Система защиты информации объекта КИИ — это система, способная обеспечить устойчивое и бесперебойное функционирование критической информационной инфраструктуры.
Введение
Действия, связанные с категорированием объектов информационной инфраструктуры, подразделяются на следующие этапы:
- Определение категории объектов.
- Формирование системы безопасности значимых объектов критической информационной инфраструктуры (КИИ).
Следует подчеркнуть, что, хотя такая система формируется прежде всего для организации защиты значимых объектов (то есть имеющих категорию), необходимо помнить и об остальных информационных данных. К примеру, когда у субъекта имеется АСУ ТП, которая не имеет категории, но подпадает под определение «критически важного объекта» из Приказа № 31 ФСТЭК, то такая система тоже должна подлежать защите.
Система защиты информации объекта КИИ
Система безопасности должна состоять из следующих блоков:
- Блок силы. Под данным термином следует понимать специалистов, то есть людей.
- Блок организационно-распорядительной документации.
- Блок средств защиты информации (СЗИ).
Основные принципы, призванные обеспечить безопасность КИИ, заключаются в следующих моментах:
- Принцип законности.
- Принцип непрерывности и комплексности обеспечения безопасности КИИ, которые достигаются, в том числе, путем организации взаимодействия уполномоченных федеральных органов исполнительных властных структур и субъектов КИИ.
- Принцип приоритета предотвращения компьютерных атак.
В приказе № 235 ФСТЭК Российской Федерации содержится информация о том, как необходимо выстраивать систему безопасности, что обязано находиться в ее составе, как следует осуществить организацию работ, связанных с защитой объектов КИИ и какие документы требуется разрабатывать. А в приказе № 239 ФСТЭК Российской Федерации дано перечисление защитных мер, которые необходимо использовать исходя из назначенной категории объекта.
Основным элементом в системе безопасности являются специалисты, то есть, люди. Именно на них возложена организация защиты, оформление документации внедрение системы защиты информации (СЗИ) и так далее. Специалисты подразделяются на следующие сущности или иначе функциональные роли, обладающие своими задачами и мерами ответственности:
- Руководящий работник.
- Работники службы безопасности.
- Сотрудники, занятые эксплуатацией значимых объектов КИИ.
- Специалисты, обеспечивающие бесперебойную работу значимых объектов КИИ.
Причем лишь совместная слаженная работа всех работников, которые отвечают за объект КИИ, способна с максимальной эффективностью обеспечить предотвращение различных угроз.
Руководящий работник или назначаемый им уполномоченный сотрудник, должен сформировать систему безопасности, заниматься контролем ее функционирования и наблюдать за тем, чтобы система находилась все время в работе. Именно он должен нести ответственность за отсутствие системы безопасности или ее неработоспособность.
Его главной задачей является назначение ответственных специалистов на три оставшиеся сущности, а также отслеживание исполнения требований законодательства. А когда в значимом объекте КИИ или структурных подразделениях происходят корректировки, руководитель также должен нести ответственность за внесение коррективов в систему безопасности.
Службу безопасности должен формировать руководитель организации. ФСТЭК Российской Федерации отметил, что это должно быть специальное подразделение, которое должно заниматься осуществлением безопасной работы объектов КИИ. А формирование фиктивной службы безопасности, которая будет состоять из ИТ администратора и бухгалтера, вряд ли может быть возможным и правильным. Причем руководитель может возлагать эти обязанности на уже имеющуюся службу безопасности.
Одной из основных задач службы безопасности объектов КИИ является создание и актуализация организационно-распорядительных документов, предусматривающих реализацию мер защиты для других категорий сотрудников. Данное подразделение должно определять методы защиты от существующих актуальных угроз и какие средства защиты информации следует использовать.
Но наиболее важной задачей является реакция на компьютерные инциденты. При обнаружении подобного случая служба безопасности обязана сообщить о нем в НКЦКИ в течение суток с момента его выявления и выработать и выполнить необходимые меры по локализации и ликвидации угрозы, а также свести к минимуму нанесенный ущерб. Она же несет ответственность за попытку сокрытия инцидентов.
Сотрудники, которые занимаются эксплуатацией значимых объектов КИИ, осуществляют непосредственное взаимодействие со значимым объектом. На них возложена обязанность обеспечивать безопасность на базе организационно-распорядительной документации, которая была разработана службой безопасности. Это означает, что служба безопасности должна передать функции реализации непосредственно подразделениям и работникам, которые осуществляют различные операции со значимым объектом. При появлении инцидента они обязаны первыми среагировать, руководствуясь организационно-распорядительной документацией, и сообщить об инциденте в службу безопасности.
Специалисты, которые обеспечивают нормальное функционирование значимых объектов КИИ, должны взаимодействовать с объектом лишь, для того чтобы реализовать определенные функций. Это могут быть ИТ- инженеры, которые обслуживают информационные системы. Для них, так же как и для подразделений, которые обеспечивают эксплуатацию, служба безопасности должна разработать организационно-распорядительные документы, которые включают информацию по работе с объектом КИИ.
Субъекту необходимо осуществить выделение у себя этих четырех категорий, назначить ответственных, выполнить формирование подразделений. Но главной задачей является создание службы безопасности значимых объектов. Именно она должна формировать систему безопасности.
