Перечень объектов КИИ

Объекты КИИ — это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъекта КИИ, то есть организации из перечисленных в ст. 2 закона 187-ФЗ сфер: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера, топливно-энергетический комплекс, атомная энергия, оборонная промышленность, горнодобывающая, металлургическая и химическая промышленность.

На практике это могут быть системы биллинга, диспетчерские системы, системы управления технологическими процессами, банковские платёжные системы, системы связи. Для обычной онлайн-школы или юридического сервиса, не относящегося к перечисленным сферам, объектов КИИ, как правило, нет вообще — это касается компаний иного профиля, работающих в критически значимых отраслях экономики.

Важный нюанс — статус объекта КИИ определяется не тем, что система «важна для бизнеса», а тем, относится ли сам субъект к перечисленным критическим сферам деятельности. Даже критически важная для компании CRM-система не станет объектом КИИ, если организация не входит ни в одну из отраслей, названных в законе.

Инвентаризация — процесс выявления всех информационных систем, сетей и АСУ, которые могут подпадать под определение объекта КИИ. Разумный порядок действий:

1. сформировать рабочую группу или комиссию, ответственную за инвентаризацию;
2. собрать сведения обо всех эксплуатируемых информационных системах, сетях, АСУ вместе с их назначением;
3. для каждой системы определить, обеспечивает ли она процессы, значимые для деятельности субъекта КИИ в рамках критической сферы;
4. исключить системы, не относящиеся к профильной деятельности организации в критической сфере — например, обычную корпоративную бухгалтерию, если она не встроена в технологический процесс;
5. зафиксировать итог в перечне с описанием каждой системы.

Инвентаризация — не разовое мероприятие: перечень нужно пересматривать при появлении новых систем или выводе старых из эксплуатации.

На этом же этапе полезно сразу зафиксировать, кто внутри организации владеет каждой системой — конкретное подразделение или должностное лицо. Это ускоряет дальнейшую работу комиссии по категорированию: не нужно заново выяснять, кто может дать содержательные пояснения по конкретному объекту и его технологическим особенностям.

Типовая структура перечня включает по каждому объекту:

• наименование информационной системы, сети или АСУ;
• назначение объекта и процессы, которые он обеспечивает;
• подразделение или должностное лицо, ответственное за эксплуатацию;
• сведения о взаимодействии объекта с сетями связи общего пользования;
• предварительную отметку о необходимости категорирования.

Перечень утверждается руководителем субъекта КИИ и служит основанием для дальнейшей процедуры категорирования — именно из перечня комиссия берёт список объектов, которые предстоит оценить на значимость.

Установленный законом порядок предусматривает направление сведений об объектах, подлежащих категорированию, в уполномоченный федеральный орган до начала самой процедуры категорирования. Это отдельный организационный шаг: регулятор должен знать, какие объекты субъект планирует оценивать, прежде чем получит итоговый акт категорирования.

Формат и сроки направления сведений определяются установленным порядком категорирования. Субъекту КИИ стоит вести учёт переписки с регулятором по этому вопросу — она может понадобиться при последующей проверке соблюдения процедуры.

Направление перечня — не разовая формальность, а точка синхронизации: если впоследствии организация меняет состав объектов КИИ (выводит систему из эксплуатации или вводит новую), уполномоченный орган должен получать актуальные сведения, а не работать с устаревшим перечнем многолетней давности.

При составлении перечня объектов КИИ регулятор в первую очередь обращает внимание на четыре типичные ошибки, которые выявляются при проверке в первую очередь.

• Наиболее распространённая ошибка - включение в перечень любых информационных систем компании без анализа их отношения к профильной критической деятельности. Это не только увеличивает объём формальной работы, но и размывает фокус защиты на объектах, которые реально значимы.
• Вторая ошибка - статичность перечня: организация составляет его один раз при выходе закона в силу и больше не обновляет, хотя за это время могли появиться новые системы или измениться архитектура существующих.
• Третья ошибка - рассинхронизация перечня объектов и акта категорирования, когда объект есть в одном документе, но отсутствует в другом.
• Четвёртая, менее очевидная ошибка - формальное описание объекта без указания реальных технологических связей с другими системами. Если перечень не показывает, как объект взаимодействует с сетью общего пользования и другими системами субъекта, комиссии по категорированию сложнее оценить реальный масштаб возможных последствий инцидента.