четверг, 31 мая 2018 г.

А водоканал это субъект КИИ? Да, однозначно.

      

      
      С момента публикации 187-ФЗ летом 2017 года, было много активных споров о сферах деятельности, попавших под КИИ. Вопрос про водоканалы стал фактически нарицательным и задается с завидным постоянством на профильных семинарах и встречах, посвященных особенностям выполнения 187-ФЗ и ПП127.

     Стандартно все заканчивалось попыткой подвести водоканалы под химическую промышленность, так как используются химические реагенты для обеззараживания воды и стоков. Были попытки отнести их к горнорудной отрасли. Были попытки в  направлении - транспорт, но с ней есть очень интересный нюанс: По  ОКВЭД-2 есть
49.50 Деятельность трубопроводного транспорта
  Эта группировка включает:
- транспортировку газов, жидкостей, воды, жидких цементных растворов, а также прочих видов грузов по трубопроводам
  Эта группировка также включает:
- работу насосных, компрессорных и распределительных станций.
     Действительно, транспортировка воды по трубопроводам это сфера транспорта, но есть отдельный раздел:
Раздел E. Водоснабжение; водоотведение, организация сбора и утилизации отходов, деятельность по ликвидации загрязнений", который уже к сфере транспорта не относится и в 187-ФЗ не упоминается.
      Смотрим для примеры ОКВЭД "Мосводоканала":
http://www.rusprofile.ru/id/6585085#okved

       А там полный набор по сферам КИИ:
52.29 Деятельность вспомогательная прочая, связанная с перевозками - транспорт
20.13 Производство прочих основных неорганических химических веществ- химическая промышленность
35.11.2 Производство электроэнергии гидроэлектростанциями, в том числе деятельность по обеспечению работоспособности электростанций - ТЭК
35.12 Передача электроэнергии и технологическое присоединение к распределительным электросетям - ТЭК
49.50 Деятельность трубопроводного транспорта -транспорт
52.10 Деятельность по складированию и хранению - транспорт
52.21 Деятельность вспомогательная, связанная с сухопутным транспортом - транспорт
61.1  Деятельность в области связи на базе проводных технологий - связь
61.10 Деятельность в области связи на базе проводных технологий - связь.
 
    Но ОКВЭД это косвенные признаки. Можно заявить вид деятельности, но не осуществлять ее в реальности.
    Посмотрим на лицензии "Мосводоканала". А там очень интересная лицензия:
"Деятельность в области использования возбудителей инфекционных заболеваний человека и животных (за исключением случая, если указанная деятельность осуществляется в медицинских целях) и генно-инженерно-модифицированных организмов III и IV степеней потенциальной опасности, осуществляемая в замкнутых системах", которая выдается в рамках закона от 30.03.1999 N 52-ФЗ "О САНИТАРНО-ЭПИДЕМИОЛОГИЧЕСКОМ БЛАГОПОЛУЧИИ НАСЕЛЕНИЯ", а данный ФЗ относится к законам, регулирующим сферу здравоохранения. А здравоохранение -это сфера деятельности КИИ.

     То есть, "мосводоканал" попадает под потенциальные субъекты КИИ, по определениям ФСТЭК (уставная деятельность и лицензии).

     Может это только столицы касается? Посмотрим на примере региона - Ставрополь.
МУП "Водоканал" https://egrinf.com/1026814#okveds
Видим коды из сфер деятельности КИИ: транспорт, медицина.
Видим 4 лицензии сферы "здравоохранения", причем 2  - прямо медицинские.
     Картина аналогичная столичной.

          Вполне логично, что водоканалы обеспечивают санитарно-эпидемиологическую защиту населения и попадают в сферу здравоохранения,а значит и под 187-ФЗ.


* Результаты анализа 187-ФЗ и рекомендации по его выполнению размещаются в разделе "ЧаВо по КИИ" на главной странице блога.

** Все новости блога на публичном Telegram-канале  t.me/ruporsecurite




12 комментариев:

  1. Ключевая фраза это: То есть, "мосводоканал" попадает под потенциальные субъекты КИИ, по определениям ФСТЭК (уставная деятельность и лицензии).

    эти определения никак не соотносятся с ФЗ в котором идет речь по ИС в сферах.

    ОтветитьУдалить
  2. Мне кажется, что это не ставит точку в полемике на данную тематику, особенно, если учитывать, что у понятия информационные системы в сфере здравоохранения есть определение: Информационные системы в сфере здравоохранения – государственные информационные системы в сфере здравоохранения, информационные системы в сфере здравоохранения Федерального фонда обязательного медицинского страхования и территориальных фондов обязательного медицинского страхования, государственные информационные системы в сфере здравоохранения субъектов Российской Федерации, медицинские информационные системы медицинских организаций и информационные системы фармацевтических организаций (постановление Правительства Российской Федерации от 12 апреля 2018 № 447 «Об утверждении Правил взаимодействия иных информационных систем, предназначенных для сбора, хранения, обработки и предоставления информации, касающейся деятельности медицинских организаций и предоставляемых ими услуг, с информационными системами в сфере здравоохранения и медицинскими организациями»). Соответственно, если водоканал станет медицинской организацией, то все окей. Но захотят ли они этого? Мне кажется, что в этой ситуации правильнее подождать (я говорю о возможных изменениях в 187-ФЗ, о которых только ленивый не говорит), а не тянуть водоканал за уши в КИИ.

    ОтветитьУдалить
    Ответы
    1. Долго ждать придется изменений в 187-ФЗ. Процедура больна длительная, а до сих пор еще нет понимания и единства мнений о формулировках изменений. Да и будет очень странно, если автоматизированная система управления станцией биологической очистки водоканала не будет объектом КИИ.

      Удалить
    2. Я не могу не согласиться с тем, что водоканал должен быть субъектом, а какой-нибудь склад (деятельность по складированию и хранению), ломбард, каршеринг - нет. Но хотелось бы правовых оснований.

      Удалить
    3. Правовые основания: Лицензия в сфере здравоохранения-АСУ ТП работающая в лицензируемом виде деятельности=АСУ, функционирующая в сфере здравоохранения. Водоканал = субъект КИИ, как владелец АСУ ТП, функционирующем в сфере здравоохранения.

      Удалить
    4. Как по мне, то наличие лицензии на тот или иной вид деятельность - это не равно наличию ИС,ИТС, АСУ в этой сфере деятельности.

      Удалить
  3. Только, если само наличие асу не обязательно для получения лицензии.

    ОтветитьУдалить
  4. Предположим, что АСУ проблемного водоканала нужна ддя получении лицензии. Приступаем к получению лицензии и оказывается, что лицензироваться надо будет в Федеральной службе по надзору в сфере защиты прав потребителей и благополучия человека, которая никак не относится к Министерству здравоохранения, нежели та же Федеральная служба по надзору в сфере здравоохранения.

    А если АСУ водоканала не имеет никакого отношения к деятельности в области использования возбудителей инфекционных заболеваний человека и животных (функционирует не в этой сфере)?

    ОтветитьУдалить
  5. Важно не у кого лицензия получается,а в рамках какого закона. И относится ли данный закон к регулирующим сферу здравоохранения.
    И я вел речь не про АСУ водоканала, а про АСУ промышленной станции биологической очистки воды и ИС лаборатории. Возможно, что в лаборатории есть и автоматизированный комплекс, тогда это АСУ.

    ОтветитьУдалить
  6. А если организация получила лицензию ФСБ на работу с гостайной, то она работает в сфере обеспечения госбезопасности!? А получил лицензию на продажу ЭП - работаешь в сфере шифрования!?

    ОтветитьУдалить
  7. Если на работу с гт, то нет. Это просто право использовать с своей основной деятельности гт. Вот лицензия на оказание услуг по защите ГТ, вот здесь уже возможны варианты. К тому же, ведь для получения лицензии требуется вносить изменения в устав организации.
    Если судить по названию лицензии ФСБ, то оказываешь услуги в области шифрования

    ОтветитьУдалить
    Ответы
    1. Ранее в презентациях коллег видел 3 варианта, связанных с определением принадлежности к субъектам КИИ

      1. Организация подпадает под указанные сферы и у нее есть специализированные ИС, функционирующие в указанных сферах.

      2. Организация подпадает под указанные сферы, но у нее нет специализированных ИС, функционирующих в указанных сферах

      3. Организация не подпадает под указанные сферы, но у нее есть специализированные ИС, функционирующих в указанных сферах


      Причем, в качестве примера всегда приводился Водоканал. Встречались ли Вам еще организации, попадающие под 3й пункт?

      Мне кажется что 3его варианта вообще быть не может.

      Удалить