Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» вступил в силу 1 января 2018 года, а в течение этого года ФСТЭК и ФСБ выпустили подзаконные акты, которые превратили общие нормы в конкретные обязанности. Теперь у компаний из ключевых отраслей появилась новая ответственность – вплоть до уголовной по статье 274.1 УК РФ. Разбираем, кого это касается и что нужно сделать в ближайшие месяцы.

Кто попадает под закон

КИИ – это информационные системы, телекоммуникационные сети и АСУ ТП, которые работают в стратегически значимых сферах. Закон перечисляет их прямо: здравоохранение, наука, транспорт, связь, энергетика, банковская и финансовая сфера, ТЭК, атомная промышленность, оборонка, ракетно-космическая отрасль, горнодобывающая, металлургическая и химическая промышленность.

Если организация работает в одной из этих областей и эксплуатирует ИТ-системы – она субъект КИИ. Статус не зависит от формы собственности: под закон одинаково попадают и госструктуры, и частный бизнес. Банк, оператор связи, завод с автоматизированной линией, региональная больница с медицинской информационной системой – все они обязаны выполнять требования 187-ФЗ.

Категорирование и ГосСОПКА

Первая практическая задача – категорирование. Субъект создаёт внутреннюю комиссию, инвентаризирует свои объекты КИИ и оценивает последствия возможной атаки: ущерб для людей, экономики, экологии, обороны и правопорядка. По результатам каждому объекту присваивается одна из трёх категорий значимости либо обосновывается их отсутствие. Перечень объектов, подлежащих категорированию, направляется во ФСТЭК России, а сведения о результатах – в установленный срок после утверждения.

Вторая задача – взаимодействие с ГосСОПКА, государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Субъект КИИ обязан незамедлительно информировать НКЦКИ об инцидентах и наладить обмен данными. На практике это означает построение или подключение центра мониторинга, который видит атаки в реальном времени и умеет передавать информацию в государственный центр.

Для значимых объектов добавляется третий блок – требования ФСТЭК по защите: организационные меры, средства защиты информации, сегментация сетей, контроль доступа и регламенты реагирования. Объём работ зависит от присвоенной категории.

Что делать бизнесу сейчас

Откладывать нельзя: процедуры требуют времени, а ответственность уже действует. Рекомендуем двигаться последовательно.

  • Определить статус. Честно ответить, относится ли деятельность к перечисленным сферам и какие системы являются объектами КИИ.
  • Провести категорирование. Собрать комиссию, описать процессы, оценить последствия инцидентов, подготовить и направить документы во ФСТЭК.
  • Закрыть техническую часть. Для значимых объектов внедрить меры защиты, для всех – наладить обнаружение инцидентов и канал связи с ГосСОПКА.

Логика 187-ФЗ продолжает курс на регулирование, который бизнес уже проходил с защитой персональных данных. Если вы выстраивали процессы под 152-ФЗ и локализацию персональных данных, часть наработок – реестр систем, регламенты, культура работы со ФСТЭК – пригодится и здесь. А опыт построения защищённых систем национального масштаба, например на крупных государственных порталах, показывает: безопасность дешевле закладывать в архитектуру заранее, чем достраивать под давлением сроков.

Вывод

187-ФЗ переводит кибербезопасность из зоны «по желанию» в зону обязательного. Категорирование, защита значимых объектов и подключение к ГосСОПКА – это не разовый проект, а постоянный процесс с проверками и реальной ответственностью руководителя. Чем раньше субъект начнёт, тем спокойнее пройдёт первую волну контроля.

Onepoint помогает пройти весь путь – от инвентаризации и категорирования объектов до построения мониторинга и интеграции с ГосСОПКА. Если вы попадаете под действие закона, начните с аудита, который охватывает и юридическую, и техническую сторону требований 187-ФЗ в рамках кибербезопасности и защиты КИИ.