Кому нужна услуга
Услуга актуальна для организаций, которые относятся к субъектам КИИ (как правило: энергетика, здравоохранение, транспорт, связь, финсектор, промышленность, органы власти и подведомственные учреждения) и эксплуатируют информационные системы/АСУ ТП/сети, нарушение работы которых может повлечь значимый ущерб.
Ключевой момент: объект становится значимым, когда ему присвоена категория значимости и он включён в реестр значимых объектов КИИ.

Что мы делаем
1) Определение состава и границ объектов КИИ

• инвентаризация ИТ/АСУ ТП/сетевой инфраструктуры, выделение “кандидатов” в объекты КИИ;
• определение границ объектов (состав компонентов, связи, внешние взаимодействия);
• формирование первичного перечня объектов КИИ;
• подготовка исходных данных для дальнейшего категорирования.

Результат: понятная схема “что именно является объектом КИИ” и с чем это связано (контуры, сервисы, узлы, каналы).

2) Организация работ по категорированию

• подготовка распорядительных документов по запуску работ (в т.ч. организационные решения/распределение ролей);
• методическая помощь по работе комиссии по категорированию (практически — чтобы всё было оформлено и “сходилось” по документам);
• подготовка материалов для расчёта показателей критериев значимости.

Результат: управляемый процесс категорирования без "пробелов" по оргчасти.

3) Категорирование объектов КИИ и оформление результатов

• проведение категорирования (оценка показателей критериев значимости, обоснования);
• присвоение категории (или обоснование её отсутствия);
• подготовка пакета документов по результатам категорирования и сведений для направления в регулятор (в рамках обязанностей субъекта КИИ).

Результат: оформленные результаты категорирования в формате, пригодном для контроля и проверок. (Категорирование прямо предусмотрено 187-ФЗ.)

4) Создание системы безопасности значимых объектов (по приказу ФСТЭК №235)
После присвоения категории значимости нужно создать и обеспечить функционирование системы безопасности значимого объекта КИИ.
Мы выполняем:

• разработку требований/ТЗ на систему безопасности значимого объекта;
• проектирование организационных и технических мер;
• формирование состава “сил обеспечения безопасности” (роли, ответственность, процессы);
• разработку комплектов организационно-распорядительной и эксплуатационной документации системы безопасности.

Фокус приказа №235 — именно на создании и функционировании системы безопасности значимого объекта.

5) Реализация мер защиты на объекте (по приказу ФСТЭК №239)
Меры защиты подбираются в зависимости от категории значимости (1/2/3) и должны быть реализованы в ходе создания, эксплуатации и модернизации значимого объекта.
Мы выполняем:

• внедрение/настройку средств защиты (сегментация, МЭ/NGFW, контроль доступа, регистрация событий, защита сетевого взаимодействия и др. — по проекту и требованиям категории);
• настройку журналирования и процедур анализа событий;
• настройку процессов управления уязвимостями/обновлениями/изменениями в рамках требований к безопасности;
• подготовку комплекта документации.

Требования к обеспечению безопасности значимых объектов КИИ установлены приказом №239 и зависят от категории значимости.

6) Подготовка и сопровождение оценки соответствия, готовность к проверкам
Мы организуем:

• разработку программы/методики проверок (что и как проверяем);
• проведение проверок конфигураций и контрольных испытаний (в пределах согласованного объёма работ);
• формирование отчётности и комплекта документов для внутреннего контроля и взаимодействия с регулятором;
• сопровождение при контрольных мероприятиях/проверках.

Что получает заказчик

• оформленный перечень объектов КИИ и границы объектов;
• результаты категорирования и комплект документов по категории/обоснованиям;
• проект и документацию системы безопасности значимого объекта (по №235);
• реализованные меры защиты по категории (по №239);
• комплект подтверждающих материалов и готовность к проверкам;
• понятную схему сопровождения: изменения, модернизация, контроль.

Стоимость
Стоимость зависит от количества объектов, распределённости площадок, категории значимости и текущего уровня зрелости процессов ИБ.
Примерные диапазоны:

• Предпроектное обследование и определение перечня объектов КИИ — от 100 000 ₽
• Категорирование 1 объекта КИИ с оформлением результатов — от 120 000 ₽
• Создание системы безопасности значимого объекта (проект + ОРД ) — от 300 000 ₽
• Внедрение/настройка мер защиты (по требованиям категории) — от 500 000 ₽
• Сопровождение оценки соответствия и подготовка к проверкам — от 120 000 ₽