Важное о КИИ: какие изменения ждут операторов в 2025 году

Значительная часть систем автоматизации на российских предприятиях относится к объектам критической информационной инфраструктуры. Рассказываем, что важно знать о КИИ и какие нововведения в законодательстве по части информационной безопасности их ждут с 1 января 2025 года.

В середине 2024 года в Госдуме в первом чтении был принят законопроект, который обязывает перевести объекты критической информационной инфраструктуры на отечественное ПО. Закон пока что не принят, но игроки рынка уже дискутируют о будущих последствиях для бизнеса. Выполнение новых требований законодательства потребует от компаний и операторов дополнительных расходов. Как бизнесу работать по закону и выдерживать повышенную нагрузку?

Кибератаки — одна из главных угроз для российского телекома

По данным «Ростелеком-ЦОД», за последний год Россия вошла в топ-5 стран, которые чаще остальных становились жертвами кибератак.

Опрос представителей крупных частных и государственных предприятий показал, что из-за хакерских атак российские компании теряют в среднем 20 млн рублей в год. Обычно злоумышленники незаконно списывают денежные средства со счетов, захватывают сетевое оборудование, заражают сети или нарушают функционирование сайта или приложения.

Хакерские атаки для крупного бизнеса — это не только убытки. Кибератаки могут создать угрозу безопасности общества в различных секторах: транспорт, связь, финансы и прочее. Поэтому государство вводит требования, которые обязывают предприятия защищать критически важную инфраструктуру, без которой невозможна привычная жизнь общества.

Государство четко описывает последствия невыполнения правил безопасности для объектов КИИ. Нарушителей ожидает штраф до полумиллиона рублей и уголовное преследование, если в результате инцидента пострадали люди.

Основная доля объектов критической инфраструктуры (70%) расположена в организациях топливно-энергетического сектора, еще 12% сосредоточено в здравоохранении. На третьем месте операторы телекоммуникационных услуг — на них приходится 9% объектов КИИ.

Требования безопасности к субъектам КИИ

Требования по части безопасности КИИ описаны в ФЗ №187. Главные из них — категорировать объекты, содействовать работе системы оперативно-розыскных мероприятий, сообщать государству об угрозах и защищать систему от нападений хакеров. Рассмотрим каждое из правил более детально.

Категорирование объектов КИИ

Категорирование — это разделение информационных систем по заданным критериям на две категории: значимые и незначимые. У операторов связи в перечень значимых объектов входят объекты, которые составляют ядро сети — например, системы контроля работы радиосети и технологии маршрутизации сигнальных сообщений.

Закон вводит перечень объектов КИИ, которые необходимо категорировать. К ним относятся системы, которые обеспечивают управление телеметрическими данными, выполняют управление и мониторинг сетей электросвязи, отвечают за абонентское обслуживание и другие. Операторы телекоммуникаций делают все возможное в пределах закона, чтобы сократить число КИИ, которые необходимо категоризировать. К примеру, биллинговая система не входит в перечень значимых.

Предприятие должно присвоить каждому значимому объекту КИИ первую, вторую или третью категорию значимости. Подробнее о порядке категорирования можно узнать из Постановления Правительства РФ № 127. Для примера, у телеком-операторов категория присваивается в зависимости от числа обслуживаемых абонентов. 3-я категория — до тысячи абонентов, 2-я — до 5 тысяч, 1-я — свыше 5 тысяч.

Процесс категорирования включает:

• составление списка всех процессов, которые выполняет КИИ;
• выявление из перечня особо значимых процессов, неполадки в которых могут нанести вред государству, экономике, окружающей среде, обществу;
• определение КИИ, которые отвечают за особо значимые процессы;
• создание списка объектов, которые необходимо категорировать;
• оценка потенциальных угроз и возможных последствий в случае атаки хакеров;
• назначение системам категории значимости или отказ от назначения категории.

По итогам категорирования результат проходит рассмотрение в Федеральной службе по техническому и экспортному контролю (ФСТЭК). Список критически значимых объектов КИИ необходимо передать в надзорный орган в срок до пяти дней с момента утверждения. ФСТЭК получает сведения и на протяжении 30 дней оценивает, верно ли выполнено категорирование

После проверки ФСТЭК добавляем данные в реестр значимых объектов КИИ. Если на предприятии отсутствуют критически значимые объекты, регулятор уведомляет об этом ГосСОПКА.

Если регулирущий орган находит ошибки в категорировании, документацию передают обратно и просят доработать в течение 10 дней. Затем предприятию дается 10 дней на устранение недочетов и повторную передачу данных

В сентябре 2024 года государство внесло изменения в правила ка­тего­риро­вания. Как считают эксперты, меры нацелены на борьбу с инцидентами, когда предприятия намеренно присваивают объектам КИИ меньшую категорию значимости, чтобы меньше тратиться на их киберзащиту.

Информирование о кибератаках

Организации, инфраструктура которых признана критически значимой, обязаны информировать ГосСОПКА о случаях компьютерных нарушений. Они должны придерживаться рекомендаций по борьбе с угрозами, а также вовлекаться в расследование и ликвидацию последствий инцидентов.

Защита критической инфраструктуры

Объектам критической инфраструктуры необходимы усиленные меры безопасности:

• антивирусы, сертифицированные ФСТЭК;
• брандмауэры;
• системы обнаружения вредоносной или подозрительной активности;
• контроль и анализ сетевого трафика, защита от хакерских атак.

В целях безопасности субъектам КИИ необходимо использовать средства, которые входят в реестр ФСТЭК сертифицированных средств защиты информации. К примеру, программно-аппаратный комплекс «Сервер безопасности DioNIS Security Server» с встроенным межсетевым экраном «DioNIS Firewall» числится в реестре — значит, его разрешено использовать.

По результатам категорирования и исследования потенциальных угроз операторы связи разрабатывают собственные меры безопасности. При создании систем информационной безопасности учитываются требования закона и особенности объектов. К примеру, предприятия может внедрить новые правила работы с паролями или опечатывать шкафы

Если компания допустит инцидент, который подвергнет опасности КИИ, руководители предприятия рискуют попасть под уголовную ответственность. Наказание следует как за намеренные действия, так и за бездействие — например, отказ от обновлений вирусных баз. Если нарушение повлекло за собой смерть людей, обвиняемые могут получить до 10 лет лишения свободы.

Как работать с требованиями безопасности КИИ

Приводим рекомендации для операторов связи по выполнению требований безопасности к объектам КИИ, которые разработала ассоциация региональных мультисервисных операторов Ростелсеть:

• оцените меры по защите объектов КИИ, использующиеся в организации. Проверьте, подготовлен ли план реагирования на инциденты, проинструктированы ли работники;
• применяйте сертифицированные оборудование и ПО, которое входит в реестр ФСТЭК. У регулятора есть жесткие требования, например, к межсетевым экранам и криптографическим модулям;
• изучите банк данных угроз ФСТЭК и оцените риск угроз в рамках вашей организации.

Как государство будет регулировать субъекты КИИ в 2025 году

В июле 2024 года в Госдуме в первом чтении был принят законопроект, который обязывает перевести более 18 тысяч объектов КИИ на отечественное ПО. Пока неизвестно, когда закон вступит в силу, но игроки рынка уже подсчитывают потенциальные траты на приобретение нового оборудования и программ, а также дополнительные издержки. В случае замены программного обеспечения компаниям придется заниматься переобучением пользователей и администраторов. По данным Российской школы управления, 85% работодателей, которые переходят на российское ПО, вкладываются в обучение сотрудников.

Соблюдение требований безопасности объектов КИИ требует от компаний существенных финансовых вложений.

Это не единственная проблема, с которой придется столкнуться субъектам КИИ в 2025 году

По оценкам экспертов, для некоторых значимых объектов КИИ нет подходящих российских альтернатив ПО, одобренного ФСТЭК. Более того, переход на другое программное обеспечение может быть технически сложен из-за специфики самих объектов.

Требования законодательства по части безопасности объектов КИИ — сложная, постоянно меняющаяся среда, в которой много регуляторных и технологических тонкостей.

В телеграм-канале LANBilling мы отслеживаем тренды в технологической отрасли, обозреваем изменения в рыночном законодательстве и публикуем свежие новости из мира телекома. Подпишитесь!