Создание систем безопасности значимых объектов КИИ

Юрий Подгорбунский, Security Vision

Что есть система безопасности?

Система безопасности – это организованная совокупность сил, средств, методов и мероприятий, направленных на защиту информации от несанкционированного доступа, использования, раскрытия, искажения, блокирования или уничтожения.

Системы безопасности создаются субъектами критической информационной инфраструктуры (далее – субъекты КИИ) и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение информационной безопасности.

Субъектами КИИ являются различные государственные организации и предприятия, юридические лица Российской Федерации, которым на праве собственности или аренды принадлежать объекты критической информационной инфраструктуры (далее – объекты КИИ).

В свою очередь, к объектам КИИ относятся:

• автоматизированные системы управления (далее – АСУ)

• информационные системы (далее – ИС)

• и информационно-телекоммуникационные сети (далее – ИТКС)

которые на законном основании принадлежат субъектам КИИ.

Для чего необходимо создание систем безопасности?

Целью создания систем безопасности является обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры (далее – значимые объекты КИИ) при проведении в отношении них компьютерных атак.

Почему системы безопасности должны быть созданы для значимых объектов КИИ? Начнем с того, что предварительно, чтобы объект КИИ стал значимым, проводится категорирование таких объектов – в результате процедуры они делятся на значимые и объекты, которым не присваивается категория значимости. И далее к значимым объектам КИИ предъявляются различные требования безопасности, в частности, создание систем безопасности, а объекты, которым не присваивается данная категория, остаются на откуп субъекта КИИ – т.е. организации.

Итак, значимыми объектами КИИ являются объекты КИИ, которым присвоена одна из категорий значимости и которые включены в реестр значимых объектов КИИ ФСТЭК России.

Компьютерная атака – это целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты КИИ, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации.

Системы безопасности включают силы обеспечения безопасности значимых объектов КИИ и используемые ими средства обеспечения безопасности значимых объектов КИИ.

Силы обеспечения безопасности

К силам обеспечения безопасности значимых объектов КИИ относятся:

• подразделения (работники) ответственные за обеспечение безопасности значимых объектов КИИ;

• подразделения (работники), эксплуатирующие значимые объекты КИИ;

• подразделения (работники), обеспечивающие функционирование (сопровождение, обслуживание, ремонт) значимых объектов КИИ;

• при необходимости, иные подразделения (работники), участвующие в обеспечении безопасности значимых объектов КИИ.

Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции:

• разрабатывать предложения по совершенствованию организационно-распорядительной документации (далее – ОРД) по безопасности значимых объектов и представлять их руководителю организации или назначенному ответственному лицу;

• проводить анализ угроз безопасности информации (где-то звучит как оценка угроз, в сущности, это проведение моделирования угроз, и ориентироваться необходимо на методический документ – Методика оценки угроз безопасности информации ФСТЭК России) в отношении значимых объектов КИИ, а также выявлять уязвимости в них;

• обеспечивать реализацию требований по обеспечению безопасности значимых объектов КИИ, исходя из определенных категорий значимости:

• планирование, разработка, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов КИИ – тут требование уже похоже на полноценную систему управления информационной безопасностью;

• принятие организационных и технических мер для обеспечения безопасности значимых объектов КИИ;

• установление параметров и характеристик программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов КИИ;

• обеспечивать в соответствии с требованиями по безопасности реализацию организационных мер и применение средств защиты информации, эксплуатацию средств защиты информации;

• осуществлять реагирование на компьютерные инциденты в порядке, установленном в соответствии с приказом ФСБ России от 25.12.2025 № 547 «Об утверждении Порядка информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов КИИ РФ и иных информационных ресурсов Российской Федерации, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;

• организовывать проведение оценки соответствия значимых КИИ требованиям по безопасности;

• готовить предложения по совершенствованию функционирования систем безопасности, а также по повышению уровня безопасности значимых объектов КИИ.

Средства обеспечения информационной безопасности

К средствам обеспечения безопасности значимых объектов КИИ относятся программные и программно-аппаратные средства, применяемые для обеспечения безопасности значимых объектов КИИ.

Для обеспечения безопасности значимых объектов КИИ должны применяться сертифицированные на соответствие требованиям по безопасности средства защиты информации (далее – СЗИ) или средства, прошедшие оценку соответствия в форме испытаний или приемки в соответствии с Федеральным законом от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» (далее 184-ФЗ).

Сертифицированные СЗИ применяются в случаях, установленных законодательством Российской Федерации (необходимо понимать, когда должны использоваться только сертифицированные средства), а также в случае принятия решения субъектом КИИ.

То есть если нет явного указания для использования сертифицированных СЗИ, можно на основании 184-ФЗ провести самостоятельно оценку соответствия в форме испытаний, но при этом необходимо обладать некими знаниями или привлечь организацию, имеющую лицензию на техническую защиту конфиденциальной информации.

Важно учитывать, что применяемые СЗИ должны быть обеспечены технической поддержкой со стороны разработчиков (производителей) и что после прекращения поддержки со временем будут появляться уязвимости – особенно критичные, никто не будет их исправлять, и это будет являться брешью в безопасности. А если пока нельзя просто отказаться от СЗИ, у которых поддержка закончилась? В этом случае должны быть реализованы организационные и технические меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации.

При выборе СЗИ должно учитываться возможное наличие ограничений со стороны разработчиков (производителей) или иных лиц на применение этих средств на любом из принадлежащих субъекту КИИ значимых объектов КИИ.

Порядок применения СЗИ определяется субъектом КИИ в ОРД по безопасности значимых объектов с учетом особенностей деятельности субъекта КИИ.

Документация в системе безопасности

Для того, чтобы силы понимали, что делать в той или иной ситуации, необходимо разработать ОРД, регламентирующую правила, процессы и процедуры по безопасности значимых объектов КИИ.

Итак, мы понимаем, без ОРД любая система безопасности или система информационной безопасности далеко не уедет, силы будут «плавать», то есть не будут понимать, что им делать. Поэтому ОРД разрабатывать необходимо, и как правило собственными силами (руководителем и специалистами по информационной безопасности) в организации.

С хорошей ОРД и выстроенными процессами безопасности, но без средств ее обеспечения тоже не очень, и тут выходит, что система безопасности должна выстраиваться комплексно: силы, процессы и средства, и без этого никак.

Чтобы не плодить большое количество ОРД, которая может быть общая по информационной безопасности, относящаяся к безопасности значимых объектов КИИ или защите персональных данных, необходимо сформировать все требования по ИБ, относящиеся к организации, и определить те документы, которые необходимы и закрывают общие требования, а все остальные будут индивидуальные. Таким образом, можно сократить одинаковые документы (оптимизировать). Например, зачем нужны две частных политики по антивирусной защите для объектов КИИ и информационных систем персональных данных? Суть ведь не в количестве ОРД и объеме листов, а в их качестве, лаконичности и актуальности.

Документация по безопасности значимых объектов утверждаются руководителем организации или ответственным лицом. По решению руководителя отдельные ОРД по безопасности значимых объектов могут утверждаться иными уполномоченными на это лицами в организации.

Вот что важно – состав и формы ОРД (которых нет от регулятора) по безопасности значимых объектов определяются субъектом КИИ с учетом особенностей его деятельности – для многих организаций и специалистов по безопасности это непростая задача.

Система информационной безопасности

Система безопасности должна обеспечивать:

• предотвращение неправомерного доступа к информации, обрабатываемой значимыми объектами КИИ, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;

• недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимых объектов КИИ;

• восстановление функционирования значимых объектов КИИ, в том числе за счет создания и хранения резервных копий необходимой для этого информации;

• непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее – ГосСОПКА) в случае атак или инцидентов на значимых и не только объектах КИИ, а также получения рекомендации и бюллетеней безопасности.

Что является информационными ресурсами Российской Федерации в данном контексте? Информация, данные, базы данных – нет! Информационные ресурсы Российской Федерации – это АСУ, ИС, ИТКС (объекты КИИ), находящиеся на территории РФ.

В вышеуказанном требовании по непрерывному взаимодействию с ГосСОПКА используются программные или программно-аппаратные средства, например, продукт Security Vision ГосСОПКА, который позволяет:

• интегрироваться по управлению компьютерными инцидентами с Security Orchestration, Automation and Response (Security Vision SOAR), мониторингом событий информационной безопасности - Security Information and Event Management (Security Vision SIEM) и управления услугами информационных технологий, автоматизации сервисных заявок (ITSM/SD) для двухстороннего обмена с ГосСОПКА (НКЦКИ);

• принимать информационные сообщения и бюллетени от НКЦКИ;

• отправлять инциденты по форме регулятора для выполнения требований законодательства (автоматически или в ручном режиме по «кнопке»).

Взаимодействие Security Vision ГосСОПКА с инфраструктурой ГосСОПКА осуществляется через интеграцию с личным кабинетом субъекта ГосСОПКА посредством Application Programming Interface (API).

За этими вышеуказанными требованиями к системе безопасности стоит очень большая работа как в подготовке, так и в эксплуатации – это огромный процесс, а не одноразовая задача. Ниже рассмотрим немного подробнее.

Процессы информационной безопасности

В рамках функционирования системы безопасности организацией должны быть внедрены следующие процессы:

• планирование и разработка мероприятий по обеспечению безопасности значимых объектов КИИ;

• реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов КИИ;

• контроль состояния безопасности значимых объектов КИИ;

• совершенствование безопасности значимых объектов КИИ.

Исходя из вышеуказанных процессов в рамках системы безопасности, мы приходим к системе управления информационной безопасностью.

Для эффективного управления ИБ, например, может подойти продукт Governance, входящий в состав Security Vision SGRC, который обеспечивает комплексный подход:

• формирование перечня ключевых ролей по управлению ИБ;

• определение организационного контекста организации, который включает область действия ИБ, а также внешних и внутренних заинтересованных сторон;

• формирование стратегии кибербезопасности (при необходимости);

• определение процессов управления ИБ;

• формирование политик и процедур ИБ;

• планирование мероприятий по реализации организационных и технических мер ИБ;

• контроль выполнения задач и мероприятий по ИБ;

• улучшение процессов и процедур управления ИБ;

• оценку текущего и целевого состояние ИБ.

На рисунке ниже представлен дашборд продукта Security Vision Governance.

Планирование

Назначить ответственных на ключевые роли по информационной безопасности.

Провести анализ текущего состояния безопасности значимых объектов КИИ, и после этого уже можно переходить к планированию мероприятий по обеспечению безопасности.

В рамках планирования мероприятий по обеспечению безопасности значимых объектов КИИ осуществляются разработка и утверждение ежегодного плана мероприятий по обеспечению безопасности значимых объектов КИИ (далее – план мероприятий).

План мероприятий разрабатывается структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты КИИ, и подразделений (работников), обеспечивающих функционирование значимых объектов КИИ.

В план мероприятий должны включаться мероприятия по обеспечению безопасности значимых объектов КИИ, функционирующих в обособленных подразделениях (филиалах, представительствах) организации.

План мероприятий должен содержать наименования мероприятий по обеспечению безопасности значимых объектов КИИ, сроки их выполнения, наименования подразделений (работников), ответственных за реализацию каждого мероприятия. Этот план утверждается руководителем организации или уполномоченным им лицом и доводится до подразделений (работников) в части, их касающейся.

В подразделениях, эксплуатирующих значимые объекты КИИ, и подразделениях, обеспечивающих функционирование значимых объектов КИИ, на основе утвержденного плана мероприятий могут разрабатываться соответствующие отдельные планы мероприятий.

А также в процессе планирования необходимо разработать основную часть ОРД по безопасности значимых объектов, которая должна определять:

• цели и задачи обеспечения безопасности значимых объектов КИИ;

• состав и структуру системы безопасности и функции ее участников;

• основные организационные и технические мероприятия по обеспечению безопасности значимых объектов КИИ, проводимые в организации;

• порядок реагирования на компьютерные инциденты;

• порядок повышения осведомленности в части информационной безопасности.

Цели и задачи устанавливаются в основной политике безопасности значимых объектов КИИ, частных политиках по определенным направлениям безопасности значимых объектов КИИ, а также в другой ОРД.

Определение угроз и актуальных нарушителей безопасности информации осуществляется при моделировании угроз.

Оценку угроз безопасности информации можно проводить с помощью продукта Security Vision КИИ, который позволяет:

• формировать объект КИИ из объектов воздействия и компонентов;

• использовать несколько подходов моделирования угроз;

• по итогам формировать модель угроз безопасности информации в соответствии с методическим документом ФСТЭК России.

Реализация

Реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов КИИ является результатом выполнения плана мероприятий и осуществляется, в том числе в соответствии с ОРД по безопасности значимых объектов.

В ходе реализации мероприятий по обеспечению безопасности значимых объектов должны приниматься организационные меры и (или) внедряться СЗИ на значимых объектах КИИ, направленные на блокирование (нейтрализацию) угроз безопасности информации.

Результаты реализации мероприятий по обеспечению безопасности значимых объектов КИИ подлежат документированию в порядке, установленном организацией в ОРД по безопасности значимых объектов.

Контроль

В рамках контроля состояния безопасности значимых объектов КИИ должен осуществляться внутренний контроль организации работ по обеспечению безопасности значимых объектов КИИ и эффективности принимаемых организационных и технических мер.

Контроль проводится комиссией, назначаемой в организации. В состав комиссии включаются работники структурного подразделения по безопасности, специалисты по безопасности, работники подразделений, эксплуатирующих значимые объекты КИИ, и подразделений, обеспечивающих функционирование значимых объектов КИИ. По решению ответственных лиц в состав комиссии могут включаться работники иных подразделений организации.

Для оценки эффективности принятых организационных и технических мер по обеспечению безопасности значимых объектов КИИ могут применяться средства контроля (анализа) защищенности.

Результаты контроля оформляются актом, который подписывается членами комиссии и утверждается руководителем организации или ответственным лицом.

Также контроль осуществляется за выполнением плана мероприятий. Структурное подразделение по безопасности, специалисты по безопасности ежегодно должны готовить отчет о выполнении плана мероприятий, который представляется руководителю организации или уполномоченному им лицу (например, заместителю руководителя по информационной безопасности).

Совершенствование

Структурное подразделение по безопасности и специалисты должны проводить анализ функционирования состояния безопасности значимых объектов КИИ, по результатам которого разрабатывать предложения по развитию и меры по совершенствованию системы безопасности значимых объектов КИИ.

Анализ функционирования системы безопасности, а также разработка предложений по совершенствованию безопасности значимых объектов КИИ осуществляются структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты КИИ, и подразделений (работников), обеспечивающих функционирование значимых объектов КИИ.

Предложения по совершенствованию представляются руководителю организации или ответственному лицу.

И поскольку используется процессный подход в системах безопасности (значимых объектов КИИ) и не только, результаты процессов «Реализация и Контроль» переходят в процесс «Совершенствования» для анализа процессов и процедур ИБ в целях улучшения и эффективности системы безопасности, а соответственно результаты процесса «Совершенствования» идут на вход «Планирование» – как круговорот воды в природе!