Критичность систем: три оценки по конфиденциальности, целостности и доступности
Поставьте каждой информационной системе три оценки: конфиденциальность, целостность, доступность (CIA: confidentiality, integrity, availability). Одна метка «высокая» в реестре активов смешивает «нельзя потерять на день» и «нельзя прочитать постороннему», и тогда бэкап с MFA получают одинаковый срок. Поле реестра оставляйте как итог, а расшифровку ведите здесь. Список узлов — реестр ИТ-активов. Классы данных (публичные, ПДн) — про содержимое, не про сервис: классификация данных.
Статья опирается на логику направления «Архитектура кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Метод трёх видов воздействия — в NIST FIPS 199: csrc.nist.gov. Это стандарт для федеральных систем США, не российский закон и не замена категорирования КИИ.
Три вопроса владельцу системы
| Свойство | Вопрос | Низкая | Средняя | Высокая |
|---|---|---|---|---|
| Конфиденциальность | Что будет, если данные прочитает посторонний? | Стыдно, без штрафа и потери клиентов | Утечка договоров или ПДн, уведомления, удар по доверию | Остановка бизнеса или обязанность по закону из‑за раскрытия |
| Целостность | Что будет, если данные подменят или повредят незаметно? | Поправим из головы | Спор с клиентом, пересчёт, повторная выгрузка | Неверные платежи, лечь производство, нельзя доказать факт |
| Доступность | Что будет, если система молчит сутки? | Подождут | Сдвинем отгрузки, ручной обход на день | Нет отгрузок / кассы / клиники в тот же день |
Итог системы = максимум из трёх, не среднее. Почта может быть «C средняя, I средняя, A высокая» — итог высокий из‑за доступности, меры в первую очередь про копии и откат, не про DLP. Владелец оценки — владелец системы, ИБ считает и спорит цифрами. Сценарии «кто ломает» берите из модели угроз, не выдумывайте шкалу заново: модель угроз за день.
Не подменяйте это категорированием объектов КИИ по постановлению № 127: там свои показатели и комиссия. Не подменяйте оценкой вреда субъектам ПДн: тот документ про людей, этот — про сервисы.
Как применить, не полка в шкафу
| Где видно | Если высокая C | Если высокая I | Если высокая A |
|---|---|---|---|
| Доступ | Заявка, MFA, минимум прав | Разделение ролей на запись | Кто может выключить сервис — поимённо |
| Изменения | Секреты и выгрузки смотрит ИБ | Откат и проверка целостности | Окно и запасной контур |
| Уязвимости | Срок короче на периметре с данными | Срок короче, если дыра позволяет подменить данные | Срок короче, если падение бьёт в кассу: цикл уязвимостей |
| Копии | Шифрование носителя копии | Проверка restore на порчу | Цель восстановления в часах, не «есть бэкап» |
Если завёли GLPI или NetBox, три оценки — поля карточки, не новый файл «для ИБ»: когда таблицы мало. Иначе снова разойдётся с реестром.
Риск: все системы «высокие», чтобы не спорить. Тогда очередь мер пустая. Разрешено не больше трети парка с итогом «высокая», пока директор не примет исключение.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Одна колонка «критичность» | Нет расшифровки CIA. Добавьте три поля, итог = max |
| Оценки = классы данных | Смешали объект. Данные живут в нескольких системах |
| Все высокие | Нет цены простоя. Пересмотрите с владельцем бизнеса |
| КИИ-комиссия просит эту таблицу как акт | Не тот документ. Акт категорирования — отдельно |
Где это в модели зрелости
Материал относится к направлению «Архитектура кибербезопасности» (хаб: архитектура, карта: карта зрелости). Реестр без трёх оценок не говорит, какую меру ставить первой. Классификация данных закрывает «что храним». Риск-реестр закрывает сценарии, не паспорт системы.
Как проверить
- У каждой системы из реестра (не у каждой мыши) есть C, I, A и итог = максимум.
- Владелец системы может объяснить свою высшую оценку без подсказки ИБ.
- Сроки патчей и цель восстановления различаются у «высокой A» и «высокой C».
- Документ не выдаётся за классификацию данных и не выдаётся за акт КИИ.
- Доля итоговых «высоких» не равна 100%.
Источники
- NIST FIPS 199: csrc.nist.gov.
