Кибербезопасность в условиях электронного банкинга. Практическое пособие - [162]

– подготовка сведений о результатах категорирования объектов КИИ.

Требования к созданию систем безопасности значимых объектов КИИ Российской Федерации и обеспечению их функционирования утверждены Приказом ФСТЭК России от 21.12.2017 № 235 [33]. Документ определяет требования к силам, программным и программно-аппаратным средствам обеспечения безопасности значимых объектов КИИ, к организационно-распорядительным документам, к функционированию системы безопасности в части организации работ.

Требования по обеспечению безопасности значимых объектов КИИ утверждены Приказом ФСТЭК России от 25.12.2017 № 239 [34]. Документом в зависимости от категории значимости и угроз безопасности информации определены следующие организационные и технические меры, подлежащие реализации:

– идентификация и аутентификация;

– управление доступом;

– ограничение программной среды;

– защита машинных носителей информации;

– аудит безопасности;

– антивирусная защита;

– предотвращение вторжений (компьютерных атак);

– обеспечение целостности;

– обеспечение доступности;

– защита технических средств и систем;

– защита информационной (автоматизированной) системы и ее компонентов;

– планирование мероприятий по обеспечению безопасности;

– управление конфигурацией;

– управление обновлениями программного обеспечения;

– реагирование на инциденты информационной безопасности;

– обеспечение действий в нештатных (непредвиденных) ситуациях;

– информирование и обучение персонала.

Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом КИИ.

В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами КИИ самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации.

В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации (это шесть видов средств защиты: межсетевые экраны, системы обнаружения вторжений, средства антивирусной защиты, средства доверенной загрузки, средства контроля съемных машинных носителей информации, операционные системы):

а) в значимых объектах 1-й категории применяются средства защиты информации не ниже 4-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

б) в значимых объектах 2-й категории применяются средства защиты информации не ниже 5-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

в) в значимых объектах 3-й категории применяются средства защиты информации 6-го класса защиты, а также средства вычислительной техники не ниже 5-го класса.

При этом в значимых объектах 1-й категории значимости применяются сертифицированные средства защиты информации, соответствующие (вместо 4-го уровня НДВ) 4-му или более высокому уровню доверия. В значимых объектах 2-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 5-му или более высокому уровню доверия. В значимых объектах 3-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 6-му или более высокому уровню доверия.

В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (персональных данных) принимаются в соответствии с более высокими категорией значимости, классом защищенности или уровнем защищенности персональных данных.

Таким образом, объекты КИИ (автоматизированные и информационные системы в их составе) подлежат защите так же, как ГИС и ИСПДн высоких классов защищенности.

Постановление Правительства Российской Федерации от 17.02.2018 № 162 «Об утверждении Правил осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры» [23]. Правилами устанавливается порядок осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ Российской Федерации, и его территориальными органами мероприятий по государственному контролю в области обеспечения безопасности значимых объектов КИИ Российской Федерации.

Государственный контроль осуществляется путем проведения плановых и внеплановых выездных проверок. Проверка проводится должностными лицами органа государственного контроля, которые указаны в приказе органа государственного контроля о проведении проверки. Срок проведения плановой проверки не должен превышать 20 рабочих дней. Срок проведения внеплановой проверки не должен превышать 10 рабочих дней.

Информация об организации проверок, в том числе об их планировании, о проведении и результатах таких проверок, в органы прокуратуры не направляется, за исключением информации о результатах проверок, проведенных на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям.