8. Оценка масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ

В соответствии с п. 14 Правил комиссия по категорированию проводит оценку в соответствии с перечнем показателей критериев значимости масштаба возможных последствий в случае возникновения компьютерных инцидентов на объекте КИИ и присвоение каждому из объектов КИИ одной из категорий значимости либо принимает решение об отсутствии необходимости присвоения им одной из категорий значимости.

Полученные в ходе оценки данные, а также присвоенная категория значимости вносятся в акт категорирования.

Для удобства использования рекомендации по заполнению формы направления сведений, составленной с учетом вышеупомянутых приказов, приводится в Приложении 3.

Раздел "Сведении об объекте критической информационной инфраструктуры" акта категорирования объекта КИИ.

П. 1.1 заполняется на основании балансовой ведомости субъекта КИИ.

П. 1.2 заполняется на основании имеющихся сведений об адресах размещения объекта.

В п. 1.3 для предприятий ТЭК указывается "топливно-энергетический комплекс".

В п. 1.4 указывается назначение объекта.

В п. 1.5 указывается тип объекта. С учетом специфики предприятий ТЭК особое внимание должно уделяться АСУ ТП.

В п. 1.6 указывался архитектура объекта.

Раздел "Сведения о субъекте критической информационной инфраструктуры" акта категорирования объекта КИИ.

Пп. 2.1, 2.2, 2.3 и 2.6 заполняются на основании сведений, представленных из уставных документов и выписки из ЕГРЮЛ.

П. 2.4 и 2.5 заполняется на основании сведений из приказов о назначении соответствующих должностных лиц.

Раздел "Сведения о взаимодействии объекта критической информационной инфраструктуры и сетей электросвязи" акта категорирования объекта КИИ.

В п. 3.1 указывается категория сети связи, используемая объектом КИИ.

П. 3.2 заполняется на основании сведений из договоров на оказание услуг связи, обеспечивающих объект КИИ.

В п. 3.3 указывается цель взаимодействия с сетью связи.

В п. 3.4 указывается способ взаимодействия с сетью связи.

Раздел "Сведения о лице, эксплуатирующем объект критической информационной инфраструктуры" акта категорирования объекта КИИ.

В п. 4.1 указывается наименование юридического лица или фамилия, имя, отчество (при наличии) индивидуального предпринимателя, эксплуатирующего объект КИИ.

В п. 4.2 указывается адрес местонахождения юридического лица или адрес места жительства индивидуального предпринимателя, эксплуатирующего объект КИИ.

В п. 4.3 указывается элемент (компонент) объекта, который эксплуатируется указанным юридическим лицом или индивидуальным предпринимателем.

В п. 4.4 указывается ИНН лица, эксплуатирующего объект и КПП его обособленных подразделений (филиалов, представительств), в которых размещаются сегменты распределенного объекта.

Раздел "Сведения о программных и программно-аппаратных средствах, используемых на объекте критической информационной инфраструктуры" акта категорирования объекта КИИ.

Пп. 5.1 - 5.4 заполняются на основании сведений из балансовой ведомости субъекта КИИ. При описании средств защиты в соответствии с п. 5.4 акта категорирования необходимо исходить из того, что для значимых объектов КИИ рекомендуется использовать сертифицированные средства защиты.

Раздел "Сведения об угрозах безопасности информации и категориях нарушителей в отношении объекта критической информационной инфраструктуры" акта категорирования объекта КИИ.

В п. 6.1 приводится описание нарушителя.

В п. 6.2 указываются угрозы безопасности объекту КИИ.

Для определения актуальных угроз для систем АСУ ТП рекомендуется использовать базу данных угроз ФСТЭК России (bdu.fstec.ru), а также руководствоваться Информационным сообщением ФСТЭК России от 4 мая 2018 г. N 240/22/2339 "О методических документах по вопросам обеспечения безопасности информации в КСИИ РФ".

В случае, если на объекте КИИ имеется разработанная "Модель угроз и нарушителя безопасности информации", в которой рассматриваются все имеющиеся на данный момент угрозы безопасности информации, определенные в банке данных угроз безопасности информации ФСТЭК, следует руководствоваться выводами, сделанными в "Модели угроз и нарушителя безопасности информации" для данного объекта КИИ.

Раздел "Возможные последствия в случае возникновения компьютерных инцидентов" акта категорирования объекта КИИ.

В п. 7.1 указываются типы компьютерных инцидентов, которые могут произойти в результате реализации угроз безопасности информации, в том числе вследствие целенаправленных компьютерных атак.

Раздел "Категория значимости, которая присвоена объекту критической информационной инфраструктуры, или сведения об отсутствии необходимости присвоения одной из категорий значимости, а также сведения о результатах оценки показателей критериев значимости" заполняется следующим образом.

П. 8.1 заполняется на основании решения комиссии.

Раздел 8.2 акта категорирования КИИ заполняется следующим образом.