Безусловно, можно не искать эту корреляцию и реализовывать требования 239-приказа и 235-приказа ФСТЭК России в параллель, не затрачивая время на увязку мероприятий и процессов. Но в данной заметке хотелось бы предложить и наглядно представить вариант данной взаимосвязи.
Итак, на стадиях (этапах) жизненного цикла значимого ОКИИ предусмотрено проведение следующих мероприятий (п. 8 239-приказ ФСТЭК России):
- установление требований к обеспечению безопасности значимого объекта;
- разработка организационных и технических мер по обеспечению безопасности значимого объекта;
- внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;
- обеспечение безопасности значимого объекта в ходе его эксплуатации;
- обеспечение безопасности значимого объекта при выводе его из эксплуатации.
А в рамках функционирования системы безопасности значимого ОКИИ предусмотрено внедрение следующие процессы (п. 28 235-приказ ФСТЭК России):
- планирование и разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;
- реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;
- контроль состояния безопасности значимых объектов критической информационной инфраструктуры;
- совершенствование безопасности значимых объектов критической информационной инфраструктуры.
Хотя, на первый взгляд, никакой проблемы быть не должно, сложность взаимосвязи мероприятий с процессами заключается в том, что, например, в блок мероприятий «Обеспечение безопасности в ходе эксплуатации» (на первый взгляд, это процесс «реализация») входят дополнительно элементы и «планирования», и «контроля».
Безусловно, можно сказать, что 235-приказ ФСТЭК России определят, в рамках планирования мероприятий только разработку и утверждение ежегодного плана мероприятий, но если посмотреть на это с точки зрения процессного цикла непрерывного совершенствования – PDCA, то все подготовительные мероприятия (определение ответственных, создание условий для реализации мероприятий и т.п.) включаются именно в этап «планирования».
Примерно такая же позиция может быть и по контролю состояния безопасности значимых ОКИИ – только ежегодный контроль, но есть предложение смотреть на это в более широком разрезе.
На рисунке ниже представлен вариант рассматриваемой взаимосвязи.
Успехов в обеспечении безопасности значимых ОКИИ!
