С чего начинается работа субъекта КИИ
После установления применимости законодательства о критической информационной инфраструктуре работу удобно разделить на несколько самостоятельных потоков: выявление потенциальных объектов, категорирование, выполнение требований к значимым объектам и организация предусмотренных законом процедур взаимодействия с уполномоченными органами. Конкретный набор действий зависит от фактической инфраструктуры и статуса объектов.
Не смешивать организационный и технический уровни
Субъект КИИ — это организация или иной носитель обязанностей в смысле применимого регулирования. Объект КИИ — конкретная система, сеть или автоматизированная система управления, которая анализируется в рамках установленных процедур. Поэтому внутренний план работ должен отдельно содержать организационные решения и действия по каждому объекту.
Практическая карта работ
- зафиксировать сферу деятельности и фактические процессы;
- составить перечень информационных систем, сетей и АСУ, участвующих в соответствующих процессах;
- выявить потенциальные объекты и документировать основания включения или исключения;
- провести категорирование в установленном порядке;
- для значимых объектов организовать выполнение требований безопасности и связанных процедур;
- вести контроль изменений инфраструктуры и нормативной базы.
Контроль изменений
Работу нельзя считать законченной навсегда. При изменении архитектуры, назначения системы, технологического процесса или применимого регулирования необходимо проверить, влияет ли изменение на ранее сделанные выводы.
Источники
Базовая правовая основа — 187-ФЗ. Для категорирования применяется ПП РФ №127. Конкретные требования к значимым объектам устанавливаются применимыми ведомственными актами.
Что должно остаться в рабочем деле
Для каждого существенного вывода должны быть сохранены исходные факты, использованные нормы, дата проверки и ответственное лицо. Это позволяет повторить анализ после изменений.