Приложение N 3. Заключение о наличии оснований по отнесению ИСиР к объектам КИИ

Приложение N 3
к Методическим рекомендациям

Заключение
о наличии оснований по отнесению ИСиР к объектам КИИ

1. Настоящее Заключение составлено Рабочей группой по определению объектов критической информационной инфраструктуры и категорий значимости объектов критической информационной инфраструктуры (далее - Рабочая группа), созданной на основании приказа Министерства цифровых технологий и связи Калининградской области от 01 сентября 2019 г. N 255 "Об утверждении состава рабочей группы по определению объектов критической информационной инфраструктуры и категорий значимости объектов критической информационной инфраструктуры" в целях обеспечения принятия решений Министерством цифровых технологий и связи Калининградской области (далее - Министерство) об отнесении информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, принадлежащих на праве собственности, аренды или на ином законном основании Калининградской области в лице Министерства, Министерству (далее - ИСиР Министерства) к объектам критической информационной инфраструктуры, включению объектов критической информационной инфраструктуры в Перечень объектов критической информационной инфраструктуры Министерства (далее - Перечень объектов), с последующим установлением одной из категорий значимости объектов критической информационной инфраструктуры, либо решений об отсутствии оснований для их отнесения к объектам критической информационной инфраструктуры в соответствии с требованиями Федерального закона от 26.07.2017 N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации".

2. Присутствовали 9 из 9 членов рабочей группы. Кворум имеется.

3. Рабочая группа выявила технологический процесс мониторинга оказания телекоммуникационных услуг, в том числе услуг связи, в рамках выполнения Министерством полномочий и функций в установленной Положением о Министерстве сфере деятельности.

4. Рабочая группа определила в отношении объекта ИСиР - Единой информационно-телекоммуникационной сети Правительства Калининградской области (далее - ЕИТС), что согласно пп. 7, 17 Положения о единой информационно-телекоммуникационной сети Правительства Калининградской области, утвержденного постановлением Правительства Калининградской области от хх.хх.2018 N ххх "Об утверждении положения о единой информационно-телекоммуникационной сети Правительства Калининградской области" (далее - Положение), Министерство осуществляет от имени Калининградской области правомочия собственника ЕИТС. Подпунктом 3 пункта 3 Положения определено, что задачей ЕИТС является расширение перечня современных телекоммуникационных услуг, включая IP-телефонию, видео-конференц-связь, межведомственный электронный документооборот, которыми могут воспользоваться участники информационного обмена, что позволяет отнести ЕИТС к информационным системам, функционирующим в сфере связи. Проведенная оценка значимости масштаба возможных последствий в случае возникновения компьютерных инцидентов в ЕИТС показала, что компьютерные инциденты в ЕИТС не приводят к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Результаты оценки значимости масштаба возможных последствий в случае возникновения компьютерных инцидентов в ЕИТС приведены в таблице N 1.

Компьютерные инциденты в ЕИТС могут привести к:

- несанкционированному или ошибочному изменению/подмене данных в системе;

- блокированию данных, обрабатываемых в системе (блокирование доступа, шифрование данных и т.д.);

- несанкционированному или ошибочному удалению данных;

- недоступности данных, которые должны поступать из смежных систем.

Возможные нарушители для ЕИТС:

- внешний, с низким потенциалом;

- внутренний, с низким потенциалом;

- внутренний, с средним потенциалом.

Нарушителями при проведении компьютерных атак на ЕИТС могут быть предприняты следующие действия:

- компрометация данных идентификации и аутентификации;

- модификация данных при их передаче по каналам связи;

- атаки с использованием вредоносного ПО;

- атаки типа "отказ в обслуживании" на компоненты системы и каналы связи;

- сетевые атаки (нарушение связи с помощью специальных сетевых пакетов, подмена и изменение адресов, таблиц маршрутизации, обход правил разграничения доступа);

- направленные атаки на пользователей (фишинг и иные методы социальной инженерии).

Таблица N 1.

N	Показатель	Значение показателя	Обоснование
1	Причинение ущерба жизни и здоровью людей	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования ИС, влияющих на жизнь и здоровье людей
2	Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования ИС, обеспечивающих функционирование объектов обеспечения жизнедеятельности населения
3	Прекращение или нарушение функционирования объектов транспортной инфраструктуры	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования ИС, обеспечивающих функционирование объектов транспортной инфраструктуры
4	Прекращение или нарушение функционирования сети связи	Не применимо	ЕИТС не влияет на прекращение или нарушение функционирования контролируемой сети связи
5	Отсутствие доступа к государственной услуге	Показатель и его значения применимы к объекту	ЕИТС влияет на доступность государственных услуг
6	Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия)	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования государственного органа
7	Нарушение условий международного договора РФ, срыв переговоров или подписания планируемого к заключению международного договора РФ, оцениваемые по уровню международного договора РФ	Показатель и его значения не применимы к объекту	ЕИТС не влияет на соблюдение условий международных договоров РФ
8	Возникновение ущерба субъекту критической информационной инфраструктуры, который является государственной корпорацией, государственным унитарным предприятием, государственной компанией, стратегическим акционерным обществом, стратегическим предприятием, оцениваемого в снижении уровня дохода (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей) по всем видам деятельности (процентов от годового объема доходов, усредненного за прошедший 5-летний период)	Показатель и его значения не применимы к объекту	Не применимо для Министерства, как ОИВ субъекта Федерации
9	Возникновение ущерба бюджетам Российской Федерации, оцениваемого в снижении выплат (отчислений) в бюджеты Российской Федерации, осуществляемых субъектом критической информационной инфраструктуры (процентов прогнозируемого годового дохода федерального бюджета, усредненного за планируемый 3-летний период)	Показатель и его значения не применимы к объекту	ЕИТС не влияет на выплаты в бюджет РФ
10	Прекращение или нарушение проведения клиентами операций по банковским счетам и (или) без открытия банковского счета или операций, осуществляемых субъектом критической информационной инфраструктуры, являющимся в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых платежных систем или системно значимой инфраструктурной организацией финансового рынка, оцениваемые среднедневным (по отношению к числу календарных дней в году) количеством осуществляемых операций (млн. единиц) (расчет осуществляется по итогам года, а для создаваемых объектов - на основе прогнозных значений)	Показатель и его значения не применимы к объекту	ЕИТС не обеспечивает проведения клиентами операций по банковским счетам и (или) без открытия банковского счета или операций. Министерство не является в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых платежных систем или системно значимой инфраструктурной организацией финансового рынка
11	Вредные воздействия на окружающую среду (ухудшение качества воды в поверхностных водоемах, обусловленное сбросами загрязняющих веществ, повышение уровня вредных загрязняющих веществ, в том числе радиоактивных веществ, в атмосфере, ухудшение состояния земель в результате выбросов или сбросов загрязняющих веществ или иные вредные воздействия)	Показатель и его значения не применимы к объекту	ЕИТС не оказывает каких-либо воздействий на окружающую среду. Управление объектами, способными оказать негативное воздействие на окружающую среду, не осуществляется.
12	Прекращение или нарушение функционирования (невыполнение установленных показателей) пункта управления (ситуационного центра), оцениваемые в уровне (значимости) пункта управления или ситуационного центра	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования пунктов управления.
13	Снижение показателей государственного оборонного заказа, выполняемого субъектом критической информационной инфраструктуры	Показатель и его значения не применимы к объекту	Не применимо для Министерства, как ОИВ субъекта Федерации
14	Прекращение или нарушение функционирования (невыполнения установленных показателей) информационной системы в области обеспечения обороны страны, безопасности государства и правопорядка	Показатель и его значения не применимы к объекту	ЕИТС не влияет на прекращение или нарушение функционирования ИС в области обеспечения обороны страны, безопасности государства и правопорядка

Рабочая группа приняла решение:

1. ЕИТС функционирует в сфере связи. Основания для отнесения ЕИТС к объектам критической информационной инфраструктуры в наличии.

2. Необходимость присвоения категории значимости ЕИТС отсутствует.

Результаты открытого голосования: "За" - 5 голосов, "Против" - 4 голоса, "Воздержалось" - 0 голосов.

Настоящее Заключение составлено в единственном экземпляре.