Обзор требований и мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры

Юрий Подгорбунский, Security Vision

Проведение кибератак на системы и сети критической информационной инфраструктуры (далее – КИИ) могут парализовать работу ключевых отраслей экономики, тем самым нанести существенный ущерб государству, обществу или гражданам.

ФСТЭК России уделяет особое внимание обеспечению безопасности объектов КИИ, и невыполнение требований информационной безопасности грозит штрафными санкциями вплоть до уголовной ответственности.

Таким образом, обеспечение безопасности КИИ является важнейшей задачей, направленной на сохранение конфиденциальности, целостности и доступности информации, обеспечение непрерывности функционирования значимых объектов КИИ и минимизацию последствий от возможных компьютерных инцидентов.

Актуальность обеспечения безопасности КИИ обусловлена необходимостью повышения устойчивости систем к современным киберугрозам и формирования эффективных механизмов предупреждения, выявления и нейтрализации компьютерных инцидентов.

Чем регулируется безопасность значимых объектов КИИ?

Обеспечение безопасности значимых объектов КИИ регулируется следующими основными нормативными правовыми актами:

• Федеральным законом от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – Федеральный закон).

• Постановлением Правительства РФ от 08.02.2018 № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» (далее – Постановление № 127).

• Приказом ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования» (далее – приказ № 235).

• Приказом ФСТЭК России от 25.12.2017 N 239 Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (далее – приказ № 239).

Что же такое КИИ? 

В целом КИИ – это объекты КИИ, а также сети электросвязи (сети операторов связи), используемые для взаимодействия таких объектов.

А сами объекты КИИ — это следующие системы и сети:

• информационные системы (далее – ИС).

• автоматизированные системы управления (далее – АСУ).

• информационно-телекоммуникационные сети (далее – ИТКС).

Но сами по себе вышеуказанные системы и сети не станут объектами КИИ, для этого существует еще одна составляющая – определенная сфера деятельности (перечень сфер указан ниже), в которой функционирует организация.

Федеральным законом определены субъекты КИИ: государственные организации и предприятия, а также юридические лица, функционирующие в сферах:

• здравоохранения;

• науки;

• транспорта;

• связи;

• энергетики;

• государственной регистрации прав на недвижимое имущество и сделок с ним;

• банковской сфере и иных сферах финансового рынка;

• топливно-энергетического комплекса;

• атомной энергии;

• оборонной;

• ракетно-космической;

• горнодобывающей;

• металлургической;

• химической.

Если организация попадает в любую вышеуказанную сферу деятельности и у нее имеется ИС, АСУ или ИТКС, в таком случае организация является субъектом КИИ.

Принципы и требования Федерального закона

Федеральным законом определены следующие принципы обеспечения безопасности КИИ:

• законность (как правило это предусматривается по умолчанию).

• непрерывность обеспечения безопасности КИИ (непрерывность предполагает реализацию процессов кибербезопасности и постоянное их улучшение).

И приоритетом выделяется:

• предотвращение компьютерных атак.

Итак, основными требованиями Федерального закона являются:

• проведение категорирования объектов КИИ, процедура, при реализации которой объекту КИИ присваивается одна из категорий значимости, либо отсутствует необходимость присвоения категории (процедура категорирования будет рассмотрена ниже).

• информирование о компьютерных атаках и компьютерных инцидентах Национальный координационный центр по компьютерным инцидентам (далее – НКЦКИ);

• реагирование на компьютерные инциденты, принятие мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов КИИ.

• использование на значимых объектах КИИ доверенное программное обеспечение и программно-аппаратные средства.

• соблюдение требований по обеспечению безопасности значимых объектов КИИ, установленных приказами ФСТЭК России № 235 и № 239 и т.д.

• а также, осуществление непрерывного взаимодействия с инфраструктурой ГосСОПКА в порядке, установленном ФСБ России.

Реагирование на компьютерные инциденты не простая задача, особенно в ручном режиме, в этом вопросе спасают средства автоматизации, такие как:

• система управления событиями безопасности Security Vision SIEM;

• система оркестрации средств защиты информации, автоматизации реагирования на инциденты Security Vision SOAR.

Требования Постановления № 127

Федеральный закон требует проводить категорирование объектов КИИ, которое должно осуществляется в соответствии Постановлением № 127.

Категорирование объектов КИИ осуществляется субъектом КИИ (организацией), который на праве собственности или аренды владеет объектами КИИ (ИС, АСУ, ИТКС).

Категорированию подлежат объекты КИИ, соответствующие типам ИС, АСУ, ИТКС, включенным в перечни типовых отраслевых объектов КИИ.

Перечни типовых отраслевых объектов КИИ созданы для систематизации типов объектов КИИ и сгруппированы по сферам деятельности (далее – перечни типовых объектов КИИ).

Категорирование включает в себя следующее:

• выявление ИС, АСУ, ИТКС, соответствующих типовым объектам КИИ, включенным в перечни типовых объектов КИИ;

• оценку в соответствии с перечнем показателей критериев значимости масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах КИИ;

• присвоение каждому из объектов КИИ одной из категорий значимости либо принятие решения об отсутствии необходимости присвоения им одной из категорий значимости.

Существует три категории значимости, которые могут быть присвоены объектам КИИ:

• первая (самая высокая, и соответственно требований и мер безопасности используется больше);

• вторая;

• третья (самая низкая, меньше требований и мер – базовый уровень безопасности).

Категорирование объектов КИИ осуществляется постоянно действующей комиссией по категорированию (далее – комиссия по категорированию).

Категорирование объектов КИИ может осуществляться в ручном режиме или с применением средства автоматизации Security Vision КИИ.

Результаты категорирования оформляются актом, который должен содержать сведения об объекте КИИ, а также сведения о присвоении объекту КИИ определенной категории значимости либо об отсутствии необходимости присвоения ему одной из таких категорий.

Акт подписывается членами комиссии по категорированию и утверждается руководителем организации или уполномоченным им лицом.

Сведения об объекте КИИ в установленной форме направляются в ФСТЭК России в течение 10 дней со дня утверждения акта.

Тут стоит добавить, что в текущем 2026 году должно осуществляться не просто категорирование, а отраслевое категорирование исходя из отрасли (сферы деятельности) организации. На мой взгляд, становится проще, т.к. в каждой отрасли существует своя специфика, исходя из которой на основании Постановления № 127 для каждой отрасли разрабатывается свой подход категорирования, сразу становится понятно, какие показатели критериев значимости необходимо оценивать и какие формулы расчета использовать, а что для отрасли не применимо!

Значимым объектом КИИ является объект, которому присвоена одна из категорий значимости, и соответственно к значимым объектам КИИ предъявляются требования обеспечения безопасности. А к объектам, которым по результатам категорирования не присвоена категория значимости, безопасность остается на откуп субъекта КИИ – организации!

Требования приказа № 235

Приказ № 235 требует от субъектов КИИ создание систем безопасности значимых объектов КИИ, целью которых является обеспечение устойчивого функционирования значимых объектов КИИ при проведении в отношении них компьютерных атак.

Системы безопасности включают силы обеспечения безопасности значимых объектов КИИ и используемые ими средства информационной безопасности. А также реализацию процессов и разработку организационно-распорядительной документации (далее – ОРД).

К силам обеспечения безопасности значимых объектов КИИ относятся:

• подразделения (работники), ответственные за обеспечение безопасности значимых объектов КИИ;

• подразделения (работники), эксплуатирующие значимые объекты КИИ;

• подразделения (работники), обеспечивающие функционирование (сопровождение, обслуживание, ремонт) значимых объектов КИИ;

• и при необходимости иные подразделения (работники), участвующие в обеспечении безопасности значимых объектов КИИ.

К средствам обеспечения безопасности значимых объектов КИИ относятся программные и программно-аппаратные средства, применяемые для обеспечения безопасности значимых объектов КИИ.

В рамках функционирования системы безопасности организацией внедряются следующие процессы:

• планирование и разработка мероприятий по обеспечению безопасности значимых объектов КИИ;

• реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов КИИ;

• контроль состояния безопасности значимых объектов КИИ;

• совершенствование безопасности значимых объектов КИИ.

Исходя из вышеуказанных процессов фактически получается цикл Деминга – постоянное улучшение, в данном случае процессов.

А для того, чтобы силы понимали, что делать в той или иной ситуации, необходимо разработать ОРД, регламентирующую правила, процессы и процедуры по безопасности значимых объектов КИИ.

Требования приказа № 239

Приказ № 239 требует от субъектов КИИ реализацию требований обеспечения безопасности значимых объектов КИИ, а также внедрение организационных и технических мер по обеспечению безопасности значимых объектов КИИ.

Требования приказа № 239 включают:

• разработку технического задания на создание системы безопасности значимого объекта или объектов КИИ;

• анализ (оценка) угроз безопасности информации;

• проектирование системы безопасности;

• разработку рабочей (эксплуатационной) документации;

• безопасную разработку программного обеспечения (далее – ПО);

• поддержку безопасности ПО;

• внедрение организационных и технических мер по обеспечению безопасности значимого объекта КИИ;

• проведение анализа уязвимостей программных и программно-аппаратных средств, а также средств защиты информации;

• проведение испытаний значимого объекта КИИ и его системы безопасности.

Оценка угроз безопасности информации должна проводиться в соответствии с методическим документом ФСТЭК России «Методика оценки угроз безопасности информации» от 5 февраля 2021 года. Оценка (моделирование) угроз безопасности информации может осуществляться в ручном режиме или с применением средства автоматизации Security Vision КИИ.

Проектирование системы безопасности значимого объекта КИИ должно осуществляться в соответствии с техническим заданием на систему безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта.

При проведении анализа уязвимостей без сканера уязвимостей Security Vision VS не обойтись.

А проведение испытаний — предварительных, а далее и приемочных — в соответствии с программой и методиками испытаний можно организовать своими силами или с привлечением третьего лица с соответствующей лицензией на проведение таких видов работ

А также, реализацию следующих мероприятий:

• планирование мероприятий по обеспечению безопасности значимого объекта;

• управление (администрирование) системой безопасности значимого объекта;

• управление конфигурацией значимого объекта и его системой безопасности;

• реагирование на компьютерные инциденты;

• обеспечение действий в нештатных ситуациях;

• информирование и обучение персонала значимого объекта;

• контроль за обеспечением безопасности значимого объекта.

Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамках процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов.

Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. Реагирование на компьютерные инциденты должно осуществляться в соответствии с Планом реагирования на компьютерные инциденты, который должен быть разработан и доведен до лиц, которые непосредственно будут задействованы в реагировании, это очень важно – каждый участник должен знать, какие действия нужно произвести, и проинформировать НКЦКИ.

В значимых объектах КИИ в зависимости от их категории значимости и угроз безопасности информации должны осуществляться следующие меры:

• идентификация и аутентификация субъектов доступа и объектов доступа;

• управление доступом субъектов доступа к объектам доступа;

• ограничение программной среды;

• защита машинных носителей информации;

• аудит безопасности;

• антивирусная защита;

• предотвращение вторжений (компьютерных атак);

• обеспечение целостности;

• обеспечение доступности;

• защита технических средств и систем;

• защита информационной (автоматизированной) системы и ее компонентов;

• планирование мероприятий по обеспечению безопасности;

• управление конфигурацией;

• управление обновлениями программного обеспечения;

• реагирование на инциденты информационной безопасности;

• обеспечение действий в нештатных ситуациях;

• информирование и обучение персонала;

• защита значимых объектов от атак, направленных на отказ в обслуживании.

Если категория значимости первая, то применяться будет максимальное количество мер защиты, и к каждой категории, соответственно, определен свой базовый набор мер защиты информации.

Базовый набор мер по обеспечению безопасности значимого объекта КИИ подлежит адаптации в соответствии с актуальными угрозами безопасности информации (которые определены в процессе моделирования угроз), а также используемыми технологиями, с исключением мер, которые не применимы для объекта КИИ.

При необходимости дополнить адаптированный набор мер по обеспечению безопасности значимого объекта КИИ с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности КИИ и защиты информации

Оценку соответствия требованиям приказов 235 и 239 можно проводить в ручном режиме или использовать средства автоматизации Security Vision КИИ.

И в заключение

Практика показывает, что безопасность объектов КИИ является непрерывным процессом, который требует постоянного совершенствования. Изменение технологий, появление новых способов проведения кибератак и развитие цифровой инфраструктуры требуют регулярного пересмотра подходов к обеспечению безопасности.

Таким образом, безопасность значимых объектов КИИ представляет собой комплексную систему, объединяющую нормативные требования, организационные процессы и технические решения. Только комплексное применение всех этих элементов позволяет обеспечить устойчивую работу критически важных систем и снизить риски возникновения серьезных последствий от кибератак.