Постановление Правительства РФ №127 — категорирование объектов КИИ

Постановление Правительства РФ № 127 утверждает Правила категорирования объектов КИИ и перечень показателей критериев значимости с их пороговыми значениями. Замысел документа — задать единый и проверяемый порядок отнесения объектов к категориям значимости по масштабу возможных последствий компьютерной атаки, чтобы уровень защиты был соразмерен потенциальному ущербу.

Порядок категорирования

• решением руководителя создаётся постоянно действующая комиссия по категорированию (состав — пункт 11 Правил);
• от критических процессов в значимых сферах выявляются объекты КИИ и оформляется перечень объектов, подлежащих категорированию — он направляется во ФСТЭК в течение 5 рабочих дней после утверждения;
• по каждому объекту оценивается масштаб возможных последствий и оформляется акт категорирования (максимальный срок категорирования — 1 год со дня утверждения перечня);
• сведения о результатах направляются во ФСТЭК в течение 10 рабочих дней после утверждения акта (форма приказа ФСТЭК № 236).

Показатели значимости и категории

Оценка ведётся по пяти группам показателей: социальная, политическая, экономическая, экологическая значимость и значимость для обороны страны, безопасности государства и правопорядка. Объекту присваивается наивысшая из достигнутых категорий — К1 (высшая), К2 или К3; если объект не соответствует ни одному показателю и его пороговому значению — он остаётся объектом КИИ, но без категории значимости. Категорирование учитывает перечни типовых отраслевых объектов КИИ и отраслевые особенности категорирования.

Важный принцип: наихудший сценарий

Масштаб последствий оценивается по наихудшему сценарию (пункт 14(1)): рассматривается целенаправленная атака с прекращением функционирования объекта и максимально возможным ущербом. Поэтому эффективность уже реализованных средств защиты на категорию не влияет — оценивается сам масштаб возможных последствий. Перечень объектов, подлежащих категорированию, пересматривается не реже одного раза в год, а присвоенная категория значимости — не реже одного раза в 5 лет и при изменениях, влияющих на показатели.

Пошагово — в статье «Категорирование объекта КИИ»; прикинуть категорию — в калькуляторе.