Хочу купить, а что - не знаю. (Размышления субъекта КИИ)

            Все ближе момент времени, когда субъекты КИИ начнут просчитывать бюджеты на создание систем безопасности значимых объектов КИИ. Далее последуют конкурсные процедуры на закупку технических средств защиты информации и на проектирование систем безопасности. А значит, остро встает вопрос - какие требования установлены законодательством для технических средств, используемых для создания систем безопасности значимых объектов КИИ. Производители и вендора уже начали выводить на рынок комплексные решения для выполнения требований 235 и 239 Приказов ФСТЭК, а так же для совместной работы с ГоСОПКой. Целью данной заметки является формирование предварительных требований к поставщикам в рамках конкурсных процедур,в  полном соответствии с законодательством РФ.

Полезное и интересное с "CISO FORUM 2020: взгляд в будущее"

     Принял участие в конференции "CISO FORUM 2020: взгляд в будущее". Конференция длилась 2 дня, которые для меня распределились следующим образом:

Тук-тук, эпидемиолога вызывали?

           Часто сталкиваюсь в процессе общения (личном и в интернете) с представителями различных организаций- потенциальными субъектами КИИ по теме реагирования на компьютерные атаки с тем, что существует непонимание роли ФСБ и ФСТЭК в повышение защищенности объектов КИИ.

Подскажите, а я субъект КИИ?

           Основные вопросы, который сейчас задает себе руководитель любой организации в РФ, если он в курсе новинок законодательства: "Обязан ли я выполнять требования 187-ФЗ"? Или по другому: "моя организация - это субъект КИИ?" И вопрос "как мне определять объекты КИИ у себя?".

Уголовная ответственность за нарушение правил эксплуатации КИИ

Начало:
Часть 1 https://valerykomarov.blogspot.com/2018/04/blog-post_16.html
Часть 2 https://valerykomarov.blogspot.com/2018/04/blog-post_36.html
            Как ни странно, но органы Прокуратуры РФ очень активно информируют граждан об изменениях законодательства в области обеспечения безопасности КИИ. Это к вопросу о том, что субъектам КИИ надо интересоваться не только мнением ФСТЭК и ФСБ, но и Прокуратуры.

Уголовная ответственность за нарушение правил эксплуатации. Реалии.

В первой части https://valerykomarov.blogspot.com/2018/04/blog-post_16.html мы подвели теоретические итоги анализа Ст.274 УК РФ:
1.Занимается МВД.
2.Ответственность с 16 лет.
3.Наказывают за нарушение правил эксплуатации, которые направлены на обеспечение ИБ. Выборочно, не за все. Необходимо доказывать прямую связь нарушение -ущерб.
4.Правила эксплуатации могут быть описаны в любом официальном документе, не обязательно в инструкции или регламенте.
5. Статья применяется только при нанесенном ущербе ИНФОРМАЦИИ более 1 000 000 рублей. Стоимость ущерба надо доказывать.
6. Статья " не большой тяжести". Срок давности - 2 года.

Посмотрим как это реализуется на практике.

Итог. Положение о сертификации ФСТЭК России. Что несет нам «ветер перемен»?

 

   

     I’ll be back

     Ранее был проведен анализ положений приказа ФСТЭК России "Об утверждении Положения о сертификации продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа по требованиям безопасности информации" и процесса общественного обсуждения.

Уголовная ответственность за нарушение правил эксплуатации

         Наибольшую озабоченность у субъекта КИИ вызывает угроза уголовной ответственности по п.3 Ст.274.1 "Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, или информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, сетей электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации, либо правил доступа к указанным информации, информационным системам, информационно-телекоммуникационным сетям, автоматизированным системам управления, сетям электросвязи, если оно повлекло причинение вреда критической информационной инфраструктуре Российской Федерации". Статья новая и прецедентов ее применения пока нет.

Классиков надо чтить

Читая на досуге  классические труды русских теоретиков, снова столкнулся с мыслью, что "ни что ни ново под луной", и "никто не хочет учится на ошибках".

Неофициальная позиция ФСТЭК по особенностям выполнения ПП127

         

          

          Благодаря Павлу Луцику, удалось получить в неформальном порядке от ФСТЭК ответы на вопросы по нюансам выполнения субъектом КИИ ПП127 и Приказов по КИИ.