Сначала установите предмет рассмотрения
Не начинайте с присвоения категории отдельному серверу. Сначала нужно разобраться с организацией, её деятельностью, процессами и используемыми информационными системами. Решение о применимости режима КИИ принимается по фактическим условиям и актуальным основаниям, а не только по названию отрасли на сайте.
Разделите предварительный сбор информации и формальное решение по конкретному объекту. Первое помогает подготовить работу, второе требует установленного для неё состава участников и документов. Здесь приведён организационный маршрут; он не определяет статус организации и категорию её объекта заочно.
Соберите процессную и техническую картину
Попросите владельцев процессов описать результат работы, потребителей, зависимость от ИТ и последствия остановки. Администраторы дополняют картину системами, сетями, связями и площадками. При таком подходе легче увидеть, какие компоненты поддерживают один процесс и где проходит граница рассматриваемого объекта.
Используйте данные о фактической нагрузке и доступные сведения об инцидентах, а не произвольные максимальные числа. У каждой величины должно быть основание и владелец, который её подтверждает. Если точной информации пока нет, фиксируйте неизвестность и план её уточнения.
Организуйте работу участников
Для обсуждения нужны руководители профильных процессов, ИТ и ИБ, а также участники, которые могут подтвердить организационные и экономические сведения. Назначьте координатора сбора материалов. Один технический специалист не всегда располагает данными о последствиях для деятельности всей организации.
Согласуйте реестр объектов, формат исходных карточек и порядок рассмотрения спорных вопросов. Протоколируйте решения и основания изменения границ. Подрядчик может помогать с обследованием и подготовкой материалов, но его роль и ответственность нужно явно закрепить в договоре.
Проверьте комплект перед следующим этапом
Сопоставьте карточки объектов с картой процессов, схемой взаимодействий и подтверждёнными показателями. Проверьте, нет ли пропущенных зависимостей, дублирующих описаний или решений без основания. Составьте перечень вопросов, которые необходимо закрыть до оформления результата.
Дальнейший порядок определяется применимыми требованиями и результатами рассмотрения. Наличие проекта карточек не означает, что категорирование завершено, сведения направлены или объект получил определённый статус. Эти состояния подтверждаются самостоятельными документами и действиями ответственных лиц.
Что подготовить к первому обсуждению
- Деятельность организации и предмет рассмотрения
- Процессы и владельцы исходных сведений
- Системы, сети, площадки и зависимости
- Подтверждённые показатели и последствия остановки
- Участники, координатор и протокол решений
- Неизвестные сведения и границы роли подрядчика
Отправьте краткое описание без чувствительных вложений. Если какой-то пункт неизвестен, отметьте это: обследование и восстановление исходных данных можно согласовать отдельным этапом.
Границы предложения
Материал опирается на направления работ НПК Оборон-Экран: обследование, подготовку защиты, аттестационные задачи, персональные данные, КИИ и мониторинг ИБ. Он помогает сформулировать запрос и не определяет правовой статус объекта заочно. Применимые требования, права исполнителя и роли сторон проверяются для конкретного задания; специальные допуски одной организации не переходят другой автоматически.
Объём, результаты, порядок приёмки и возможные исключения фиксируются в предложении и договоре. Итоговое соответствие, наличие необходимого допуска и завершение обязательной процедуры подтверждаются своими документами. Цена, универсальный срок и положительный результат заранее не обещаются.
Направления работ