретение и настройка которых сопряжены с существенными финансовыми и трудозатратами, необходимы не всегда. Определить наиболее удачные технические решения помогут сотрудники нашего центра, к которым можно обратиться по указанному на сайте телефону либо с помощью отправки онлайн-запроса.
Акт подписывается членами комиссии по категорированию и утверждается руководителем субъекта критической информационной инфраструктуры. Субъект критической информационной инфраструктуры обеспечивает хранение акта до вывода из эксплуатации объекта критической информационной инфраструктуры или до изменения категории значимости. Субъект критической информационной инфраструктуры в течение 10 рабочих дней со дня утверждения акта, указанного в пункте 16 настоящих Правил, направляет в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры, сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий.
Сведения, указанные в пункте 17 настоящих Правил, и их содержание направляются в печатном и электронном виде по форме , утверждаемой федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры. По вновь создаваемым объектам критической информационной инфраструктуры сведения, указанные в подпунктах "а" - "в" и "з" пункта 17 настоящих Правил, направляются в течение 10 рабочих дней после утверждения требований к создаваемому объекту критической информационной инфраструктуры, а сведения, указанные в подпунктах "г" - "ж" и "и" пункта 17 настоящих Правил, - в течение 10 рабочих дней после ввода объекта критической информационной инфраструктуры в эксплуатацию принятия на снабжение. Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры, проверяет сведения о результатах присвоения категорий значимости в порядке, предусмотренном частями 6 - 8 статьи 7 Федерального закона "О безопасности критической информационной инфраструктуры Российской Федерации". В случае изменения сведений, указанных в пункте 17 настоящих Правил, субъект критической информационной инфраструктуры направляет в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры, новые сведения в печатном и электронном виде не позднее 20 рабочих дней со дня их изменения по форме, предусмотренной пунктом 18 настоящих Правил. Государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и или нормативно-правовому регулированию в установленной сфере деятельности, осуществляют мониторинг представления субъектами критической информационной инфраструктуры, выполняющими функции полномочия или осуществляющими виды деятельности в соответствующих областях сферах , актуальных и достоверных сведений, указанных в пункте 17 настоящих Правил. В отношении субъектов критической информационной инфраструктуры, подведомственных государственным органам и российским юридическим лицам, указанным в абзаце первом настоящего пункта, мониторинг представления актуальных и достоверных сведений осуществляется этими государственными органами и российскими юридическими лицами. Мониторинг осуществляется регулярно путем запроса и оценки информации о сроках представления, актуальности и достоверности сведений, указанных в пункте 17 настоящих Правил. Актуальность и достоверность сведений может подтверждаться государственными органами и российскими юридическими лицами, указанными в абзаце первом настоящего пункта, путем ознакомления с объектами критической информационной инфраструктуры по месту их нахождения.
Президент России Владимир Путин подписал Федеральный закон «О внесении изменения в статью 2 Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации». Федеральный закон принят Государственной Думой 28 июня 2023 года и одобрен Советом Федерации 5 июля 2023 года. Опубликован 10 июля.
Но это в лучшем случае. Есть немало историй с печальным финалом — сетуют эксперты. Федор Музалевский Директор технического департамента RTM Group Дело в том, что даже кратный рост бюджета не позволяет покупать средства защиты больше или лучше. Рост цен на отечественные межсетевые экраны, средства управления уязвимостями и иные технические средства защиты информации — все это нивелирует рост бюджета. Более того, многие субъекты КИИ, которые планировали приобретение дополнительного ПО в прошлом году, сейчас вынуждены тратить бюджет на замену уже имеющихся неподдерживаемых импортных решений отечественными. По словам Федора Музалевского, девиз российских вендоров «второго такого шанса повышать цены не будет» обернулся катастрофическим снижением реальной безопасности. Однако с этим мнением согласны не все собеседники Cyber Media. В прошлом году, по наблюдениям Александра Моисеева, в основном закупались шлюзы безопасности — взамен ушедших с рынка игроков Fortigate, Paloalto, Cisco и т. В этом году компании в основном бюджеты расходуют на внедрение систем класса SIEM. Также на рынке есть интерес к средствам безопасной разработки ПО — статическим и динамическим анализаторам. Импортозамещение: честно и по-серому После ухода западных вендоров с рынка организации-субъекты КИИ разделились на три группы. Первая переключилась на российские аналоги, вторая — на решения оставшихся западных вендоров. Третья же группа выбрала сотрудничество с представителями дружественных стран. Артем Избаенков Директор по развитию направления кибербезопасности компании EdgeЦентр Когда западные вендоры полностью покинули рынок, компании, начали искать замены среди других иностранных решений в дружественных странах. Они обратили внимание на продукты и услуги от компаний из стран БРИКС, которые предоставляют качественные решения по информационной безопасности. К основным причинам, по которым субъекты КИИ ищут замену среди иностранных решений, эксперты относят банальную предвзятость к отечественным вендорам со стороны пользователей. Более объективные аргументы — ограниченный набор функционала у российских вендоров и неудовлетворительные результаты тестирования отечественных решений.
Вопрос-ответ
Субъектам КИИ, выполняющим гособоронзаказ, теперь следует рассчитывать увеличение времени изготовления для единицы продукции. Процесс категорирования объектов КИИ проводится внутренней комиссией по категорированию субъекта КИИ, в результате чего формируется список объектов КИИ с категориями значимости. Что важно делать всем субъектам КИИ, и кто такие субъекты вообще.
Владельцы социально значимых объектов КИИ будут использовать ПАК
Современные вызовы КИИ российской промышленности», сообщает пресс-служба Ассоциация КП ПОО. В 2022 году многие организации пересмотрели свои ИБ-бюджеты, в том числе субъекты критической информационной инфраструктуры (КИИ). Все субъекты КИИ должны быть подключены к ведомственным или корпоративным центрам ГосСОПКА либо создать свой центр ГосСОПКА. Переход субъектов КИИ на российское ПО и оборудование имеет под собой основания, по мнению представителя АРПП. Субъект КИИ не реже чем один раз в 5 лет осуществляет пересмотр установленной категории значимости в соответствии с требованиями 127-П.
О критической информационной инфраструктуре (КИИ)
| О критической информационной инфраструктуре (КИИ) | К субъектам КИИ относятся организации, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы и государственных, медицинских и прочих услуг. |
| Критично, чтобы российское - «Ведомости. Импортозамещение» | Что такое КИИ и кто попадает под ФЗ-187? Обязанности субъектов КИИ: категорирование объектов КИИ, обеспечение интеграции с ГосСОПКА, принятие мер по безопасности объектов. |
| С сентября 2024 субъекты КИИ должны использовать только доверенные ПАК - | Новости законодательства. |
| О критической информационной инфраструктуре (КИИ) | Кабмин внес в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры РФ на использование российского программного обеспечения (ПО). |
| Импортозамещение ПО для критической информационной инфраструктуры | Вывод строя или уничтожение субъектов КИИ подорвет безопасность, экономическую ситуацию, общественное здравоохранение. Основные сферы, в которых могут быть объекты КИИ. |
Категорирование КИИ
При этом, основанием для проведения плановой проверки будет являться истечение 3 лет со дня: а внесения сведений об объекте КИИ в реестр значимых объектов критической информационной инфраструктуры; б окончания осуществления последней плановой проверки в отношении значимого объекта критической информационной инфраструктуры. Основаниями для внеплановых проверок являются: а истечение срока выполнения субъектом КИИ выданного предписания об устранении выявленного нарушения требований по обеспечению безопасности; б возникновение компьютерного инцидента на значимом объекте КИИ, повлекшего негативные последствия; в приказ органа государственного контроля, изданный в соответствии с поручением Президента РФ или Правительства РФ либо на основании требования прокурора об осуществлении внеплановой проверки. При этом ежегодный план проведения плановых проверок будет утверждаться до 20 декабря года, предшествующего году проведения плановых проверок, и выписка из плана проверок будет направляться субъектам КИИ в срок до 1 января года проведения данных проверок. Можно ли для защиты КИИ использовать несертифицированные средства?
Как отмечает министерство, по таким объектам КИИ правительство будет устанавливать сроки перехода на российские ИТ-продукты. Согласно тексту проекта, в частности, предлагается наделить правительство полномочиями устанавливать требования к используемым на значимых объектах КИИ программному обеспечению ПО и радиоэлектронной продукции, в том числе - к телеком-оборудованию и программно-аппаратным комплексам ПАК. Также правительство будет устанавливать случаи и порядок согласования использования на значимых объектах КИИ иностранного ПО, радиоэлектроники, телеком-оборудования и ПАК. Кроме того, согласно проекту, правительство будет определять порядок и сроки перехода значимых объектов КИИ на преимущественное использование российского ПО и оборудования.
В итоге к 2023 году субъекты КИИ подошли с разной степенью готовности: часть компаний успела полностью заменить системы защиты, другая — спроектировать и закупить, третья — только запланировать. Именно поэтому в текущем году тренд продолжается — ведется проектирование, закупка, внедрение и доработка систем для защиты КИИ. И хотя инвестиции возросли, безопасность критической инфраструктуры пока зачастую остается на том же уровне. Но это в лучшем случае. Есть немало историй с печальным финалом — сетуют эксперты. Федор Музалевский Директор технического департамента RTM Group Дело в том, что даже кратный рост бюджета не позволяет покупать средства защиты больше или лучше. Рост цен на отечественные межсетевые экраны, средства управления уязвимостями и иные технические средства защиты информации — все это нивелирует рост бюджета. Более того, многие субъекты КИИ, которые планировали приобретение дополнительного ПО в прошлом году, сейчас вынуждены тратить бюджет на замену уже имеющихся неподдерживаемых импортных решений отечественными. По словам Федора Музалевского, девиз российских вендоров «второго такого шанса повышать цены не будет» обернулся катастрофическим снижением реальной безопасности. Однако с этим мнением согласны не все собеседники Cyber Media. В прошлом году, по наблюдениям Александра Моисеева, в основном закупались шлюзы безопасности — взамен ушедших с рынка игроков Fortigate, Paloalto, Cisco и т. В этом году компании в основном бюджеты расходуют на внедрение систем класса SIEM. Также на рынке есть интерес к средствам безопасной разработки ПО — статическим и динамическим анализаторам. Импортозамещение: честно и по-серому После ухода западных вендоров с рынка организации-субъекты КИИ разделились на три группы. Первая переключилась на российские аналоги, вторая — на решения оставшихся западных вендоров. Третья же группа выбрала сотрудничество с представителями дружественных стран. Артем Избаенков Директор по развитию направления кибербезопасности компании EdgeЦентр Когда западные вендоры полностью покинули рынок, компании, начали искать замены среди других иностранных решений в дружественных странах.
По нашим оценкам, в среднем в мире ущерб для крупных предприятий превышает 1 миллион долларов. Поэтому так важно внедрять комплексные защитные решения". Это мощная система информационной безопасности класса XDR Extended Detection and Response , которая предоставляет специалистам по информационной безопасности полную картину событий как на уровне сети, так и в инфраструктуре рабочих мест и серверов и обеспечивает их эффективную защиту от сложных угроз и целевых атак. Все больше компаний осознают важность своевременного обнаружения и реагирования на кибератаки. Как подчеркивают эксперты, делиться информацией о новом вредоносном ПО и техниках злоумышленников очень важно. Угрозы становятся более сложными и продвинутыми, а современные решения в сфере кибербезопасности позволяют вовремя их обнаружить и своевременно отреагировать, избежав потерь или сведя их к минимуму. Те меры, которые принимает государство для защиты КИИ от кибератак, в том числе на законодательном уровне, - это большой шаг в сторону повышения безопасности. Подключение к системе ГосСОПКА и построение корпоративных ведомственных центров позволит значительно повысить уровень ИБ и защищенность информационных ресурсов стратегически важных для государства отраслей. Однако многие компании только начинают осваивать базовые меры кибербезопасности. И самостоятельно воспользоваться предложенными государственными мерами способны далеко не все. Для этого необходим целый комплекс технических средств, а главное - грамотные специалисты. В нем приняли участие 5 266 IT-специалистов из 31 страны, включая Россию.
Закон о безопасности КИИ в вопросах и ответах
| О критической информационной инфраструктуре (КИИ) | Правительство РФ внесло в Госдуму законопроект о переходе субъектов критической информационной инфраструктуры (КИИ) в России на отечественное программное обеспечение. |
| Треть российских компаний увеличивает бюджет на безопасность - SearchInform | Было проверено более 400 объектов КИИ, принадлежащие 73 субъектам. |