Смотря на судебные решения, я понимаю что возможно все. Прогнозировать сто посчитают вредом КИИ и за какие действие дадут срок не спрогнозировать. Надо доводить до конца законопроект по изменению 274.1 УК РФ, что то он уж надолго завис после внесения минэкономразвитием

З - это определение категории значимости или отсутствии категории. Без понимания архитектуры, состава окии, связи со смежными системами обосновать последствия инцидентов невозможно. При том что требуется обосновывать каждый критерий значимости.

методикой учета всего перечисленного при расчете категории значимости поделитесь?

Можно хоть 3 раза откатегорироваться и 20 раз выстроить СБ ЗОКИИ или просто ОКИИ - срок всё равно можно схлопотать😂😂😂

чем больше оборудования в составе ОКИИ, тем больше шансов нарушить правила эксплуатации его. Парадокс, но создание СБ ЗОКИИ увеличивает шансы совершить преступление, а не уменьшает🙊

Не поделюсь. Мои объекты ЗОКИИ это АСУТП. Для более менее оценки последствий и оценки размеров ущерба необходима рабочая документация на асутп, декларация пром.безопасности и т.д. Все это появляется после этапов ПД и РД на технологический объект и его автоматизированные системы.
На этапе создания задания на проектирование этих данных просто нет.

То есть, вы сначала создадите ЗОКИИ, а то потом будете думать как защищать?

Когда создадим на бумаге. Т.е. когда завершен этап разработки РД на систему автоматизации.
Оценка категории значимости проводится на этапе, когда начинается проектирование системы ИБ.

И да, специально для такого случая - в ПП127 прямо указано, что "Для создаваемого объекта критической информационной инфраструктуры, указанного в абзаце первом настоящего пункта, категория значимости может быть уточнена в ходе его проектирования.". С учетом штрафа за не предоставление сведений о категорировании в течении 10 дней с момента утверждения ТЗ, могу только посочувствовать вашей позиции.  При наличии утвержденной методики еще был бы шанс оспорить, а так - без вариантов

К сожалению это не выполнимо. На этапе создания ТЗ нет информации для оценки всех критериев значимости.
Если принять за аксиому, что если нет информации, то критерий не применим, то все проектируемые ОКИИ будут не значимые.
А тогда нет необходимости задавать требования по 239 приказу.

вам нечем подтвердить свои слова. А незначимость еще придется в ФСТЭК доказать

А я и пишу, что на этапе ТЗ часть критериев невозможно обосновать. Нет информации.

вы это пишете в форме 236 приказа при уведомлении ФСТЭК?

👍

Форма не предусматривает "нет информации ". Согласно форме необходимо обосновать каждый критерий и сообщить о категории значимости.

8 управление ФСТЭК это реально секта!!!😅😅😅

Это условие для АСУТП технологических объектов невыполнимо

Пока исходим из того, что важнее обеспечить защиту. В случае наказаний со стороны ФСТЭК вариант только увольнение.

Вы понимаете, что за вами только слова, а за ФСТЭК положения НПА?