Категорирование объектов критической информационной инфраструктуры (КИИ) — это процесс определения их значимости для национальной безопасности, экономики, социальной стабильности и других аспектов функционирования государства.

Основные понятия и нормативное регулирование

В соответствии с законодательством многих стран, включая Россию (Федеральный закон № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"), объектами КИИ считаются информационные системы, автоматизированные системы управления и телекоммуникационные сети, функционирование которых критически важно для государственных и общественных интересов.

Процесс категорирования объектов КИИ направлен на:

- Определение значимости объектов в контексте их возможного воздействия на безопасность государства и общества;

- Разделение объектов на категории значимости, что позволяет выделить приоритеты в обеспечении их защиты.

Этапы категорирования

Процесс категорирования включает несколько ключевых этапов:

1. Идентификация объектов

На этом этапе определяются информационные системы, сети и системы управления, которые могут быть отнесены к критическим. Основные критерии:

- Важность для функционирования государства;

- Возможные последствия утраты конфиденциальности, целостности или доступности информации;

- Потенциальные угрозы, связанные с кибератаками или другими инцидентами.

Идентификация требует тщательного анализа текущих процессов и оценки их зависимости от цифровой инфраструктуры. Это включает сбор данных о конфигурации систем, используемых технологиях и их роли в бизнес-процессах.

2. Оценка значимости

Согласно ПП РФ от 8 февраля 2018 г. N 127 "Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений".

Выделяется 5 критериев:

• Социальная значимость

• Политическая значимость

• Экономическая значимость

• Экологическая значимость

• Значимость для обеспечения обороны страны, безопасности государства и правопорядка

3. Присвоение категории значимости

Категорирование объектов критической информационной инфраструктуры (КИИ) в Российской Федерации регулируется Федеральным законом от 26 июля 2017 года № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"  и Постановлением Правительства РФ от 8 февраля 2018 года № 127 "Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений".

Категории значимости объектов КИИ:

Согласно статье 7 Федерального закона № 187-ФЗ, устанавливаются три категории значимости объектов КИИ:

1. Первая категория — наивысшая значимость;

2. Вторая категория — средняя значимость;

3. Третья категория — наименьшая значимость.

Если объект КИИ не соответствует критериям значимости, ему не присваивается ни одна из указанных категорий.

4. Утверждение и регистрация

Результаты категорирования утверждаются в установленном порядке, и данные о категорированных объектах заносятся в реестр значимых объектов критической информационной инфраструктуры Российской Федерации. Этот этап обеспечивает формальную фиксацию значимости объекта и закрепляет за ним определенные обязательства по обеспечению безопасности.

Обновление категории

Категории значимости объектов КИИ подлежат проверке не реже чем один раз в 5 лет, а также в случае изменения показателей критериев значимости объектов критической информационной инфраструктуры или их значений осуществляет пересмотр установленных категорий значимости или решений об отсутствии необходимости присвоения указанным объектам таких категорий.

Алгоритм категорирования объектов критической информационной инфраструктуры (КИИ)

Категорирование объектов КИИ проводится в соответствии с Федеральным законом № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"  и Постановлением Правительства РФ № 127. Процесс включает несколько этапов:

Этап 1. Определение принадлежности организации к субъектам КИИ

• Анализируем сферу деятельности организации: она должна относиться к одной из отраслей, указанных в статье 2 № 187-ФЗ (энергетика, транспорт, здравоохранение, связь и др.).

• Проверяем, использует ли организация информационные системы, автоматизированные системы управления или телекоммуникационные сети, значимые для ее функционирования.

 Этап 2. Определение ключевых процессов организации

• Составляем перечень всех процессов организации (например, управленческие, производственные, финансово-экономические, технологические).

• Выделяем критические процессы, нарушение которых может привести к существенным последствиям.

Этап 3. Определение объектов, задействованных в критических процессах

• Идентифицируем объекты, которые:

• обрабатывают информацию, необходимую для выполнения критических процессов,

• осуществляют управление, контроль или мониторинг таких процессов.

Этап 4. Оценка значимости объектов КИИ

• Анализируем объекты по перечню показателей критериев значимости из ПП № 127.

• Определяем категорию значимости объекта (первая, вторая или третья) на основании таких критериев, как:

• возможные социальные последствия,

• экономический ущерб,

• влияние на безопасность государства,

• экологический ущерб.

• Если объект не соответствует установленным критериям, он не подлежит категорированию.

Этап 5. Формирование акта категорирования

• Документируем результаты анализа в Акте категорирования объектов КИИ.

• Направляем акт во ФСТЭК России в установленные сроки.

Дополнительно

• Регулярно пересматриваем категорию значимости объектов в случае изменения процессов или инфраструктуры.

• Внедряем меры защиты информации в соответствии с установленной категорией объекта.

Этот алгоритм позволяет субъектам КИИ корректно выполнить категорирование своих объектов и соблюдать требования законодательства в области безопасности КИИ.

 Значение категорирования для обеспечения безопасности

Правильное присвоение категории объекту КИИ и построение соответствующей категории системы защиты ОКИИ позволяет:

• Определить приоритетные направления обеспечения защиты объектов;

• Рационально распределять ресурсы на безопасность;

• Минимизировать последствия инцидентов, связанных с утратой функционирования объектов КИИ;

• Сформировать эффективную систему мониторинга и реагирования на угрозы.

Эти преимущества способствуют формированию устойчивой инфраструктуры, способной противостоять как текущим, так и будущим вызовам.

Категорирование объектов КИИ — это фундаментальный процесс, который обеспечивает основу для их защиты. В условиях возрастающей зависимости от цифровых технологий и увеличения числа киберугроз, Системный подход к защите ОКИИ становится залогом устойчивого функционирования государства и общества. Эффективная реализация процесса требует слаженной работы всех заинтересованных сторон, регулярного обновления методик и инструментов, а также строгого соблюдения нормативных требований.

Комплексный подход к защите ОКИИ позволяет не только повысить уровень безопасности, но и улучшить управление рисками, способствуя устойчивому развитию цифровой экономики.