"Клуб любителей КИИ". Самоидентификация субъекта КИИ

1,4k full reads
2,4k story viewsUnique page visitors
1,4k read the story to the endThat's 60% of the total page views
3 minutes — average reading time
Алгоритм самоидентификации субъекта КИИ
Алгоритм самоидентификации субъекта КИИ
Алгоритм самоидентификации субъекта КИИ

В соответствии с определением в 187-ФЗ, субъект КИИ – это:

1) государственный орган, государственное учреждение, российское юридическое лицо и (или) индивидуальный предприниматель, которому на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере:

• здравоохранения;

• науки;

• транспорта;

• связи;

• энергетики;

• банковской сфере и иных сферах финансового рынка;

• топливно-энергетического комплекса;

• атомной энергии;

• оборонной промышленности;

• ракетно-космической промышленности;

• горнодобывающей промышленности;

• металлургической промышленности;

• химической промышленности.

2) российское юридическое лицо и (или) индивидуальный предприниматель, который обеспечивает взаимодействие указанных систем или сетей. (Важно: к государственным органам и государственным учреждениям не применимо.)

Определение сфер деятельности организации.

В 187-ФЗ установлены 13 сфер (областей деятельности), которые подпадают под его область действия. По определению, к субъектам КИИ относятся те организации, которые владеют объектами, функционирующими в указанных сферах, а не организации, работающие в данных областях.

Определение субъекта от ФСТЭК России
Определение субъекта от ФСТЭК России
Определение субъекта от ФСТЭК России

При этом, ФСТЭК России был предложен метод, основанный на определение сферы деятельности организации в соответствии с:

• ОКВЭД и ОКОГУ;

• лицензиями, сертификатами и иными разрешительными документами на виды деятельности;

• учредительными документами, уставами, положениями организации, где прописаны основные и вспомогательные виды деятельности.

Признаки субъекта КИИ от ФСТЭК  России
Признаки субъекта КИИ от ФСТЭК России
Признаки субъекта КИИ от ФСТЭК России

Соответственно, если в любом из данных источников присутствует указание на рассматриваемые сферы деятельности, то по мнению ФСТЭК России, присутствуют признаки того, что организация является субъектом КИИ.

Для сферы связи это было отражено таким образом:

«Методические рекомендации по категорированию ОКИИ, принадлежавших субъектам КИИ, функционирующим в сфере связи». Согласованы ФСТЭК России (исх. от 18.03.2019 № 240/25/1221) и 8 Центр ФСБ России (исх. от 05.04.2019 № 149/2/7-370)

Метреки для операторов связи
Метреки для операторов связи
Метреки для операторов связи

Заметим, что не все операторы связи автоматически относятся к субъектам КИИ!

Самая свежая из согласованных методик.

Вот так это отражено в «Методических рекомендациях по определению и категорированию ОКИИ ТЭК», согласованных ФСТЭК России (исх. От 26.08.2019 № 240/25/4048).

Метреки для ТЭК
Метреки для ТЭК
Метреки для ТЭК

Делаем:

1. В Лицензиях / Уставе / кодах ОКВЭД и ОКОГУ организации выявляем деятельность в областях, соответствующих 187-ФЗ.

2. Анализируем область функционирования ИС/АСУ/ИТКС (Приказы по созданию ИС/АСУ/ИТКС, проектную документацию на создание ИС/АСУ/ИТКС и подобное).

3. Определяем ИС/АСУ/ИТКС, используемые для реализации соответствующего вида деятельности, указанного в уставе, лицензии или ОКВЭД.

4. Анализируем на предмет принадлежности данных ИС/АСУ/ИТКС Организации (право собственности, аренда, договор пользования, хозяйственного ведения, право оперативного управления и т. д.).

Если выявлена ИС/АСУ/ИТКС, удовлетворяющая указанным параметрам, то принимается решение о признании организации субъектом КИИ.

Пример:

ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ УЧРЕЖДЕНИЕ ЗДРАВООХРАНЕНИЯ "САМАРСКИЙ ОБЛАСТНОЙ МЕДИЦИНСКИЙ ИНФОРМАЦИОННО-АНАЛИТИЧЕСКИЙ ЦЕНТР"

Код ОКВЭД 72.19 «Научные исследования и разработки в области естественных и технических наук», 84.12 «Государственное регулирование деятельности в области здравоохранения, образования, социально-культурного развития и других социальных услуг, кроме социального обеспечения» и код ОКОГУ 2300229 «Органы исполнительной власти субъектов Российской Федерации / - здравоохранения».

Лицензия на медицинскую деятельность № ФС-63-01-001050 от 15 июня 2009 г.

Необходимо выявить ИС/АСУ/ИТКС автоматизирующие процессы в сферах науки и здравоохранения.

Важно!

Сам факт наличия ОКВЭД или лицензии в 13 сферах 187-ФЗ не означает автоматического присвоения организации статуса «субъект КИИ». ОКВЭД и лицензии -это декларация о намереньях выполнять такую экономическую деятельность.

Очень распространенная ситуация, когда организации получают лицензии для конкурсных преимуществ (по формальному наличию). А ОКВЭД вообще ни к чему не обязывает организацию.

Необходимо, что бы организация реально выполняла деятельность в 13 сферах 187-ФЗ и эта деятельность была автоматизирована с помощью собственных ИС/АСУ/ИТКС.

P.S. Помните, что у ФСТЭК и ФСБ/НКЦКИ нет полномочий по трактовке и разъяснению 187-ФЗ и ПП127. Только сама организация правомочна идентифицировать себя как субъекта КИИ. Но нельзя игнорировать исполнения законодательства. Необходимо официально оформить решение организации об отсутствии оснований по отнесению организации к субъектам КИИ.

Алгоритм для организации при не выявлении  у себя объектов КИИ
Алгоритм для организации при не выявлении у себя объектов КИИ
Алгоритм для организации при не выявлении у себя объектов КИИ

* Более подробно проблемы самоидентификации субъектов КИИ рассмотрены в материалах блога "Рупор бумажной безопасности"