Я знаю. Топикстартер говорит о слухе, который после "десяти рукопожатий" ничего общего с реальностью не имеет.

простите, можно ссылку на документ? запуталась в чате

21/31/239 приказы

спасибо

Коллеги подскажите пожалуйста по поводу категорирования, а то уже совмес запутался. Есть процессы их необходимо с показателями из перечня сопоставить что бы выделить критические процессы? Или же мы сами определяем критические процессы. А уже ОИИ с перечнем сравниваем и присваевыем категорию

Сами определяете критические процессы. ФСТЭК предлагает за основу брать показатели, но без оценки по значениям их, то есть не обязательно достижение ущерба по 3 категории. Хотя этот подход нигде не регламентирован

Но удобнее проводить оценку критичности процессов именно с применением показателей, так как в дальнейшем при категорировании ОКИИ эти результаты существенно помогут

Если проводить оценку критичности процессов с применением показателей. Получится что ни один показатель не подходит к процессам организации

5. Категорирование включает в себя:
6) выявление управленческих, технологических, производственных,
финансово-экономических и (или) иных процессов в рамках выполнения
функций (полномочий) или осуществления видов деятельности субъектов
критической информационной инфраструктуры, нарушение и (или)
прекращение которых может привести к негативным социальным,
политическим, экономическим, экологическим последствиям,
последствиям для обеспечения обороны страны, безопасности государства
и правопорядка (далее - критические процессы);

Кстати до того как оценивать китичность, нужно выбрать только процессы, входящие в сферу КИИ. Отсальные забываем

какая у вас сфера КИИ ?

Выявили но их даже к 3 категории отнести нельзя

Банки

Ну ок, провели анализ, определили что у вас не критических процессов, зафиксировали в заключении комиссии по категорировании

если не смотреть на показатели из 127ПП, а выявить самим критические процессы и сопоставить с ОИИ в которых эти критические процессы обрабатываются.  Получили: 3 объекта но даже если их применить к показателям то до 3 категории они тоже не дотягивают.

Как определять степень негативного последствия, которым характеризуется критический процесс, нигде не указано. Осмелюсь предположить, что наличие любого негативного последствия является основанием отнесения к критическому процессу. Т.е. на этапе выявления критических процессов оперировать показателями критериев значимости преждевременно.

Раз нигде не указано, то на усмотрение оператора. аналогично можно принять решение руководствоваться критериями значимости из ПП 127

А что Вас здесь пугает? Это же основание принять решение об отсутствии необходимости в присвоении одной из категорий значимости.

Запутался в документах Показателя применять к процессам или к ОИИ.

Официально Показатели к ОКИИ