КАКИЕ ВОПРОСЫ ЕСТЬ К РЕГУЛЯТОРАМ?
Хочу обратиться к вам за помощью 🙏 Мне надо составить обновленный список вопросов для Диалога с регулятором на наших региональных конференциях Код ИБ к ФСТЭК и ГОССОПКА.
Раньше списки вопросов выглядели так:
ФСТЭК:
1. Какие изменения в законодательстве произошли за последнее время? К чему готовиться субъектам КИИ?
2. Как нужно обосновывать выбранное значение показателей критериев значимости (применимо, не применимо) в актах категорирования?
3. Как проводить контроль выполнения и оценки эффективности выполнения норм защиты информации на объектах КИИ?
4. Как актуализировать Перечень объектов КИИ, подлежащих категорированию, если после его отправки произошли изменения?
5. Если организация отослала акты категорирования ОКИИ в ЦА ФСТЭК и Управление ФСТЭК по ПФО, и прошло больше 30 дней, то можно считать, что объекты уже в реестре ФСТЭК?
6. Нужно ли отправлять перечень объектов КИИ во ФСТЭК России, если он пустой?
7. Как правильно организовать категорирование в случае наличия филиалов — достаточно одной комиссии или же нужно создавать несколько?
8. Когда делать модель угроз безопасности ОКИИ: до или после категорирования?
9. В реестр ФСТЭК попадают только значимые ОКИИ, или незначимые тоже?
10. Какие требования нужно выполнять для незначимых объектов КИИ?
11. Сведения о защите ОКИИ являются гос. тайной?
ГОССОПКА:
1. Какие существуют варианты организации взаимодействия с НКЦКИ? Зависят ли они от размера субъекта КИИ или количества инцидентов?
2. Как получить методические документы ФСБ (помимо шести утвержденных приказов)?
3. Требования 196-го приказа распространяются на любой объект КИИ любого субъекта КИИ или только для центров ГосСОПКИ?
4. Требования 368-го приказа запрещают прямую передачу данных об инцидентах в иностранные организации. Что делать представительству или дочерней организации международной компании, если внутренними правилами установлено передавать данные об инцидентах в штаб-квартиру? Если их передавать в НКЦКИ, как предусмотрено 368-м приказом, то кто их потом и на каком языке передаст в штаб-квартиру?
5. Возможно ли применение SIEM иностранного производства в центрах ГосСОПКИ?
6. Насколько тяжело субъекту самостоятельно аккредитоваться в НКЦКИ, чтобы напрямую сообщать об инцидентах, или же рекомендуется обращаться к услугам специальных центров?
Надо ли что-то добавить/убрать? Буду ОЧЕНЬ благодарна за комментарии 🙏
Когда начнутся плановые проверки в21 году? Где будет представлен список организаций для плановых проверок. Кто будет осуществлять плановые проверки (специалисты ФСТЭК, ФСБ и др.) ?
