Критическая информационная инфраструктура (КИИ) является основой функционирования стратегически важных отраслей экономики (подробнее об этом можно почитать в нашем прошлом материале). Обеспечение защиты объектов КИИ — не просто техническая задача, а комплексный процесс, регулируемый законодательством и требующий глубокого понимания угроз и мер противодействия. В статье рассказываем, как обеспечить безопасность объектов КИИ с организационной и технической точек зрения.
Основные требования к обеспечению безопасности КИИ
Основой для построения системы защиты является Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Он устанавливает правовые рамки и обязательства для субъектов КИИ. Закон обязывает организации идентифицировать свои объекты, присваивать им категории значимости и обеспечивать их защиту в соответствии с установленными нормативами. Требования закона направлены на предотвращение сбоев, которые могут повлечь тяжелые последствия для экономики и безопасности страны.
Ключевым этапом является категорирование объектов КИИ. Этот процесс включает оценку потенциального ущерба от нарушения функционирования информационных систем, автоматизированных систем управления и сетей связи. По результатам оценки каждому объекту присваивается одна из трёх категорий значимости. Сведения о присвоенной категории должны быть переданы в ФСТЭК России для внесения в реестр.
Отдельным требованием является обеспечение отказоустойчивости и непрерывности функционирования. Система безопасности должна предотвращать неправомерный доступ, блокировать атаки и обеспечивать восстановление работы значимых объектов после сбоев или инцидентов. Для этого требуется создание и хранение резервных копий критически важной информации. Законодательство также предписывает обязательное непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
Организация процессов защиты КИИ
1. Категорирование объектов
Организация защиты КИИ начинается с категорирования объектов. Субъект КИИ формирует комиссию, которая составляет перечень объектов, подлежащих категорированию. Для каждого объекта оценивается масштаб возможных последствий при возникновении инцидентов информационной безопасности.
Результат — присвоение категории значимости и направление этих сведений в ФСТЭК России для внесения в реестр. Этот этап является фундаментальным, так как определяет уровень применяемых в дальнейшем мер защиты.
2. Проектирование
После категорирования начинается проектирование системы обеспечения информационной безопасности КИИ (СОИБ КИИ). Процесс включает разработку организационных и технических мер, направленных на нейтрализацию угроз.
Организационные меры регламентируются внутренними документами: политиками, регламентами и инструкциями. Они устанавливают правила разграничения доступа, контроля физической безопасности и действий персонала при возникновении инцидентов.
Технические меры предполагают подбор и внедрение сертифицированных средств защиты информации, соответствующих присвоенной категории значимости.
3. Выбор СЗИ
Для каждой категории значимости ФСТЭК устанавливает обязательные к применению организационные и технические меры безопасности. Их перечень и содержание определены в приказах службы, в частности, в приказе № 239.
- Для объектов 1 категории применяются СЗИ не ниже 4 класса.
- Для объектов 2 категории — не ниже 5 класса.
- Для объектов 3 категории — 6 класса защиты.
Дополнительным требованием является использование отечественного ПО и доверенных программно-аппаратных комплексов (ДПАК) в соответствии с утверждённым порядком перехода.
С 1 января 2025 года вступил в силу запрет на использование иностранного программного обеспечения и средств защиты информации на объектах КИИ. Требование о переходе на отечественное ПО закреплено отдельным законом, подписанным Президентом России в апреле 2025 года. Эта мера направлена на снижение рисков, связанных с наличием скрытых уязвимостей в иностранном софте и зависимостью от недружественных стран.
Эксплуатация СОИБ КИИ предполагает непрерывный мониторинг и контроль её эффективности. Субъект КИИ обязан обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Важным элементом является регулярное обучение и повышение осведомленности сотрудников, работающих с объектами КИИ. Для поддержания должного уровня защищенности проводится периодический аудит системы безопасности, анализ рисков и актуализация мер защиты в соответствии с изменяющимися угрозами и нормативными требованиями.
Угрозы для объектов КИИ
Типы угроз
Угрозы для объектов КИИ носят комплексный характер и могут приводить к прекращению функционирования значимых объектов, нарушению безопасности обрабатываемой информации и существенным последствиям для жизни людей, экономики и экологии.
- Кибератаки — наиболее распространенный тип угроз. Злоумышленники используют вредоносное программное обеспечение для получения несанкционированного доступа к системам управления. Атаки на SCADA-системы позволяют изменять настройки управления значимыми объектами КИИ, что нарушает работу технологических процессов. DDoS-атаки приводят к нарушению доступности информационных ресурсов.
- Внутренние угрозы исходят от сотрудников субъектов КИИ. Разглашение сведений об объектах КИИ, включая перечень объектов и степень их значимости, приравнивается к атаке. Неразрешенное изменение информации в системах (например, отключение антивирусной защиты на серверах управления технологическими процессами) также создает критические уязвимости.
- Техногенные угрозы связаны с использованием устаревшего или несертифицированного оборудования и программного обеспечения. Эксплуатация иностранных средств защиты информации, запрещенная с 1 января 2025 года, создает дополнительные риски. При этом отсутствие регулярных обновлений безопасности и использование оборудования с непроверенной элементной базой также повышает уязвимость объектов КИИ.
- Целевые атаки через цепочки поставок представляют особую опасность. Злоумышленники внедряют вредоносный код в программное обеспечение на стороне разработчиков или поставщиков. Такой код попадает в инфраструктуру заказчиков через обновления или новые версии продуктов, что позволяет обойти традиционные средства защиты
Моделирование угроз для объектов КИИ
Моделирование угроз безопасности информации проводится для идентификации и оценки потенциальных угроз. Модель угроз безопасности КИИ включает анализ возможных векторов атак и уязвимостей. Разработка модели осуществляется в соответствии с методическими рекомендациями ФСТЭК России.
Процесс моделирования угроз включает в себя:
- Определение критических процессов и обеспечивающих их информационных систем. Для каждого объекта анализируются возможные сценарии реализации угроз. Здесь оценивается потенциальный ущерб от нарушения конфиденциальности, целостности или доступности информации.
- Учёт отраслевых особенностей и специфику функционирования. Например, для промышленных систем акцент делается на угрозах нарушения технологических процессов, а для финансовых организаций приоритетными являются угрозы целостности финансовых данных и их конфиденциальности.
- Анализ рисков использования стороннего программного обеспечения и оборудования. Особое внимание уделяется оценке рисков при интеграции новых систем и переходе на отечественное программное обеспечение. Выявленные уязвимости становятся основой для разработки комплекса защитных мер.
Результат — документированная модель угроз безопасности информации, которая служит основанием для проектирования системы защиты. Модель непрерывно актуализируется при изменении инфраструктуры, появлении новых угроз или изменении нормативных требований.
Заключение
Эффективная защита объектов КИИ возможна только при системном подходе, включающем категорирование объектов, внедрение сертифицированных средств защиты, подготовку персонала и взаимодействие с государственными системами мониторинга. Регулярное обновление мер безопасности в соответствии с изменяющейся средой и нормативными требованиями является обязательным условием обеспечения устойчивого функционирования критически важных объектов инфраструктуры.
Notamedia.Integrator занимается автоматизацией и защитой объектов КИИ. У нас есть опыт работы с высоконагруженными проектами государственного уровня со строгими требованиями к защите информации (включая работу с гостайной), а также к устойчивости и надежности таких систем. Свяжитесь с нами, чтобы обсудить работы по защите объектов КИИ и интеграцию с такими системами.
