为什么一切都从盘点开始，而不是文件？
典型的CII（关键信息基础设施）咨询通常这样表述：“需要一套用于FSTEC（联邦技术出口管制局）的文件”。确实需要一套文件，但文件只是记录工作成果的形式。如果没有实际开展工作，就会形成一整套关于不存在的基础设施的纸面材料：例如，对一年前已替换的系统出具的分类认定报告、缺失近一半工业自动化控制系统（ASUTP）的清单、直接从其他设施照搬过来的威胁模型等。
检查只需一小时就能查明——只需将清单与实际网络进行核对。而且后果不限于罚款： 防护措施根据类别选择，而类别则根据具体对象上事件的后果确定。. 盘点错误会沿着整个链条进一步传递，并通过保护错误的对象和防范错误的威胁来付出代价。
谁是主体，什么被视为客体？
关键信息基础设施主体 — 在第187-FZ号联邦法中列出的领域之一运营的组织：医疗保健、科学、交通、通信、能源、银行业和金融市场的其他领域、燃料能源综合体、核能、国防、火箭航天、采矿、冶金和化学工业。单独 — 确保此类系统交互的组织。
关键信息基础设施对象 —— 信息系统、信息通信网络或隶属于主体并在这些领域运行的自动化控制系统。这三类对象切勿混淆：信息系统、网络和工业自动化控制系统（ASUTP）具有不同的性质，需采取不同的保护措施。
最常让人绊倒的实际后果： 可以作为主体，而不认为自己是IT公司。.配备工业过程自动控制系统的生产企业、配备医疗信息系统的诊所、通信运营商、运输公司—他们都属于该范围，且进行分级的义务由其自身承担，而非承包商。
地图上应该有什么
关键信息基础设施的盘点与常规IT资产核算不同：重要的不在于硬件和许可证，而在于 发生故障时将停止的进程, 与系统之间的联系.
| 我们记录什么？ | 接下来为什么还需要这个？ |
|---|---|
| 关键流程：技术的，管理的，财务的 | 类别由对流程的影响决定，而非对服务器的影响 |
| 支持每个流程的系统 | 生成分类对象清单 |
| 对象边界：节点，段，工作站 | 确定保护画像的走向及其包含的内容 |
| 连接和集成，包括外部 | 大多数攻击场景通过集成实现 |
| 远程访问点: 承包商, 供应商, 调度 | 最常见且最被低估的工业控制系统入口 |
| 所有者：技术和IT | 没有流程所有者，不可能评估后果 |
| 现有保护措施 | 显示当前状态与要求状态之间的差距。 |
| 后果评估：社会、政治、经济、生态、国防与安全 | 这就是用于分类的显著性指标 |
如何组装：什么有效，什么无效
不工作: 向各部门分发问卷。回收的内容不完整，术语不一致，且缺乏系统间的关联。对于SCADA系统，情况尤为糟糕：工艺人员描述的是工艺流程，IT部门描述的是服务器，而实际对象存在于两者的交界处，却未出现在任何一个答案中。
工作： 三个来源的结合。
- 与流程负责人访谈。 不应从系统入手，而应从问题入手：«如果它宕机一天，生产、服务和结算会怎么样？»。答案直接给出了对象和后果的顺序。
- 技术数据： 网络图、交换机配置、路由表、资产管理系统数据、安全工具日志。提供事实而非观点。
- 被动技术段侦察。 在工业控制系统中，主动扫描是不被允许的：它能够导致设备脱离运行模式。应采用流量分析和镜像技术，谨慎操作并与工艺工程师协商。
结果被汇总成一张包含所有者和关联关系的统一图表。该成果随后会在设计阶段和威胁建模中重复使用，因此这里的高质量投入会带来双倍回报。
分类：卡片接下来会发生什么
分类工作由主体自身的委员会执行——即主体自身，而非承包商或监管机构。承包商可以准备方法、培训委员会、进行计算并整理文件，但最终决定由该组织作出。
- 对象清单。 根据清查结果形成，并报送俄罗斯联邦技术出口管制局（FSTEC России）；随后在规定期限内对对象进行分类。
- 显著性指标。 每个对象根据其社会、政治、经济和环境影响，以及对国防、安全和公共秩序的重要性进行评估，取所达到的最高指标。
- 三类。 第一级为最高级别，第三级为最低级别。未达到任何指标的对象被视为不重要，但仍属于关键信息基础设施（KII）对象：在发生事件时，仍须履行与国家计算机应急响应协调中心（GosSOPKA）互动的义务。
- 结果。 提交给联邦技术出口管制局（FSTEC）的分类与汇总文件。类别决定了关键设施必须采取的保护措施清单。
常见错误
- 模板代替检查。 来自互联网但已替换名称的文件。通过与网络上的清单进行核对来验证。
- 被遗忘的工业自动化控制系统。 列入清单的是办公系统，而技术部门未被列入，因为技术部门由另一机构负责。
- 该对象被描述为服务器。 类别按工艺划分；设备层面的描述使得后果评估无法进行。
- 未考虑关联关系。 对象受到保护，而具有直接网络访问权限的相邻系统则没有。
- 未考虑供应商的远程访问。 设备支持渠道通常未在任何地方说明，也未受管控。
- 地图在第二天就过时了。 没有持续维护流程的盘点只是一份一次性文件；需要建立在发生变更时进行更新的机制。
清单
- 已确定该组织是否属于关键信息基础设施主体，以及属于哪个领域。
- 已编制关键流程清单，包含负责人及停机后果评估。
- 每个工艺流程都配备了相应的支持系统，包括工业自动化控制系统（ASU TP）。
- 描述了每个对象的边界：节点、段、工作站。
- 已记录关联关系和集成，包括外部的。
- 已考虑所有承包商和供应商的远程接入点。
- 已成立分类委员会，该委员会拥有方法论和培训。
- 对象清单已提交至联邦技术出口管制局（FSTEC），定级期限处于监控之下。
- 每个对象的类别均有计算依据，而非通过“类比”方式确定。
- 已确定在发生事件时与国家计算机应急响应协调中心（ГосСОПКА）的协作流程。
- 已制定基础设施变更时地图更新的规程。
我们如何处理这个问题
快速登录 — 关键信息基础设施/152-FZ诊断在有限的时间内弄清楚：您是否属于相关主体、哪些内容落入范围之内，以及前方的工作量有多大。完整周期—— 「KII/187-FZ 的保护」：检查、清单、分类支持、威胁模型、安全系统设计与实施。
需要联邦技术出口管制局（FSTEC）许可证的工作在以下范围内进行 监管合规. 接下来，地图就变成了一个项目—— HLD 和 LLD （为何没有它，实施就会停滞不前，已详细分析 这里），而事件的监测和信息传递则基于 SIEM, SOAR, SGRC.
需要对具体回路进行分析—— 写信给我们.
让我们讨论一下您的环境
描述任务、当前系统、约束和预期结果。我们将提供实用的第一步：诊断、试点、审计、路线图或项目团队。
