Социальная значимость объекта КИИ

Социальная значимость объекта КИИ — это категория, определяющая степень влияния функционирования конкретного объекта критической информационной инфраструктуры (КИИ) на безопасность, обороноспособность, экономику и жизнеобеспечение населения Российской Федерации. Присвоение категории социальной значимости является обязательным элементом процедуры категорирования объектов КИИ, установленной Федеральным законом № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и подзаконными актами. Данная категория напрямую влияет на объём требований к обеспечению безопасности объекта, периодичность проверок и ответственность за нарушения.

Правовая основа и нормативное регулирование

Понятие социальной значимости объекта КИИ введено в правовое поле Российской Федерации с принятием Федерального закона от 26 июля 2017 года № 187-ФЗ. В соответствии с законом, все объекты КИИ подлежат категорированию, по результатам которого им присваивается одна из трёх категорий: первая, вторая или третья. Критерии отнесения к категориям, включая социальную значимость, устанавливаются Правительством РФ.

Основным подзаконным актом является Постановление Правительства РФ от 8 февраля 2018 года № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений». В этом документе закреплены конкретные показатели, по которым оценивается социальная значимость.

Критерии социальной значимости

Социальная значимость объекта КИИ оценивается по нескольким ключевым показателям, которые отражают потенциальный ущерб для общества и государства в случае нарушения его функционирования. Основными из них являются:

• Воздействие на здоровье и жизнь граждан. Оценивается количество людей, которые могут пострадать (вплоть до гибели) в результате выхода из строя объекта КИИ. Например, для объектов здравоохранения, систем жизнеобеспечения городов, транспортной инфраструктуры.
• Нарушение условий жизнедеятельности. Учитывается масштаб территории, на которой будет нарушено нормальное функционирование систем водоснабжения, электроснабжения, теплоснабжения, связи, транспорта. Чем больше населённый пункт или регион, тем выше категория.
• Воздействие на социальную стабильность. Оценивается возможность возникновения массовых беспорядков, паники, социальной напряжённости. Этот критерий особенно важен для объектов, обеспечивающих работу финансовой системы, государственных услуг, информационных ресурсов.
• Экономические потери. Учитывается прямой и косвенный ущерб для экономики, включая потерю рабочих мест, снижение налоговых поступлений, ущерб для смежных отраслей.

Классификация по категориям социальной значимости

В зависимости от значений показателей, объекту КИИ присваивается одна из трёх категорий:

Первая категория

Присваивается объектам, нарушение функционирования которых может привести к чрезвычайной ситуации федерального или межрегионального характера, либо к существенному снижению безопасности государства. К таким объектам относятся, например, системы управления атомными электростанциями, объекты оборонно-промышленного комплекса, ключевые элементы единой системы энергоснабжения, государственные информационные системы, обрабатывающие персональные данные большого числа граждан. Для объектов первой категории устанавливаются самые строгие требования к защите информации, включая обязательное использование сертифицированных средств защиты информации, регулярные аудиты и обязательное взаимодействие с ФСТЭК России.

Вторая категория

Присваивается объектам, нарушение которых может привести к чрезвычайной ситуации регионального или муниципального характера, либо к значительному снижению обороноспособности или экономической безопасности. Примерами являются системы управления крупными промышленными предприятиями, региональные транспортные узлы, системы связи и вещания, имеющие значение для субъекта РФ. Требования к защите для второй категории также высоки, но допускаются некоторые послабления по сравнению с первой.

Третья категория

Присваивается объектам, нарушение функционирования которых может привести к чрезвычайной ситуации локального характера или к незначительному снижению безопасности. К этой категории относятся объекты, не попавшие в первые две, но всё ещё представляющие определённую значимость. Требования к защите для третьей категории минимальны, но обязательны. Если объект не соответствует ни одному из критериев, он не категорируется, но всё равно подлежит защите в соответствии с общими требованиями.

Влияние социальной значимости на требования к безопасности

Категория социальной значимости напрямую определяет объём и жёсткость мер по обеспечению безопасности объекта КИИ. Чем выше категория, тем более строгие требования предъявляются к:

• Системе защиты информации. Обязательно использование сертифицированных средств криптографической защиты, антивирусного ПО, межсетевых экранов, систем обнаружения вторжений.
• Организационным мерам. Разработка и утверждение политики информационной безопасности, назначение ответственных лиц, проведение регулярных учений и тренировок.
• Мониторингу и реагированию. Обязательное создание центров мониторинга и реагирования на инциденты (SOC), круглосуточный мониторинг, автоматическое оповещение об инцидентах.
• Аудиту и контролю. Проведение независимых аудитов безопасности, аттестация объектов, регулярные проверки со стороны ФСТЭК России.
• Ответственности. За нарушения требований к защите объектов КИИ первой и второй категории предусмотрена уголовная ответственность (ст. 274.1 УК РФ), вплоть до лишения свободы на срок до 10 лет.

Примеры объектов с высокой социальной значимостью

• Автоматизированная система управления технологическим процессом (АСУ ТП) атомной электростанции. Нарушение её работы может привести к аварии с выбросом радиоактивных веществ, что представляет угрозу для жизни и здоровья миллионов людей.
• Государственная информационная система «Единый портал государственных и муниципальных услуг (функций)» (ЕПГУ). Её выход из строя парализует предоставление массовых государственных услуг, что вызывает социальную напряжённость и экономические потери.
• Система управления железнодорожным транспортом (диспетчерская централизация). Сбой в её работе может привести к столкновениям поездов, крушениям, гибели людей и нарушению транспортного сообщения на больших территориях.
• Автоматизированная система управления водоснабжением крупного города. Прекращение подачи воды нарушает условия жизнедеятельности миллионов людей, создаёт угрозу санитарно-эпидемиологической безопасности.

Критика и проблемы категорирования

Несмотря на важность института категорирования, на практике существует ряд проблем. Во-первых, сложность и субъективность оценки некоторых показателей, особенно тех, что касаются «социальной стабильности» или «потенциального ущерба». Во-вторых, высокая стоимость выполнения требований для объектов первой и второй категории, что особенно критично для малых и средних предприятий, которые также могут быть признаны значимыми. В-третьих, не всегда чёткое разграничение между категориями, что приводит к спорам между субъектами КИИ и регулирующими органами. Тем не менее, система категорирования признаётся эффективным инструментом для приоритизации усилий по защите наиболее важных объектов инфраструктуры.

Источники

• Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
• Постановление Правительства РФ от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений».
• Приказ ФСТЭК России от 14.03.2014 № 31 «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».
• Методические рекомендации ФСТЭК России по категорированию объектов КИИ (2018 г.).