С 1 января 2018 года вступил в силу Федеральный закон от 26.07.2017 № 187-ФЗ “О безопасности критической информационной инфраструктуры Российской Федерации”.
В 187-ФЗ определены 12 сфер или областей деятельности, в которых функционируют объекты критической информационной инфраструктуры (КИИ). Одна из них - сфера транспорта.
Субъекты критической информационной инфраструктуры, которым принадлежат значимые объекты КИИ, обязаны соблюдать требования по обеспечению безопасности, установленные федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ Российской Федерации. В соответствии с указом Президента РФ от 16 августа 2004 г. № 1085 таким органом является ФСТЭК России.
Требования безопасности значимых объектов КИИ определены в следующих приказах ФСТЭК России:
- № 235 от 21.12.2017 г. "Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования"
- № 239 от 25.12.2017 г. "Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации"
В соответствии с приказом № 235 на значимых объектах КИИ должна быть создана система безопасности. Системы безопасности создаются субъектами КИИ и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение информационной безопасности. Субъектом КИИ должен осуществляться ежегодный контроль состояния безопасности значимых объектов КИИ. Контроль должен проводиться ежегодно комиссией, назначаемой субъектом критической инфраструктуры.
В случае проведения по решению руководителя субъекта критической информационной инфраструктуры внешней оценки (внешнего аудита) состояния безопасности значимых объектов КИИ внутренний контроль может не проводиться. Для проведения внешней оценки привлекаются организации, имеющие лицензии на деятельность в области защиты информации (в части услуг по контролю защищенности информации от несанкционированного доступа и ее модификации в средствах и системах информатизации).
Согласно статьи 18 Приказа ФСТЭК России № 235 применяемые для обеспечения безопасности значимых объектов КИИ программно-аппаратные и программные средства (в т.ч. общесистемное и прикладное ПО) должны пройти оценку соответствия требованиям по безопасности информации в форме испытаний (приемки) в соответствии Федеральным законом от 27 декабря 2002 г. № 184-ФЗ "О техническом регулировании".