С 1 января 2018 года вступил в силу Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Это не очередная декларация о намерениях – закон вводит обязанности, за неисполнение которых с того же дня предусмотрена ответственность вплоть до уголовной (статья 274.1 УК РФ). Если ваша организация работает в одной из значимых отраслей, действовать нужно уже сейчас, а не ждать разъяснений.

Кто попадает под действие закона

Субъекты КИИ – это государственные органы, учреждения и компании, которым принадлежат информационные системы, сети и АСУ в тринадцати сферах. Среди них здравоохранение, наука, транспорт, связь, энергетика, банковская и финансовая сфера, ТЭК, атомная и оборонная промышленность, металлургия, химия. Важно: значение имеет не размер организации, а отрасль и наличие систем, обеспечивающих критические процессы.

Многие руководители до сих пор уверены, что закон касается только крупных госкорпораций и операторов связи. Это заблуждение. Частная клиника с медицинской информационной системой, региональный банк, завод с автоматизированной линией – все они формально попадают под определение субъекта КИИ и обязаны выполнять требования.

Что нужно сделать в первую очередь

Закон и подзаконные акты выстраивают понятную последовательность. Первый шаг – инвентаризация и категорирование объектов. Субъект сам определяет перечень своих информационных систем и АСУ, оценивает возможный ущерб от инцидента и присваивает каждому объекту одну из трёх категорий значимости (либо обоснованно отказывает в категорировании). Перечень объектов направляется во ФСТЭК России.

Второй шаг – обеспечение защиты значимых объектов в соответствии с требованиями ФСТЭК: организационные меры, средства защиты информации, регламенты реагирования. Третий – подключение к государственной системе ГосСОПКА и обязательное информирование о компьютерных инцидентах. Координирует это направление ФСБ России через НКЦКИ.

Подзаконная база пока дорабатывается: постановления Правительства о порядке категорирования и приказы ФСТЭК с требованиями к защите выходят и уточняются. Это не повод откладывать работу. Категорирование требует времени и привлечения профильных специалистов, а исчерпывающий перечень критериев уже определён.

Почему это не разовая задача, а процесс

В нашем обзоре итогов 2017 года мы отмечали, что регуляторная нагрузка на ИТ-инфраструктуру растёт быстрее, чем зрелость процессов информационной безопасности в большинстве организаций. 187-ФЗ это подтверждает: закон требует не однократного отчёта, а постоянного процесса – мониторинга, реагирования на инциденты, актуализации мер защиты при изменении систем.

Контраст с инфоповодами прошлого года показателен. Пока рынок обсуждал блокчейн и его перспективы на 2018-й или разбирался, где в ICO заканчивается реальность и начинается хайп, регулятор тихо подготовил нормативную базу, которая напрямую затрагивает работающую инфраструктуру тысяч организаций. Здесь нет места спекуляциям – есть конкретные обязанности и сроки.

Практика показывает: главная сложность не в технических средствах защиты, а в корректном категорировании и встраивании требований в действующие процессы без остановки бизнеса. Это требует совместной работы юристов, ИТ-службы и специалистов по ИБ.

Вывод

187-ФЗ переводит безопасность критической инфраструктуры из рекомендации в обязанность с реальной ответственностью. Начните с честной инвентаризации систем и оценки, относитесь ли вы к субъектам КИИ. Если да – категорирование откладывать нельзя, а аудит систем, категорирование объектов и защиту значимых объектов под требования ФСТЭК и ФСБ стоит выстраивать как единый процесс. Чем раньше вы начнёте, тем меньше будете действовать в авральном режиме.