Категорирование КИИ для научных предприятий

Основной вывод: Процесс категорирования критической информационной инфраструктуры (КИИ) является не просто административным требованием, а стратегической необходимостью для всех научных организаций России – от институтов РАН и федеральных университетов до научных центров федерального значения и отраслевых НИИ. Правильное определение категорий КИИ позволяет организациям соответствовать требованиям Федерального закона № 187-ФЗ, защитить критически важные данные исследований и обеспечить непрерывность научной деятельности при кибератаках.​

Три категории значимости: сравнение, различия и требования

 

Присвоение категории зависит от того, какие последствия может вызвать нарушение функционирования объекта КИИ. Категория I присваивается объектам с максимальной критичностью, прекращение работы которых может привести к социальному кризису, экономическому коллапсу или угрозе национальной безопасности. Категория IIприсваивается объектам высокой важности, нарушение которых вызывает существенные последствия на уровне региона. Категория III присваивается значимым объектам, локальные последствия от которых существенны для конкретной организации.​

Для научных организаций типичным случаем является присвоение объектам, хранящим уникальные научные данные и управляющим дорогостоящим оборудованием, категории II или категории III, поскольку их выход из строя наносит серьёзный ущерб исследовательской деятельности.​

---

ПОЛУЧИТЕ БЕСПЛАТНЫЙ АНАЛИЗ ВАШЕЙ ИТ-ИНФРАСТРУКТУРЫ

Специалисты нашей компании определят, какие объекты вашей организации подлежат категорированию и предварительно оценят их категории. Оставьте контактные данные и получите результаты анализа в течение 5 рабочих дней.

---

Критерии оценки при категорировании КИИ в научных организациях

Процесс оценки базируется на пяти основных критериях значимости:​

Социальная значимость

Оценивается возможный ущерб жизни и здоровью людей, а также возможность прекращения или нарушения функционирования объектов жизнедеятельности населения. Для научных организаций это может быть связано с потерей доступа к важным исследованиям в области медицины, ядерной энергетики, безопасности пищевых продуктов и других критических направлений. Например, прекращение работы системы хранения данных в медицинском институте РАН может привести к невозможности продолжения жизненно важных исследований.​

Политическая значимость

Оценивается возможный ущерб интересам Российской Федерации во внутренней и внешней политике. Для организаций федерального уровня, таких как ведущие институты РАН и федеральные университеты, это означает, что компрометация международных научных проектов или утечка информации о государственных научных инициативах может иметь политические последствия.​

Экономическая значимость

Оценивается возможный прямой и косвенный ущерб субъектам КИИ и государственному бюджету. Потеря данных многолетних исследований, остановка работы вычислительных центров, невозможность использования уникального оборудования – всё это несёт значительный экономический ущерб.​

Экологическая значимость

Оценивается уровень воздействия на окружающую среду. Для научных организаций, занимающихся экологическими исследованиями и мониторингом, нарушение систем сбора и анализа данных может привести к невозможности отслеживания экологических проблем.​

Значимость для обеспечения обороны страны, безопасности государства и правопорядка

Оценивается влияние на функционирование государственной системы безопасности. Для оборонных НИИ и конструкторских бюро это критерий часто является определяющим при категорировании.​

 

Типичные объекты КИИ в научных учреждениях

Различные типы научных организаций имеют разные наборы объектов КИИ:

 

 

Курчатовский национальный исследовательский центр и подобные научные центры федерального значения имеют особенно сложную инфраструктуру с множеством критических систем. Их объекты КИИ включают системы управления ядерными установками, комплексы обработки больших объёмов данных, системы управления экспериментальным оборудованием стоимостью в десятки миллионов долларов.​

Центральный аэродинамический институт (ЦАГИ) и подобные организации имеют критические системы управления аэродинамическими трубами и обработки результатов экспериментов, которые требуют категорирования как системы управления экспериментами категории I или II.

Федеральные университеты (МГУ, СПбГУ и другие) содержат системы управления доступом студентов и сотрудников, библиотечные системы со сведениями об учебных и научных ресурсах, системы хранения данных исследований, которые подлежат категорированию.

Отраслевые НИИ и конструкторские бюра обычно сосредоточены на узкой специализации, поэтому их основные объекты КИИ связаны непосредственно с профилем деятельности – это системы моделирования, системы управления проектированием, системы коммуникации с головной организацией.

---

СКАЧАЙТЕ ЧЕКЛИСТ КАТЕГОРИРОВАНИЯ КИИ ДЛЯ ВАШЕЙ ОРГАНИЗАЦИИ

Помните: неправильное категорирование может привести к штрафам до 100 тысяч рублей для организации и 20 тысяч рублей для должностного лица. Убедитесь, что ваша организация полностью соответствует требованиям ФСТЭК. Заполните форму ниже и получите бесплатный чеклист.

Этапы процесса категорирования КИИ для научных организаций

Процедура категорирования состоит из восьми последовательных этапов:​

 

 

Первый этап: Создание постоянно действующей комиссии

Комиссия по категорированию должна быть создана приказом руководителя организации. В состав комиссии входят:​

• Руководитель организации или уполномоченное им лицо (председатель);

• Специалисты в области деятельности организации (представители научных подразделений);

• Специалисты в области ИТ и связи (системные администраторы, инженеры);

• Специалисты по технологической и промышленной безопасности (для научных центров с опасным оборудованием);

• Специалисты по информационной безопасности;

• Работники подразделения защиты государственной тайны (для организаций с классификацией);

• Работники подразделения гражданской обороны и защиты от чрезвычайных ситуаций.

Второй этап: Определение критических процессов

Комиссия анализирует все бизнес-процессы организации и выявляет те, чьё прекращение или нарушение может привести к негативным последствиям. Для научных организаций критическими процессами являются:​

• Проведение исследований и экспериментов;

• Хранение и обработка уникальных научных данных;

• Управление уникальным научным оборудованием;

• Обмен информацией с внешними научными организациями;

• Подготовка научных публикаций и отчётов;

• Обеспечение доступа исследователей к ресурсам.

Третий этап: Формирование перечня объектов КИИ

На основе выявленных критических процессов комиссия определяет информационные системы, автоматизированные системы управления и сети, которые их поддерживают. Этот перечень должен включать все системы, а не только те, которые будут признаны значимыми после оценки критериев.​

Четвёртый этап: Анализ угроз безопасности и моделирование рисков

Комиссия проводит анализ возможных действий нарушителей в отношении объектов КИИ, определяет уязвимости и вероятность их реализации. Используется Банк данных угроз безопасности ФСТЭК (bdu.fstec.ru).​

Пятый этап: Оценка показателей критериев значимости

Комиссия оценивает каждый объект КИИ по пяти критериям значимости с использованием экспертных мнений. Категория присваивается по наивысшему значению одного из критериев.​

Шестой этап: Присвоение категории значимости

На основе результатов оценки каждому объекту присваивается одна из трёх категорий значимости либо принимается решение об отсутствии необходимости присвоения категории.​

Седьмой этап: Составление акта категорирования

Акт должен содержать:​

• Сведения о субъекте КИИ;

• Перечень объектов КИИ;

• Описание критических процессов;

• Анализ угроз для каждого объекта;

• Результаты оценки по критериям значимости;

• Присвоенные категории;

• Подписи членов комиссии;

• Утверждение руководителя организации.

Восьмой этап: Направление результатов во ФСТЭК России

Сведения о результатах категорирования в форме, установленной Приказом ФСТЭК № 236, должны быть направлены во ФСТЭК в течение 10 календарных дней со дня утверждения акта.​

---

ЗАКАЗИТЕ ПРОФЕССИОНАЛЬНОЕ КАТЕГОРИРОВАНИЕ КИИ

Не уверены в правильности проведённого категорирования? Наша компания имеет опыт категорирования КИИ более чем в 150 научных организациях. Мы проведём полный аудит, выявим пропущенные объекты и обеспечим соответствие всем требованиям ФСТЭК. Оставьте заявку прямо сейчас!

---

Требования по защите информации в зависимости от категории КИИ

Каждой категории соответствуют определённые требования по защите, изложенные в Приказе ФСТЭК № 239:

 

 

Научные организации должны понимать, что приказ ФСТЭК № 239 устанавливает минимальные требования. Организация может выбрать более строгие меры, если это обоснованно модель угроз. Кроме того, если на объекте КИИ обрабатываются персональные данные, дополнительно применяются требования по защите персональных данных.​

Размер экономического ущерба и последствия инцидентов на КИИ научных организаций

Нарушение функционирования КИИ может привести к серьёзным финансовым потерям. Расчёт экономического ущерба проводится экспертным методом на основе анализа:​

• Потери от прекращения или нарушения критических процессов;

• Время восстановления функционирования (от нескольких часов до нескольких недель);

• Прибыль организации за последние 5 лет;

• Стоимость оборудования и потерянных данных.

Примеры потенциального ущерба:​

• Потеря многолетних исследований: утечка или шифрование данных многолетних исследований может привести к ущербу в 10-100 млн рублей;

• Остановка уникального оборудования: невозможность использования установок, стоящих десятки миллионов долларов, на срок 1 месяца означает потерю 50+ млн рублей;

• Нарушение сроков научных проектов: задержка на 6 месяцев может привести к потере грантов и ущербу в 20-50 млн рублей;

• Утечка интеллектуальной собственности: разглашение результатов исследований конкурентам может привести к потере возможности получения патентов стоимостью 100+ млн рублей.

Кроме того, за нарушение требований законодательства по КИИ предусмотрена ответственность:​

• Административная ответственность: штраф для должностных лиц до 20 000 рублей, для организаций до 100 000 рублей;

• Уголовная ответственность (ст. 274.1 УК РФ): за создание и распространение вредоноса для КИИ – от 1 до 10 лет лишения свободы в зависимости от тяжести последствий.​

Угрозы и риски для КИИ научных организаций

Научные организации сталкиваются с специфическими угрозами:​

Киберпреступные группировки

18% атак на КИИ проводятся высокопрофессиональными группировками, которые используют сложные инструменты, в том числе 0-day уязвимости и ранее внедрённые закладки. Целевые атаки часто начинаются с тщательного изучения организации и её подрядчиков.​

DDoS-атаки

Распределённые атаки отказа в обслуживании остаются одной из наиболее распространённых угроз для объектов КИИ. Они перегружают серверы и сетевые каналы массивными запросами, делая системы недоступными.​

Фишинг и социальная инженерия

60% атак на ИТ-инфраструктуру начинаются с целевого фишинга. Злоумышленники отправляют поддельные письма, выдавая себя за авторитетные источники, для получения учётных данных сотрудников.​

Эксплуатация уязвимостей

Около трети организаций-владельцев КИИ имеют в инфраструктуре уязвимые ресурсы из-за использования зарубежного ПО без технической поддержки и обновлений.​

Внутренние угрозы

Недобросовестные сотрудники или контрактные специалисты могут иметь доступ к критическим системам и данным.​

---

ЗАЩИТИТЕ ВАШУ НАУЧНУЮ ОРГАНИЗАЦИЮ ПРЯМО СЕЙЧАС

Проведённое категорирование КИИ – это только первый шаг. Второй шаг – внедрение мер защиты согласно требованиям Приказа ФСТЭК № 239. Наша компания предлагает полный спектр услуг по информационной безопасности для научных организаций. Оставьте заявку и получите бесплатную консультацию о состоянии безопасности вашей инфраструктуры.

---

Практические рекомендации для НИИ и конструкторских бюро

Для эффективного выполнения требований по категорированию КИИ научные организации должны:​

1. Назначить ответственное лицо

Руководитель должен назначить ответственного за координацию процесса категорирования – это может быть начальник отдела информационной безопасности или главный инженер.

2. Составить локальные нормативные акты

Разработать и утвердить:

• Положение о комиссии по категорированию;

• План работы комиссии;

• Регламент проведения категорирования.

3. Провести инвентаризацию

Составить полный перечень всех информационных систем, сетей и АСУ, используемых организацией.

4. Определить критические процессы

Совместно с руководителями подразделений выявить процессы, критичные для деятельности организации.

5. Провести анализ угроз

Использовать Банк данных угроз ФСТЭК и учитывать специфику научной деятельности.

6. Документировать результаты

Подготовить подробный акт категорирования со всеми необходимыми приложениями.

7. Направить сведения во ФСТЭК

Не забыть про срок – 10 дней с момента утверждения акта.

8. Обновлять категорирование

Проводить переоценку не реже чем один раз в 5 лет, а также при существенных изменениях в инфраструктуре.​

Заключение: Почему профессиональное категорирование КИИ – это инвестиция в безопасность

Процесс категорирования критической информационной инфраструктуры для научных организаций – это не просто выполнение административного требования, это стратегический шаг по защите интеллектуального капитала, обеспечению непрерывности исследовательской деятельности и соответствию федеральному законодательству. Правильное категорирование позволяет организации:​

• Определить приоритеты защиты и распределить ресурсы эффективно;

• Избежать штрафов и санкций со стороны надзорных органов;

• Защитить уникальные научные данные от кибератак и утечек;

• Обеспечить непрерывность научной деятельности даже при возникновении инцидентов;

• Повысить доверие партнёров и гранодателей к организации.

Для организаций типа РАН, МГУ, СПбГУ, Курчатовского института, ЦАГИ и отраслевых НИИ категорирование КИИ – это не опциональная активность, а обязательный элемент системы управления информационной безопасностью. Игнорирование этого требования может привести не только к штрафам, но и к потере критически важных научных данных.​

---

ПОЛУЧИТЕ ПРОФЕССИОНАЛЬНУЮ ПОМОЩЬ ПРЯМО СЕЙЧАС

Наша компания специализируется на категорировании КИИ для научных организаций. Мы имеем опыт работы с РАН, федеральными университетами, научными центрами и отраслевыми НИИ. Свяжитесь с нами для получения бесплатной консультации и расчёта стоимости услуг категорирования.

Телефон: 88007070144

Email: info@sertifikat.bz

Заполните форму ниже и получите ответ от специалиста в течение 24 часов: