Приказ ФСТЭК № 239 — требования к защите значимых объектов КИИ

Документ, также известный как "Требования к обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации", был разработан во исполнение Федерального закона № 187-ФЗ. Он определяет, как должна быть организована защита информации на объектах КИИ, и устанавливает конкретные меры, которые необходимо реализовать.

В отличие от Приказа № 31 (который фокусируется на АСУ ТП), Приказ № 239 является более универсальным и охватывает все виды информационных систем, используемых на объектах КИИ, включая управленческие, финансовые и технологические системы.

Требования приказа обязательны для исполнения на всех значимых объектах КИИ. К таким объектам относятся информационные системы, автоматизированные системы управления и сети связи, используемые в следующих критических сферах:

• Энергетика (АЭС, ТЭС, ГЭС, магистральные ЛЭП).
• Транспорт (аэропорты, железные дороги, морские порты).
• Связь и телекоммуникации (операторы связи, центры обработки данных).
• Финансы (банки, биржи, платежные системы).
• Промышленность (оборонная, химическая, горнодобывающая).
• Здравоохранение (крупные медицинские центры, системы управления клиниками).
• Государственное управление.

Приказ № 239 устанавливает 15 основных групп организационных и технических мер защиты, которые классифицируются на 4 уровня.

Ключевые меры защиты:

• Управление доступом (Идентификация и аутентификация): Строгая политика учетных записей, многофакторная аутентификация для критических пользователей.
• Регистрация событий безопасности: Ведение подробных журналов аудита всех действий в системе.
• Контроль целостности программного обеспечения: Защита от несанкционированных изменений в коде и конфигурациях системы.
• Защита от вредоносного ПО: Использование сертифицированных антивирусных решений, регулярное обновление баз.
• Обнаружение и предотвращение вторжений: Обязательное использование систем обнаружения атак (СОА).
• Криптографическая защита: Шифрование каналов связи и хранимых данных с использованием СКЗИ, сертифицированных ФСБ.
• Анализ уязвимостей: Обязательность проведения регулярного сканирования уязвимостей и тестирования на проникновение.
• Реагирование на инциденты: Наличие плана и процедур для быстрого реагирования на кибератаки.

Этапы внедрения требований Приказа № 239

Внедрение требований Приказа № 239 — это комплексный и длительный процесс. Рекомендуется следующая дорожная карта:

1. Категорирование объекта КИИ: Определение категории значимости (1, 2 или 3) и уведомление ФСТЭК. Это первый и обязательный шаг.
2. Разработка модели угроз: Создание актуальной модели угроз безопасности информации для вашего объекта КИИ.
3. Разработка проектной документации: Формирование технического задания на создание системы защиты информации (СЗИ) и проектной документации.
4. Внедрение организационных и технических мер: Закупка и настройка сертифицированных СЗИ, обучение персонала, разработка регламентов.
5. Проведение тестов и испытаний: Проверка работоспособности системы защиты и её эффективности.
6. Аттестация объекта КИИ: Получение аттестата соответствия от ФСТЭК или аккредитованной организации.
7. Мониторинг и постоянное совершенствование: Регулярный анализ защищенности, обновление СЗИ и реагирование на инциденты.

АО «РНТ» предлагает полный комплекс услуг по каждому из этих этапов, включая категорирование, разработку документации и внедрение собственных сертифицированных решений.