Практический опыт реализации 187-ФЗ

Сентябрь 12, 2022

Главная
Алгебра
Практический опыт реализации 187-ФЗ

Содержание

2. Критическая информационная инфраструктура СУБЪЕКТЫ ФОРМА ВЛАДЕНИЯ Гос. Органы Рос. Юр. Лица ИП Аренда Иное законное основание
3. Защита КИИ, 7 непростых шагов
4. Шаг 0,5. Комиссия СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ КОМИССИЯ СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА ЗАЩИТУ ГОС. ТАЙНЫ РУКОВОДИТЕЛЬ
5. Шаг 0,5. Комиссия - Внеплановая проверка ФСТЭК - Разбор причин произошедшего инцидента - До 10 лет
6. Шаг 1. Перечень процессов ОКВЭД Устав Лицензия Контракты Обязательства
7. Шаг 2. Перечень критических процессов
8. Шаг 3. Перечень объектов Критический процесс
9. Шаг 4. Категорирование объектов НЕГАТИВНЫЕ ПОСЛЕДСТВИЯ СОЦИАЛЬНЫЕ ПОЛИТИЧЕСКИЕ ЭКОНОМИЧЕСКИЕ ЭКОЛОГИЧЕСКИЕ ОБОРОНОСПОСОБНОСТЬ СТРАНЫ, БЕЗОПАСНОСТИ ГОСУДАРСТВА И ПРАВОПОРЯДКА
10. Шаг 4,5. Акты классификации сведения о взаимодействии объекта КИИ и сетей электросвязи; сведения о программных и
11. Шаг 4,5. Акты классификации и согласование Не все объекты являются критическими Модели угроз только в соответствии
12. Шаг 5. Разработка ТЗ и ТП Проект по защите КИИ Обоснование организационных и технических мер защиты
13. Шаг 6. Внедрение СЗИ Разработка организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта; Испытание
14. Шаг 7. Подключение к ГосСОПКА Сотрудники Техническое обеспечение Режим работы 24/7 Создание центра реагирования на инциденты
15. Шаг 7,5. Подключение к ГосСОПКА Аутсорсинг.
16. У меня нет значимых объектов КИИ, меня это не касается? Отсутствие категории значимости нужно доказать. Если
17. Если сидеть тихо – можно не выполнять требования? Для оценки безопасности КИИ регулятор имеет право установить
18. Подведомственным и дочерним ждать команду сверху? Ждать команду сверху не надо. Выполнять требования 187-ФЗ необходимо уже
19. У нас есть черная коробочка от ФСБ, мы уже все сделали? Нет, черная коробочка – это
21. Скачать презентацию

Слайд 2

Критическая информационная инфраструктура
СУБЪЕКТЫ
ФОРМА ВЛАДЕНИЯ
Гос. Органы
Рос. Юр. Лица
ИП
Аренда
Иное законное основание
Право собственности.
СФЕРА ДЕЯТЕЛЬНОСТИ
Здравоохранение
Наука
Банковская

сфера

ТЭК

Оборонная пром.

Атомная энергетика

Транспорт

Энергетика

Связь

Ракетно-космическая

Металлургическая

Горно-добывающая

Химическая

ОБЪЕКТЫ

Информационные системы

АСУ

Сети связи

Слайд 3

Защита КИИ, 7 непростых шагов

Слайд 4

Шаг 0,5. Комиссия
СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ
КОМИССИЯ
СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА ЗАЩИТУ

ГОС. ТАЙНЫ

РУКОВОДИТЕЛЬ ИЛИ УПОЛНОМОЧЕННЫЙ

ОТВЕТСТВЕННЫЙ ЗА ГО И ЧС

ЭКСПЕРТ ПО ОСУЩЕСТВЛЯЕМЫМ ВИДАМ ДЕЯТЕЛЬНОСТИ

Слайд 5

Шаг 0,5. Комиссия
- Внеплановая проверка ФСТЭК
- Разбор причин

произошедшего инцидента
- До 10 лет

Слайд 6

Шаг 1. Перечень процессов
ОКВЭД
Устав
Лицензия
Контракты
Обязательства

Слайд 7

Шаг 2. Перечень критических процессов

Слайд 8

Шаг 3. Перечень объектов
Критический процесс

Слайд 9

Шаг 4. Категорирование объектов
НЕГАТИВНЫЕ ПОСЛЕДСТВИЯ
СОЦИАЛЬНЫЕ
ПОЛИТИЧЕСКИЕ
ЭКОНОМИЧЕСКИЕ
ЭКОЛОГИЧЕСКИЕ
ОБОРОНОСПОСОБНОСТЬ СТРАНЫ, БЕЗОПАСНОСТИ ГОСУДАРСТВА

И ПРАВОПОРЯДКА

- ущерб жизни и здоровью людей.

- нарушение условий международного договора Российской Федерации, срыв переговоров или подписания планируемого к заключению международного договора.

- возникновение ущерба бюджетам Российской Федерации более 0,001 от бюджета субъекта РФ или федерального бюджета.

- вредные воздействия на окружающую среду.

Слайд 10

Шаг 4,5. Акты классификации
сведения о взаимодействии объекта КИИ и сетей электросвязи;
сведения

о программных и программно-аппаратных средствах, используемых на объекте КИИ, в том числе средствах, используемых для обеспечения безопасности;
возможные последствия в случае возникновения компьютерных инцидентов на объекте КИИ либо сведения об отсутствии таких последствий;
категорию значимости, которая присвоена объекту КИИ, или сведения об отсутствии необходимости присвоения одной из категорий значимости.

Слайд 11

Шаг 4,5. Акты классификации и согласование
Не все объекты являются критическими
Модели

угроз только в соответствии с методикой определения угроз в информ. системах

Максимальное кол-во информации об объектах

Наличие каналов доступа для разработчиков

Используемое ПО

Слайд 12

Шаг 5. Разработка ТЗ и ТП
Проект по защите КИИ
Обоснование организационных и

технических мер защиты

Определенны виды и типы средств защиты

Осуществлен выбор средств защиты информации

Определенны требования по настройке средств защиты

Слайд 13

Шаг 6. Внедрение СЗИ
Разработка организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения

безопасности значимого объекта;
Испытание системы защиты с в соответствии с оформлением акта;
Анализ системы защиты на возможность нейтрализации угроз из банка данных угроз ФСТЭК России ( на данный момент в БДУ 208 угроз);
Внедрение средств защиты должно выполняться собственными силами либо с привлечением лицензиата ФСТЭК России.

Слайд 14

Шаг 7. Подключение к ГосСОПКА
Сотрудники
Техническое обеспечение
Режим работы 24/7

Создание центра реагирования на инциденты ИБ

- 6 человек мониторинг
- 1 руководитель

- Комплекс СЗИ в соответствии с Приказом №239
- SIEM система
- Система взаимодействия с НКЦКИ

Слайд 15

Шаг 7,5. Подключение к ГосСОПКА Аутсорсинг.

Слайд 16

У меня нет значимых объектов КИИ, меня это не касается?
Отсутствие категории

значимости нужно доказать. Если системы используются в сферах деятельности 187-ФЗ, то они подлежат категорированию. Для обоснования отсутствия значимости все равно необходимо провести категорирование.

Слайд 17

Если сидеть тихо – можно не выполнять требования?
Для оценки безопасности КИИ

регулятор имеет право установить средства, предназначенные для поиска признаков компьютерных атак в сетях электросвязи. Утечки об атаках в СМИ никто не отменял.

Слайд 18

Подведомственным и дочерним ждать команду сверху?
Ждать команду сверху не надо. Выполнять

требования 187-ФЗ необходимо уже сейчас, так как предусмотрена ответственность независимо от подчиненности той или иной организации

Слайд 19

У нас есть черная коробочка от ФСБ, мы уже все сделали?
Нет,

черная коробочка – это сенсор, который вам поставили в рамках системы с похожим названием СОПКА для защиты от хакеров. С принятием 187-ФЗ такие сенсоры устанавливают в целях контроля защищенности. Чтобы подключиться к новой системе, надо создать центр ГосСОПКА и заключить соглашение с ФСБ.

Практический опыт реализации 187-ФЗ

Содержание

Защита КИИ, 7 непростых шагов

Шаг 0,5. КомиссияСОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА БЕЗОПАСНОСТЬ ИНФОРМАЦИИКОМИССИЯСОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА ЗАЩИТУ

Шаг 0,5. Комиссия - Внеплановая проверка ФСТЭК - Разбор причин

Шаг 1. Перечень процессовОКВЭДУставЛицензия КонтрактыОбязательства

Шаг 2. Перечень критических процессов

Шаг 3. Перечень объектовКритический процесс

Шаг 4. Категорирование объектовНЕГАТИВНЫЕ ПОСЛЕДСТВИЯ СОЦИАЛЬНЫЕПОЛИТИЧЕСКИЕЭКОНОМИЧЕСКИЕ ЭКОЛОГИЧЕСКИЕ ОБОРОНОСПОСОБНОСТЬ СТРАНЫ, БЕЗОПАСНОСТИ ГОСУДАРСТВА

Шаг 4,5. Акты классификациисведения о взаимодействии объекта КИИ и сетей электросвязи;сведения

Шаг 4,5. Акты классификации и согласование Не все объекты являются критическимиМодели

Шаг 5. Разработка ТЗ и ТППроект по защите КИИОбоснование организационных и

Шаг 6. Внедрение СЗИРазработка организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения

Шаг 7. Подключение к ГосСОПКА Сотрудники Техническое обеспечениеРежим работы 24/7