Защита КИИ – главное о законах, мерах и требованиях

Критическая информационная инфраструктура не зря называется именно так. Это безусловно важная и в то же время крайне уязвимая сфера, ошибка или сбой в которой приводит не только к финансовым потерям и репутационному ущербу, но и к нарушениям в работе предприятий жизнеобеспечения, повлечь за собой угрозу безопасности здоровью и даже жизни людей. Такие серьезные риски в сочетании со строгими требованиями законов приводят к тому, что защита КИИ становится обязательной и необходимой мерой.



Законодательное регулирование

 Основной закон о защите КИИ – это, конечно же, №187-ФЗ. В этом документе законодатели прописали такие ключевые моменты, как:

•  само понятие КИИ, реестр значимых объектов;
• какие субъекты подпадают под действие этого закона, их права и обязанности;
• принципы, в соответствии с которыми должна обеспечиваться защита КИИ, и требования к их системе безопасности;
• присвоение категорий объектам КИИ.
• Кроме того, №187-ФЗ содержит пункты о государственном контроле исполнения его требований и ответственности, которая наступает в случае обнаружения нарушений.
• Помимо указанного ФЗ при разработке и реализации мероприятий по защите критической информационной инфраструктуры также следует учитывать положения следующих нормативных актов (в данном вопросе они могут рассматриваться как сопутствующие, но при этом обязательные к исполнению):
• №152-ФЗ – если субъект КИИ также занимается обработкой ПДн;
• №149-ФЗ;
• постановления Правительства (в том числе №1478);
• актуальные приказы и иные нормативные документы ФСБ и ФСТЭК в зависимости от сферы деятельности организации.
• Кстати, в сентябре 2025 года вступила в действие обновленная редакция закона, в соответствии с которой ИП теперь исключены из перечня субъектов КИИ. Однако если ИП работает с госсистемами либо в смежных секторах, отдельные требования ФСТЭК и ФСБ могут по-прежнему на них распространяться.

Также стоит обратить внимание на усиление требований к использованию отечественного ПО и ПАК.

Как защитить КИИ: требования, меры и ключевые этапы построения системы защиты

Основные требования к защите КИИ предусмотрены положениями №187-ФЗ и сопутствующих нормативных актах. В их число входят следующие обязанности субъектов:

• если организация – субъект КИИ, средства защиты информации, используемые ею, должны быть современными и эффективными (применять криптографию, системы контроля доступа, предусматривать внедрение защиты от атак киберпреступников) – тем, кто к субъектам КИИ не относится, такое СрЗИ тоже пригодятся;
• реагировать на инциденты (выявлять и устранять угрозы, проводить расследование причин, ликвидировать последствия) и уведомлять о них уполномоченные органы;
• разрабатывать и внедрять внутренние системы защиты, проводить тестирование на проникновение и искать уязвимости, постоянно контролировать безопасность, анализировать риски и обновлять защитные системы;
• выделять критические объекты и процессы КИИ, присваивать им категории в установленном порядке.

Не менее важным требованием является необходимость перехода на ПО российских разработчиков. ПАК и ПО, используемые субъектами КИИ, должны быть включены в единый реестр.

Система защиты КИИ представляет собой целый комплекс, состоящий из взаимосвязанных и постоянно взаимодействующих элементов.

В их число входят:

• нормативные документы (от федеральных законов и стандартов ФСТЭК до локальных политик и регламентов самого субъекта КИИ);
• техническая инфраструктура (в частности, ее составе должны присутствовать системы мониторинга и реагирования, СрЗИ, ПАК, резервные ЦОД);
• квалифицированный персонал с четким распределением ролей и зон ответственности (образование, обучение и повышение квалификации – важный элемент, о котором нельзя забывать);
• процессы обеспечения защиты (от категорирования объектов и оценки угроз до реагирования на инциденты и аудита системы в целом).

Поэтапная схема, в соответствии с которой может быть выстроена защита объектов критической информационной инфраструктуры, в общем случае выглядит так:

1. инвентаризация имеющихся объектов КИИ, а также критически важных ключевых процессов;
2. присвоение категорий объектам;
3. выявление уязвимостей и угроз с последующим анализом;
4. формирование модели угроз;
5. разработка требований безопасности;
6. подбор и внедрение технических защитных средств;
7. разработка и внедрение организационно-распорядительных документов;
8. проведение обучения сотрудников (также стоит предусмотреть регулярное повышение квалификации и отработку действий в случае выявления инцидентов);
9. организация регулярного мониторинга и проведение аудитов для поддержания мер защиты в актуальном, работоспособном и эффективном состоянии.

 Также должны быть разработаны и реализованы меры защиты КИИ. В составе общей системы они включают в себя организационные, технические, процедурные, правовые и договорные элементы.