Самопроверка, план действий и пояснения к сбору исходных данных.
Типовой учебный сценарий. Не является описанием реальной организации.Исходные данныеПромышленное предприятие использует корпоративные ИС, производственные АСУ и сетевую инфраструктуру. Для первичной проверки нельзя считать всё предприятие одним объектом.Шаг 1. Разделение по функциямКорпоративные сервисы,…
Типовой учебный сценарий. Не является описанием реального оператора связи.Исходная ситуацияОрганизация эксплуатирует несколько сетей и информационных компонентов, обеспечивающих разные сервисы. Один сервис может зависеть от нескольких систем.Что анализироватьСначала фиксируются функции, границы сети или системы, точки…
Типовой учебный сценарий. Не является описанием конкретной медицинской организации.Исходная ситуацияМедицинская организация использует медицинскую информационную систему, интеграции и внутренние сервисы. Наличие медицинских данных само по себе не является достаточным основанием для квалификации системы как объекта…
Типовой учебный сценарий. Не является описанием реального инцидента.СитуацияНа значимом объекте обнаружено нарушение доступности сервиса. Для анализа важно не ограничиться фактом простоя, а установить событие, его границы, последствия и затронутые компоненты.Что фиксироватьвремя обнаружения и восстановления;затронутый…
Типовой учебный сценарий. Не является описанием реальной организации.ТриггерОрганизация модернизирует значимый объект: заменяет компоненты, меняет архитектуру или технологический процесс.Первый вопросНужно определить, изменилась ли функция объекта и его границы. Если изменился только внутренний компонент без влияния…
Исходная ситуацияМодельная организация выполняет функции, относящиеся более чем к одной сфере, и использует несколько информационных систем. Часть систем обслуживает общий корпоративный контур, часть — специализированные процессы.Ошибка, которую нельзя допускатьНельзя делать единый вывод обо всей инфраструктуре только…
Нормативная рамкаДля первичной квалификации необходимо исходить из Федерального закона № 187-ФЗ, прежде всего из его положений о сфере действия, субъектах и объектах КИИ. После из…
Как читать 187-ФЗ без упрощений, искажающих смыслКИИ — не синоним любой важной ИТ-системы. Закон регулирует безопасность критической информационной инфраструктуры и связывает её с…
Разграничение ответственностиСубъект КИИ — носитель установленных законом обязанностей. Объект КИИ — конкретная информационная система, информационно-телекоммуникационная сеть или…
Почему сфера определяется не только по ОКВЭДКлассификатор вида деятельности может быть полезен для навигации, но юридический вывод требует анализа фактических функций организации …
Почему нельзя автоматически считать государственный орган субъектом КИИОрганизационно-правовой статус сам по себе не заменяет проверку условий применения 187-ФЗ. Для государственн…
Организационная форма не определяет статус автоматическиРоссийское юридическое лицо может использовать критическую инфраструктуру, но само наличие статуса юридического лица не озн…
