17. Подключение к ГосСОПКА Аутсорсинг? 17

1. Практический опыт реализации 187 - ФЗ. Алексей Аршинов Руководитель отдела организации защиты информации

8. Определение Перечень объектов КИИ Информационные системы АСУ ТП Каналы связи Персонал Программное обеспечение Оборудование 8 Критический процесс

11. У меня нет значимых объектов КИИ, меня это не касается? Отсутствие категории значимости нужно доказать. Если системы используются в сферах деятельности 187 - ФЗ, то они подлежат категорированию. Для обоснования отсутствия значимости все равно необходимо провести категорирование. 11

7. Снабжение столовой Критический процесс Подбор кадров Бухгалтерия Критический процесс Выделение критических процессов 7 Постановление No 127

12. Подведомственным и дочерним ждать команду сверху? Ждать команду сверху не надо. Выполнять требования 187 - ФЗ необходимо уже сейчас, так как предусмотрена ответственность независимо от подчиненности той или иной организации 12

18. Вопросы? 18 Алексей Аршинов Тел.: 8 - 903 - 300 - 18 - 20 Почта: aarshinov@zaschita - it.ru

6. Определение перечня процессов 6 • ОКВЭД • Устав • Полученные лицензии • Декларации промышленной безопасности Стоит обратить внимание на: • Контракты • Обязательства

4. Комиссия 4 СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА БЕЗОПАСНОСТЬ ИНФОРМАЦИИ КОМИССИЯ СОТРУДНИК ОТВЕТСТВЕННЫЙ ЗА ЗАЩИТУ ГОС. ТАЙНЫ РУКОВОДИТЕЛЬ ИЛИ УПОЛНОМОЧЕННЫЙ ОТВЕТСТВЕННЫЙ ЗА ГО И ЧС ЭКСПЕРТ ПО ОСУЩЕСТВЛЯЕМЫМ ВИДАМ ДЕЯТЕЛЬНОСТИ ОТВЕТСТВЕННЫЙ ЗА ГО И ЧС Администратор ЛВС

16. Подключение к ГосСОПКА 16 ГосСОПКА Сотрудники Техническое обеспечение Режим работы 24/7 Создание центра реагирования на инциденты ИБ - 10 ролей - 6 человек мониторинг - 1 руководитель

10. Разработка модели угроз 10 Возможные способы (сценарии) реализации угрозы безопасности информации Возможные последствия от угрозы безопасности информации Уязвимости (ошибки), которые могут быть использованы – 18988 шт. Угрозы безопасности которые могут быть реализованы – 209 шт. МОДЕЛЬ УГРОЗ

14. Разработка ТЗ и ТП Проект по защите КИИ 14 Обоснование организационных и технических мер защиты Определенны виды и типы средств защиты Определенны требования по настройке средств защиты Использование несертифицированных СЗИ Меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами Связь с разработчиками используемого ПО Уязвимости – 18988 шт.

3. КИИ 7 этапов реализации требований 187 - ФЗ 3 Процессы в организации Критические процессы Перечень объектов Категорирование объектов Разработка ТЗ Разработка ТП Внедрение СЗИ Подключение к ГосСОПКА

9. Разработка актов классификации • С ведения о взаимодействии объекта КИИ и сетей электросвязи; • Сведения о программных и программно - аппаратных средствах, используемых на объекте КИИ, в том числе средствах, используемых для обеспечения безопасности; • Возможные последствия в случае возникновения компьютерных инцидентов на объекте КИИ либо сведения об отсутствии таких последствий; • Категорию значимости, которая присвоена объекту КИИ, или сведения об отсутствии необходимости присвоения одной из категорий значимости; • Модель угроз и модель нарушителя объекта КИИ. 9

15. Внедрение СЗИ • Разработка организационно - распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта; • Тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации выявление известных уязвимостей программных и программно - аппаратных средств (лицензируемый вид деятельности) • Тестирование в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию 15

2. Критическая информационная инфраструктура 2 СУБЪЕКТЫ ФОРМА ВЛАДЕНИЯ Гос. Органы Рос. Юр. Лица ИП Аренда Иное законное основание Право собственности. СФЕРА ДЕЯТЕЛЬНОСТИ Здравоохранение Наука Банковская сфера ТЭК Оборонная пром . Атомная энергетика Транспорт Энергетика Связь Ракетно - космическая Металлургическая Горно - добывающая Химическая ОБЪЕКТЫ Информационные системы АСУ Сети связи

5. Мотивация No Новая статья 274.1 в УК РФ (дела по ней рассматривает ФСБ) Ответственность 1 Создание, распространение, использование ПО либо иной компьютерной информации для неправомерного воздействия на КИИ До 5 лет , со штрафом 2 Неправомерный доступ к охраняемой информации в КИИ, повлекший причинение вреда КИИ До 6 лет , со штрафом 3 Нарушение правил эксплуатации и правил доступа, повлекшее причинение вреда КИИ До 6 лет , с лишением права занимать должность 4 Все предыдущие деяния по сговору или с использованием служебного положения До 8 лет , с лишением права занимать должность 5 Все предыдущие деяния, повлекшие тяжкие последствия До 10 лет , с лишением права занимать должность 5 - Внеплановая проверка ФСТЭК - Разбор причин произошедшего инцидента - До 10 лет

13. Категорирование объектов КИИ НЕГАТИВНЫЕ ПОСЛЕДСТВИЯ 13 СОЦИАЛЬНЫЕ ПОЛИТИЧЕСКИЕ ЭКОНОМИЧЕСКИЕ ЭКОЛОГИЧЕСКИЕ ОБОРОНОСПОСОБНОСТЬ СТРАНЫ, БЕЗОПАСНОСТИ ГОСУДАРСТВА И ПРАВОПОРЯДКА Причинение ущерба жизни и здоровью людей ( даже одного человека) Прекращение или нарушение функционирования органа государственной власти субъекта Российской Федерации или города федерального значения Возникновение ущерба бюджетам Российской Федерации более 0,001 от бюджета субъекта РФ или федерального бюджета. Вредные воздействия на окружающую среду в рамках одного муниципального образования или Одной внутригородской территории города федерального значения Прекращение или нарушение функционирования пункта управления или ситуационного центра органа государственной власти субъекта Российской Федерации или города федерального значения