Лекция 4.1 ГОССОПКА (2)

1.

1
Приказ ФСБ России от 19 июня 2019 г. №282
Об утверждении Порядка информирования ФСБ России о
компьютерных инцидентах, реагирования на них, принятия мер
по ликвидации последствий компьютерных атак, проведенных в
отношении ЗОКИИ РФ

2.

ВАЖНО!
1. Субъекты КИИ информируют ФСБ России обо ВСЕХ компьютерных
инцидентах на объектах КИИ
2. Информирование осуществляется путем направления в
Национальный координационный центр по компьютерным
инцидентам (НКЦКИ) информации по формату в Государственную
систему обнаружения, предупреждения и ликвидации последствий
компьютерных атак на информационные ресурсы РФ (ГОСОПКА)
2

3.

Сроки передачи информации об инциденте
Значимый
критической
информационной
инфраструктуры
3
объект
3 часа (с момента
обнаружения
компьютерного
инцидента
Объект
критической
информационной
инфраструктуры,
которому не присвоена
категория
24 часа с момента
обнаружения
компьютерного
инцидента

4.

Как передать информацию об инциденте?
Посредством
инфраструктуры НКЦКИ
Передача
информации
об инциденте
в НКЦКИ
Инцидент
Почтовая, факсимильная или электронная
связь на адреса (номера) НКЦКИ, указанные
на сайте НКЦКИ
!
3 часа ЗОКИИ
24 часа ОКИИ
4

5.

А еще какую-то информацию надо передавать?
Мероприятия по
реагированию
на
компьютерные
инциденты
Меры по
ликвидации
последствий
компьютерных
атак
Посредством
инфраструктуры НКЦКИ
Передача
информации
в НКЦКИ
Почтовая, факсимильная или электронная
связь на адреса (номера) НКЦКИ, указанные
на сайте НКЦКИ
!
Не позднее 48 часов
после завершения
мероприятий и
ликвидации
5

6.

6
ВАЖНО!
В ходе ликвидации последствий компьютерной атаки ИМЕННО
СУБЪЕКТОМ КИИ принимаются меры по восстановлению
функционирования и проверке работоспособности ЗОКИИ

7.

Форма составления уведомления об атаке или инциденте
7

8.

Форма составления уведомления об атаке или инциденте 8
https://www.cert.gov.ru/uvedomlenie.php

9.

Форма составления уведомления об атаке или инциденте 9
Скопируйте подготовленный текст уведомления и
ОБЩИЕ СВЕДЕНИЯ О КОНТРОЛИРУЕМОМ РЕСУРСЕ
направьте с вашей электронной почты на адрес
Наименование [affected_system_name: erty]
incident@cert.gov.ru
Информация о категорировании ОКИИ
ОБЩИЕ СВЕДЕНИЯ
[affected_system_category: Объект КИИ третьей категории
Категория [category: Уведомление о компьютерном инциденте]
значимости]
Тип события ИБ [type: Замедление работы ресурса в результате
Сфера функционирования [affected_system_function: Наука]
DDoS-атаки]
Наличие подключения к сети Интернет
Заявитель [reporter_name: ООО Рога и Копыта]
[affected_system_connection: true]
Краткое описание события ИБ [event_description: wefgh]
Сведения о средстве или способе выявления [detection_tool:
МЕСТОПОЛОЖЕНИЕ КОНТРОЛИРУЕМОГО РЕСУРСА
fgqwegh]
Локация [location: RU-BA]
Ограничительный маркер TLP [tlp: TLP:WHITE]
Населенный пункт или геокоординаты [city: Уфа]
Статус реагирования [activity_status: Проводятся мероприятия
по реагированию]
ТЕХНИЧЕСКИЕ СВЕДЕНИЯ ОБ АТАКОВАННОМ РЕСУРСЕ
Необходимость привлечения сил ГосСОПКА [assistance: false]
IPv4-адрес [related_observables_ipv4: [{"value":"0.0.0.0"},
Влияние на конфиденциальность [confidentiality_impact: Низкое]
{"value":"0.0.0.0"}]]
Влияние на целостность [integrity_impact: Низкое]
E-mail адрес атакованного объекта
Влияние на доступность [availability_impact: Низкое]
[related_observables_email:
Краткое описание иной формы последствий компьютерного
[{"value":"sentsova.alina@yandex.ru"}]]
инцидента [custom_impact: qwertyhj]
Утечка ПДн [rkn_leak_pd: true]
СВЕДЕНИЯ ОБ УТЕЧКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Принятые меры по устранению последствий инцидента
ПЕРИОД НАБЛЮДЕНИЯ УГРОЗЫ
[rkn_measures: dd]
Дата и время выявления [detect_time: 2025-05-09T10:00]
Дата и время завершения [end_time: 2025-05-09T10:00]

10.

План реагирования на компьютерные
инциденты
Включение
объекта КИИ в
реестр значимых
объектов КИИ РФ
90
календарных
дней
Разработка
плана
реагирования и
принятия мер
ликвидации
Объем и содержание тренировок определяется
субъектом КИИ
Организация
и
проведение
тренировок
возлагается на соответствующие подразделения и
должностных лиц
По результатам тренировок в план вносятся
коррективы
В течении 7 календарных
дней после утверждения
Не реже 1
раза в год
В НКЦКИ
Проведение
тренировок по
отработке плана
10

11.

Содержание плана по реагированию
11
1. Технические характеристики и состав ЗОКИИ
2. События (условия), при наступлении которых начинается
реализация предусмотренных планом мероприятий
3. Мероприятия, проводимые в ходе реагирования на компьютерные
инциденты и принятия мер по ликвидации последствий
компьютерных атак, а также время, отводимое на их реализацию
4. Описание состава подразделений и должностных лиц субъекта
критической информационной инфраструктуры, ответственных за
проведение мероприятий по реагированию на компьютерные
инциденты и принятие мер по ликвидации последствий
компьютерных атак

12.

Кроме того:
12
Субъект КИИ осуществляет:
1. Анализ компьютерных инцидентов (включая определение
очередности реагирования на них), установление их связи с
компьютерными атаками
2. Проведение мероприятий в соответствии с планом
3. Определение в соответствии с Планом необходимости привлечения
к реагированию на компьютерные инциденты и принятию мер по
ликвидации последствий компьютерных атак подразделений и
должностных лиц ФСБ России

13.

Если хотим привлечь ФСБ?
13
1. Включить в План:
Условия привлечения подразделений и должностных лиц ФСБ
России к проведению мероприятий по реагированию и ликвидации
Порядок проведения субъектом КИИ мероприятий по реагированию
и ликвидации совместно с подразделениями и должностными
лицами ФСБ
2. Проект плана отправляется в ФСБ на согласование
3. ФСБ России рассматривает проект Плана в срок 30 календарных
дней и либо согласовывает его, либо возвращает без согласования для
доработки

14.

Предварительные работы перед принятием мер
14
Субъекту КИИ необходимо определить:
Состав Подразделений и должностных лиц субъекта КИИ,
ответственных за проведение мероприятий по реагированию и
принятия мер, и их задачи в рамках принимаемых мер
Перечень средств, необходимых для принятия мер по ликвидации
последствий компьютерных атак
Очередность ЗОКИИ (их структурных элементов), в отношении
которых будут приниматься меры по ликвидации последствий
компьютерных атак
Перечень мер по восстановлению функционирования ЗОКИИ

15.

А если банковская сфера или иная сфера
финансового рынка?
15
1. Информация о компьютерном инциденте передается еще и в Банк России с
использованием технической инфраструктуры Банка России либо посредством
почтовой, факсимильной или электронной связи в те же сроки ( 3 часа для ЗОКИИ
и 24 часа ОКИИ)
2. результатах мероприятий по реагированию и принятию мер по ликвидации
компьютерного инцидента наряду с НКЦКИ информируют и Банк России в срок
не позднее 48 часов после завершения таких мероприятий
3. План по реагированию должен включать условия привлечения подразделений и
должностных лиц Банка России к проведению мероприятий по реагированию
4. План по реагированию и его изменения согласуется с Банком России
5. Субъект КИИ определяет необходимость привлечения к реагированию на
компьютерные инциденты и принятию мер по ликвидации последствий
компьютерных атак подразделений и должностных лиц Банка России

16.

Ответственность за непредставление
информации
16
КоАП РФ Статья 13.12.1 Нарушение требований в области обеспечения
безопасности критической информационной инфраструктуры РФ
Нарушение требований к созданию систем безопасности ЗОКИИ РФ и
обеспечению их функционирования либо требований по обеспечению
безопасности ЗОКИИ РФ, установленных федеральными законами и
принятыми в соответствии с ними иными нормативными правовыми актами
Российской Федерации, если такие действия (бездействие) не содержат
признаков уголовно наказуемого деяния,
влечет наложение административного
штрафа на должностных лиц в размере
от десяти тысяч до пятидесяти тысяч
рублей; на юридических лиц - от
пятидесяти тысяч до ста тысяч
рублей.
Нарушение порядка информирования о компьютерных инцидентах,
реагирования на них, принятия мер по ликвидации последствий
компьютерных атак, проведенных в отношении ЗОКИИ РФ, установленного
федеральными законами и принятыми в соответствии с ними иными
нормативными правовыми актами Российской Федерации,
влечет наложение административного
штрафа на должностных лиц в размере
от десяти тысяч до пятидесяти тысяч
рублей; на юридических лиц - от ста
тысяч до пятисот тысяч рублей.
3. Нарушение порядка обмена информацией о компьютерных инцидентах
между субъектами КИИ РФ, между субъектами КИИ РФ и уполномоченными
органами иностранных государств, международными, международными
неправительственными и иностранными организациями, осуществляющими
деятельность в области реагирования на компьютерные инциденты,
влечет наложение административного
штрафа на должностных лиц в размере
от двадцати тысяч до пятидесяти
тысяч рублей; на юридических лиц - от
ста тысяч до пятисот тысяч рублей.