Методические рекомендации по категорированию объектов критической информационной инфраструктуры, функционирующих в сфере науки (утв. Министерством науки и высшего образования Российской Федерации 21 февраля 2025 г.)

3.1. Формирование комиссии

Комиссия создается локальным нормативным актом (приказом или распоряжением) руководителя Организации. Локальный нормативный акт о создании Комиссии оформляется в соответствии с правилами документооборота, принятыми в Организации.

В целях регламентации и планирования деятельности Комиссии рекомендуется разработать Положение о Комиссии. Шаблон Положения о комиссии по категорированию объектов КИИ приведен в Приложении N 4.

Комиссию возглавляет руководитель Организации или уполномоченное им лицо. Уполномоченным лицом может являться заместитель руководителя Организации, в чьи полномочия входит обеспечение информационной безопасности.

3.2. Состав Комиссии

В состав Комиссии включаются:

руководитель Организации или уполномоченное им лицо;

работники Организации, являющиеся специалистами в области выполняемых функций (полномочий) или осуществляемых видов деятельности в области информационных технологий и связи, а также специалисты по эксплуатации основного технологического оборудования, технологической (промышленной) безопасности, контролю за опасными веществами и материалами, учету опасных веществ и материалов;

работники Организации, на которых возложены функции обеспечения безопасности (информационной безопасности) объектов КИИ;

работники подразделения по защите государственной тайны Организации (в случае, если объект КИИ обрабатывает информацию, составляющую государственную тайну);

работники структурного подразделения по гражданской обороне и защите от чрезвычайных ситуаций или работники Организации, уполномоченные на решение задач в области гражданской обороны и защиты от чрезвычайных ситуаций.

По решению руководителя Организации в состав Комиссии могут быть включены иные работники Организации, в том числе работники финансово-экономического подразделения Организации (обладающие знаниями и навыками, необходимыми для расчета показателей экономической значимости), а также специалисты юридического подразделения в целях проверки корректности соблюдения процедуры категорирования и оформления документов.

Включение в состав Комиссии представителей иных органов или организаций (к примеру работников организаций, имеющих лицензии ФСТЭК России или ФСБ России) законодательством не предусмотрено.

По решению руководителя Организации, имеющей филиалы, представительства, могут создаваться отдельные комиссии по категорированию объектов КИИ в этих филиалах, представительствах. Координацию и контроль деятельности таких комиссий осуществляет Комиссия Организации, имеющей филиалы, представительства.

Заседания Комиссии оформляются протоколами по форме, приведенной в Приложении N 2.

1. Инвентаризации ИС, ИТКС, АСУ, принадлежащих Организации на праве собственности, аренды или ином законном основании.

Комиссия определяет ИС, ИТКС, АСУ, подлежащие категорированию, в том числе с учетом Перечня типовых отраслевых объектов КИИ, функционирующих в сфере науки.

Рассматриваются ИС, ИТКС, АСУ, используемые Организацией в целях обеспечения выполнения функций (полномочий) или осуществления видов деятельности Организации.

К ИС, ИТКС, АСУ следуют относить также и сопутствующие подсистемы, работоспособность которых может напрямую или косвенно повлиять на обеспечение функционирования процессов в Организации.

В случае если объекты КИИ обеспечивают деятельность Организации, но функционируют не в сфере науки, то для их включения в список объектов КИИ, которые должны быть рассмотрены Комиссией необходимо руководствоваться перечнями типовых отраслевых объектов КИИ в иных сферах установленных пунктом 8 статьи 2 Федерального закона N 187-ФЗ.

В случае выявления ИС, ИТКС, АСУ, функционирующих в сфере науки, но не включенных в перечень типовых отраслевых объектов в сфере науки, рекомендуется провести категорирование выявленного объекта КИИ, а также направить в Минобрнауки России предложения по дополнению перечня типовых отраслевых объектов КИИ.

2. Формирования перечня всех управленческих, технологических, производственных, финансово-экономических и (или) иных процессов, протекающих при выполнении функций (полномочий) или осуществления видов деятельности Организации (далее - Перечень процессов).

3. Определение процессов нарушение или прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Такие процессы признаются критическими процессами Организации и отражаются в отдельном документе. Рекомендованная форма Перечня критических процессов приведена в Приложении N 5.

4. На основании результатов инвентаризации, сформированных при выполнении рекомендаций пункта 1 раздела 4 настоящих методических рекомендаций, Комиссия определяет ИС, ИТКС, АСУ, используемые для обеспечения критических процессов, или осуществляющие управление, контроль или мониторинг этих критических процессов. По результатам этого этапа определяются ИС, ИТКС, АСУ, отнесенные к объектам КИИ, подлежащим категорированию.

К объектам КИИ Организации, подлежащим категорированию, имеющей филиалы, представительства, также относятся объекты КИИ филиалов, представительств, в случае если они не являются самостоятельными юридическими лицами.

5.1. Описание порядка присвоения категории значимости объекту КИИ либо принятия решения об отсутствии необходимости присвоения ему одной из категорий значимости

Комиссия по категорированию в ходе своей работы:

5.2. Оценка масштаба возможных последствий в результате возникновения компьютерных инцидентов на объектах КИИ

При категорировании объекта КИИ необходимо определить масштаб возможных последствий в результате возникновения компьютерных инцидентов, основываясь на выявленных возможных угрозах безопасности информации, типах компьютерных атак, назначении объекта КИИ и автоматизируемого процесса. Для рассматриваемого объекта КИИ должны выбираться те типы последствий, которые могут стать следствием реализации вероятных угроз безопасности информации для данного объекта КИИ.

Полученная оценка масштаба возможных последствий должна соотноситься со значениями показателей критериев значимости и для каждого показателя должна быть определена соответствующая категория значимости.

При оценке масштаба возможных последствий в случае возникновения компьютерных инцидентов при проведении компьютерных атак на объект КИИ необходимо:

рассматривать наихудшие сценарии, учитывающие проведение целенаправленных компьютерных атак на объекты КИИ, результатом которых являются прекращение или нарушение выполнения критических процессов и нанесение максимально возможного ущерба;

учитывать зависимость процессов от осуществления иных процессов, выполняемых субъектом КИИ;

учитывать зависимость функционирования одного объекта КИИ от функционирования другого объекта КИИ;

оценить возможность реализации угроз безопасности информации в отношении объекта КИИ, а также имеющиеся данные, в том числе статистические, о компьютерных инцидентах, произошедших ранее на объектах КИИ соответствующего типа.

В Приложении N 8 приведены предложения по проведению оценки возможных последствий в результате возникновения компьютерных инцидентов на объектах КИИ.

5.3. Описание расчета показателей критериев значимости объектов КИИ

До начала расчета показателей критериев значимости объекта КИИ Организации определяется применимость критериев значимости для оценки значимости ИС, ИТКС, АСУ Организации.

Для показателей критериев значимости объекта КИИ Организации, по которым обоснована их неприменимость, расчет показателей критериев значимости не проводится.

Расчет показателей критериев значимости объектов КИИ, установленных Постановлением Правительства N 127, проводится для каждого возможного события (инцидента), которое может возникнуть в результате реализации наихудшего сценария одной целенаправленной компьютерной атаки.

Для каждого показателя критериев значимости, для которого установлено более одного значения такого показателя (территория, количество людей), оценка производится по каждому из значений показателя критериев значимости, а категория значимости присваивается по наивысшему значению такого показателя.

В случае, если ИС, ИТКС, АСУ Организации по одному из показателей критериев значимости отнесена к первой категории, расчет по остальным показателям критериев значимости не проводится.

В случае, если ИС, ИТКС, АСУ Организации не соответствует ни одному значению показателя критериев значимости, категория значимости объекту КИИ не присваивается.

В случае, если функционирование одного объекта КИИ зависит от функционирования другого объекта КИИ, оценка масштаба возможных последствий проводится исходя из предположения о прекращении или нарушении функционирования вследствие компьютерной атаки объекта КИИ, от которого зависит оцениваемый объект.

В случае, если ИС, ИТКС, АСУ Организации обрабатывают информацию, необходимую для обеспечения нескольких критических процессов Организации, и (или) осуществляют управление, контроль или мониторинг нескольких критических процессов Организации, оценка показателей критериев значимости производится для каждого критического процесса Организации, а категория значимости присваивается по наивысшему значению показателя.

6.1. Акт о категорировании объектов КИИ

Форма Акта о категорировании объектов КИИ приведена в Приложении N 9 настоящих методических рекомендаций.

Акт о категорировании подписывается председателем и членами Комиссии по категорированию и утверждается руководителем Организации.

В случае если председатель Комиссии по категорированию и руководитель Субъекта КИИ одно и то же лицо, Акт должен содержать две его подписи: на месте подписи председателя комиссии и в поле утверждения документа.

Организация обеспечивает хранение Акта до вывода из эксплуатации объекта КИИ или до изменения категории значимости.

Направление Акта о категорировании в ФСТЭК России не требуется.

6.2. Сведения о результатах присвоения объекту КИИ одной из категорий значимости, либо об отсутствии необходимости присвоения ему одной из таких категорий

Комиссия формирует Сведения о результатах присвоения объекту КИИ одной из категорий значимости, либо об отсутствии необходимости присвоения ему одной из таких категорий (далее - Сведения о категорировании) по форме, приведенной в приложении N 1 к Акту категорирования (Приложение N 9).

Сведения о категорировании в течение 10 дней со дня утверждения Акта о категорировании направляются в ФСТЭК России.

Допускается оформление единого Акта о категорировании по результатам категорирования нескольких объектов КИИ, принадлежащих одному Субъекту КИИ, при этом Сведения о категорировании готовятся в отношении каждого из объектов КИИ отдельно и направляются в бумажном и электронном виде в ФСТЭК России либо ее территориальный орган.

В части Субъектов КИИ, осуществляющих деятельность в сфере науки, являющихся федеральными органами исполнительной власти, государственными корпорациями, головными организациями интегрированных структур, а также включенных в Перечень стратегических предприятий и стратегических акционерных обществ, утвержденный Указом Президента Российской Федерации от 04.08.2004 N 1009, рассмотрение сведений осуществляется центральным аппаратом ФСТЭК России.

В части Субъектов КИИ, осуществляющих деятельность в сфере науки, являющихся самостоятельными юридическими лицами, дочерними, зависимыми обществами, входящими в интегрированные структуры, а также организациями, подведомственными органам власти субъектов Российской Федерации или органам местного самоуправления, рассмотрение сведений осуществляется управлением ФСТЭК России по федеральному округу, на территории которого расположены указанные Субъекты КИИ.