Как клинике пройти категорирование КИИ и из каких этапов состоит процедура

Любая клиника может пройти процедуру категорирования КИИ двумя способами: самостоятельно или привлечь внешнего эксперта

✅ В любом выбранном клиникой случае основные этапы будут одинаковыми: 1️⃣ Создаётся комиссия по категорированию КИИ внутри клиники 2️⃣ Определяются все компьютерные системы, которые используются в работе 3️⃣ Анализируется значимость каждой системы 4️⃣ Перечень объектов КИИ направляется в ФСТЭК в течение 5 рабочих дней после утверждения 5️⃣ Определяется категория: I, II, III или отсутствие категории 6️⃣ Формируются акт категорирования и сведения об объектах КИИ 7️⃣ Сведения о результатах категорирования направляются в ФСТЭК в течение 10 рабочих дней после утверждения акта

Если ФСТЭК найдёт ошибки или неполные данные, документы вернут для исправления

❗️ Обратите внимание - это обязательный формализованный процесс, который должен быть оформлен документально

❓Можно ли пройти категорирование КИИ без присвоения категории?

Да, для части клиник это будет законным результатом процедуры

Критерии установлены постановлением Правительства от 08.02.2018 № 127 "Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений"

Комиссия оценивает, что произойдёт при остановке системы: прекратится ли оказание медицинской помощи, сколько пациентов это затронет и возникнет ли угроза их жизни или здоровью

Если установленные показатели не достигнуты, комиссия может решить, что объекту категория не требуется

❗️Такое решение должно быть документально обосновано - формулировок "Клиника небольшая" или "У нас только одна МИС" недостаточно

❌ Если сведения неполные или выводы не обоснованы, ФСТЭК может вернуть документы с замечаниями

✅ Задача клиники - не избежать категории любой ценой, а провести оценку и оформить результат, который можно подтвердить при проверке

❓Клиника прошла категорирование КИИ - что дальше?

➡️ Если объекту не присвоена категория, документы всё равно нужно сохранить: приказ о комиссии, перечень объектов, расчёты, акт, сведения для ФСТЭК и переписку с ведомством - этот комплект подтверждает, почему комиссия решила, что категория не требуется

➡️ Если объекту присвоена I, II или III категория, он признаётся значимым

В соответствии со ст. 10 Федерального закона от 26.07.2017 № 187 "О безопасности критической информационной инфраструктуры Российской Федерации" клиника должна создать систему его безопасности

📚 А почему ФСТЭК возвращает документы и что делать после возврата - разберём в следующем нашем посте

Информационный пост подготовлен партнёром Проекта "ОргЗдрав" - командой агентства медицинского маркетинга «Аленте»