О внесении изменений в Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирован…

Изменения, которые вносятся в Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской#❝

Федерации и обеспечению их функционирования, утвержденные приказом ФСТЭК России от 21 декабря 2017 г. № 235#❝

Дополнить пунктами 36' — 36* следующего содержания:#❝

«36'.В рамках контроля состояния безопасности значимых объектов критической информационной инфраструктуры должен проводиться расчет:#❝

а) показателя, характеризующего текущее состояние обеспечения безопасности значимых объектов критической информационной инфраструктуры и степень его соответствия минимально необходимому уровню обеспечения безопасности от типовых актуальных угроз безопасности информации (далее — показатель защищенности Каи)};#❝

6) показателя, определяющего достаточность и эффективность проведенных мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры (далее — показатель уровня зрелости Yu).#❝

367. Для определения значений и расчета показателя защищенности К.и и показателя уровня зрелости Узи должны применяться методические документы, утвержденные ФСТЭК России в соответствии с абзацем вторым пункта 5 и подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085 (далее — методические документы ФСТЭК России).#❝

363. Расчет и оценка показателя защищенности K,, проводится субъектом критической информационной инфраструктуры не реже одного раза в шесть месяцев.#❝

О полученном по результатам оценки значении показателя защищенности Kay, в случае его несоответствия нормированным значениям, указанным в методических документах ФСТЭК России, в течение трех календарных дней со дня завершения такой оценки информируется руководитель субъекта критической информационной инфраструктуры для принятия решения о проведении дополнительных мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры.#❝

Результаты оценки показателя защищенности Ки в срок не позднее пяти рабочих дней после дня их расчета направляются субъектом критической информационной инфраструктуры в ФСТЭК России в целях мониторинга текущего состояния обеспечения безопасности значимых объектов критической информационной инфраструктуры и оценки эффективности деятельности по обеспечению безопасности значимых объектов критической информационной инфраструктуры.#❝

36“. Расчет показателя уровня зрелости У. проводится субъектом критической информационной инфраструктуры не реже одного раза в три года.#❝

В случае привлечения субъектом критической информационной инфраструктуры организаций, которым предоставляется доступ к значимому объекту критической информационной инфраструктуры для оказания услуг, проведения работ по обработке, хранению информации, созданию (развитию), обеспечению эксплуатации значимого объекта критической информационной инфраструктуры, а также для выполнения работ, оказания услуг по обеспечению его безопасности (далее — подрядные организации) расчет проводится в отношении подрядных организаций.#❝

Субъектом критической информационной инфраструктуры в отношении подрядной организации должно быть установлено требование по расчету и оценке показателя уровня зрелости Уи.#❝

Расчет и оценка показателя уровня зрелости У.„ проводятся подрядной организацией до получения доступа к значимому объекту критической информационной инфраструктуры и далее не реже одного раза в три года.#❝

О полученном по результатам оценки значении показателя уровня зрелости Ys, в случае его несоответствия нормированным значениям, указанным в методических документах ФСТЭК России, в течение трех календарных дней со дня завершения такой оценки информируется руководитель субъекта критической информационной инфраструктуры для принятия решения о проведении дополнительных мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры.».#❝