Аттестация объектов критической информационной инфраструктуры (КИИ)

• Обследование объекта и анализ документации. Уточняем состав системы, её границы, условия эксплуатации и применимые требования к защите;
• Разработка программы и методик испытаний. Орган по аттестации определяет, какие требования проверять, какими методами и по каким критериям оценивать результат;
• Оценка готовности системы защиты. По документам и результатам обследования уточняем, какие организационные и технические меры уже реализованы;
• Подготовка рекомендаций по требуемым СЗИ и их установка;
• Аттестационные испытания и оформление результатов. Эксперты проверяют эффективность защиты по согласованной программе, а орган по аттестации оформляет итоговые документы.

Если объект нужно подготовить к испытаниям, SafeProgress поможет актуализировать документы и настроить средства защиты. Подготовку согласуем отдельно. Испытания проводит независимая аттестационная комиссия в соответствии с приказом ФСТЭК России № 77.

Протоколы аттестационных испытаний.
В протоколах фиксируют условия и порядок испытаний, критерии оценки и результат по каждому критерию. Например, по протоколу проверки прав доступа видно, какие ограничения проверили для выбранных ролей и сработали ли они. Специалисты по ИБ могут проследить, на каких результатах основан вывод по конкретной мере защиты.

Заключение по результатам аттестационных испытаний
Заключение объединяет результаты анализа документов и испытаний. Орган по аттестации формулирует выводы по каждому виду работ и указывает, можно ли выдать аттестат или требуется доработка системы защиты. Если выявлены несоответствия, в заключении приводят рекомендации по их устранению. По этим рекомендациям заказчик может определить объём доработок и распределить задачи между специалистами.

Аттестат соответствия
Аттестат документально подтверждает соответствие объекта требованиям по защите информации в проверенной конфигурации и при соблюдении условий эксплуатации. В документе указывают объект, его владельца, категорию значимости при её наличии и требования, по которым проводилась аттестация. Состав оборудования, ПО и средств защиты фиксируют в техническом паспорте, на который ссылается аттестат.

К объектам КИИ относятся информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъектов КИИ. В зависимости от назначения и правового статуса это могут быть медицинская информационная система больницы, АСУ ТП электростанции, система диспетчеризации на транспорте, сеть оператора связи, банковская система обработки платежей, система управления металлургическим производством или научной установкой.

Значимый объект КИИ (ЗОКИИ) — объект, которому присвоена одна из трёх категорий значимости и который включён в соответствующий реестр. Первая категория соответствует наиболее серьёзным возможным последствиям инцидента. Категория влияет на состав мер защиты. Необходимость аттестации определяют по правовому статусу системы и применимым требованиям.

Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»
Определяет, кто относится к субъектам КИИ и какие системы считаются объектами КИИ. Устанавливает обязанности субъектов, основы категорирования и требования к обеспечению безопасности значимых объектов.

Постановление Правительства РФ № 127
Устанавливает правила категорирования и показатели, по которым оценивают возможные последствия компьютерных инцидентов и определяют категорию значимости.

Приказ ФСТЭК России № 235
Определяет требования к созданию и работе систем безопасности значимых объектов КИИ, включая организацию работ, распределение обязанностей и контроль состояния безопасности.

Приказ ФСТЭК России № 239
Устанавливает организационные и технические меры защиты значимых объектов КИИ на разных этапах их жизненного цикла. Определяет порядок оценки соответствия при вводе объекта в эксплуатацию, включая случаи проведения аттестации.

Приказ ФСТЭК России № 77
Определяет порядок аттестации объектов информатизации по требованиям защиты информации ограниченного доступа, не составляющей государственную тайну. Устанавливает требования к исполнителю, испытаниям и документам, а также правила контроля после выдачи аттестата.

Приказ ФСТЭК России № 117
Устанавливает требования к защите информации в ГИС и других информационных системах государственных органов, унитарных предприятий и учреждений. Предусматривает обязательную аттестацию ГИС. Если система также является значимым объектом КИИ, учитывают оба набора требований.