Тест по безопасности КИИ для работников субъекта

Проверка знаний работников субъекта критической информационной инфраструктуры: кто является субъектом, как проходит категорирование, что такое система безопасности значимого объекта и силы её обеспечения, что делать при компьютерном инциденте и в какие сроки сообщать в НКЦКИ.

15 вопросов из 36 — каждый раз новый набор · около 10 минут · без регистрации

1. Работников какого подразделения Правила категорирования прямо называют в составе комиссии по категорированию?

Отдела кадров Бухгалтерии Подразделения по гражданской обороне и защите от чрезвычайных ситуаций или работников, уполномоченных на эти задачи Юридического отдела

2. Входят ли работники подразделения, которое эксплуатирует значимый объект, в силы обеспечения его безопасности?

Только если это записано в трудовом договоре Да: к силам относятся и эксплуатирующие подразделения, и подразделения, обеспечивающие функционирование объекта Только если они прошли переподготовку по информационной безопасности Нет: силы обеспечения безопасности — только подразделение по безопасности

3. Индивидуальному предпринимателю принадлежит медицинская информационная система. Является ли он субъектом КИИ по действующей редакции закона?

Да, если система обрабатывает персональные данные пациентов Да, если у него больше 15 работников Нет: с 01.09.2025 субъектами КИИ могут быть только государственные органы, государственные учреждения и российские юридические лица Да: в сфере здравоохранения субъектом КИИ является любой владелец системы

4. Какое событие на значимом объекте само по себе может стать основанием для внеплановой проверки ФСТЭК России?

Компьютерный инцидент, повлёкший негативные последствия Обновление антивирусных баз Плановая замена серверов Смена руководителя ИТ-подразделения

5. По одному из показателей объект уже отнесён к первой категории. Нужно ли рассчитывать остальные показатели?

Да: категория определяется по среднему значению всех показателей Нет: при первой категории по одному показателю расчёт по остальным не проводится Да: итоговая категория определяется по наименьшему значению Да: первая категория присваивается, только если ей соответствуют не менее трёх показателей

6. ИТ-подразделение предлагает установить на значимый объект иностранную программу, которой нет в едином реестре российского ПО. Что требует закон?

Ограничения касаются только средств защиты информации Можно ставить любое ПО, если у него есть сертификат ФСТЭК России Ограничения действуют только для объектов первой категории На значимых объектах используется ПО из единого реестра российских программ либо ПО, используемое в соответствующих требованиям о защите информации государственных информационных системах, иных системах государственных органов, ГУП и государственных учреждений, с учётом порядка и сроков перехода, установленных Правительством РФ

7. Работа оцениваемой системы зависит от другого объекта КИИ. Как комиссия учитывает эту зависимость при оценке последствий?

Учитывает, только если оба объекта принадлежат одному подразделению Не учитывает: каждый объект оценивается изолированно Исходит из того, что объект, от которого зависит оцениваемый, прекратил работу или нарушил режим вследствие компьютерной атаки Присваивает оцениваемому объекту ту же категорию, что и второму, без расчёта

8. Объект включён в реестр значимых объектов КИИ. В какой срок разрабатывается план реагирования на компьютерные инциденты и ликвидации последствий атак?

Один год Только после первого инцидента Не более 90 календарных дней со дня включения в реестр Не более 10 рабочих дней

9. Субъект КИИ — юридическое лицо — хочет поручить внешней организации мониторинг и обнаружение компьютерных атак. Какой организации это можно поручить?

Аккредитованному центру ГосСОПКА, а в переходный период — и организации, работающей по соглашению с ФСБ России (НКЦКИ) Только иностранному поставщику услуг мониторинга Любой ИТ-компании с опытом работы Любому лицензиату ФСТЭК России по технической защите конфиденциальной информации

10. Производитель межсетевого экрана на значимом объекте прекратил техническую поддержку. Что требуется от субъекта?

Ничего: средство продолжает работать Сообщить в НКЦКИ как о компьютерном инциденте Реализовать организационные и технические меры, которые блокируют угрозы с необходимым уровнем защищённости объекта Немедленно отключить объект от всех сетей до конца года

11. На объекте КИИ установлено средство ГосСОПКА для поиска признаков компьютерных атак. Администратор хочет отключить его, чтобы снизить нагрузку на сеть. Как правильно?

Можно на время высокой нагрузки Можно, если на объекте есть свой антивирус Можно, если предупредить коллег Нельзя: субъект обязан соблюдать порядок и технические условия эксплуатации таких средств и обеспечивать их сохранность

12. У значимого объекта есть сервисы, к которым должен быть постоянный доступ из интернета, и на них идёт атака «отказ в обслуживании». Сколько хранятся сведения о таких атаках (время, тип, объём, адреса источников, принятые меры)?

Не хранятся: достаточно сообщить провайдеру Три года До окончания атаки Один месяц

13. Можно ли разместить серверы хранения и обработки информации значимого объекта второй категории в зарубежном облаке?

Нет: такие средства объектов 1 и 2 категорий размещаются на территории России, кроме зарубежных филиалов и представительств субъекта и случаев, установленных законодательством и международными договорами Да: ограничение действует только для первой категории Да, если данные шифруются Да, если облако сертифицировано за рубежом

14. Комиссия оценивает возможные последствия компьютерных инцидентов. Какие сценарии она должна рассмотреть?

Только случайные сбои оборудования Наихудшие: целенаправленные компьютерные атаки, которые прекращают работу объекта или нарушают его режим и наносят максимально возможный ущерб Только сценарии, уже случавшиеся в организации Наиболее вероятные по статистике прошлых лет

15. Обслуживание значимого объекта передают подрядной организации. Что требуется в отношении её работников?

Ничего: подрядчик отвечает за своих работников сам Включить их в комиссию по категорированию Получить на них согласование ФСТЭК России Ознакомить их с организационно-распорядительными документами по безопасности значимых объектов

О тесте

Сколько вопросов в тесте и можно ли пройти его ещё раз?

15 вопросов из банка в 36. При каждом прохождении набор новый, порядок ответов перемешан. После проверки — разбор каждого ответа со ссылкой на норму.

Что проверяет тест?

Субъекты и объекты КИИ, категорирование и сведения во ФСТЭК России, обязанности субъекта, система безопасности и силы её обеспечения, меры защиты на стадиях жизненного цикла значимого объекта, реагирование на компьютерные инциденты и информирование НКЦКИ.

Как считается результат?

Тест пройден, если верно не меньше 70% ответов. Пропущенный вопрос считается неверным.

Как проверить так сотрудников и сохранить результат?

В личном кабинете ГрамотаИБ есть тесты по 152-ФЗ, защите ИСПДн, ГИС и КИИ и тесты по должностям: для руководителя, отдела кадров, бухгалтерии, отдела продаж и ИТ. Результат записывается по ФИО сотрудника, и печатается протокол — подтверждение, что работников ознакомили с требованиями (пункт 6 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ). Работникам можно разослать ссылку на тест: ведомость по её итогам подтверждает оценку знаний пользователей, которую пункт 57 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117, требует не реже раза в три года.

Есть и второй тест — Тест для заместителя руководителя по информационной безопасности: для заместителя руководителя по ИБ: Указ № 250, организация защиты, показатели Кзи и Узи.