Закон № 187-ФЗ вступил в силу 1 января 2018 года, и теперь владельцы значимых объектов критической информационной инфраструктуры обязаны не просто защищать свои системы, но и встраиваться в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак – ГосСОПКА. Это не разовая формальность, а постоянный регламент взаимодействия с ФСБ России. Разберём, что конкретно требуется от субъекта КИИ после того, как объект отнесён к одной из категорий значимости.

Информирование об инцидентах: сроки и состав

Главная обязанность – незамедлительно сообщать о компьютерных инцидентах. Порядок и сроки задаёт приказ ФСБ № 367 от 24 июля 2018 года, а перечень передаваемых сведений – приказ № 368. Для значимых объектов установлен жёсткий норматив: уведомление в Национальный координационный центр по компьютерным инцидентам (НКЦКИ) направляется в течение 3 часов с момента обнаружения. Для остальных субъектов КИИ – в течение 24 часов.

В уведомлении передают дату и время инцидента, сведения о технических параметрах атаки, последствия для объекта, связь с другими инцидентами и принятые меры реагирования. Канал передачи – технические средства ГосСОПКА либо, до их развёртывания, иной согласованный способ. Здесь важно не путать «инцидент» и «атаку»: реагировать нужно на оба класса событий, но сообщать обязательно об инцидентах, повлёкших негативные последствия.

Техническая интеграция и внутренние процессы

Подключение к ГосСОПКА – это не только отправка писем. Субъект обязан развернуть у себя средства, обеспечивающие обнаружение, предупреждение и ликвидацию последствий атак, и наладить обмен с центром НКЦКИ. На практике это означает построение или подключение к ведомственному либо корпоративному центру ГосСОПКА, настройку сбора событий ИБ, регламентов реагирования и хранения данных об инцидентах.

Объём этих работ напрямую зависит от того, какую категорию значимости получил объект. Если категорирование ещё не проведено, начните с него – мы подробно разбирали процедуру в материале о категорировании объектов КИИ. Без присвоенной категории невозможно корректно спроектировать ни систему защиты по приказу ФСТЭК № 239, ни схему взаимодействия с ГосСОПКА.

Параллельно владельцу нужно назначить ответственных, утвердить порядок реагирования и обеспечить круглосуточный мониторинг – трёхчасовой норматив для значимых объектов невыполним без дежурной смены или подключения к внешнему SOC.

С чего начать владельцу значимого объекта

Последовательность практических шагов выглядит так:

  • Завершить категорирование и направить сведения во ФСТЭК России.
  • Определить модель взаимодействия с ГосСОПКА: собственный центр, ведомственный или корпоративный.
  • Развернуть средства мониторинга и регламенты реагирования под трёхчасовой норматив.
  • Назначить ответственных и согласовать канал обмена с НКЦКИ.

Выстраивание этих процессов – серьёзная инженерная и организационная задача, особенно для организаций, которые одновременно ведут цифровую трансформацию и наращивают ИТ-ландшафт. Чем больше новых систем и сервисов – от ERP до чат-ботов – попадает в периметр значимого объекта, тем шире зона мониторинга и выше требования к скорости реагирования.

Вывод

ГосСОПКА превращает защиту КИИ из внутреннего дела организации в обязательство перед государством с измеримыми сроками. Значимый объект – это 3 часа на уведомление об инциденте, постоянный мониторинг и техническая интеграция с НКЦКИ. Откладывать построение этих процессов рискованно: ответственность по 187-ФЗ наступает уже сейчас. Проектирование системы защиты и схемы взаимодействия с ГосСОПКА разумно вести в рамках комплексной работы по информационной безопасности, где категорирование, мониторинг и регламенты реагирования увязаны в единый контур.