Протокол, акт и сведения по КИИ: как связать решение комиссии с формой во ФСТЭК России

Категорирование объекта критической информационной инфраструктуры заканчивается не одним документом, а тремя. Комиссия заседает — остаётся протокол. Комиссия решает — оформляется акт. Субъект отчитывается — уходят сведения во ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России.

Правила категорирования, утверждённые постановлением Правительства Российской Федерации от 08.02.2018 № 127, описывают состав этих документов по-разному, и это стоит знать до того, как документы начнут собирать.

Что обязательно, а что практика

Начнём с неудобного. Протокол заседания комиссии Правила не называют вовсе. Не называет его и Федеральный закон от 26.07.2017 № 187-ФЗ. Обязательны два документа: акт (пункт 16 Правил) и сведения о результатах (пункт 17).

Значит ли это, что протокол не нужен? Нет, и вот почему. Правила поручают работу коллегиальному органу: комиссию создаёт своим решением руководитель субъекта, возглавляет её он сам или уполномоченное им лицо, а состав задан по должностям и компетенциям (пункты 11 и 13). Комиссия рассматривает действия нарушителей и иные источники угроз, анализирует угрозы, ведущие к компьютерным инцидентам, оценивает масштаб возможных последствий, определяет значения показателей или обосновывает их неприменимость и устанавливает категорию (пункт 14). Сколько на это уйдёт заседаний, Правила не говорят — может хватить и одного. Но сама работа шире результата, а акт фиксирует только результат.

Протокол — это способ показать, что работа была. Обязательность у него внутренняя: если субъект своим приказом создал комиссию и установил порядок её работы, порядок надо выполнять. Итог простой: протокол ведут не потому, что его требуют Правила, а потому, что без него работа комиссии существует только на словах.

А вот к акту требования прямые. Пункт 16: акт содержит сведения об объекте и сведения о присвоенной категории значимости либо об отсутствии необходимости её присвоения; подписывается членами комиссии и утверждается руководителем субъекта; допускается единый акт по нескольким объектам одного субъекта; храниться акт должен до вывода объекта из эксплуатации или до изменения категории значимости.

Что переходит из документа в документ

Возьмём один объект — автоматизированную систему управления технологическим процессом. Ниже то же самое решение в трёх документах.

Таблица показывает главное: форма во ФСТЭК России шире акта. В ней есть разделы, которых в акте нет вовсе, — эксплуатирующее лицо, доменные имена и сетевые адреса, применяемые меры защиты с сертификатами средств. Их собирают отдельно, и именно на них чаще всего спотыкаются, потому что ищут эти данные в акте и не находят.

Где документы расходятся

Четыре расхождения встречаются чаще прочих.

• Категория есть, обоснования нет. В акте написана категория, а откуда она взялась — нет. Между тем подпункт «з» пункта 17 требует направить полученные значения по каждому рассчитываемому показателю с обоснованием этих значений, а по неприменимым — информацию о неприменимости с обоснованием. Если расчёт не сохранён в акте или приложении к нему, обоснование приходится восстанавливать по памяти, и оно расходится с тем, что обсуждала комиссия.
• Расчёт по всем показателям при первой категории. Пункт 6 говорит прямо: если объект по одному из показателей отнесён к первой категории, расчёт по остальным не проводится. А категория присваивается по наивысшему значению. Попытка «на всякий случай» посчитать всё даёт противоречивые значения в форме.
• Сценарий выбран не тот. Пункт 14.1 требует рассматривать наихудшие сценарии: целенаправленные компьютерные атаки, результат которых — прекращение функционирования объекта или нарушение заданных параметров его проектного или штатного функционирования, и нанесение максимально возможного ущерба. Если в протоколе обсуждали бытовой сбой, а в форме указан максимальный ущерб, расхождение видно сразу.
• Зависимость объектов не учтена. Если работа одного объекта зависит от другого, оценка последствий проводится из предположения, что тот, от которого зависит оцениваемый объект, прекратил работу или вышел за заданные параметры из-за компьютерной атаки (пункт 14.2). Это предположение должно быть одинаковым во всех трёх документах, иначе цифры не сойдутся.

Оговорка о том, чего Правила не требуют. Пункт 16 не обязывает включать в акт полный расчёт: он называет сведения об объекте и присвоенную категорию. Обоснование значений требуется в сведениях, направляемых во ФСТЭК России (подпункт «з» пункта 17). Но держать расчёт при акте — приложением к нему — разумно по практическим соображениям: тогда форма заполняется из акта, а не собирается заново через полгода по чужим черновикам.

Сроки

Срок отсчитывается не от заседания комиссии и не от подписания акта членами комиссии, а от его утверждения руководителем. С этого дня у субъекта есть 10 рабочих дней, чтобы направить сведения во ФСТЭК России (пункт 17). Направляются они в печатном и электронном виде по форме, которую утверждает ФСТЭК России (пункт 18), — это форма приказа ФСТЭК России от 22.12.2017 № 236 в действующей редакции.

Здесь стоит знать о расхождении в формулировках. Часть 5 статьи 7 Федерального закона от 26.07.2017 № 187-ФЗ говорит о десятидневном сроке со дня принятия решения, а Правила — о 10 рабочих днях со дня утверждения акта. На практике ориентируются на Правила, но запас лучше держать по более раннему из двух отсчётов: решение комиссии и утверждение акта руководителем могут разойтись на несколько дней.

У вновь создаваемых объектов срок разделён надвое (пункт 18). Сведения об объекте, о субъекте и о взаимодействии с сетями электросвязи, а также категория с результатами оценки показателей направляются в течение 10 рабочих дней после утверждения требований к создаваемому объекту. Остальное — об эксплуатирующем лице, о применяемых средствах, об угрозах и нарушителях, о возможных последствиях, о мерах защиты, о доменных именах и адресах — в течение 10 рабочих дней после ввода объекта в эксплуатацию или принятия на снабжение.

И срок, о котором забывают чаще всего: при изменении любых сведений пункта 17 новые сведения направляются не позднее 20 рабочих дней со дня их изменения (пункт 19.1). Сменилось эксплуатирующее объект лицо, изменились доменное имя или сетевой адрес, заменили средство защиты, обновился перечень программного обеспечения, изменились применяемые меры — срок пошёл. Отдельного решения комиссии для этого не требуется, и ждать очередного заседания не нужно.

Отсутствие категории от обязанности не освобождает. Если комиссия решила, что присваивать категорию не нужно, сведения об этом направляются точно так же и в тот же срок.

Как построить работу, чтобы документы сходились

1. Исходные данные — до заседания. Пункт 10 Правил перечисляет, что служит исходными данными: сведения об объекте (назначение, архитектура, применяемые средства, взаимодействие с другими объектами, характеристики доступа к сетям связи), состав обрабатываемой информации и предоставляемые сервисы, декларации промышленной безопасности и паспорта безопасности — там, где они предусмотрены, сведения о взаимодействии и зависимостях, угрозы и данные о произошедших ранее компьютерных инцидентах, перечни типовых отраслевых объектов и иные данные из отраслевых особенностей категорирования. Собранные заранее, они закрывают большую часть формы.
2. В протоколе — вопросы и решения, а не пересказ. Что рассматривали, какие значения показателей приняли, почему показатель неприменим, какое решение по объекту. Ход обсуждения нужен ровно в той мере, в какой он объясняет решение.
3. Расчёт — в акте. Значения показателей с обоснованием и отметки о неприменимости должны лежать там же, где решение, иначе форма разойдётся с актом.
4. Недостающее для формы — отдельным списком. Эксплуатирующее лицо, сертификаты средств защиты, доменные имена и сетевые адреса, меры защиты. Их удобно собрать до утверждения акта: 10 рабочих дней уходят быстро.
5. Изменения — по факту, а не к следующему заседанию. 20 рабочих дней на обновление сведений.

Коротко

• Обязательны акт (пункт 16 Правил) и сведения во ФСТЭК России (пункт 17). Протокол заседания комиссии Правила не называют — его ведут, чтобы подтвердить работу комиссии и выполнить собственный порядок.
• Акт содержит сведения об объекте и присвоенную категорию либо решение об отсутствии необходимости её присваивать, подписывается членами комиссии и утверждается руководителем. Допускается единый акт на несколько объектов одного субъекта.
• Форма сведений шире акта: в ней есть эксплуатирующее лицо, применяемые средства и их сертификаты, доменные имена и сетевые адреса, меры защиты. Эти данные собирают отдельно.
• Значения показателей направляются с обоснованием, а неприменимость показателя — тоже с обоснованием (подпункт «з» пункта 17). Включать расчёт в акт Правила не требуют, но держать его приложением к акту удобнее, чем восстанавливать при заполнении формы.
• При первой категории по одному показателю расчёт по остальным не проводится; категория присваивается по наивысшему значению.
• 10 рабочих дней на сведения — со дня утверждения акта. По создаваемым объектам срок разделён на две части.
• Изменились любые сведения — новая форма в течение 20 рабочих дней со дня изменения.
• Акт хранится до вывода объекта из эксплуатации или до изменения категории значимости.