Поэтому основные - это ФЗ, ПП127 и два упомянутых приказа.

По линии ФСБ - приказ о порядке информирования об инцидентах

Единственное исключение из этого правила - упоминавшийся тут методический документ о мерах защиты. Пример такого документа - методический дркумент "Меры защиты информации в государственных информационных системах", такой же документ будет по КИИ

На эти методические документы нет прямых ссылок из приказов, об их существовании нужно просто знать

Это - из серии "запомнить и держать в голове". Остальные документы по теме лежат в блоге Алексея Комарова (https://zlonov.ru)    , но вот чтоб прям знать их и помнить - смысла особого нет.

Это прям полный список, но далеко не все они действительно нужны людям, для которых ИБ - не основная профессия :)

Вот ещё от Павла Луцика (но это, можно сказать, аналог приведённого выше + проекты):
http://plutsik.blogspot.com/2018/03/blog-post_26.html

какой широкий выбор: https://www.ptsecurity.com/upload/corporate/ru-ru/solutions/center-gossopka/PT-Terminology-FV-rus.pdf

Ущерб определяем по пп127?

Спасибо за информацию - сохраню. Постараюсь прочитать )

Бизнес еще спросить можно

Извините, не понял...

Ущерб для бизнеса можно узнать только у бизнеса

Совет хороший. Но не во всех организациях есть бизнес-подразделения... Админу из какой-нибудь поликлиники, например, этот совет навряд ли поможет. Тут только на постановление и "собственное экспертное мнение" остается полагаться.

"Бизнес" - это не только тот, кто зарабатывает деньги, а тот кто вообще занимается основной деятельностью предприятия. У поликлиники есть главврач, который гораздо лучше админа знает, что произойдет, если... Именно он в итоге и подписывается под всеми актами категорирования. Без него админ накатегорирует так, что мало не покажется потом

Т.е. опять субьективность. Плохо блин.

Спасибо за информацию.

Это то да, но тут возникает другая проблема -не каждый руководитель будет разбираться во всем этом "макраме". Многие отдают на откуп специалистам, доверяя им, предполагая, что они их не подведут. Некоторые вообще не считают,что такие вопросы необходимо решать, ведь зачем, тому же главному врачу, эти кии, он о них за 30т лет как не слышал так и не собирается слышать (есть некоторых руководители. которые считают и заявляют, что 152 фз - это вообще фикция и вообще не нужно). Что уж говорить о 187 ФЗ :)

Не надо его грузить темой КИИ. Его задача - оценивать риски. Это работа ЛЮБОГО руководителя. Что будет ЕСЛИ?.. Если не будет лекарств, если придет прокуратура, если накроется ИС, если помрет пациент, если отрубят электричество.... Этих если дофига. Они составляют карту рисков. Одни более серьезные, другие менее. Дальше они ранжируются и управляются. КИИ - это только одна из множества проблем главврача. Безопасник ему может помочь, но не должен принимать решения за него