Представьте электростанцию, на которой злоумышленник получил доступ к системе управления оборудованием. Электричество пока поступает потребителям, операторы видят привычные показатели, но команды уже могут поступать от постороннего человека. Для предприятия опасность заключается не только в утечке данных. Кибератака способна остановить производство, нарушить энергоснабжение или вывести из строя дорогостоящее оборудование.
Именно для предотвращения подобных последствий в России действует специальный режим защиты критической информационной инфраструктуры, сокращённо КИИ. Закон обязывает определённые организации выявлять критически важные цифровые системы, оценивать последствия компьютерных инцидентов, защищать инфраструктуру и сообщать о компьютерных атаках государственным органам.
Но распространённое представление о КИИ как об особом списке серверов, на которые достаточно установить сертифицированный антивирус, совершенно неверно. Защита строится вокруг процессов, от которых зависят безопасность людей, устойчивость экономики и работа предприятий. Иногда резервный канал управления и возможность безопасно остановить оборудование гораздо важнее очередного средства обнаружения угроз.
Разберём, какие требования действительно обязательны для российских организаций, как проходит категорирование, что контролируют ФСТЭК и ФСБ и какие технические меры помогают сохранить работу энергетических, промышленных и телекоммуникационных систем.
Материал предназначен для специалистов, которые законно эксплуатируют и защищают информационные системы. Проверки промышленных сетей, сканирование контроллеров, изменение правил межсетевых экранов и испытания аварийных сценариев нужно согласовывать с владельцем инфраструктуры и технологическими службами. Даже стандартная проверка безопасности способна нарушить работу чувствительного промышленного оборудования.
Что относится к КИИ и как определить категорию значимости
Правовую основу составляет Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Закон охватывает государственные органы, государственные учреждения и российские юридические лица, которым на законном основании принадлежат определённые информационные системы, сети и автоматизированные системы управления в установленных сферах деятельности. Отдельно предусмотрены российские юридические лица, обеспечивающие взаимодействие соответствующих систем или сетей.
Список сфер достаточно широк. В него входят здравоохранение, наука, транспорт, связь, энергетика, финансовый рынок, топливно-энергетический комплекс, атомная энергетика, оборонная и ракетно-космическая промышленность, добыча полезных ископаемых, металлургия, химическая промышленность и государственная регистрация прав на недвижимость.
Принадлежность предприятия к перечисленной отрасли ещё не означает, что каждый компьютер, сайт или сервер автоматически становится значимым объектом КИИ. Нужно установить правовой статус организации, определить соответствующие информационные системы и провести предусмотренное законодательством категорирование.
Сначала полезно разделить три понятия.
| Понятие | Что означает | Практические последствия |
|---|---|---|
| Субъект КИИ | Организация или государственный орган, подпадающие под определение статьи 2 закона № 187-ФЗ | Возникают обязанности по категорированию применимых объектов, информированию о компьютерных атаках и инцидентах и другие обязанности субъекта КИИ |
| Объект КИИ | Информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления субъекта КИИ | Проверяют соответствие отраслевым перечням, анализируют последствия нарушения работы и определяют необходимость присвоения категории |
| Значимый объект КИИ | Объект, которому присвоена первая, вторая или третья категория значимости и сведения о котором внесены в реестр ФСТЭК | Применяют специальные требования к системе безопасности, организационным и техническим мерам защиты, контролю и реагированию |
Разница принципиальная. Например, предприятие может относиться к субъектам КИИ, но после категорирования отдельной информационной системе не присвоят категорию значимости. У организации при этом сохраняются обязанности субъекта КИИ, включая предусмотренный законом обмен информацией о компьютерных атаках и инцидентах.
Как проходит категорирование КИИ
После изменений законодательства, вступивших в силу в 2025 году, и утверждения в феврале 2026 года отраслевого перечня процедура стала сильнее привязана к типовым объектам и функциям предприятий. Правительство утвердило перечень типовых объектов распоряжением № 360-р, который содержит 14 отраслевых разделов. При анализе нужно учитывать действующую редакцию перечня, отраслевые особенности категорирования и Правила, утверждённые постановлением Правительства № 127.
Применять старые инструкции, в которых рекомендуют просто собрать список всех информационных систем предприятия и отправить его во ФСТЭК, уже нельзя. В частности, обязанность предварительно направлять такой перечень по ранее действовавшему пункту 15 Правил была отменена ещё в 2024 году.
- Создать комиссию. Руководитель формирует постоянно действующую комиссию по категорированию. Помимо специалистов по информационной безопасности в работе должны участвовать сотрудники, которые знают технологические процессы, оборудование, производственные риски и последствия остановки предприятия.
- Выявить применимые объекты. Комиссия сопоставляет информационные системы, сети и АСУ с типовыми отраслевыми объектами. Для каждой системы фиксируют назначение, архитектуру, владельца, функции, связи с другими объектами и технологические зависимости.
- Рассмотреть компьютерные угрозы. Анализируют возможные действия нарушителей и сценарии, в которых атака приводит к остановке оборудования, нарушению технологических параметров или утрате критически важной информации.
- Рассчитать последствия. Оценивают показатели социальной, политической, экономической, экологической значимости и значимости для обороны, безопасности государства и правопорядка. Учитывают отраслевые методики расчёта.
- Определить категорию. Если объект достигает установленных порогов, комиссия присваивает категорию по наиболее высокому значимому показателю. Первая категория наиболее высокая, третья наиболее низкая. При отсутствии соответствия критериям категория не присваивается.
- Оформить результаты. Комиссия составляет акт, руководитель утверждает его, после чего субъект направляет предусмотренные сведения во ФСТЭК. Служба проверяет правильность категорирования и при наличии оснований включает объект в реестр значимых объектов КИИ.
Закон № 187-ФЗ предусматривает направление сведений в десятидневный срок со дня принятия решения. Постановление № 127 устанавливает срок 10 рабочих дней со дня утверждения акта. При организации документооборота безопаснее соблюдать более ранний из применимых сроков, чтобы исключить просрочку.
По действующим Правилам категории и решения об их отсутствии пересматривают не реже одного раза в пять лет, если отраслевые особенности не предусматривают другой срок. Изменение соответствующих показателей значимости также может потребовать пересмотра.
Есть и специальное правило для вновь создаваемых объектов. Если новый объект отсутствует в типовом отраслевом перечне, но последствия возможного компьютерного инцидента достигают установленных показателей значимости, субъект должен выполнить предусмотренную Правилами процедуру категорирования и направить предложения о дополнении перечня.
Почему один объект становится значимым, а другой нет
Допустим, энергетическая компания эксплуатирует систему управления подстанциями и отдельный корпоративный портал для сотрудников. Компрометация системы управления может нарушить электроснабжение большого числа потребителей. Взлом портала способен привести к утечке документов, но последствия для энергоснабжения могут оказаться значительно меньше.
Поэтому системы рассматривают отдельно, учитывая функции, отраслевой перечень, зависимости и установленные критерии. Категорию нельзя определять только по стоимости оборудования, количеству серверов или объёму хранимых данных.
Другой пример. Небольшая система управления может обслуживать единственный, но критически важный технологический узел крупного предприятия. Даже если в системе всего несколько контроллеров, последствия остановки узла способны оказаться серьёзнее, чем выход из строя большого корпоративного центра обработки данных.
Категорирование должно учитывать и зависимость объектов друг от друга. Если одна система обеспечивает работу другой, оценивать последствия необходимо с учётом возможного нарушения функционирования зависимого объекта. Такой подход прямо предусмотрен Правилами категорирования.
Какие меры защиты КИИ требуют ФСТЭК и ФСБ
У российских регуляторов разные полномочия. ФСТЭК отвечает за категорирование в пределах установленных полномочий, реестр значимых объектов, требования к их безопасности и государственный контроль. ФСБ отвечает за функционирование ГосСОПКА, порядок информирования о компьютерных атаках и инцидентах, отдельные правила реагирования, взаимодействия и применения соответствующих средств обнаружения. Для финансового сектора дополнительные полномочия имеет Банк России.
Обязанности нельзя свести к единому списку оборудования, обязательного для покупки всеми субъектами КИИ. Закон требует выполнять конкретные функции защиты, а состав средств зависит от категории объекта, модели угроз, архитектуры и применимых нормативных актов.
Требования ФСТЭК
Для значимых объектов ключевыми остаются два приказа.
Приказ ФСТЭК № 235 определяет, как субъект КИИ должен создать систему безопасности значимых объектов и обеспечивать её функционирование. Речь идёт о назначении ответственных, распределении полномочий, организационных документах, персонале, управлении безопасностью и контроле выполнения требований.
Приказ ФСТЭК № 239 устанавливает требования к защите значимых объектов на протяжении их жизненного цикла, от проектирования до вывода из эксплуатации.
В приложении к приказу № 239 предусмотрены группы мер, охватывающие идентификацию и аутентификацию, управление доступом, ограничение программной среды, защиту носителей, аудит, антивирусную защиту, предотвращение вторжений, обеспечение целостности и доступности, управление конфигурациями, обновлениями, реагирование и обучение персонала.
Механизм выбора мер устроен следующим образом. Организация определяет базовый набор по категории значимости, адаптирует его к реальной архитектуре и угрозам, затем добавляет меры, необходимые по другим применимым требованиям. Если технология на объекте отсутствует, соответствующую меру можно исключить при соблюдении условий приказа. Если базового набора недостаточно для нейтрализации актуальных угроз, защиту необходимо дополнить.
Например, для АСУ ТП с устаревшим контроллером может оказаться технически невозможно установить современное средство защиты непосредственно на устройство. В таком случае приходится использовать допустимые внешние защитные механизмы, ограничивать сетевое взаимодействие, контролировать доступ и документировать выбранные решения. Простая запись «антивирус установить невозможно» без анализа угроз не обеспечивает надлежащей защиты.
Отдельные требования ФСТЭК уже имеют конкретные технические ограничения. Так, для значимых объектов первой и второй категорий предусмотрены условия размещения на территории России средств хранения и обработки информации с установленными исключениями. Для значимых объектов с сервисами, которым требуется постоянный доступ из интернета, приказ № 239 также предусматривает меры против атак на отказ в обслуживании.
В 2026 году ФСТЭК приняла приказ № 220, который дополняет требования № 235 расчётом показателей защищённости и зрелости. Новые нормы вступят в силу 1 марта 2027 года. Они предусматривают оценку показателя защищённости не реже одного раза в шесть месяцев, показателя зрелости не реже одного раза в три года и передачу результатов оценки защищённости во ФСТЭК. Для подрядчиков с доступом к значимым объектам также предусмотрена оценка зрелости.
До вступления приказа № 220 в силу нельзя представлять будущие показатели как уже действующую обязанность, но владельцам значимых объектов разумно заранее подготовить процессы сбора необходимых данных.
Требования ФСБ и взаимодействие с ГосСОПКА
ГосСОПКА, государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак, обеспечивает обмен информацией об угрозах и инцидентах, а также координацию реагирования. Центральную роль играет Национальный координационный центр по компьютерным инцидентам, НКЦКИ.
Организация может использовать собственные средства обнаружения, внутренний центр мониторинга безопасности или привлекать специализированных исполнителей. Но покупка коммерческой услуги сама по себе не освобождает субъект КИИ от исполнения установленных законом обязанностей.
С 30 января 2026 года действует приказ ФСБ № 547, обновивший порядок информирования об атаках и инцидентах. Приказ № 548 регулирует непрерывное взаимодействие с ГосСОПКА для владельцев значимых объектов КИИ и определённых законом руководителей государственных и подконтрольных государству организаций.
| Событие | Срок передачи информации в НКЦКИ |
|---|---|
| Компьютерный инцидент на значимом объекте КИИ | Не позднее 3 часов с момента обнаружения |
| Компьютерный инцидент на ином объекте КИИ | Не позднее 24 часов с момента обнаружения |
| Компьютерная атака на объект КИИ | Не позднее 24 часов с момента обнаружения |
| Компьютерный инцидент на информационном ресурсе организации, подпадающей под часть 4 статьи 9 закона № 187-ФЗ | Не позднее 24 часов с момента обнаружения |
Сроки относятся к соответствующим видам событий и не означают, что организация вправе откладывать реагирование до последнего часа. Для организаций финансового рынка приказ предусматривает также передачу информации Банку России установленным способом.
Приказ № 547 требует от владельцев значимых объектов разработать план реагирования не позднее 90 календарных дней после включения объекта в реестр. Копию утверждённого плана направляют в НКЦКИ в течение семи календарных дней. Не реже одного раза в год нужно проводить тренировку по мероприятиям плана.
Практически трёхчасовой срок означает, что у предприятия должен работать заранее подготовленный порядок уведомления. Если специалист обнаружит инцидент ночью, организация не сможет оправдать просрочку отсутствием руководителя или ожиданием начала рабочего дня.
Техническое взаимодействие организуют по установленному регламенту через инфраструктуру НКЦКИ. При сбое основного канала предусмотрены резервные способы передачи информации. Для понимания структуры системы и её назначения можно обратиться к описанию ГосСОПКА.
Обязательные требования и дополнительные рекомендации
В проектах защиты КИИ часто смешивают требования закона, стандарты безопасности и предложения поставщиков программного обеспечения. В результате предприятие покупает дорогую систему, не понимая, какую именно обязанность она помогает исполнить.
| Мера | Правовой статус | Как применять |
|---|---|---|
| Категорирование применимых объектов | Обязательное | Следовать закону № 187-ФЗ, постановлению № 127, типовым перечням и отраслевым особенностям |
| Создание системы безопасности значимого объекта | Обязательное | Выполнять приказ № 235 и применимые требования № 239 |
| Разграничение доступа, аудит, защита от вредоносного ПО, резервирование | Обязательность конкретной реализации зависит от применимого набора мер | Определять механизмы по категории, модели угроз и условиям эксплуатации |
| Уведомление о компьютерных атаках и инцидентах | Обязательное в предусмотренных законом случаях | Соблюдать порядок ФСБ и сроки направления информации |
| Непрерывное взаимодействие с ГосСОПКА | Обязательное для установленных законом категорий субъектов и организаций | Применять предусмотренный порядок взаимодействия |
| Промышленный анализ сетевого трафика специальными датчиками | Дополнительный технический способ реализации защиты | Использовать, если средство подходит для актуальных угроз и архитектуры |
| Отдельный центр мониторинга безопасности на каждом предприятии | Не является универсальным требованием в такой форме | Выбирать собственную или допустимую внешнюю модель оказания услуг |
| Применение IEC 62443 | Стандарт и практический ориентир, не автоматически обязательный для всех субъектов КИИ | Использовать при проектировании промышленной защиты с учётом обязательных российских норм |
| Проведение учебных атак, испытаний восстановления и расширенных тренировок | Часть мероприятий может быть обязательной, дополнительные сценарии рекомендуются | Определять объём по нормативным требованиям и рискам объекта |
Отдельная тема связана с российским программным обеспечением. Поправки 2025 года к закону № 187-ФЗ установили новые обязанности по применению определённого программного обеспечения и программно-аппаратных средств на значимых объектах с учётом порядка и сроков перехода, устанавливаемых Правительством. Для оценки конкретного проекта нужно учитывать утверждённые переходные правила, сферу деятельности, исключения и другие применимые акты, включая ранее введённые ограничения на иностранное ПО.
Нельзя выводить единый срок импортозамещения для всех организаций из одного проекта постановления или утверждать, что любое иностранное устройство на любом объекте КИИ автоматически запрещено. При замене компонентов промышленной автоматики дополнительно требуется проверять совместимость и безопасность технологических процессов.
Как защищают энергетику, промышленные системы и телекоммуникации
Защита КИИ заметно отличается от безопасности обычной офисной сети. Корпоративный компьютер чаще всего можно перезагрузить, обновить или временно отключить. Промышленный контроллер может непрерывно управлять насосами, турбиной, печью или распределительным устройством. Неудачное обновление либо блокировка сетевого соединения способны остановить технологический процесс.
Поэтому основные принципы промышленной безопасности включают разделение сетей, строго контролируемый доступ, наблюдение за трафиком, безопасное управление изменениями и заранее подготовленные способы восстановления.
Энергетика. Защита диспетчерского управления и подстанций
В энергетике к типовым объектам могут относиться системы диспетчерского управления, мониторинга и управления электросетевым оборудованием и другие системы, соответствующие отраслевому перечню. Их конкретный статус устанавливают при категорировании.
Рассмотрим ситуацию. Злоумышленник получает доступ к корпоративной сети энергокомпании через скомпрометированную учётную запись подрядчика. Затем пытается добраться до серверов диспетчерского управления и отправить команду на изменение состояния оборудования.
Защиту строят по нескольким направлениям.
- Разделение сетей. Корпоративная инфраструктура, диспетчерские серверы и сети управления оборудованием должны иметь обоснованные и контролируемые соединения. Межсетевые экраны ограничивают обмен необходимыми протоколами, адресами и направлениями.
- Контроль инженерного доступа. Подрядчики работают через выделенные точки доступа с персональными учётными записями, ограниченными полномочиями и регистрацией действий. Доступ предоставляют на согласованное время.
- Наблюдение за промышленными протоколами. Средства анализа трафика могут выявлять неожиданные команды управления, обращения к нехарактерным устройствам и изменения обычного поведения сети.
- Резервирование. Организация предусматривает необходимые резервные каналы связи, серверы, конфигурации и процедуры безопасного перехода на резервные средства управления.
- Контроль изменений. Изменения конфигураций диспетчерских систем и сетевого оборудования проходят согласование, испытания и регистрацию.
Для промышленных сетей полезны пассивные датчики безопасности, которые получают копию трафика через зеркалирование портов или сетевые ответвители. Такой датчик не должен автоматически вмешиваться в управляющий трафик без специального обоснования и испытаний.
Пассивный мониторинг тоже имеет ограничения. Зеркалируемый порт может терять пакеты при перегрузке, часть трафика бывает недоступна датчику, а зашифрованные соединения ограничивают глубину анализа. Поэтому нельзя считать установку датчика доказательством полного контроля сети.
Промышленность. Защита АСУ ТП и производственного оборудования
АСУ ТП, автоматизированная система управления технологическими процессами, объединяет программное обеспечение, контроллеры, операторские станции и другие компоненты, которые управляют физическим оборудованием.
Для промышленного предприятия основная опасность часто заключается в изменении технологических параметров или потере управления. Атака может вывести из строя операторские станции, нарушить работу контроллеров, изменить рецептуры производства или остановить автоматизированную линию.
Типовая архитектура разделяет офисную инфраструктуру, производственные информационные системы и непосредственное управление технологическим процессом.
Промежуточная зона часто содержит серверы обмена данными, шлюзы доступа и компоненты, необходимые для взаимодействия производственных и корпоративных систем. Такой подход снижает вероятность прямого перехода злоумышленника с офисного компьютера к промышленному контроллеру.
Однако сетевое разделение не должно нарушать технологические зависимости. Если информационная система обязана непрерывно получать данные от оборудования, нужно заранее определить допустимые протоколы, задержки, резервирование и поведение системы при потере соединения.
Для защиты АСУ ТП полезны следующие практические меры.
- Инвентаризировать контроллеры, инженерные станции, операторские панели, серверы и установленное программное обеспечение с учётом версий и технологических зависимостей.
- Запретить несанкционированные изменения программ контроллеров, настроек и технологических параметров.
- Ограничить доступ инженеров и подрядчиков к необходимым системам и операциям.
- Хранить проверенные резервные копии программ контроллеров, конфигураций и операторских станций.
- Проверять обновления в испытательной среде либо в согласованное технологическое окно, не применять офисную политику автоматической установки обновлений без анализа рисков.
- Разделять функции технологической безопасности и обычного управления, сохраняя независимость предусмотренных проектом систем аварийной защиты.
Характерная ошибка промышленных предприятий заключается в переносе корпоративных правил безопасности на оборудование без проверки совместимости. Принудительная перезагрузка, агрессивное сканирование или блокировка служебного протокола могут оказаться опаснее первоначальной угрозы.
Телекоммуникации. Защита сетей связи и систем управления
У операторов связи критичными могут быть системы управления сетью, маршрутизации, коммутации, обработки абонентской информации и расчётов. Отраслевой перечень КИИ содержит соответствующие типы информационных систем и сетей. При этом категорирование проводится по установленным критериям, а не просто по факту наличия лицензии оператора связи.
Для телекоммуникационной инфраструктуры характерны собственные сценарии атак. Злоумышленники могут пытаться изменить конфигурацию сетевых устройств, нарушить маршрутизацию, воздействовать на системы управления или перегрузить доступные из интернета сервисы.
Защитные меры включают изоляцию сети управления от пользовательского трафика, строгий доступ администраторов, резервирование критических узлов, проверку конфигураций маршрутизаторов и непрерывное наблюдение за изменениями сетевого состояния.
Для снижения рисков маршрутизации могут применяться фильтрация маршрутов, механизмы проверки происхождения маршрутов, включая RPKI, и контроль конфигураций BGP. Конкретная реализация зависит от архитектуры оператора и технических возможностей оборудования. Нельзя считать применение любого из перечисленных протоколов универсальной обязанностью по закону № 187-ФЗ.
Защита от DDoS-атак особенно актуальна для публично доступных сервисов. Но подключение внешней системы фильтрации трафика не всегда решает проблему. Если перегружается канал до точки фильтрации или атакующий воздействует на внутреннюю систему управления сетью, требуются другие механизмы.
Поэтому операторам связи приходится проверять не только способность выдержать большой поток пакетов, но и устойчивость маршрутизации, работу резервных каналов, разграничение полномочий и возможность безопасного восстановления конфигураций.
Как проверить защиту КИИ, подготовиться к атаке и избежать нарушений
Одна из главных проблем защиты КИИ заключается в разрыве между нормативными документами и реальной эксплуатацией. Предприятие может иметь модель угроз, утверждённые политики, договор с центром мониторинга и комплект отчётов, но при атаке выяснится, что резервные копии не восстанавливаются, подрядчик использует общую учётную запись, а дежурный инженер не знает порядка уведомления НКЦКИ.
Проверять безопасность нужно не только по наличию документов, но и по измеримым результатам.
Практический план проверки
- Сверьте перечень объектов. Убедитесь, что все применимые системы учтены, акты категорирования отражают текущую архитектуру, а сведения, переданные во ФСТЭК, не устарели.
- Проверьте сетевые соединения. Сопоставьте утверждённую схему с действующими правилами межсетевых экранов. Отдельно исследуйте удалённый доступ, резервные каналы, диагностические подключения и взаимодействие с подрядчиками.
- Проверьте права доступа. Выявите общие административные учётные записи, неиспользуемые полномочия, учётные записи бывших сотрудников и постоянный доступ внешних исполнителей.
- Испытайте резервные копии. На изолированной испытательной инфраструктуре восстановите конфигурации, необходимые программы, данные и компоненты. Зафиксируйте фактическое время восстановления.
- Проверьте обнаружение инцидентов. В контролируемой среде воспроизведите безопасные тестовые события и убедитесь, что система мониторинга фиксирует признаки угрозы, а дежурная смена получает уведомление.
- Проведите тренировку реагирования. Отработайте взаимодействие ИБ-службы, технологов, администрации и ответственных за уведомления. Проверьте резервные каналы связи и порядок передачи информации в НКЦКИ.
- Проверьте подрядчиков. Уточните, какое оборудование и ПО обслуживают внешние организации, какие права у них есть, как оформлен доступ и кто отвечает за действия подрядчика во время инцидента.
- Зафиксируйте отклонения. Для каждой выявленной проблемы назначьте владельца, срок устранения и способ повторной проверки. Документы должны подтверждать реально выполненные меры.
Практический показатель готовности к восстановлению состоит не в наличии папки с резервными копиями, а в подтверждённом времени возврата системы к безопасной работе.
Для критичных процессов полезно определить RTO, допустимое время восстановления, и RPO, допустимую потерю данных. В промышленных системах оба показателя должны учитывать безопасность физического процесса. Например, немедленное восстановление связи с контроллером не всегда означает, что технологическую установку можно сразу возвращать к прежнему режиму.
Что делать во время компьютерной атаки
Реагирование в энергетике или промышленности должно начинаться с оценки безопасности технологического процесса. Нельзя автоматически отключать всю сеть, если через неё управляют критически важным оборудованием.
Типовой сценарий действий выглядит следующим образом.
Обнаружение. Дежурная смена фиксирует подозрительную активность, определяет затронутые системы и время обнаружения. Специалисты сохраняют доступные журналы событий и другую информацию, которая может потребоваться для анализа.
Оценка последствий. ИБ-служба связывается с технологическими специалистами. Совместно определяют, затронут ли производственный процесс и какие действия допустимы без риска для людей и оборудования.
Локализация. Ограничивают скомпрометированные учётные записи и соединения, изолируют затронутые сегменты в пределах технологически допустимых действий. При необходимости переходят к предусмотренным аварийным режимам.
Уведомление. Ответственный сотрудник передаёт сведения в НКЦКИ в установленный срок. При необходимости информирует Банк России или другие органы по применимым требованиям. Отсутствие полной картины атаки не должно приводить к пропуску обязательного срока первоначального уведомления.
Восстановление. После локализации и анализа причин используют проверенные конфигурации, резервные компоненты и данные. Технологические службы подтверждают безопасность возврата к штатному режиму.
Разбор. Организация устанавливает причины инцидента, устраняет выявленные недостатки, обновляет модель угроз и процедуры реагирования, выполняет предусмотренное нормативными актами последующее информирование.
Отдельно стоит подготовить резервный порядок коммуникации. Если атакующий вывел из строя корпоративную почту и внутренний мессенджер, сотрудники должны иметь заранее согласованный способ связи, который не зависит от скомпрометированной инфраструктуры.
Какие ошибки особенно опасны
На практике серьёзные нарушения часто возникают не из-за отсутствия дорогостоящих технологий, а из-за неправильных решений при эксплуатации.
- Формальное категорирование. Комиссия оценивает стоимость серверов вместо реальных последствий остановки процессов и зависимостей между системами.
- Одна сеть для всех задач. Корпоративные устройства, удалённые подключения подрядчиков и промышленное оборудование имеют избыточную сетевую связность.
- Общие пароли инженеров. Несколько сотрудников пользуются одной привилегированной учётной записью, поэтому невозможно установить исполнителя конкретной операции.
- Обновления без испытаний. Исправление уязвимости устанавливают на промышленный контроллер или сервер без проверки технологической совместимости.
- Резервные копии без восстановления. Архивы существуют, но предприятие ни разу не проверяло их целостность и пригодность для восстановления.
- Мониторинг без реагирования. Система фиксирует подозрительные события, но ответственный сотрудник получает уведомление слишком поздно или не знает дальнейших действий.
- Подмена требований продуктом. Организация считает, что покупка межсетевого экрана, SIEM или услуги центра мониторинга автоматически закрывает все обязанности по защите КИИ.
Ответственность за нарушения
За несоблюдение требований предусмотрена административная ответственность. По статье 13.12.1 КоАП РФ нарушения требований к созданию и функционированию систем безопасности значимых объектов и требований к их защите могут повлечь штраф для юридического лица от 50 до 100 тысяч рублей.
За нарушение установленного порядка информирования о компьютерных инцидентах, реагирования на них и ликвидации последствий атак на значимые объекты предусмотрен штраф для юридических лиц от 100 до 500 тысяч рублей. Нарушение предусмотренного законом порядка обмена информацией о компьютерных инцидентах также может повлечь штраф до 500 тысяч рублей.
Размер санкции зависит от конкретного состава нарушения. Наряду со специальной статьёй могут применяться другие нормы законодательства в зависимости от обстоятельств.
Уголовная ответственность предусмотрена статьёй 274.1 УК РФ, в частности за неправомерное воздействие на КИИ и определённые нарушения правил эксплуатации либо доступа, если присутствуют предусмотренные уголовным законом признаки преступления. В случаях, повлёкших тяжкие последствия, санкция может достигать десяти лет лишения свободы.
Сам по себе факт отсутствия конкретного средства защиты не означает автоматической уголовной ответственности руководителя или специалиста. Для уголовного дела необходимы признаки соответствующего состава преступления. Но нарушения обязательных требований, причинённый ущерб и последствия компьютерной атаки могут привести к разным видам ответственности.
Для руководства предприятия финансовые санкции нередко оказываются меньшей проблемой, чем остановка производства, потеря данных, повреждение оборудования, нарушение договорных обязательств и длительное восстановление технологического процесса.
Частые вопросы о защите КИИ
Обязана ли небольшая компания соблюдать закон о КИИ?
Размер компании сам по себе не определяет действие закона № 187-ФЗ. Небольшая организация может быть субъектом КИИ, если отвечает установленному законом определению. Нужно проверить сферу деятельности, принадлежащие информационные системы и применимые требования.
Нужно ли выполнять требования ФСТЭК № 239, если объекту не присвоена категория значимости?
Приказ № 239 регулирует обеспечение безопасности значимых объектов КИИ. На объект без категории нельзя автоматически распространять весь перечень мер как на значимый объект. При этом сохраняются другие применимые обязанности субъекта КИИ, а также требования законодательства о защите информации, персональных данных и отдельных отраслей.
Можно ли поручить защиту КИИ внешней компании?
Организация может привлекать специализированных подрядчиков для выполнения разрешённых работ и оказания услуг по безопасности. Однако ответственность за исполнение установленных законом обязанностей остаётся у соответствующего субъекта КИИ. Договор должен определять полномочия, порядок доступа, конфиденциальность, реагирование и ответственность сторон.
Нужна ли обязательная аттестация каждого объекта КИИ?
Универсального правила об обязательной аттестации абсолютно каждого объекта КИИ только из-за его принадлежности к КИИ нет. Необходимо выполнять предусмотренные нормативными актами проверки и оценку соответствия требованиям безопасности. Дополнительные процедуры могут требоваться в зависимости от вида информационной системы и других применимых нормативных требований.
Можно ли подключать промышленную АСУ ТП к интернету?
Закон № 187-ФЗ не устанавливает универсального запрета на любое взаимодействие всех АСУ ТП с интернетом. Однако соединения необходимо обосновывать, защищать и ограничивать по требованиям конкретного объекта. Прямой доступ из публичной сети к контроллерам и инженерным интерфейсам создаёт серьёзные риски и обычно не является оправданным техническим решением.
Нужно ли уведомлять НКЦКИ, если атака не привела к остановке предприятия?
Отсутствие простоя само по себе не освобождает от предусмотренного законом информирования. Действующий порядок ФСБ предусматривает уведомления как о компьютерных инцидентах, так и о компьютерных атаках. Для выбора вида уведомления и срока необходимо правильно квалифицировать обнаруженное событие.
Обязательно ли устанавливать SIEM и EDR на каждом объекте КИИ?
Универсальной обязанности приобрести конкретные классы программ под названиями SIEM или EDR для каждого объекта нет. Требуются установленные организационные и технические меры, включая применимые механизмы регистрации событий, обнаружения угроз и реагирования. Выбор продуктов зависит от категории, модели угроз, архитектуры и совместимости с оборудованием.
Что делать, если промышленный контроллер не поддерживает современные средства защиты?
Необходимо оценить угрозы и выбрать допустимые меры, которые не нарушат работу оборудования. Могут помочь изоляция сетевого сегмента, контролируемый инженерный доступ, фильтрация соединений, мониторинг трафика, контроль конфигураций и дополнительные меры физической защиты. Выбор должен быть технически обоснован и соответствовать применимым требованиям ФСТЭК.
Можно ли считать объект защищённым после успешной проверки ФСТЭК?
Положительный результат проверки подтверждает выполнение проверенных требований на определённый момент, но не гарантирует невозможность компьютерной атаки. Уязвимости, архитектура и способы атак меняются. Организации необходимо поддерживать меры защиты, контролировать изменения, обнаруживать инциденты и периодически проверять способность восстановить работу.
Вывод. Защита критической информационной инфраструктуры начинается не с закупки программ и оборудования, а с понимания того, какие технологические и информационные процессы действительно критичны для предприятия. Сначала организация определяет объекты, проводит категорирование и устанавливает обязательные требования. Затем строит систему безопасности, выбирает подходящие технические меры и проверяет их эффективность.
Энергетике нужны устойчивые системы диспетчерского управления и безопасные резервные режимы. Промышленности необходимы защита контроллеров, разделение сетей и контроль изменений. Операторам связи требуется обеспечивать устойчивость сетевой инфраструктуры и защищать системы управления. Во всех трёх случаях формального выполнения документов недостаточно.
Начать практическую работу лучше с трёх проверок. Сверить актуальность категорирования, выявить неконтролируемые соединения с критичными системами и провести безопасное испытание восстановления. Затем проверить, сможет ли дежурная смена обнаружить инцидент, локализовать угрозу и уведомить НКЦКИ в установленный срок.
Настоящая защищённость КИИ проявляется во время сбоя или атаки. Если предприятие способно сохранить безопасность людей, удержать критичные процессы под контролем и восстановить работу без неприемлемых последствий, вложения в защиту действительно принесли результат.
