Информационная безопасность

Здесь Вы найдете только нужную информацию.

КАК ЗАЩИТИТЬ КВОИ?

Институт КВОИ в Республике Беларусь начинает свой отсчет с конца 2011 года когда был подписан Указ №486 «О некоторых мерах по обеспечению безопасности критически важных объектов информатизации». Вплоть до конца 2018 года нормативное поле обеспечения безопасности КВОИ оставалась неизменным, хотя представителями ОАЦ на проводимых конференциях 2017/2018 годах анонсировались изменения в законодательстве о КВОИ. 

А теперь позвольте перейти к небольшому анализу нового Приказа ОАЦ. 

Я бы предложил рассмотреть данный документ относительно появившихся в нем новшеств по сравнению с нормативными документами, действовавшими до вступления в силу приказа №151. 

30 октября 2018 года вступил в силу приказа ОАЦ № 151 «Об утверждении Положения об обеспечении безопасности критически важных объектов информатизации». Данный нормативный документ устанавливает порядок организации мероприятий по обеспечению безопасности КВОИ, включая мероприятия по созданию системы безопасности. 

В пункте 2 положения вводятся связанные с КВОИ термины: активы, владелец, информационная безопасность, риск и событие безопасности. Сразу бросаются в глаза такие понятия как риск, событие и угроза. Исходя из этого можно сделать вывод о том, что разработчиками сохранена преемственность с ТКП 483-3013 и для обеспечения безопасности КВОИ будет использоваться рискоориентированный подход. 

В пункте 3 сохранена норма о наличии службы безопасности/ уполномоченного работника для выполнения мероприятий по обеспечению безопасности КВОИ. Можно предположить, что наличие подразделения или работника будет зависеть от масштабов организации, в которой находится КВОИ, а также количества таких объектов. Предъявляются хотя бы минимальные требования к компетенциям данных лиц, а это уже не плохо. Однако есть один незаметный на первый взгляд нюанс, пунктом 12 определено, что внутренний контроль должен проводится службой безопасности/уполномоченным работником. Ранее данной нормы не было. 

В пункте 7 владельцу КВОИ предлагается пошаговый алгоритм действий по процессу созданию системы безопасности КВОИ, в том числе пункте 6 определено что она должна быть документально оформлена. Регулятор предлагает для оценки рисков использовать стандарт СТБ 34.101.70-2016, который введен в действие 01.04.2017. После беглого просмотра данного стандарта можно отметить, что это некий симбиоз СТБ ISO/IEC 27002 и NIST SP 800-30. 

Отдельным плюсом документа является наличие в нем перечней типовых уязвимостей ИС, угроз ИБ, а также каталога вспомогательных активов. Самое интересное, что имеется пример оценки рисков информационной системы (приложение А). Однако этот стандарт касается оценки рисков только для информационных систем. Можно предположить, что в КВОИ имеются АСУ ТП соответственно данный документ необходимо использовать с учетом особенностей эксплуатации АСУ ТП. 

Данный документ должен упростить жизнь владельцу КВОИ в процедуре оценки рисков, так как в ранее действующем законодательстве ссылок на документ по оценке рисков не было. 

В пункте 8 содержится отсылочная норма на СТБ ISO/IEC 27001-2016, что свидетельствует о сохранении вектора на создание СМИБ. 

Еще одним интересным фактором является оценка результатов создания системы безопасности КВОИ (пункт 9), которая представляет собой чек лист по оценке полноты и качества выполненных мероприятий по созданию системы безопасности. То есть владельцу предлагается перечень мероприятий для самоконтроля. 

Пункт 10 затрагивает такие мероприятия как мониторинг и реагирование на угрозы безопасности. Из интересного можно выделить необходимость периодичного проведения тренировок по реагированию на угрозы, предоставление сведений о событиях безопасности в ОАЦ. Хотя порядок предоставления таких сведений пока на определен. Ответственность за непредставление кстати тоже. 

Заключительные пункты приказа затрагивают процедуру внутреннего контроля. Установлена периодичность, порядок предоставления результатов контроля в ОАЦ, а также случаи в которых контроль проводится дополнительно. 

ВЫВОД: Проведенный анализ приказа №151 показывает, что в данный момент мы видим промежуточный вариант нормативного акта, который снимает текущие вопросы по созданию системы безопасности КВОИ. Есть надежда, что регулятор идет по пути использования и применения международного опыта в информационной безопасности.