Объекты КИИ: как правильно выбирать наименования для объектов КИИ при составлении перечня объектов КИИ?

2025 год

Ответ: действительно, наименования информационных активов могут различаться в зависимости от системы учета и документации на такие активы. При подготовке перечня объектов критической информационной инфраструктуры (далее – КИИ) мы рекомендуем использовать следующие правила для дальнейшей минимизации комплаенс-риска (риска предписаний или иных проблем, связанных с исполнением законодательства и взаимодействием с контролирующими органами):

1. При наличии проектной и (или) иной документации на потенциальные объекты КИИ – используем наименование из нее (например, на системы автоматизации производства).
2. При отсутствии документации на потенциальный объект КИИ в целом – используем идентификаторы в учетных системах, при условии постановки потенциального объекта КИИ или его основных компонентов на учет в рамках одной учетной единицы или группы активов: учет информационных активов в рамках системы менеджмента информационной безопасности; бухгалтерский и управленческий учет активов и пр.
3. Используем наименования объектов КИИ исходя из классов систем связи и автоматизации и с учетом типовых перечней объектов КИИ, разрабатываемых ведомственными регуляторами в соответствии с подпунктом «ж» пункта 10 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 08.02.2018 № 127. При этом в наименовании указываем не только класс системы, но и наименование вендора и принадлежность к бизнес- или технологическому процессу, производству и иным сущностям, связанным с потенциальным объектом КИИ.