Size: a a a

2018 November 02

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
1 Акт категорирования объекта КИИ                            2. Инструкция Администратора безопасности объектов
КИИ.
3 Инструкция Администратора объектов КИИ.
4 Инструкция О порядке резервирования и
восстановления данных с машинных носителей
объектов КИИ.
5 Инструкция По обеспечению защиты информации при
выводе оборудования объекта КИИ из эксплуатации.
6 Инструкция По проведению внутренних проверок в
области обеспечения безопасности значимых
объектов КИИ.
7 Инструкция по реагированию на компьютерные
инциденты.
8 Инструкция Пользователя объектов КИИ.
9 Инструкция Пользователя при возникновении
внештатных ситуаций при работе с объектами КИИ.
10 Концепция информационной безопасности.
11 Модель угроз безопасности объектов КИИ.
12 Перечень объектов КИИ.
13 Перечень СЗИ в объектах КИИ.
14 План мероприятий по категорированию объектов КИИ
15 План мероприятий по обеспечению защиты объектов
КИИ.
16 Политика информационной безопасности.
17 Порядок взаимодействия подразделений.
18 Порядок взаимодействия субъекта КИИ с ГоССОПКОЙ
19 Порядок доступа в помещения с объектами КИИ.
20 Порядок информирования и обучения работников.
21 Порядок проведения испытаний или приемки средств
защиты информации.
22 Порядок уничтожения и блокирования данных с
машинных носителей объектов КИИ.
23 Приказ о вводе в эксплуатацию объектов КИИ.
24 Приказ о допуске сотрудников к объектам КИИ.
25 Приказ о категорировании объектов КИИ.
26 Приказ о назначении ответственного за безопасность
объектов КИИ.
27 Приказ о подразделении по защите объектов КИИ.
28 Приказ О проведении внутренней проверки
безопасности объектов КИИ.
29
Приказ О проверке готовности и возможности ввода в
эксплуатацию СЗИ.
30 Приказ Об утверждении документов по вопросам
обеспечения безопасности информации в объектах
КИИ.
31 Приказ об утверждении перечня объектов КИИ.
32 Разрешительная система доступа к объектам КИИ.
33 Сведения о результатах присвоения категории
значимости.
34 Журнал поэкземплярного учёта СЗИ в объектах КИИ.
35 Журнал учёта машинных носителей объектов КИИ.
Очень советую выкинуть этот список в ближайшую урну
источник

ЮК

Юрий Кисловодск КСПБ#3 in КИИ 187-ФЗ
почему?
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
Потому что в нем написана полная бессмыслица
источник

AN

Anton Not in КИИ 187-ФЗ
Прям с аргументами пояснил свою точку зрения
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
На фига вам "Концепция ИБ"? Чем "Сведения о присвоении категории" отличаются от "Акта категорирования"? Какая может быть общая "Модель угроз объектам КИИ", если для каждого объекта требуется своя собственная модель угроз, которая разрабатывактся при проектировании или модернизации объекта. И т.п.

Из 35 пунктов 34 абсолютно бессмысленны
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
Anton Not
Прям с аргументами пояснил свою точку зрения
Так это не я должен аргументировать, а человек, который эти наименования туда вписал :)
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
При этом в списке нет ни одного документа, который определял бы порядок реализации мер защиты.
источник

A

Alexxiel in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
1 Акт категорирования объекта КИИ                            2. Инструкция Администратора безопасности объектов
КИИ.
3 Инструкция Администратора объектов КИИ.
4 Инструкция О порядке резервирования и
восстановления данных с машинных носителей
объектов КИИ.
5 Инструкция По обеспечению защиты информации при
выводе оборудования объекта КИИ из эксплуатации.
6 Инструкция По проведению внутренних проверок в
области обеспечения безопасности значимых
объектов КИИ.
7 Инструкция по реагированию на компьютерные
инциденты.
8 Инструкция Пользователя объектов КИИ.
9 Инструкция Пользователя при возникновении
внештатных ситуаций при работе с объектами КИИ.
10 Концепция информационной безопасности.
11 Модель угроз безопасности объектов КИИ.
12 Перечень объектов КИИ.
13 Перечень СЗИ в объектах КИИ.
14 План мероприятий по категорированию объектов КИИ
15 План мероприятий по обеспечению защиты объектов
КИИ.
16 Политика информационной безопасности.
17 Порядок взаимодействия подразделений.
18 Порядок взаимодействия субъекта КИИ с ГоССОПКОЙ
19 Порядок доступа в помещения с объектами КИИ.
20 Порядок информирования и обучения работников.
21 Порядок проведения испытаний или приемки средств
защиты информации.
22 Порядок уничтожения и блокирования данных с
машинных носителей объектов КИИ.
23 Приказ о вводе в эксплуатацию объектов КИИ.
24 Приказ о допуске сотрудников к объектам КИИ.
25 Приказ о категорировании объектов КИИ.
26 Приказ о назначении ответственного за безопасность
объектов КИИ.
27 Приказ о подразделении по защите объектов КИИ.
28 Приказ О проведении внутренней проверки
безопасности объектов КИИ.
29
Приказ О проверке готовности и возможности ввода в
эксплуатацию СЗИ.
30 Приказ Об утверждении документов по вопросам
обеспечения безопасности информации в объектах
КИИ.
31 Приказ об утверждении перечня объектов КИИ.
32 Разрешительная система доступа к объектам КИИ.
33 Сведения о результатах присвоения категории
значимости.
34 Журнал поэкземплярного учёта СЗИ в объектах КИИ.
35 Журнал учёта машинных носителей объектов КИИ.
Такое ощущение, что автор этого списка взял требуемые заполнения формы из действующих источников (например, СТР-К) и добавил «КИИ».
источник

AI

Alex Ivanov in КИИ 187-ФЗ
Часть списка имхо не имеет отношения к категорированию, но взята из аттестации..
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
Alexxiel
Такое ощущение, что автор этого списка взял требуемые заполнения формы из действующих источников (например, СТР-К) и добавил «КИИ».
Скорее, перечислил все документы, о которых когда либо слышал. Удивляюсь, почему в списке нет руководства по ПДиТР :)
источник

ЮК

Юрий Кисловодск КСПБ#3 in КИИ 187-ФЗ
ну если что автор этого списка не я))
источник

ЮК

Юрий Кисловодск КСПБ#3 in КИИ 187-ФЗ
мне сегодня пришли и сказали. вот есть такая штука по кии, вот давай разбирайся...
источник

Д

Дима Шахов in КИИ 187-ФЗ
Вообще надо смотреть содержание документов из названий ниче не следует. Но сам факт такого количества бумаги смущает. Такое на практике не работает. Тут половину документов в политику иб можно разделами ставить.
источник

SB

Sergey Borisov in КИИ 187-ФЗ
у НАСТОЯЩИХ значимых объектов КИИ РФ должно быть много процессов связанных с обеспечением безопасности, а соответственно должны быть и документы регламентирующие, иначе ничего работать не будет.      но большинству стоит обоснованно попасть в незначимые
источник

DK

Dmitry Kuznetsov in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
ну если что автор этого списка не я))
Понятно, что не вы :)

Документ стоит писать в двух случаях:
1. Если он обязателен в силу нормативки (например "Сведения о присвоении категории" или "Модель угроз" как часть проектной документации отдельной системы)
2. Есть внутренняя уверенность, что этим документом должна пользоваться относительно большая группа людей.

Во вторую категорию попадают руководства/инструкции по отдельным мерам зашиты (антивирусная защита, порядок настройки файрволов, действия при инциденте и т.п ). И эти документы нужно писать не "щоб було", а когда эта мера защиты уже в общих чертах реализована, и уже нужно заставить людей выполнять связанные с ней действия.
источник

И

Иван in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
1 Акт категорирования объекта КИИ                            2. Инструкция Администратора безопасности объектов
КИИ.
3 Инструкция Администратора объектов КИИ.
4 Инструкция О порядке резервирования и
восстановления данных с машинных носителей
объектов КИИ.
5 Инструкция По обеспечению защиты информации при
выводе оборудования объекта КИИ из эксплуатации.
6 Инструкция По проведению внутренних проверок в
области обеспечения безопасности значимых
объектов КИИ.
7 Инструкция по реагированию на компьютерные
инциденты.
8 Инструкция Пользователя объектов КИИ.
9 Инструкция Пользователя при возникновении
внештатных ситуаций при работе с объектами КИИ.
10 Концепция информационной безопасности.
11 Модель угроз безопасности объектов КИИ.
12 Перечень объектов КИИ.
13 Перечень СЗИ в объектах КИИ.
14 План мероприятий по категорированию объектов КИИ
15 План мероприятий по обеспечению защиты объектов
КИИ.
16 Политика информационной безопасности.
17 Порядок взаимодействия подразделений.
18 Порядок взаимодействия субъекта КИИ с ГоССОПКОЙ
19 Порядок доступа в помещения с объектами КИИ.
20 Порядок информирования и обучения работников.
21 Порядок проведения испытаний или приемки средств
защиты информации.
22 Порядок уничтожения и блокирования данных с
машинных носителей объектов КИИ.
23 Приказ о вводе в эксплуатацию объектов КИИ.
24 Приказ о допуске сотрудников к объектам КИИ.
25 Приказ о категорировании объектов КИИ.
26 Приказ о назначении ответственного за безопасность
объектов КИИ.
27 Приказ о подразделении по защите объектов КИИ.
28 Приказ О проведении внутренней проверки
безопасности объектов КИИ.
29
Приказ О проверке готовности и возможности ввода в
эксплуатацию СЗИ.
30 Приказ Об утверждении документов по вопросам
обеспечения безопасности информации в объектах
КИИ.
31 Приказ об утверждении перечня объектов КИИ.
32 Разрешительная система доступа к объектам КИИ.
33 Сведения о результатах присвоения категории
значимости.
34 Журнал поэкземплярного учёта СЗИ в объектах КИИ.
35 Журнал учёта машинных носителей объектов КИИ.
Скорее всего тот кто это составил, реально взял документы из разных областей применения этих документов. Наверное было так: Вы знает 187 ФЗ!? Нет?!Тк это же уголовка!! Вам нужно ... И написал. )) Ведь не все понимают реально, что и для чего. А прочитав названия - понимают только то что это важно. Ведь это же безопасности да еще и УК может быть за невыполнение. Я более чем в этом уверен-такой был расчет
источник

И

Иван in КИИ 187-ФЗ
"30 Приказ Об утверждении документов по вопросам
обеспечения безопасности информации в объектах
КИИ." - что подразумевалось?! Приказ об утверждении приказа?! ))
источник

ЮК

Юрий Кисловодск КСПБ#3 in КИИ 187-ФЗ
Ну например приказ "утвердить приказом следующие документы: ..." и перечень всех документов, якобы по отдельности чтобы не утверждать
источник

И

Иван in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
Ну например приказ "утвердить приказом следующие документы: ..." и перечень всех документов, якобы по отдельности чтобы не утверждать
Наименования документов?! ))) А как вы утвердите приказом документы, которые должны быть выпущены через год?! За этот год и документ и приамбула к нему может поменяться так, что и сама суть документа будет не та, что в начале, при его утверждении.
источник

И

Иван in КИИ 187-ФЗ
Юрий Кисловодск КСПБ#3
1 Акт категорирования объекта КИИ                            2. Инструкция Администратора безопасности объектов
КИИ.
3 Инструкция Администратора объектов КИИ.
4 Инструкция О порядке резервирования и
восстановления данных с машинных носителей
объектов КИИ.
5 Инструкция По обеспечению защиты информации при
выводе оборудования объекта КИИ из эксплуатации.
6 Инструкция По проведению внутренних проверок в
области обеспечения безопасности значимых
объектов КИИ.
7 Инструкция по реагированию на компьютерные
инциденты.
8 Инструкция Пользователя объектов КИИ.
9 Инструкция Пользователя при возникновении
внештатных ситуаций при работе с объектами КИИ.
10 Концепция информационной безопасности.
11 Модель угроз безопасности объектов КИИ.
12 Перечень объектов КИИ.
13 Перечень СЗИ в объектах КИИ.
14 План мероприятий по категорированию объектов КИИ
15 План мероприятий по обеспечению защиты объектов
КИИ.
16 Политика информационной безопасности.
17 Порядок взаимодействия подразделений.
18 Порядок взаимодействия субъекта КИИ с ГоССОПКОЙ
19 Порядок доступа в помещения с объектами КИИ.
20 Порядок информирования и обучения работников.
21 Порядок проведения испытаний или приемки средств
защиты информации.
22 Порядок уничтожения и блокирования данных с
машинных носителей объектов КИИ.
23 Приказ о вводе в эксплуатацию объектов КИИ.
24 Приказ о допуске сотрудников к объектам КИИ.
25 Приказ о категорировании объектов КИИ.
26 Приказ о назначении ответственного за безопасность
объектов КИИ.
27 Приказ о подразделении по защите объектов КИИ.
28 Приказ О проведении внутренней проверки
безопасности объектов КИИ.
29
Приказ О проверке готовности и возможности ввода в
эксплуатацию СЗИ.
30 Приказ Об утверждении документов по вопросам
обеспечения безопасности информации в объектах
КИИ.
31 Приказ об утверждении перечня объектов КИИ.
32 Разрешительная система доступа к объектам КИИ.
33 Сведения о результатах присвоения категории
значимости.
34 Журнал поэкземплярного учёта СЗИ в объектах КИИ.
35 Журнал учёта машинных носителей объектов КИИ.
Вопрос, реализация этого фолианта документов представляется в том порядке, что прописана в списке?! Или это так -просто список и не важно что за чем?! Я почему-то уверен, что и автор документа не понимает в нем ничего. Но могу и ошибаться
источник