Кибербезопасность в условиях электронного банкинга. Практическое пособие

В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами КИИ самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации.

В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации (это шесть видов средств защиты: межсетевые экраны, системы обнаружения вторжений, средства антивирусной защиты, средства доверенной загрузки, средства контроля съемных машинных носителей информации, операционные системы):

а) в значимых объектах 1-й категории применяются средства защиты информации не ниже 4-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

б) в значимых объектах 2-й категории применяются средства защиты информации не ниже 5-го класса защиты, а также средства вычислительной техники не ниже 5-го класса;

в) в значимых объектах 3-й категории применяются средства защиты информации 6-го класса защиты, а также средства вычислительной техники не ниже 5-го класса.

При этом в значимых объектах 1-й категории значимости применяются сертифицированные средства защиты информации, соответствующие (вместо 4-го уровня НДВ) 4-му или более высокому уровню доверия. В значимых объектах 2-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 5-му или более высокому уровню доверия. В значимых объектах 3-й категории значимости применяются сертифицированные средства защиты информации, соответствующие 6-му или более высокому уровню доверия.

В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (персональных данных) принимаются в соответствии с более высокими категорией значимости, классом защищенности или уровнем защищенности персональных данных.

Таким образом, объекты КИИ (автоматизированные и информационные системы в их составе) подлежат защите так же, как ГИС и ИСПДн высоких классов защищенности.

Постановление Правительства Российской Федерации от 17.02.2018 № 162 «Об утверждении Правил осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры» [23]. Правилами устанавливается порядок осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ Российской Федерации, и его территориальными органами мероприятий по государственному контролю в области обеспечения безопасности значимых объектов КИИ Российской Федерации.

Государственный контроль осуществляется путем проведения плановых и внеплановых выездных проверок. Проверка проводится должностными лицами органа государственного контроля, которые указаны в приказе органа государственного контроля о проведении проверки. Срок проведения плановой проверки не должен превышать 20 рабочих дней. Срок проведения внеплановой проверки не должен превышать 10 рабочих дней.

Информация об организации проверок, в том числе об их планировании, о проведении и результатах таких проверок, в органы прокуратуры не направляется, за исключением информации о результатах проверок, проведенных на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям.

10.3.2. Другие документы

Необходимо упомянуть еще ряд документов ФСТЭК России и ФСБ России:

– Приказ ФСТЭК России от 06.12.2017 № 227 «Об утверждении Порядка ведения реестра значимых объектов критической информационной инфраструктуры Российской Федерации» [32];

– Приказ ФСТЭК России от 11.12.2017 № 229 «Об утверждении формы акта проверки, составляемого по итогам проведения госконтроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» [35]. Содержание этого и предыдущего документов очевидно из названий;

– Приказ ФСБ России от 24.07.2018 № 366 «О Национальном координационном центре по компьютерным инцидентам» [24]. Инициирует создание Национального координационного центра по компьютерным инцидентам (НКЦКИ), определяет его задачи и права;