Реальные примеры, сценарии и результаты реализации требований 187-ФЗ на объектах КИИ.
Типовой учебный сценарий. Не является описанием реальной организации.Исходные данныеПромышленное предприятие использует корпоративные ИС, производственные АСУ и сетевую инфраструктуру. Для первичной проверки нельзя считать всё предприятие одним объектом.Шаг 1. Разделение по функциямКорпоративные сервисы,…
Типовой учебный сценарий. Не является описанием реального оператора связи.Исходная ситуацияОрганизация эксплуатирует несколько сетей и информационных компонентов, обеспечивающих разные сервисы. Один сервис может зависеть от нескольких систем.Что анализироватьСначала фиксируются функции, границы сети или системы, точки…
Типовой учебный сценарий. Не является описанием конкретной медицинской организации.Исходная ситуацияМедицинская организация использует медицинскую информационную систему, интеграции и внутренние сервисы. Наличие медицинских данных само по себе не является достаточным основанием для квалификации системы как объекта…
Исходная ситуацияМодельная организация выполняет функции, относящиеся более чем к одной сфере, и использует несколько информационных систем. Часть систем обслуживает общий корпоративный контур, часть — специализированные процессы.Ошибка, которую нельзя допускатьНельзя делать единый вывод обо всей инфраструктуре только…
Нормативная рамкаДля первичной квалификации необходимо исходить из Федерального закона № 187-ФЗ, прежде всего из его положений о сфере действия, субъектах и объектах КИИ. После изменений, внесённых Федеральным законом № 58-ФЗ и вступивших в силу с 1 сентября 2025 года, при выявлении объектов дополнительно необходимо…
Как читать 187-ФЗ без упрощений, искажающих смыслКИИ — не синоним любой важной ИТ-системы. Закон регулирует безопасность критической информационной инфраструктуры и связывает её с информационными системами, информационно-телекоммуникационными сетями и автоматизированными системами управления, функционирующими в…
Разграничение ответственностиСубъект КИИ — носитель установленных законом обязанностей. Объект КИИ — конкретная информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления, которая рассматривается в рамках процедуры выявления и категорирования. Эти понятия связаны, но не…
Почему сфера определяется не только по ОКВЭДКлассификатор вида деятельности может быть полезен для навигации, но юридический вывод требует анализа фактических функций организации и используемой инфраструктуры. После 1 сентября 2025 года при выявлении объектов особое значение имеют утверждённые перечни типовых…
Почему нельзя автоматически считать государственный орган субъектом КИИОрганизационно-правовой статус сам по себе не заменяет проверку условий применения 187-ФЗ. Для государственного органа или учреждения анализ нужно начинать с конкретных функций и информационных систем, сетей и АСУ, которые обеспечивают…
Организационная форма не определяет статус автоматическиРоссийское юридическое лицо может использовать критическую инфраструктуру, но само наличие статуса юридического лица не означает автоматического применения всех процедур КИИ. Нужно установить фактическую деятельность, соответствующую сферу и конкретные системы,…
Из чего состоит описание объектаОбъект необходимо описывать через его функцию и границы. Недостаточно написать «ERP», «SCADA» или «серверная». Нужно показать, какую деятельность обеспечивает система, какие компоненты входят в объект, какие сети и внешние сервисы с ним связаны.Минимальный паспортидентификатор и…
Инвентаризация как исходная базаИнвентаризация нужна не ради отдельного реестра оборудования. Её задача — получить достоверную карту ИС, сетей и АСУ, которые участвуют в регулируемых процессах. Для КИИ особенно важно не ограничиваться бухгалтерским перечнем активов.Источники данныхПрактически полезно сопоставить CMDB,…
Что означает категорияПП РФ № 127 устанавливает три категории значимости объектов КИИ. Категория определяется не по субъективной «важности» системы и не по её стоимости, а по установленным показателям критериев значимости и значениям этих показателей.Как читать таблицы критериевДля каждого показателя нужно установить,…
Порядок работыКатегорирование нельзя сводить к заполнению одной формы. Это последовательность выявления объекта, сбора исходных данных, определения применимых показателей, расчёта значений и оформления результата в соответствии с действующими правилами.Этап 1. Подтверждение объектаСначала нужно убедиться, что система…