187-ФЗ О безопасности КИИ

Начать. Это бесплатно
или регистрация c помощью Вашего email-адреса
187-ФЗ О безопасности КИИ создатель Mind Map: 187-ФЗ О безопасности КИИ

1. Реестр значимых объектов КИИ (ст.8)

1.1. Ведёт ФОИВ, уполномоченный в области обеспечения безопасности КИИ

1.2. Содержит сведения

1.2.1. Наименование значимого объекта КИИ

1.2.2. Наименование субъекта КИИ

1.2.3. Сведения о взаимодействии объекта КИИ и сетей электросвязи

1.2.4. Сведения о лице, эксплуатирующем значимый объект КИИ

1.2.5. Категория значимости значимого объекта КИИ

1.2.6. Сведения об используемых программных и программно-аппаратных средствах

1.2.7. Меры, применяемые для обеспечения безопасности значимого объекта КИИ

1.3. Сведения из реестра направляются в ГосСОПКА

1.4. В случае утраты категории значимости объект исключается из реестра

2. Права и обязанности субъектов КИИ (ст.9)

2.1. Субъекты КИИ имеют право

2.1.1. Получать от ФОИВ, уполномоченного в области ГосСОПКА, информацию

2.1.1.1. ...необходимую для обеспечения безопасности своих значимых объектов КИИ

2.1.1.2. ...об угрозах безопасности обрабатываемой их объектами информации

2.1.1.3. ...об уязвимости программного обеспечения, оборудования и технологий, используемых на их объектах

2.1.1.4. ...о средствах и способах проведения компьютерных атак, а также о методах их предупреждения и обнаружения

2.1.2. За свой счет приобретать, арендовать, устанавливать и обслуживать средства ГосСОПКА (по согласованию с ФОИВ, уполномоченным в области ГосСОПКА)

2.1.3. Разрабатывать и осуществлять мероприятия по обеспечению безопасности значимого объекта КИИ

2.2. Субъекты КИИ обязаны

2.2.1. Незамедлительно информировать о компьютерных инцидентах ФОИВ, уполномоченный в области ГосСОПКА

2.2.1.1. ...а также Центробанк (в случае, если субъект КИИ осуществляет деятельность в банковской и иных сферах финансового рынка)

2.2.2. Оказывать содействие должностным лицам ФОИВ, уполномоченного в области ГосСОПКА, в обнаружении, предупреждении и ликвидации последствий компьютерных атак, установлении причин и условий возникновения компьютерных инцидентов

2.2.3. Обеспечивать выполнение порядка, технических условий установки и эксплуатации средств ГосСОПКА, их сохранность (в случае установки их на объектах)

2.2.4. Субъекты КИИ, у которых есть значимые объекты КИИ, дополнительно обязаны

2.2.4.1. Соблюдать требования по обеспечению безопасности значимых объектов КИИ, установленные ФОИВ, уполномоченным в области обеспечения безопасности КИИ

2.2.4.2. Выполнять предписания должностных лиц ФОИВ, уполномоченного в области обеспечения безопасности КИИ, в части соблюдения требований по обеспечению безопасности значимого объекта КИИ, выданные этими лицами в соответствии со своей компетенцией

2.2.4.3. Реагировать на компьютерные инциденты в порядке, утвержденном ФОИВ, уполномоченным в области ГосСОПКА, принимать меры по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов КИИ

2.2.4.4. Обеспечивать беспрепятственный доступ должностным лицам ФОИВ, уполномоченного в области обеспечения безопасности КИИ, к значимым объектам КИИ при реализации этими лицами полномочий, предусмотренных статьей 13

3. Система безопасности значимого объекта КИИ (ст.10)

3.1. Субъект КИИ создает систему безопасности значимого объекта КИИ и обеспечивает ее функционирование

3.2. Задачи системы безопасности

3.2.1. Предотвращение

3.2.1.1. ...неправомерного доступа к информации, обрабатываемой значимым объектом КИИ

3.2.1.2. ...уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения

3.2.1.3. ...иных неправомерных действий в отношении такой информации

3.2.2. Недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта КИИ

3.2.3. Восстановление функционирования значимого объекта КИИ

3.2.3.1. (в том числе за счет создания и хранения резервных копий необходимой для этого информации)

3.2.4. Непрерывное взаимодействие с ГОсСОПКА

4. Требования по обеспечению безопасности значимых объектов КИИ (ст.11)

4.1. Устанавливаются ФОИВ, уполномоченным в области обеспечения безопасности КИИ

4.2. Дифференцируются в зависимости от категории значимости объектов КИИ

4.3. Требованиями предусматриваются

4.3.1. Планирование, разработка, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов КИИ

4.3.2. Принятие организационных и технических мер для обеспечения безопасности значимых объектов КИИ

4.3.3. Установление параметров и характеристик программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов КИИ

4.4. Дополнительные отраслевые требования

4.4.1. Кто их согласует?

4.4.1.1. Государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности

4.4.1.2. ФОИВ, уполномоченный в области обеспечения безопасности КИИ

4.4.2. Содержат особенности функционирования объектов в установленной сфере деятельности

5. Оценка безопасности КИИ (ст.12)

5.1. Осуществляется ФОИВ, уполномоченным в области ГосСОПКА

5.2. Цели: прогнозирование возникновения возможных угроз безопасности КИИ и выработка мер по повышению устойчивости ее функционирования при проведении в отношении ее компьютерных атак

5.3. При оценке безопасности проводится анализ

5.3.1. Данных...

5.3.1.1. ...получаемых при использовании средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты

5.3.1.2. ...в том числе информации о наличии в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, признаков компьютерных атак

5.3.2. Информации, представляемой...

5.3.2.1. ...субъектами КИИ

5.3.2.2. ...ФОИВ, уполномоченным в области обеспечения безопасности КИИ

5.3.2.3. ...иными не являющимися субъектами КИИ органами и организациями, в том числе иностранными и международными

5.3.2.4. Перечень информации и порядок предоставления определяет ФОИВ, уполномоченный в области ГосСОПКА

5.3.3. Сведений, представляемых в ГосСОПКУ по итогам госконтроля, о нарушении требований по обеспечению безопасности значимых объектов КИИ, в результате которого создаются предпосылки возникновения компьютерных инцидентов

5.3.4. Иной информации, получаемой ФОИВ, уполномоченным в области ГосСОПКА, в соответствии с законодательством РФ

5.4. Для оценки безопасности ФОИВ, уполномоченный в области ГосСОПКА, организует установку в сетях электросвязи, используемых для организации взаимодействия объектов КИИ, средств, предназначенных для поиска признаков компьютерных атак в таких сетях электросвязи

5.5. ФОИВ, уполномоченный в области ГосСОПКА, направляет в ФОИВ, уполномоченный в области обеспечения безопасности КИИ, результаты осуществления оценки безопасности КИИ

6. Госконтроль в области обеспечения безопасности значимых объектов КИИ (ст.13)

6.1. Цель: проверка соблюдения субъектами КИИ, у которых есть значимые объекты КИИ, требований законодательства

6.2. Проводит ФОИВ, уполномоченный в области обеспечения безопасности КИИ

6.3. Проверки бывают плановые и внеплановые

6.4. Основанием для плановой проверки является истечение 3х лет со дня...

6.4.1. ...внесения сведений об объекте КИИ в реестр

6.4.2. ...окончания осуществления последней плановой проверки

6.5. Основанием для внеплановой проверки является...

6.5.1. ...истечение срока выполнения выданного предписания об устранении выявленного нарушения

6.5.2. ...возникновение компьютерного инцидента, повлекшего негативные последствия, на значимом объекте КИИ

6.5.3. ...приказ (распоряжение) руководителя ФОИВ, уполномоченного в области обеспечения безопасности КИИ

6.5.3.1. по поручению Президента или Правительства

6.5.3.2. на основании требования прокурора (по поступившим в органы прокуратуры материалам и обращениям)

6.6. По итогам составляется акт проверки по утвержденной форме

6.7. В случае выявления нарушения выдаётся предписание об устранении выявленного нарушения с указанием сроков его устранения

7. Ответственность за нарушение требований настоящего ФЗ (ст.14)

7.1. В соответствии с законодательством Российской Федерации

8. Вступление в силу (ст.15)

8.1. С 1 января 2018 года

9. Категорирование объектов КИИ (ст.7)

9.1. Представляет собой установление соответствия объекта КИИ критериям значимости и показателям их значений, присвоение ему одной из категорий значимости, проверку сведений о результатах ее присвоения.

9.2. Исходя из чего осуществляется?

9.2.1. Социальная значимость

9.2.1.1. Ущерб жизни и здоровью людей

9.2.1.2. Возможность прекращения или нарушения функционирования:

9.2.1.2.1. объектов обеспечения жизнедеятельности населения

9.2.1.2.2. транспортной инфраструктуры

9.2.1.2.3. сетей связи

9.2.1.3. Максимальное время отсутствия доступа к государственной услуге для получателей такой услуги

9.2.2. Политическая значимость

9.2.2.1. Оценка возможного ущерба интересам РФ в вопросах внутренней и внешней политики

9.2.3. Экономическая значимость

9.2.3.1. Оценка возможного причинения прямого и косвенного ущерба:

9.2.3.1.1. субъектам КИИ

9.2.3.1.2. бюджетам РФ

9.2.4. Экологическая значимость

9.2.4.1. Оценка уровня воздействия на окружающую среду

9.2.5. Значимость объекта КИИ для обеспечения обороны страны, безопасности государства и правопорядка

9.3. Сколько категорий?

9.3.1. Три – первая, вторая и третья

9.3.2. Если объект КИИ не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из категорий

9.4. Кто присваивает?

9.4.1. Субъекты КИИ в соответствии с порядком категорирования

9.5. Куда направлять?

9.5.1. В ФОИВ, уполномоченный в области обеспечения безопасности КИИ

9.5.1.1. ...в 10дневный срок со дня проведения категорирования

9.6. Кто проверяет?

9.6.1. ФОИВ, уполномоченный в области обеспечения безопасности КИИ

9.6.1.1. ...в 30дневный срок со дня получения

9.7. Категорирование проведено правильно?

9.7.1. ДА

9.7.1.1. Сведения о значимом объекте КИИ вносятся в реестр

9.7.1.2. Сведения об отсутствии категории значимости направляются в ГосСОПКА

9.7.1.3. Субъект КИИ уведомляется в 10дневный срок

9.7.2. НЕТ

9.7.2.1. Субъекту КИИ направляется письменное мотивированное обоснование причин возврата

9.7.2.1.1. ...в 10дневный срок

9.7.2.2. ...на устранение недостатков субъекту КИИ отводится 10 дней

9.7.3. НЕ СДЕЛАНО В СРОК

9.7.3.1. ФОИВ, уполномоченный в области обеспечения безопасности КИИ направляет субъекту КИИ требование о необходимости соблюдения требований законодательства

9.8. Как может быть изменена категория объекта КИИ?

9.8.1. По решению ФОИВ, уполномоченного в области обеспечения безопасности КИИ, по итогам проверки в рамках госконтроля

9.8.2. При изменении самого объекта КИИ (таком, что изменились показатели его значимости)

9.8.3. При ликвидации, реорганизации субъекта КИИ и (или) изменения его организационно-правовой формы (такие, что он перестал быть субъектом КИИ)

10. Полномочия (ст.6)

10.1. Президент РФ определяет

10.1.1. Основные направления госполитики в области обеспечения безопасности КИИ

10.1.2. ФОИВ, уполномоченный в области обеспечения безопасности КИИ

10.1.3. ФОИВ, уполномоченный в области ГосСОПКА

10.1.4. Порядок создания и задачи ГосСОПКА

10.2. Правительство РФ устанавливает

10.2.1. Показатели критериев значимости объектов КИИ и их значения

10.2.2. Порядок и сроки категорирования объектов КИИ

10.2.3. Порядок осуществления госконтроля для значимых объектов КИИ

10.2.4. Порядок подготовки и использования ресурсов единой сети электросвязи РФ для обеспечения функционирования значимых объектов КИИ

10.3. ФОИВ, уполномоченный в области обеспечения безопасности КИИ (ФСТЭК?)

10.3.1. Вносит предложения о совершенствовании законодательства Президенту и Правительству

10.3.2. Утверждает порядок ведения реестра значимых объектов КИИ

10.3.3. Утверждает форму направления сведений о результатах категорирования

10.3.4. Устанавливает требования по обеспечению безопасности значимых объектов КИИ

10.3.4.1. Требования к безопасности информационно-телекоммуникационных сетей согласуются с ФОИВ, уполномоченным в области связи

10.3.5. Устанавливает требования к созданию систем безопасности значимых объектов КИИ

10.3.5.1. В банковской и иных сферах финансового рынка требования согласовываются с Центробанком

10.3.6. Осуществляет госконтроль в области обеспечения безопасности значимых объектов КИИ

10.3.7. Утверждает форму акта проверки по итогам контроля

10.4. ФОИВ, уполномоченный в области ГосСОПКА (ФСБ?)

10.4.1. Вносит предложения о совершенствовании законодательства Президенту и Правительству

10.4.2. Создает национальный координационный центр по компьютерным инцидентам и утверждает положение о нем

10.4.3. Координирует деятельность субъектов КИИ по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты

10.4.4. Организует и проводит оценку безопасности КИИ

10.4.5. Определяет перечень информации, представляемой в ГосСОПКА

10.4.6. Утверждает порядок информирования о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак в отношении значимых объектов ИИ

10.4.6.1. В банковской и иных сферах финансового рынка порядок согласовывается с Центробанком

10.4.7. Утверждает порядок обмена информацией о компьютерных инцидентах между

10.4.7.1. Субъектами КИИ

10.4.7.2. Субъектами КИИ и и уполномоченными органами иностранных государств, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты

10.4.8. Утверждает порядок получения субъектами КИИ информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения

10.4.9. Организует установку на значимых объектах КИИ и в сетях электросвязи, используемых для организации взаимодействия этих объектов средств ГосСОПКА

10.4.10. Устанавливает требования к средствам ГосСОПКА

10.4.11. Утверждает порядок, технические условия установки и эксплуатации средств ГосСОПКА

10.4.11.1. ...за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи

10.4.11.2. В банковской и иных сферах финансового рынка порядок согласовывается с Центробанком

10.5. ФОИВ, уполномоченный в области связи (Минкомсвязь)

10.5.1. Утверждает по согласованию с ФОИВ, уполномоченным в области ГосСОПКА порядок, технические условия установки и эксплуатации средств ГосСОПКА в сетях электросвязи

11. ГосСОПКА (ст.5)

11.1. Представляет собой единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. В целях настоящей статьи под информационными ресурсами РФ понимаются ИС, ИТКС и АСУ, находящиеся на территории РФ, в дипломатических представительствах и (или) консульских учреждениях РФ.

11.2. Кто занимается?

11.2.1. ФОИВ, уполномоченный в области ГосСОПКА)

11.2.2. Национальный координационный центр по компьютерным инцидентам

11.2.2.1. Кто его создаёт и определяет положение о деятельности?

11.2.3. Подразделения и должностные лица субъектов КИИ

11.3. Какие средства применяются?

11.3.1. Технические, программные, программно-аппаратные и иные средства...

11.3.2. ...для обнаружения,  предупреждения, ликвидации последствий компьютерных атак и (или) обмена информацией, а также криптографические средства защиты такой информации.

11.4. Откуда поступает информация?

11.4.1. Средства ГосСОПКА

11.4.2. От субъектов КИИ

11.4.3. От ФОИВ, уполномоченного в области обеспечения безопасности КИИ

11.4.4. От иных организаций, в том числе международных

11.5. Кто определяет порядок предоставления и обмена информацией?

11.5.1. ФОИВ, уполномоченный в области ГосСОПКА

11.5.2. Для сведений, составляющих гостайну, особый порядок

12. Принципы обеспечения безопасности КИИ (ст.4)

12.1. Законность

12.2. Непрерывность и комплексность

12.2.1. За счет взаимодействия уполномоченных ФОИВ и субъектов КИИ

12.3. Приоритет предотвращения компьютерных атак

13. Чем регулируется безопасность КИИ? (ст. 3)

13.1. Конституция РФ

13.2. Общепризнанные принципы и нормы международного права

13.3. Настоящим ФЗ

13.4. Другими ФЗ и иными НПА

13.5. 126-ФЗ «О связи» в части сетей связи общего пользования

14. Основные понятия (ст.2)

14.1. Автоматизированная система управления

14.2. Безопасность КИИ

14.3. Значимый объект КИИ

14.4. Компьютерная атака

14.5. Компьютерный инцидент

14.6. Критическая информационная инфраструктура

14.7. Объекты КИИ

14.7.1. Информационные системы (ИС)

14.7.2. Информационно-телекоммуникационные сети (ИТКС)

14.7.3. Автоматизированные системы управления (АСУ)

14.8. Субъекты КИИ

14.8.1. Кто?

14.8.1.1. Госорганы и госучреждения

14.8.1.2. Российские юрлица и ИП

14.8.2. Как принадлежит?

14.8.2.1. Право собственности

14.8.2.2. Аренда

14.8.2.3. Иные законные основания

14.8.3. Что принадлежит?

14.8.4. В каких сферах?

14.8.4.1. Здравоохранение

14.8.4.2. Наука

14.8.4.3. Транспорт

14.8.4.4. Связь

14.8.4.5. Энергетика

14.8.4.6. Банковская сфера и иные сферы финансовой сферы

14.8.4.7. Топливно-энергетический комплекс

14.8.4.8. Область атомной энергии

14.8.4.9. Промышленность

14.8.4.9.1. Оборонная

14.8.4.9.2. Ракетно-космическая

14.8.4.9.3. Горнодобывающая

14.8.4.9.4. Металлургическая

14.8.4.9.5. Хмическая

14.8.5. Кто ещё?

14.8.5.1. Российские юрлица и ИП, обеспечивающие взаимодействие указанных систем или сетей

15. Цель закона (ст.1)

15.1. Настоящий ФЗ регулирует отношения в области обеспечения безопасности КИИ РФ в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак