Юридические и практические аспекты защиты информации в сфере транспортной

ГИС и определение УЗ для ИСПДн
Организовать взаимодействие с Национальным координационным

центром по компьютерным инцидентам (НКЦКИ) ФСБ России

Создать комплексную систему безопасности

Определить принадлежность организации к субъектам
критической инфраструктуры/ ГИС/ ИСПДн

Провести аттестацию системы

1

2

3

4

5

17
«ЗИ, не составляющей ГТ, содержащейся в ГИС»
ПП- № 676

«Требования к порядку создания, развития, ввода ГИС…»

ФЗ-187
«О безопасности КИИ Российской Федерации»

Приказ ФСТЭК России
№ 235
«Требования к созданию СБ КИИ РФ»

ПП- № 127
«Правила категорирования объектов КИИ…»

Приказ ФСТЭК России
№ 239
«Требования по обесп. безопасности КИИ РФ»

ФЗ -152 «О персональных данных»

ПП -1119 «Требования по защите ПДн»

Приказ ФСТЭК России
№ 21 «О защите ПДн»

ИСПДн

ГИС

КИИ

Приказ ФСБ России
№ 378
«Защита ПДн с использованием СКЗИ»

Сети

Информационные

системы системы

Здравоохранение
Наука
Транспорт
Связь
Банковская сфера
Финансовый рынок
ТЭК
Энергетика

Атомная энергия
Оборонная промышленность
Космическая промышленность
Горнодобывающая промышленность
Металлургия
Химическая промышленность

1

КИИ
Издание приказа о создании комиссии
Определение критических процессов Выявление критических процессов в

организации
(управленческий, технологический, производственный и т.п.)

Определение перечня объектов КИИ Разработка перечня объектов, подлежащих категорированию
Согласование перечня с отраслевым Регулятором
Отправка перечня в ФСТЭК России

2

Определение угроз безопасности Определение угроз безопасности
Определение перечня уязвимостей

Категорирование и классификация Определение категории значимости, класса защищенности и уровня защищенности
Отправка в ФСТЭК России информации по категорированию объектов организации

категорией значимого и класса системы
Разработка ТЗ на систему защиты
Разработка мер

защиты
Анализ угроз безопасности
Проектирование системы защиты
Разработка эксплуатационной документации
Внедрение мер защиты
Установка и настройка средств защиты
Разработка ОРД
Испытания системы защиты
Анализ уязвимостей
Эксплуатация
Обеспечение безопасности системы в ходе ее эксплуатации
Реагирование на компьютерные инциденты
Обучение персонала

3

ОЦ)
межсетевое экранирование
антивирусная защита
обнаружение вторжений
(комп.атак) [IDS/IPS]
СКЗИ
анализ защищенности
защита виртуализации
защита от

утечек [DLP]

защита от утечки по техническим каналам (для ГТ)

SIEM

защита мобильных устройств [MDM]

Однонаправленная передача данных

контроль привилегированных пользователей

защита от таргетированных атак

анализ исходного кода

поведенческий анализ

WAF/ DBAF

DDoS

к технической инфраструктуре НКЦКИ
www.gov-cert.ru

Создание ведомственного сегмента ГосСОПКА
Персонал
Технические средства
Документация
Информационный обмен
Информация об

атаках
Информация о возможных атаках
Экспертиза критических событий

4

обрабатывает гостайну
В организации принято решение по проведению аттестации
Аттестация проводится в

случае если:

в остальных случаях:

Проводится подтверждение соответствия объекта КИИ требованиям законодательства в ходе приемочных испытаний

5

категорирования и классификации
Организация взаимодействия с НКЦКИ
Эксплуатация
Месяц 12
Создание системы безопасности