Методические рекомендации по категорированию объектов критической информационной инфраструктуры, принадлежащих субъектам критической информационной инфраструктуры, функционирующим в сфере связи

(утв. ФСБ России, ФСТЭК России)

(вместе с «Рекомендациями по заполнению содержательной части формы направления сведений о результатах категорирования для типовых объектов критической информационной инфраструктуры, принадлежащих операторам связи»)

Согласовано

МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ

Аннотация

Настоящий документ не распространяется на объекты критической информационной инфраструктуры, используемые для оказания услуг операторами выделенных сетей связи, объекты, входящие в состав и/или используемые для управления технологическими сетями связи и/или сетями связи специального назначения, а также на объекты, принадлежащие государственным органам.

Методические рекомендации направлены на детализацию и стандартизацию процедуры категорирования объектов критической информационной инфраструктуры, которая предусмотрена Федеральным законом «О безопасности критической информационной инфраструктуры Российской Федерации» от 26 июля 2017 года № 187-ФЗ, а также содержат перечни:

• типовых процессов операторов связи, оказывающих услуги связи в сети связи общего пользования;
• типовых критических процессов операторов связи, оказывающих услуги связи в сети связи общего пользования;
• типовых информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, используемых операторами связи для оказания услуг связи в сети связи общего пользования;
• типовых объектов критической информационной инфраструктуры, принадлежащих операторам связи, оказывающим услуги связи в сети связи общего пользования.

Настоящий документ предназначен для членов комиссий по категорированию, создаваемых операторами связи, оказывающими услуги связи в сети связи общего пользования, и их работников, на которых возложены функции обеспечения безопасности (информационной безопасности) объектов критической информационной инфраструктуры, а также для работников организаций, обладающих лицензией на деятельность по технической защите конфиденциальной информации, в случае их привлечения для проведения работ по обеспечению безопасности объектов критической информационной инфраструктуры, принадлежащих данным операторам связи.

Настоящий документ не содержит информацию ограниченного доступа.

Термины и определения

В настоящем документе используются термины и соответствующие им определения, введенные действующими нормативными правовыми актами Российской Федерации, а также государственными стандартами и методическими документами.

Критическая информационная инфраструктура — объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов.

Информационная система — совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.

Информационно-телекоммуникационная сеть — технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники.

Автоматизированная система управления — комплекс программных и программно-аппаратных средств, предназначенных для контроля за технологическим и/или производственным оборудованием (исполнительными устройствами) и производимыми ими процессами, а также для управления такими оборудованием и процессами.

Сеть связи — технологическая система, включающая в себя средства и линии связи и предназначенная для электросвязи или почтовой связи.

Сеть электросвязи — сеть связи, предназначенная для электросвязи (передача и прием сигналов, отображающих звуки, изображения, письменный текст, знаки или сообщения любого рода по электромагнитным системам).

Сеть связи общего пользования — сеть электросвязи, которая предназначена для возмездного оказания услуг электросвязи любому пользователю услугами связи на территории Российской Федерации и представляет собой комплекс взаимодействующих сетей электросвязи, в том числе сети связи для распространения программ телевизионного вещания и радиовещания.

Значимый объект критической информационной инфраструктуры — объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры.

Безопасность критической информационной инфраструктуры — состояние защищенности критической информационной инфраструктуры, обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак.

Субъект критической информационной инфраструктуры — государственный орган, государственное учреждение, российское юридическое лицо или индивидуальный предприниматель, которому на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российское юридическое лицо или индивидуальный предприниматель, которое обеспечивает взаимодействие указанных систем или сетей.

Компьютерная атака — целенаправленное воздействие программных и/или программно-аппаратных средств на объекты критической информационной инфраструктуры, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и/или прекращения их функционирования и/или создания угрозы безопасности обрабатываемой такими объектами информации.

Компьютерный инцидент — факт нарушения и/или прекращения функционирования объекта критической информационной инфраструктуры, сети электросвязи, используемой для организации взаимодействия таких объектов, и/или нарушения безопасности обрабатываемой таким объектом информации, в том числе произошедший в результате компьютерной атаки.

Процесс — последовательность связанных действий или задач, необходимых для достижения определенного результата.

Услуга связи — деятельность по приему, обработке, хранению, передаче, доставке сообщений электросвязи или почтовых отправлений.

Продукт — материальная и/или нематериальная сущность, предлагаемая или предоставляемая оператором связи абоненту (клиенту).

Оператор связи — юридическое лицо или индивидуальный предприниматель, оказывающие услуги связи на основании соответствующей лицензии.

Пользователь услугами связи — лицо, заказывающее и/или использующее услуги связи.

Абонент (клиент) — пользователь услугами связи, с которым заключен договор об оказании таких услуг при выделении для этих целей абонентского номера или уникального кода идентификации.

Муниципальное образование — городское или сельское поселение, муниципальный район, городской округ, городской округ с внутригородским делением, внутригородской район либо внутригородская территория города федерального значения.

Перечень принятых сокращений и обозначений

1 Общие положения

• формирования перечня объектов КИИ, подлежащих категорированию (далее - перечень объектов КИИ);
• оценки для каждого объекта КИИ в соответствии с Перечнем [3] масштаба возможных последствий в случае возникновения компьютерных инцидентов;
• присвоения каждому из объектов КИИ одной из категорий значимости либо принятия решения об отсутствии необходимости присвоения ему одной из категорий значимости;

- подготовки сведений о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий для направления в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ.

По решению оператора связи представленный в методических рекомендациях перечень типовых объектов КИИ, принадлежащих операторам связи, может быть изменен, при этом:

- сокращение перечня типовых объектов КИИ осуществляется на основании отсутствия соответствующего типового объекта КИИ у оператора связи;

• расширение перечня типовых объектов КИИ осуществляется на основании самостоятельного решения оператора связи.

2 Отнесение оператора связи к субъектам критической информационной инфраструктуры, область применения методических рекомендаций

Отнесение любого государственного органа, государственного учреждения, российского юридического лица и/или индивидуального предпринимателя к субъектам КИИ осуществляется, исходя из его соответствия первым двум условиям (одновременно) или третьему условию:

1. Государственный орган, государственное учреждение, российское юридическое лицо и/или индивидуальный предприниматель осуществляет один или несколько из основных видов своей деятельности в одной или нескольких сферах (областях) деятельности, предусмотренных пунктом 8 статьи 2 Федерального закона N 187-ФЗ [2].

2. Государственному органу, государственному учреждению, российскому юридическому лицу и/или индивидуальному предпринимателю принадлежат на праве собственности, аренды или на ином законном основании любые ИС, ИТКС и АСУ.

3. Российское юридическое лицо и/или индивидуальный предприниматель обеспечивает взаимодействие ИС, ИТКС и АСУ, принадлежащих государственному ну, государственному учреждению, российскому юридическому лицу и/или индивидуальному предпринимателю, осуществляющему свою деятельность в одной или нескольких сферах (областях) деятельности, предусмотренных пунктом 8 статьи 2 Федерального закона N 187-ФЗ [2].

Если одно из первых двух условий и третье условие не выполняются, то государственный орган, государственное учреждение, российское юридическое лицо и/или индивидуальный предприниматель не является субъектом КИИ, если условия выполняются (одновременно первые два условия или третье условие), то является субъектом КИИ.

Область применения методических рекомендаций в отношении операторов связи как субъектов КИИ уточняется следующим образом:

• сферой деятельности, предусмотренной пунктом 8 статьи 2 Федерального закона N 187-ФЗ [2], является связь;
• в качестве субъектов КИИ рассматриваются государственные учреждения <1>, российские юридические лица и/или индивидуальные предприниматели (не рассматриваются государственные органы), при этом не учитывается является ли оператор связи государственной корпорацией, государственным унитарным предприятием, муниципальным унитарным предприятием, государственной компанией, организацией с участием государства и/или стратегическим акционерным обществом, стратегическим предприятием;

<1> Казенное, бюджетное или автономное учреждение.

• рассматриваются объекты КИИ, используемые для оказания услуг связи в сети связи общего пользования на основании соответствующих лицензий (далее - услуги связи, перечень которых приведен ниже);
• для виртуальных операторов связи (Mobile Virtual Network Operator, MVNO) рассматриваются объекты КИИ, используемые ими на основании договора с HOST-оператором связи с учетом Требований [4];
• не рассматриваются объекты КИИ, используемые для оказания услуг операторами выделенных сетей связи, входящие в состав и/или используемые для управления технологическими сетями связи и/или сетями связи специального назначения (при этом перечень типовых процессов может быть использован ими для выявления критических процессов);
• не рассматриваются объекты КИИ, используемые операторами связи для осуществления видов деятельности в иных сферах, предусмотренных пунктом 8 статьи 2 Федерального закона N 187-ФЗ [2] (при этом перечень типовых процессов может быть использован ими для выявления критических процессов).

В методических рекомендациях на основании Перечня [5] определены следующие услуги связи, оказываемые операторами связи в сети связи общего пользования:

1. Услуги местной телефонной связи, за исключением услуг местной телефонной связи с использованием таксофонов и средств коллективного доступа.

2. Услуги междугородной и международной телефонной связи.

3. Услуги внутризоновой телефонной связи.

4. Услуги местной телефонной связи с использованием таксофонов.

5. Услуги местной телефонной связи с использованием средств коллективного доступа.

6. Услуги телеграфной связи.

7. Услуги связи персонального радиовызова.

8. Услуги подвижной радиосвязи в сети связи общего пользования.

9. Услуги подвижной радиотелефонной связи.

10. Услуги подвижной спутниковой радиосвязи.

11. Услуги связи по предоставлению каналов связи.

12. Услуги связи по передаче данных, за исключением услуг связи по передаче данных для целей передачи голосовой информации.

13. Услуги связи по передаче данных для целей передачи голосовой информации.

14. Телематические услуги связи.

15. Услуги связи для целей кабельного вещания.

16. Услуги связи для целей эфирного вещания.

17. Услуги связи для целей проводного радиовещания.

Оператор связи осуществляет определение оказываемых им услуг связи на основании:

• учредительных документов оператора связи (устава, положения, учредительного договора и т.п.);
• лицензий, выданных Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций <2>.

<2> Актуальный реестр лицензиатов в области связи доступен на веб-сайте: https://rkn.gov.ru/communication/register/license/.

3 Комиссия по категорированию объектов критической информационной инфраструктуры

Согласно пункту 2 Правил [3] категорирование объектов КИИ осуществляется оператором связи самостоятельно, для чего решением (приказом) руководителя оператора связи создается комиссия по категорированию объектов КИИ (далее - комиссия).

Форма приказа о создании комиссии приведена в приложении (см. Приложение А).

Создается одна комиссия в рамках одного оператора связи, для представительств и/или филиалов (в случае их наличия) отдельные комиссии не создаются.

В состав комиссии включаются:

• председатель комиссии: руководитель оператора связи (президент, генеральный директор или т.п.) или уполномоченное им лицо;
• члены комиссии:
• работники оператора связи, являющиеся специалистами в области осуществляемых видов деятельности (специалисты в области телекоммуникаций (сетей электросвязи));
• работники в области информационных технологий и связи (специалисты, обеспечивающие функционирование (администрирование) ИС, АСУ и/или ИТКС);
• работники оператора связи, на которых возложены функции обеспечения безопасности (информационной безопасности) объектов КИИ (специалисты, обеспечивающие функционирование (администрирование) систем и средств защиты информации);
• работники структурного подразделения по гражданской обороне и защите от чрезвычайных ситуаций или работники, уполномоченные на решение задач в области гражданской обороны и защиты от чрезвычайных ситуаций согласно Положению [6];
• работники, ответственные за эксплуатацию основного технологического оборудования, технологическую (промышленную) безопасность;
• работники подразделения по защите государственной тайны оператора связи (в случае, если с использованием объекта КИИ обрабатывают информацию, составляющую государственную тайну, и оператор связи обладает лицензией на проведение работ с использованием сведений, составляющих государственную тайну, выданной Федеральной службой безопасности Российской Федерации).

По решению оператора связи в состав комиссии могут быть включены другие работники оператора связи (например, экономисты, работники налоговой и юридической служб).

В состав комиссии по категорированию могут включаться представители Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации по согласованию с данным министерством.

4 Определение процессов в рамках видов деятельности, осуществляемых оператором связи

Определение процессов в рамках видов деятельности, осуществляемых оператором связи (оказание услуг связи), проводится исходя из перечня типовых процессов операторов связи, оформленного в соответствии с национальным стандартом Российской Федерации "Расширенная схема деятельности организации связи (eTOM)" [7] (см. Таблица 1).

В рамках перечня типовых процессов операторов связи выделяются 3 главные области процессов [7]:

1. OPS - операционные (повседневные) процессы.

2. SIP - стратегические, инфраструктурные и продуктовые процессы.

3. EM - процессы управления организацией, которые детализируются на нижележащих уровнях и представлены на рисунке и в таблице ниже (см. Рисунок 1, Таблица 1).

Рисунок 1 - Структура уровня 1 общей структуры процессов eTOM

Таблица 1 - Перечень типовых процессов операторов связи <3>

<3> 1 уровень общей структуры процессов eTOM, горизонтальные группы процессов [7].

<4> К ресурсам относятся приложения (программное средства), вычислительная техника (программно-аппаратные средства) и сети электросвязи.

5 Выявление критических процессов в рамках видов деятельности, осуществляемых оператором связи

5.1 Виды негативных последствий

Выявление критических процессов осуществляется оператором связи на базе перечня типовых процессов операторов связи (см. Таблица 1), исходя из того, что нарушение и/или прекращение типового процесса может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка.

Виды негативных последствий и связанные с ними показатели критериев значимости объектов КИИ, установленные Перечнем [3], представлены на рисунке ниже (см. Рисунок 2).

Рисунок 2 - Виды негативных последствий

Принимая во внимание, что в методических рекомендациях рассматриваются операторы связи, осуществляющие виды деятельности в сфере связи, а именно возмездно оказывающие услуги электросвязи любому пользователю услуг связи на территории Российской Федерации, в том числе государственным органам власти, то далее рассматриваются следующие виды негативных последствий:

1. "Прекращение или нарушение функционирования сети связи", которое оценивается:

• по территории, на которой возможно прекращение или нарушение функционирования сети связи;
• количеству людей, для которых могут быть недоступны услуги связи.

2. "Возникновение ущерба бюджетам Российской Федерации", который оценивается в снижении доходов (процентов прогнозируемого годового дохода бюджета):

• федерального бюджета;
• бюджета субъекта Российской Федерации;
• бюджетов государственных внебюджетных фондов.

3. "Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)".

Помимо обозначенных выше видов негативных последствий по решению оператора связи могут быть дополнительно рассмотрены и другие виды негативных последствий и связанные с ними показатели критериев значимости объектов КИИ, приведенные в Перечне [3].

При этом с учетом положений Федерального закона N 187-ФЗ [2] в качестве причины возникновения негативных последствий рассматривается только компьютерные инциденты вследствие компьютерных атак, т.е. не рассматриваются случаи, когда:

• оператор связи прекращает и/или ограничивает оказание услуг электросвязи на основании Правил оказания услуг связи [9 - 11] или договора возмездного оказания услуг между абонентом и оператором связи;
• прекращение и/или нарушение оказания услуг электросвязи вызвано техногенной аварией, природным явлением и/или стихийным бедствием;
• прекращение и/или нарушение оказания услуг электросвязи вызвано непреднамеренными действиями оператора связи, пользователей услугами связи или третьих лиц (обрыв линий связи, создание аварийных ситуаций в отношении средств связи и т.п.).

5.2 Прекращение или нарушение функционирования сети связи

Под прекращением или нарушением функционирования сети связи с учетом положений проекта Концепции управления качеством связи в Российской Федерации [12] в методических рекомендациях рассматривается ситуация недоступности услуги связи, т.е. невозможность обеспечить (установить) соединение для передачи и/или приема сообщений электросвязи по указанному при запросе адресу (уникальному коду идентификации) с учетом условий договора возмездного оказания услуг между абонентом и оператором связи. Данная невозможность обеспечить (установить) соединение оценивается:

• по территории, на которой невозможно обеспечить (установить) соединение;
• количеству людей (абонентов оператора связи), которые не могут установить соединение.

5.3 Возникновение ущерба бюджетам Российской Федерации

Под возникновением ущерба федеральному бюджету Российской Федерации с учетом положений закона или законопроекта о федеральном бюджете на соответствующий год <5>, а также Налогового кодекса Российской Федерации [14] в методических рекомендациях рассматривается ситуация неуплаты (сокращения уплаты) федеральных налогов и сборов, а именно <6>:

<5> Для 2019 года: Федеральный закон о федеральном бюджете на 2019 год [13].

<6> Для операторов связи не рассматриваются иные источники доходов федерального бюджета, не связанные с осуществлением видов деятельности в сфере связи (акцизы, налоги на добычу полезных ископаемых, водный налог, сборы за пользование объектами животного мира и за пользование объектами водных биологических ресурсов, государственные пошлины).

• налога на добавленную стоимость;
• налога на прибыль организации.

Под возникновением ущерба бюджету субъекта Российской Федерации с учетом положений Налогового кодекса Российской Федерации [14] в методических рекомендациях рассматривается ситуация неуплаты (сокращения уплаты) региональных налогов, а именно налога на прибыль организации <7>.

<7> Для операторов связи не рассматриваются иные источники доходов бюджета субъекта Российской Федерации, не связанные с осуществлением видов деятельности в сфере связи (налог на имущество организации, земельный налог, налог на игровой бизнес, транспортный налог).

Под возникновением ущерба бюджету государственных внебюджетных фондов с учетом положений проекта основных направлений бюджетной, налоговой и таможенно-тарифной политики на 2019 год и на плановый период 2020 и 2021 годов [15] в методических рекомендациях рассматривается ситуация неуплаты (сокращения уплаты) страховых взносов, а именно:

• взносов на обязательное пенсионное страхование;
• взносов на обязательное социальное страхование;
• взносов на обязательное медицинское страхование.

Принимая во внимание, что в методических рекомендациях рассматривается цепочка событий, вызванная компьютерной атакой и приводящая к негативным экономическим последствиям (см. Рисунок 3), то в качестве конечного ущерба бюджетам Российской Федерации далее рассматриваются только следующие ситуации неуплаты (сокращения уплаты) налогов:

• федеральных налогов: налога на прибыль организации;
• региональных налогов: налога на прибыль организации.

Рисунок 3 - Цепочка событий, вызванная компьютерной атакой и приводящая к негативным экономическим последствиям

5.4 Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)

Под прекращением или нарушением функционирования государственного органа в части невыполнения возложенной на него функции (полномочия) с учетом положений федерального закона "О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд" [16] в методических рекомендациях рассматривается ситуация невозможности для государственного органа реализации возложенных на него функций (полномочий), закрепленных в соответствующих нормативно-правовых актах Российской Федерации, в результате недоступности услуги связи, приобретенной им в рамках государственного контракта для выполнения возложенной на него функции (полномочия), с учетом условий данного контракта <8>.

<8> Условия государственного контракта определяют штатные параметры оказания услуги связи.

В обязательном порядке оператором связи рассматриваются следующие услуги связи, оказываемые им государственному органу в сети связи общего пользования с учетом условий государственного контракта:

• услуги местной телефонной связи;
• услуги междугородной и международной телефонной связи;
• услуги внутризоновой телефонной связи;
• услуги связи по предоставлению каналов связи;
• услуги связи по передаче данных, за исключением услуг связи по передаче данных для целей передачи голосовой информации;
• услуги связи по передаче данных для целей передачи голосовой информации.

Не рассматриваются ситуации (случаи) недоступности следующих услуг связи, оказываемых операторами связи государственным органам в сети связи общего пользования в рамках государственных контрактов:

• услуги подвижной радиосвязи в сети связи общего пользования;
• услуги подвижной радиотелефонной связи;
• услуги, оказываемые с использованием радиоэлектронных средств стандартов GSM, UMTS, LTE и их последующих модификаций, а также ситуации, когда с использованием указанных услуг государственные органы получают доступ к другим услугам связи (например, к услугам междугородной и международной телефонной связи, услугам по передаче данных и др.).

Не рассматриваются ситуации (случаи) неработоспособности выделенных сетей связи, технологических сетей связи и/или сетей связи специального назначения, а также оборудования, принадлежащего государственным органам.

Данный вид негативных последствий может возникнуть только в случае наличия у оператора связи соответствующего действующего государственного контракта с органом государственной власти, приведенным в приложении (см. Приложение Б), с учетом исключений, приведенных выше.

Данный вид негативных последствий оценивается по уровню органа государственной власти, с которым заключен соответствующий государственный контракт:

• орган государственной власти субъекта Российской Федерации или города федерального значения;
• федеральный орган государственной власти;
• Администрация Президента Российской Федерации, Правительство Российской Федерации, Федеральное Собрание Российской Федерации, Совет Безопасности Российской Федерации, Верховный Суд Российской Федерации, Конституционный Суд Российской Федерации.

5.5 Перечень типовых критических процессов оператора связи

Для указанных видов негативных последствий в методических рекомендациях выделены типовые критические процессы операторов связи с учетом положений национальных стандартов Российской Федерации "Расширенная схема деятельности организации связи (eTOM)" [7, 17, 18] (см. Таблица 2).

Таблица 2 - Перечень типовых критических процессов оператора связи

6 Определение объектов критической информационной инфраструктуры

Определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, и/или осуществляют управление, контроль или мониторинг критических процессов, осуществляется оператором связи на базе перечня типовых ИС, ИТКС и АСУ операторов связи, приведенного в приложении (см. Приложение В), исходя из перечня типовых критических процессов операторов связи (см. Таблица 2).

Группировка типовых ИС, ИТКС и АСУ операторов связи, а также сетей электросвязи представлена на рисунке ниже (см. Рисунок 4).

Рисунок 4 - Группировка типовых ИС, ИТКС, АСУ, сетей электросвязи операторов связи

Таблица 3 - Типовые ИС, ИТКС и АСУ операторов связи, задействованные в реализации типовых критических процессов

<10> Обработка - систематическое выполнение операций над данными, необходимыми для обеспечения критического процесса.

<11> Управление - поддержание критического процесса в рабочем состоянии в рамках заданных значений характеристик критического процесса.

<12> Контроль - сравнение (сопоставление) фактических (текущих) значений характеристик критического процесса с заданными значениями этих характеристик.

<13> Мониторинг - постоянное (регулярное) наблюдение за значениями характеристик критического процесса.

<14> Для схемы расчетов "prepaid" (оказание услуги связи осуществляется на базе решения от данной ИС).

Далее в методических рекомендациях детализируются и стандартизируются процедуры категорирования, предусмотренные Федеральным законом N 187-ФЗ [2], только в отношении типовых объектов КИИ, принадлежащих операторам связи, указанных в таблице ниже (см. Таблица 4).

Таблица 4 - Перечень типовых объектов КИИ, принадлежащих операторам связи

<17> Понятие "Автоматизированные системы управления и мониторинга сетями электросвязи" введено согласно Перечню средств связи, подлежащих обязательной сертификации [21].

<18> Понятие "Выделенный транзитный пункт сигнализации" введено согласно Правилам применения оборудования автоматизированных систем управления и мониторинга сетей электросвязи [22].

<19> Понятие "Выделенные сети передачи данных" введено согласно документу "Построение систем управления сетями связи операторов взаимоувязанной сети связи Российской Федерации" [23].

7 Формирование перечня объектов критической информационной инфраструктуры, подлежащих категорированию

Формирование перечня объектов КИИ осуществляется оператором связи с использованием перечня типовых объектов КИИ, принадлежащих операторам связи (см. Таблица 3), исходя из реального состава ИС, АСУ и ИТКС, принадлежащих оператору связи на праве собственности, аренды или на ином законном основании.

Оформление перечня объектов КИИ осуществляется в соответствии с Рекомендуемой ФСТЭК России формой [24] с учетом рекомендаций, приведенных в таблице ниже (см. Таблица 5).

Сформированный перечень объектов КИИ утверждается руководителем оператора связи (президентом, генеральным директором или т.п.) или уполномоченным им лицом.

Отправка сформированного и утвержденного перечня объектов КИИ осуществляется <20> в течение пяти рабочих дней с даты его утверждения в адрес федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры (экспедиция центрального аппарата ФСТЭК России): Москва, ул. Старая Басманная, д. 17 <21>, на бумажном носителе и на электронном носителе информации (компакт-диск, USB-накопитель или т.п.) в DOC(X)/XLS(S)-формате.

<20> Если у оператора связи нет на праве собственности, аренды или ином законном основании ни одного из указанных типовых объектов КИИ и каких-либо других объектов КИИ, то не осуществляется отправка пустого перечня объектов КИИ.

<21> Актуальный адрес и режим работы экспедиция центрального аппарата ФСТЭК России доступны на веб-сайте: https://fstec.ru/kontakty.

Таблица 5 - Рекомендации по заполнению формы перечня объектов КИИ оператора связи, подлежащих категорированию

Дополнительные рекомендации по заполнению формы перечня объектов КИИ оператора связи, подлежащих категорированию:

1. Если у оператора связи нет на праве собственности, аренды или ином законном основании соответствующего типового объекта КИИ (например, нет системы самообслуживания абонентов), то данные по этому типовому объекту КИИ не указываются (строка в перечне объектов КИИ удаляется).

2. Если у оператора связи несколько однотипных объектов КИИ (например, несколько автоматизированных систем расчетов), то указывается каждый объект КИИ в отдельной строке с соответствующим наименованием (строки в перечне объектов КИИ добавляются).

3. Если у оператора связи несколько однотипных объектов КИИ с одинаковым наименованием (например, несколько однотипных выделенных транзитных пунктов сигнализации с одинаковым наименованием), то указывается каждый объект КИИ в отдельной строке с соответствующим наименованием и порядковым/инвентарным номером (строки в перечне объектов КИИ добавляются).

4. В качестве наименования объекта КИИ указывается наименование, приведенное в одном из следующих локальных актов, оформленных оператором связи, или документов:

• акт ввода в эксплуатацию, оформленный оператором связи согласно Требованиям [25];

<24> Реестр зарегистрированных сертификатов соответствия на средства связи доступен на веб-сайте: https://www.rossvyaz.ru/activity/correlation/certification/registerCertificate/.

• эксплуатационная документации от производителя или наименование производителя (например, Автоматизированная система расчетов от "Наименование производителя").

Данные наименования используются с целью однозначной идентификации объекта КИИ в инфраструктуре оператора связи (при необходимости вводятся порядковые/инвентарные номера или другие идентификаторы).

5. Для типового объекта КИИ "Выделенная сеть передачи данных для управления и мониторинга сетей электросвязи" в качестве наименования указывается сокращенное фирменное наименование оператора связи на русском языке и порядковый/инвентарный номер сети, если их несколько (например, Выделенная сеть передачи данных для управления и мониторинга сетей электросвязи "Наименование оператора связи" N 1).

8 Оценка масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах критической информационной инфраструктуры

Оценка масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ, принадлежащих оператору связи, осуществляется оператором связи, исходя:

• из масштабов самого объекта КИИ (количества абонентов и зоны обслуживания);
• наличия возможности реализации угроз безопасности информации, которые могут привести к возникновению компьютерных инцидентов на объектах КИИ, последствиями которых будут нарушение и/или прекращение функционирования сети связи;

- размера налогов, сборов и взносов оператора связи в соответствующие бюджеты Российской Федерации (сумма за отчетный (годовой) период), а также максимально допустимого периода простоя оператора связи (неоказания оператором связи услуг связи) <25>;

<25> Период времени, по истечении которого существует угроза окончательной утраты жизнеспособности оператора связи, в том случае, если оказание услуг связи не будет возобновлено.

• наличия действующего соответствующего государственного контракта на оказание услуг связи органу государственной власти (с учетом исключений, указанных в п. 5.4).

В рамках оценки масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ, принадлежащих оператору связи, оператором связи для каждого конкретного объекта КИИ осуществляются действия в следующем порядке:

1. Оценивается масштаб конкретного объекта КИИ, исходя из территории, которую обслуживает данный объект КИИ (зона обслуживания с привязкой к субъектам Российской Федерации), и количества обслуживаемых абонентов, с учетом типа объекта КИИ согласно таблице ниже (см. Таблица 6).

Таблица 6 - Параметры оценки масштабов типовых объектов КИИ, принадлежащих операторам связи

3.3. Для сопоставления со значениями, приведенными в таблице ниже для показателя "Возникновение ущерба бюджетам Российской Федерации" (см. Таблица 8), рассчитываются значения потенциально возможного ущерба бюджетам Российской Федерации.

Определяется актуальный годовой размер выплачиваемых оператором связи налогов в бюджеты Российской Федерации, исходя из данных, предоставляемых оператором связи в Федеральную налоговую службу в соответствующих декларациях:

• nf - налог на прибыль организации (сумма указывается в декларации по форме КНД 1151006, код строки 190 для федерального бюджета);

• значение для федерального бюджета Российской Федерации: n_{f}*\Delta t_{MAO}/365 (тыс. рублей);
• значение для бюджета соответствующего субъекта Российской Федерации, в котором оператор связи имеет обособленное подразделение в соответствии с Налоговым кодексом Российской Федерации [14] и в котором расположена зона обслуживания конкретного объекта КИИ <30>: n_{s}*\Delta t_{MAO}/365 (тыс. рублей).

<30> Если зона обслуживания конкретного объекта КИИ покрывает несколько субъектов Российской Федерации, то рассчитываются отдельные значения для каждого субъекта Российской Федерации.

Сопоставляются полученные значения, отнесенные к размеру соответствующего прогнозируемого годового дохода бюджета, со значениями (диапазонами значений), приведенными в таблице ниже для показателя "Возникновение ущерба бюджетам Российской Федерации" (см. Таблица 8), для каждого конкретного объекта КИИ с учетом его зоны обслуживания (субъекта Российской Федерации).

Таблица 8 - Значения показателей "Возникновение ущерба бюджетам Российской Федерации"

С учетом положений Федерального закона о федеральном бюджете на 2019 год [13] пороговые значения для федерального бюджета Российской Федерации, оцененные в тысячах рублей, приведены в таблице ниже (см. Таблица 9). Актуальные сведения (законы и законопроекты) о прогнозируемом годовом доходе бюджета соответствующего субъекта Российской Федерации доступны на веб-сайте: https://rg.ru.

Таблица 9 - Пороговые значений для федерального бюджета (тыс. рублей)

<31> Оператор связи выбирает значение прогнозируемого годового дохода для года следующего за годом проведения категорирования объекта КИИ (например, если категорирование проводится в 2019 году, то выбираются значения бюджета для 2020 года).

3.4. При условии наличия действующего соответствующего государственного контракта на оказание услуг связи органу государственной власти (см. Приложение Б) проверяется наличие в зоне обслуживания конкретным объектом КИИ данного органа государственной власти. Только в случае, если орган государственной власти попадает в зону обслуживания конкретным объектом КИИ, сопоставляется уровень данного органа государственной власти со значениями, приведенными в таблице ниже для показателя "Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)" (см. Таблица 10).

Таблица 10 - Значения показателей "Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)"

9 Принятие решения об установлении категории значимости объекту критической информационной инфраструктуры

Принятие решения об установлении категории значимости конкретному объекту КИИ, принадлежащему оператору связи, осуществляется оператором связи на базе значения оценки масштаба возможных последствий в случае возникновения компьютерных инцидентов на объекте КИИ (см. Рисунок 5), исходя из того, что Правилами [3] устанавливаются 3 категории значимости: самая высокая категория - первая, самая низкая - третья.

Рисунок 5 - Блок-схема подготовки к принятию решения о присвоении категории значимости объекту КИИ

Оценка производится по каждому из значений показателя критериев значимости ("Прекращение или нарушение функционирования сети связи", "Возникновение ущерба бюджетам Российской Федерации" и "Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)" <32>), а категория значимости присваивается объекту КИИ по наивысшему значению одного из этих показателей. Обоснование неприменимости остальных показателей из Перечня [3] приведено в приложении (см. Приложение Ж).

<32> Если по решению оператора связи были дополнительно рассмотрены и другие виды негативных последствий и связанные с ними показатели критериев значимости объектов КИИ, приведенные в Перечне [3], то производится оценка по каждому из значений дополнительно выбранных показателей критериев значимости.

Решение комиссии по каждому объекту КИИ оформляется отдельным актом.

Форма акта приведена в приложении (см. Приложение И). Все акты могут быть утверждены одним приказом руководителя оператора связи (акты будут выступать приложениями к соответствующему приказу), или каждый акт может быть утвержден по отдельности.

Оператор связи обеспечивает хранение акта (приказа об утверждении акта, в случае его наличия) до вывода из эксплуатации объекта КИИ или до изменения его категории значимости согласно части 12 статьи 7 Федерального закона N 187-ФЗ [2].

Рекомендации по заполнению содержательной части формы направления сведений о результатах категорирования [27] для типовых объектов КИИ, принадлежащих операторам связи, в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры, приведены в приложении (см. Приложение К).

Список использованных источников

1. Федеральный закон от 07.07.2003 N 126-ФЗ "О связи".

2. Федеральный закон от 26.07.2017 N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации".

3. Правила категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений, утв. постановлением Правительства Российской Федерации от 08.02.2018 N 127.

4. Требования к оказанию услуг подвижной радиосвязи и радиотелефонной связи при использовании бизнес-моделей виртуальных сетей подвижной радиосвязи и радиотелефонной связи, утв. приказом Министерства связи и массовых коммуникаций Российской Федерации от 20.10.2017 N 570.

5. Перечень наименований услуг связи, вносимых в лицензии на осуществление деятельности в области оказания услуг связи, утв. постановлением Правительства Российской Федерации от 18.02.2005 N 87.

6. Положение о создании (назначении) в организациях структурных подразделений (работников), уполномоченных на решение задач в области гражданской обороны, утв. постановлением Правительства Российской Федерации от 10.07.1999 N 782.

7. ГОСТ Р 53633.0-2009 "Информационные технологии (ИТ). Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Общая структура бизнес-процессов".

8. Трудовой кодекс Российской Федерации от 30.12.2001 N 197-ФЗ.

9. Правила оказания телематических услуг связи, утв. постановлением Правительства Российской Федерации от 10.09.2007 N 575.

10. Правила оказания услуг связи по передаче данных, утв. постановлением Правительства Российской Федерации от 23.01.2006 N 32.

11. Правила оказания услуг телефонной связи, утв. постановлением Правительства Российской Федерации от 09.12.2014 N 1342.

12. Концепция управления качеством связи в Российской Федерации. Министерство связи и массовых коммуникаций Российской Федерации (проект).

13. Федеральный закон от 29.11.2018 N 459-ФЗ "О федеральном бюджете на 2019 год и на плановый период 2020 и 2021 годов".

14. Налоговый кодекс Российской Федерации от 31.07.1998 N 146-ФЗ.

15. Основных направлений бюджетной, налоговой и таможенно-тарифной политики на 2019 год и на плановый период 2020 и 2021 годов. Министерство финансов Российской Федерации (проект).

16. Федеральный закон от 05.04.2013 N 44-ФЗ "О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд".

17. ГОСТ Р 53633.2-2009 "Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление и эксплуатация ресурсов".

18. ГОСТ Р 53633.4-2015 "Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление и эксплуатация услуг".

19. ГОСТ Р 53801-2010 "Связь федеральная. Термины и определения".

20. Правила применения автоматизированных систем расчетов, утв. приказом Министерства информационных технологий и связи Российской Федерации от 02.07.2007 N 73.

21. Перечень средств связи, подлежащих обязательной сертификации, утв. постановлением Правительства Российской Федерации от 25.06.2009 N 532.

22. Правила применения оборудования автоматизированных систем управления и мониторинга сетей электросвязи. Часть IV. Правила применения оборудования выделенных транзитных пунктов сигнализации, утв. приказом Министерства связи и массовых коммуникаций Российской Федерации от 30.10.2009 N 136.

23. РД 45.174-2001 "Построение систем управления сетями связи операторов взаимоувязанной сети связи Российской Федерации. Основные положения".

24. Рекомендуемая форма перечня объектов критической информационной инфраструктуры Российской Федерации, подлежащих категорированию, приложение 1 к информационному сообщению ФСТЭК России от 24.08.2018 N 240/25/3752.

25. Требования к порядку ввода сетей электросвязи в эксплуатацию, утв. приказом Министерства связи и массовых коммуникаций Российской Федерации от 26.08.2014 N 258.

26. ГОСТ Р 53633.2-2009 "Система обеспечения информационной безопасности сети связи общего пользования. Паспорт организации связи по информационной безопасности".

27. Форма направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, утв. приказом ФСТЭК России от 22.12.2017 N 236.

28. ГОСТ Р 52448-2005 "Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения".

29. Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры, утв. приказом ФСТЭК России от 18.05.2007.

┌─────────────────────────────────────────────────────────────────────────┐
<pre class="legal-pre">│N ____ от __.__.____                                                     │
│                                                                         │
│                                 ПРИКАЗ                                  │
│                 о создании комиссии по категорированию                  │
│                                                                         │
│   С целью организации и проведения  работ  по  категорированию  объектов│
│критической информационной инфраструктуры                                │
│   ПРИКАЗЫВАЮ:                                                           │
│   1. Создать постоянно действующую комиссию по категорированию объектов │
│                                                             название    │
│критической  информационной  инфраструктуры,  принадлежащих  ---------   │
│оператора связи                                                          │
│--------------- на праве собственности, аренды или ином законном         │
│основании.                                                               │
│                                       должность, ФИО                    │
│   2. Председателем комиссии назначить --------------.                   │
│   3. В состав комиссии включить:                                        │
│        должность, ФИО                                                   │
│      - --------------;                                                  │
│        ...                                                              │
│      - ---                                                              │
│        должность, ФИО.                                                  │
│      - --------------                                                   │
│                         ДД.ММ.ГГГГ                                      │
│   4. Комиссии в срок до ----------:                                     │
│      - определить процессы в  рамках  осуществления  видов  деятельности│
│название оператора связи                                                 │
│------------------------;                                                │
│                                       название оператора связи          │
│      - выявить критические процессы у ------------------------;         │
│      - выявить   объекты   критической   информационной  инфраструктуры,│
│которые обрабатывают информацию, необходимую для обеспечения   выполнения│
│критических процессов, и  (или)  осуществляют  управление,  контроль  или│
│мониторинг критических процессов;                                        │
│      - подготовить  предложения  для  включения   объектов   критической│
│информационной    инфраструктуры    в   перечень   объектов   критической│
│информационной инфраструктуры, подлежащих категорированию;               │
│      - представить   на   утверждение   перечень   объектов  критической│
│информационной инфраструктуры,  подлежащих  категорированию,  в  срок  до│
│ДД.ММ.ГГГГ;                                                              │
│----------                                                               │
│      - рассмотреть возможные  действия  нарушителей в отношении объектов│
│критической информационной инфраструктуры, а также иные  источники  угроз│
│безопасности информации;                                                 │
│      - проанализировать угрозы безопасности  информации  и   уязвимости,│
│которые  могут  привести  к  возникновению  компьютерных  инцидентов   на│
│объектах критической информационной инфраструктуры;                      │
│      -  оценить  в  соответствии   с  перечнем   показателей  критериев │
│значимости  масштаб  возможных   последствий   в   случае   возникновения│
│компьютерных   инцидентов   на   объектах   критической    информационной│
│инфраструктуры;                                                          │
│      - установить   каждому   из  объектов   критической  информационной│
│инфраструктуры одну из  категорий  значимости  либо  принять  решение  об│
│отсутствии необходимости присвоения им категорий значимости;             │
│      - представить на утверждение акты по результатам категорирования;  │
│      - представить   на    утверждение    сведения    о    результатах  │
│присвоения объекту критической  информационной  инфраструктуры  одной  из│
│категорий значимости либо  об  отсутствии  необходимости  присвоения  ему│
│одной из таких категорий.                                                │
│   5.  Комиссии  в  своей  деятельности   руководствоваться   положениями│
│действующих нормативно-правовых и методических документов:               │
│      - Федеральный закон  "О  безопасности  критической   информационной│</pre>
│инфраструктуры Российской Федерации" от 26 июля 2017 г. N 187-ФЗ (ст. 7);│
<pre class="legal-pre">│      - Правила   категорирования   объектов  критической  информационной│
│инфраструктуры  Российской  Федерации  и  Перечень  показателей критериев│
│значимости объектов критической информационной  инфраструктуры Российской│
│Федерации  и  их  значений,   утвержденные   постановлением Правительства│
│Российской Федерации от 8 февраля 2018 г. N 127;                         │
│      - Форма направления сведений  о   результатах    присвоения объекту│
│критической информационной инфраструктуры одной  из  категорий значимости│</pre>
│либо об отсутствии необходимости присвоения ему одной из таких категорий,│
<pre class="legal-pre">│утвержденные приказом ФСТЭК  России  от  22  декабря  2017  г. N 236;    │
│      - Методические рекомендации по категорированию объектов критической│
│информационной  инфраструктуры,   принадлежащих   субъектам   критической│
│информационной инфраструктуры, функционирующим в сфере связи,  Ассоциации│
│Документальной Электросвязи 2018 г.                                      │
│   6. Ознакомить с настоящим приказом председателя и  членов  создаваемой│
│комиссии.                                                                │
│   7. Контроль за исполнением настоящего приказа оставляю за собой.      │
│                                                                         │
│Руководитель оператора связи                           И.О. Фамилия      │
│----------------------------                           ------------      │</pre>
└─────────────────────────────────────────────────────────────────────────┘

Приложение Б

ПЕРЕЧЕНЬ ОРГАНОВ ГОСУДАРСТВЕННОЙ ВЛАСТИ

Таблица 11 — Значение показателя для I категории

Таблица 12 — Значение показателя для II категории

<33> Федеральные органы исполнительной власти в соответствии с Указом Президента Российской Федерации «О структуре федеральных органов исполнительной власти» от 15.05.2018 г. № 215. Федеральные суды в соответствии с Федеральным конституционным законом от 31.12.1996 № 1-ФКЗ «О судебной системе Российской Федерации», кроме Верховного суда Российской Федерации и Конституционного суда Российской Федерации.

Таблица 13 — Значение показателя для III категории

Приложение В

ПЕРЕЧЕНЬ ТИПОВЫХ ИНФОРМАЦИОННЫХ СИСТЕМ, ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЕЙ И АВТОМАТИЗИРОВАННЫХ СИСТЕМ УПРАВЛЕНИЯ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ

Таблица 14 — Перечень типовых ИС, ИТКС и АСУ, принадлежащих операторам связи

<34> Здесь и далее под назначением информационных систем понимается информационное обеспечение и автоматизация процессов в рамках видов деятельности, осуществляемых операторами связи.

Приложение Г

ЛОГИЧЕСКИЕ СХЕМЫ ТИПОВЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ

Рисунок 6 — Схема типовой автоматизированной системы расчетов

Рисунок 7 — Схема типовой системы самообслуживания абонентов

Рисунок 8 — Схема типовой автоматизированной системы управления и мониторинга сетей электросвязи

Рисунок 9 — Схема типового выделенного транзитного пункта сигнализации

Рисунок 10 — Схема типовой выделенной сети передачи данных для управления и мониторинга сетей электросвязи

Приложение Д

МОДЕЛЬ НАРУШИТЕЛЯ В ОТНОШЕНИИ ТИПОВЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ

Принимая во внимание, что в соответствии с Федеральным законом № 187-ФЗ [2] обеспечение безопасности объектов КИИ направлено на обеспечение устойчивого функционирования объектов КИИ при проведении в отношении них компьютерных атак, в качестве источников угроз безопасности информации будут рассматриваться лица, преднамеренно совершающие действия, следствием которых является нарушение и/или прекращение функционирования сети связи (далее — нарушители).

Моделирование нарушителей безопасности информации в отношении объектов КИИ предназначено для формирования предположения о типах нарушителей, а также об основных возможностях нарушителей по реализации угроз безопасности информации в отношении типовых объектов КИИ в части оснащенности, знаний нарушителей (компетенции и знаний об объектах КИИ) и мотивации (целей).

Типы нарушителей

В зависимости от имеющихся прав физического (непосредственного) и/или логического доступа к компонентам типового объекта КИИ нарушители подразделяются на два типа (категории):

• внешние нарушители — лица, не имеющие прав доступа к компонентам типового объекта КИИ и реализующие угрозы безопасности информации из-за границ типового объекта КИИ;
• внутренние нарушители — лица, имеющие права постоянного или разового доступа к компонентам типового объекта КИИ и реализующие угрозы безопасности информации, находясь как внутри, так и вне границ типового объекта КИИ.

Мотивация (цели) нарушителей

С учетом положений ГОСТ Р 52448-2005 «Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения» [28] в качестве возможной мотивации (целей) реализации нарушителями угроз безопасности информации могут быть:

• нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики;
• дискредитация или дестабилизация деятельности органов государственной власти, операторов связи;
• совершение террористических актов;
• идеологические или политические мотивы;
• причинение имущественного ущерба;
• продажа выявленных уязвимостей и получение финансовой выгоды;
• получение конкурентных преимуществ;
• любопытство или желание самореализации (подтверждение статуса);
• месть.

Оснащенность нарушителей

В зависимости от доступных нарушителю программных и/или программно-аппаратных средств, предназначенных для идентификации и использования уязвимостей компонентов объекта КИИ для реализации угроз безопасности информации, оснащенность нарушителя может быть следующая:

1. Стандартные средства. Легко доступные программные (программно-аппаратные) средства, к которым относятся:

• программные средства типового объекта КИИ, доступные внутренним нарушителям в соответствии с имеющимися правами доступа (например, встроенные средства операционной системы: отладчик, средства разработки и иные);
• программные средства, имеющиеся в свободном доступе (на бесплатной или платной основе) в общедоступных источниках, в том числе в сети Интернет (например, анализаторы протоколов).

2. Специализированные средства, отсутствующие в свободном доступе, но которые могут быть приобретены нарушителем без значительных усилий:

• программные (программно-аппаратные) средства, которые имеются в продаже (например: анализаторы кода; вредоносное ПО; компьютеры, объединенные через сеть Интернет (бот-сети));
• программные (программно-аппаратные) средства, разрабатываемые нарушителем.

3. Средства, сделанные на заказ, недоступные широкому кругу лиц, так как требуется их специальная разработка с привлечением исследовательских организаций, или распространение которых контролируется в соответствии с законодательством, а также дорогостоящие средства или средства, сведения о которых относятся к информации ограниченного доступа.

Знания нарушителей

Компетентность нарушителя в зависимости от его уровня знаний и подготовки в области информационных технологий и защиты информации может быть следующая:

1. Непрофессионал. Нарушитель имеет слабую осведомленность (по сравнению со специалистами или профессионалами) о мерах защиты информации, применяемых в отношении объектов КИИ данного типа, и не обладает специальными знаниями по реализации угроз безопасности информации.

2. Специалист. Нарушитель имеет осведомленность о мерах защиты информации, применяемых в отношении объектов КИИ данного типа.

3. Профессионал. Нарушитель имеет хорошую осведомленность о мерах защиты информации, применяемых в отношении объектов КИИ данного типа, об алгоритмах, аппаратных и программных средствах объектов КИИ данного типа, а также обладает специальными знаниями о методах и средствах выявления новых уязвимостей и способах реализации угроз безопасности информации в отношении объектов КИИ данного типа.

В зависимости от сведений о конкретном объекте КИИ и условиях его эксплуатации, доступных нарушителю, чтобы идентифицировать и использовать уязвимости для реализации угрозы безопасности информации, знания нарушителя о конкретном объекте КИИ могут быть следующие:

1. Отсутствие знаний. Нарушитель не обладает информацией о структурно-функциональных характеристиках объекта КИИ, его системе безопасности, а также об иной информации по разработке (проектированию) и эксплуатации конкретного объекта КИИ, включая сведения из конструкторской, проектной и эксплуатационной документации <35>. При этом нарушителю может быть доступна информация о целях и задачах, решаемых объектом КИИ.

<35> Знания о типовых объектах КИИ не рассматриваются как знания о конкретном объекте КИИ.

2. Ограниченные знания. Нарушителю известны:

• информация о целях и задачах, решаемых объектом КИИ;
• фрагменты информации о топологии сети объекта КИИ;
• фрагменты информации о системном и/или прикладном ПО объекта КИИ;
• эксплуатационная документация на объект КИИ (в частности руководство пользователя и/или правила эксплуатации объекта КИИ).

3. Знание чувствительной информации. Нарушителю известны:

• конструкторская (проектная) и эксплуатационная документация на объект КИИ;
• информация о структурно-функциональных характеристиках объекта КИИ, в том числе полная информация о системном и/или прикладном ПО, технических средствах и конфигурации сети;
• информация о системе безопасности объекта КИИ.

Актуальные нарушители

В качестве актуальных нарушителей рассматриваются внешние и внутренние нарушители, оснащенные в т.ч. средствами, сделанными на заказ, с компетенцией профессионалов, со знанием чувствительной информации и с достаточной мотивацией для реализации угроз безопасности информации, которые могут привести к нарушению и/или прекращению функционирования сети связи.

Приложение Е

ПЕРЕЧЕНЬ ОСНОВНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ОТНОШЕНИИ ТИПОВЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ

В отношении типовых объектов КИИ, принадлежащих операторам связи, актуальны следующие основные типы угроз безопасности информации:

1. Угрозы создания нештатных режимов работы.

2. Угрозы доступа (проникновения) в операционную среду.

2.1 Угрозы непосредственного доступа.

2.1.1 Угрозы, реализуемые в ходе загрузки ОС.

2.1.2. Угрозы, реализуемые после загрузки ОС, независимо от того, какая программа запускается пользователем.

2.1.3. Угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ.

2.2 Угрозы удаленного доступа (сетевые атаки).

2.2.1 Анализ сетевого трафика.

2.2.2 Сканирование сети.

2.2.3. «Парольная» атака.

2.2.4 Подмена доверенного объекта сети.

2.2.5 Навязывание ложного маршрута.

2.2.6 Внедрение ложного объекта сети.

2.2.7 Отказ в обслуживании.

2.2.8 Удаленный запуск приложений.

3. Угрозы программно-математического воздействия.

Данный перечень сформирован с использованием Базовой модели угроз безопасности информации [29] и рекомендуется для заполнения пункта 6.2 Формы направления сведений о результатах категорирования [27].

Приложение Ж

ОБОСНОВАНИЕ НЕПРИМЕНИМОСТИ РЯДА ПОКАЗАТЕЛЕЙ КРИТЕРИЕВ ЗНАЧИМОСТИ ДЛЯ ТИПОВЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ

Таблица 15 — Обоснование неприменимости ряда показателей критериев значимости

Приложение И

РЕКОМЕНДУЕМАЯ ФОРМА АКТА ПО ИТОГАМ КАТЕГОРИРОВАНИЯ ОБЪЕКТА КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩЕГО ОПЕРАТОРУ СВЯЗИ

┌─────────────────────────────────────────────────────────────────────────┐
<pre class="legal-pre">│                                                               Утвержден │
│                                               приказом N X от ДД.ММ.ГГГГ│
│                                               --------------------------│
│                                                                         │
│                                   АКТ                                   │
│                   категорирования объекта критической                   │
│                      информационной инфраструктуры                      │
│                                                                         │
│    Комиссией  по  категорированию объектов  критической  информационной │
│                                 название   оператора  связи             │
│инфраструктуры,   принадлежащих  ---------------------------   на   праве│
│собственности,  аренды   или  ином  законном  основании  и  перечисленных│
│в перечне объектов  критической информационной  инфраструктуры Российской│
│                                                              ДД.ММ.ГГГГ,│
│Федерации,    подлежащих   категорированию,   утвержденном    -----------│
│должность,                                                               │
│---------                                                                │
│    ПРИНЯТО РЕШЕНИЕ [выбрать один из двух вариантов]:                    │
│    -   Присвоить  объекту   критической  информационной   инфраструктуры│
│"наименование объекта КИИ" X                                             │
│---------------------------- категорию значимости.                       │
│    -  Отсутствует необходимость присвоения одной из категорий значимости│
│                                                    "наименование объекта│
│объекту критической  информационной  инфраструктуры ---------------------│
│КИИ".                                                                    │
│---                                                                      │
│    Сведения  об  объекте   критической  информационной   инфраструктуры,│
│результаты  анализа угроз  безопасности  информации  объекта  критической│
│информационной   инфраструктуры,  реализованные   меры   по   обеспечению│
│безопасности объекта  критической информационной  инфраструктуры, а также│</pre>
│сведения о необходимых мерах по обеспечению безопасности в соответствии с│
<pre class="legal-pre">│требованиями по  обеспечению безопасности  значимых  объектов критической│
│информационной    инфраструктуры,  установленными   федеральным   органом│
│исполнительной власти,  уполномоченным в области обеспечения безопасности│
│критической  информационной   инфраструктуры,   приведены   в  приложении│
│(Приложение 1).                                                          │
│                                                                         │
│                                                           Приложение N 1│
│                                          к акту категорирования объектов│
│                                критической информационной инфраструктуры│
│                                                                         │
│    Сведения   об  объекте   критической  информационной  инфраструктуры,│
│результаты  анализа  угроз  безопасности  информации  объекта критической│
│информационной  инфраструктуры,   реализованные   меры   по   обеспечению│
│безопасности объекта  критической  информационной инфраструктуры, а также│</pre>
│сведения о необходимых мерах по обеспечению безопасности в соответствии с│
<pre class="legal-pre">│требованиями по  обеспечению  безопасности значимых  объектов критической│
│информационной   инфраструктуры,   установленными   федеральным   органом│
│исполнительной власти,  уполномоченным в области обеспечения безопасности│
│критической информационной инфраструктуры                                │
│                                                                         │
│                       по форме из приложения И                          │
│                       ------------------------                          │</pre>
└─────────────────────────────────────────────────────────────────────────┘

Приложение К

РЕКОМЕНДАЦИИ ПО ЗАПОЛНЕНИЮ СОДЕРЖАТЕЛЬНОЙ ЧАСТИ ФОРМЫ НАПРАВЛЕНИЯ СВЕДЕНИЙ О РЕЗУЛЬТАТАХ КАТЕГОРИРОВАНИЯ ДЛЯ ТИПОВЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ, ПРИНАДЛЕЖАЩИХ ОПЕРАТОРАМ СВЯЗИ <36>

<36> Утверждается руководителем оператора связи или уполномоченным им лицом.

При необходимости проставляется ограничительная пометка или гриф секретности.

Условные обозначения, используемые в таблицах ниже (см. Таблица 16 - Таблица 20):

текст — сведения, которые не должны быть заменены оператором связи.

текст — сведения, которые должны быть заменены оператором связи на реальные.

[текст] — сведения, не подлежащие отражению в заполненной оператором связи форме (комментарий для заполняющего лица).

<текст> или <текст> — сведения, требующие выбора оператором связи из предложенных вариантов (неприменимые варианты удаляются оператором связи).

Таблица 16 — Сведения о результатах категорирования Автоматизированной системы расчетов «Наименование»

Таблица 17 — Сведения о результатах категорирования Системы самообслуживания абонентов «Наименование»

Таблица 18 — Сведения о результатах категорирования Автоматизированной системы управления и мониторинга сетей электросвязи «Наименование»

Таблица 19 — Сведения о результатах категорирования Выделенного транзитного пункта сигнализации «Наименование»

Таблица 20 — Сведения о результатах категорирования Выделенной сети передачи данных для управления и мониторинга сетей электросвязи «Наименование»