Постановление Правительства РФ №127 — категорирование объектов КИИ

Постановление Правительства РФ № 127 утверждает Правила категорирования объектов КИИ и перечень показателей критериев значимости с их пороговыми значениями. Замысел документа — задать единый и проверяемый порядок отнесения объектов к категориям значимости по масштабу возможных последствий компьютерной атаки, чтобы уровень защиты был соразмерен потенциальному ущербу.

Порядок категорирования

• решением руководителя создаётся постоянно действующая комиссия по категорированию (состав — пункт 11 Правил);
• от критических процессов в значимых сферах выявляются объекты КИИ; перечень объектов, подлежащих категорированию, субъект ведёт для себя — направлять его во ФСТЭК России не требуется (пункт 15 Правил исключён постановлением Правительства Российской Федерации от 19.09.2024 № 1281);
• по каждому объекту оценивается масштаб возможных последствий и оформляется акт категорирования (пункт 16 Правил); общего срока на категорирование Правила больше не устанавливают;
• сведения о результатах направляются во ФСТЭК в течение 10 рабочих дней после утверждения акта (форма приказа ФСТЭК № 236).

Показатели значимости и категории

Оценка ведётся по пяти группам показателей: социальная, политическая, экономическая, экологическая значимость и значимость для обороны страны, безопасности государства и правопорядка. Объекту присваивается наивысшая из достигнутых категорий — К1 (высшая), К2 или К3; если объект не соответствует ни одному показателю и его пороговому значению — он остаётся объектом КИИ, но без категории значимости. Категорирование учитывает перечни типовых отраслевых объектов КИИ и отраслевые особенности категорирования.

Важный принцип: наихудший сценарий

Масштаб последствий оценивается по наихудшему сценарию (пункт 14(1)): рассматривается целенаправленная атака с прекращением функционирования объекта и максимально возможным ущербом. Поэтому эффективность уже реализованных средств защиты на категорию не влияет — оценивается сам масштаб возможных последствий. Присвоенная категория значимости пересматривается не реже одного раза в 5 лет и при изменениях, влияющих на показатели (пункт 21 Правил).

Пошагово — в статье «Категорирование объекта КИИ»; прикинуть категорию — в калькуляторе.