Критическая информационная инфраструктура: что это такое и что нужно о ней знать?

• 25 марта 2025

Критическая информационная инфраструктура (КИИ) – комплекс взаимосвязанных информационных систем, сетей и технологий, которые обеспечивают работу основных сфер экономики и госструктур. От их стабильности и надежности зависит нормальное функционирование общества, поэтому вопросы ее защиты приобретают актуальность в условиях растущей цифровизации и киберугроз. Понимание структуры, особенностей и угроз, которым подвержена КИИ, требуется для разработки мер защиты и обеспечения устойчивости критически важных систем.

Критическая информационная инфраструктура: что это такое?

Критическая информационная инфраструктура РФ – это ряд систем, обеспечивающих функционирование экономических отраслей и государственного управления. В РФ безопасность КИИ регламентируется законодательно, в частности, Федеральным законом № 187-ФЗ. В условиях стремительной цифровизации общества предприятия сталкиваются с растущей угрозой со стороны киберпреступников, использующих передовые методы, такие как социальная инженерия и ИИ.

В связи с тем, что кибератаки не знают границ, международное сотрудничество и обмен опытом становятся необходимыми для укрепления защитных механизмов и повышения устойчивости инфраструктуры. Вопросы защиты критической инфраструктуры выходят за рамки технического аспекта, затрагивая этические нормы, так как безопасность жизненно важных систем напрямую влияет на благополучие граждан.

Закон 187-ФЗ: суть

Чтобы обеспечить защиту элементов КИИ в 2017 году приняли закон № 187-ФЗ. Этот законодательный акт направлен на предотвращение кибернетических атак, которые способны нанести ущерб жизненно важным отраслям экономики. В частности, он охватывает такие сферы, как энергетический сектор, здравоохранение, транспортная система, финансовые учреждения и телекоммуникации, где потенциальные атаки могут привести к серьезным нарушениям в работе всей системы.

Закон устанавливает ряд требований, включая обязательное категорирование объектов критической инфраструктуры, что подразумевает классификацию систем на основе степени их важности и потенциального ущерба от кибератак. Также он предусматривает комплекс мероприятий по предотвращению и устранению последствий кибератак, контроль за соблюдением которых возложен на ФСБ и ФСТЭК. Еще он устанавливает ответственность организаций за обеспечение безопасности информации и требует проведения обучения персонала методам защиты от киберугроз. Для повышения уровня безопасности рекомендуется регулярное обновление ПО и использования многофакторной аутентификации.

ГосСОПКА

Чтобы защищать критическую инфраструктуру от киберугроз в РФ есть ГосСОПКА. Эта система позволяет госорганам создавать нормативные акты и механизмы, которые направлены на предупреждение и устранение разных типов угроз.

Задачами ГосСОПКА являются:

• фиксация попыток несанкционированного доступа и проникновения в сети, а также прочих кибератак, которые направлены на важные объекты;
• сбор данных о возможных угрозах для своевременного оповещения организаций и операторов инфраструктуры;
• локализация заражений и восстановление работоспособности сетей после кибератак;
• предоставление рекомендаций и аналитики о текущих угрозах.

Координацию и управление ГосСОПКА осуществляет Федеральная служба безопасности России. Для этого создаются специализированные центры мониторинга и реагирования, расположенные в различных регионах государства. Они ведут непрерывное наблюдение за состоянием безопасности, изучают поступающие сведения и реагируют при возникновении чрезвычайных ситуаций.

Среди преимуществ ГосСОПКА можно выделить:

• возможность раннего обнаружения угроз и мгновенного реагирования, что позволяет предотвратить денежные потери и сбои в работе;
• поддержание функционирования критически важных отраслей экономики;
• интеграция с внутренними системами организаций, что способствует повышению эффективности защиты и координации действий при инцидентах.

НКЦКИ

Чтобы обеспечить надежную защиту КИИ России был создан НКЦКИ. Его задачи – предотвращение кибератак, направленных на финансовые, энергетические, транспортные и госучреждения. Его деятельность сводится к своевременному обнаружению, отслеживанию и предотвращению кибернетических угроз, а также к минимизации убытков и устранению последствий хакерских атак при их возникновении. Субъекты критической информационной инфраструктуры – это компании и ИП, которые владеют информационными системами, сетями и АСУ, функционирующими в критически важных для страны сферах.

Базовые функции этого центра – это:

• организация и координация мер по реагированию на инциденты;
• обеспечение обмена данными о кибернетических атаках;
• разработку и предоставление методических рекомендаций;
• участие в выявлении, предупреждении и устранении последствий кибератак;
• оповещение о текущих киберугрозах;
• поиск и анализ информации об инцидентах и атаках.

То есть, НКЦКИ выступает в роли централизованного органа, который обеспечивает координацию и взаимодействие между разными субъектами КИИ в сфере цифровой безопасности.

Что нужно сделать для безопасности КИИ?

Для обеспечения надежной защиты КИИ, следует провести комплекс мероприятий, охватывающих как технические, так и организационные аспекты.

Технические мероприятия:

• Разделение объектов на категории. Установление степени значимости каждого объекта КИИ и классификация их в соответствии с установленными критериями. Это позволяет определить приоритеты в защите и применить соответствующие меры безопасности.
• Создание и внедрение систем защиты данных. Внедрение комплексных систем безопасности, включающих межсетевые экраны, системы выявления и предупреждения вторжений, антивирусное ПО и прочие инструменты защиты.
• Контроль и анализ угроз. Непрерывный мониторинг трафика в сети и системных журналов для выявления аномалий и возможных угроз. Анализ собранных данных для прогнозирования и предотвращения атак хакеров.
• Управление уязвимостями. Регулярное сканирование систем на наличие уязвимостей, установка обновлений и патчей, а также проведение пентестов для выявления слабых мест в защите.
• Создание резервных копий и восстановление информации. Создание копий значимых сведений и подготовка планов восстановления после кибератак или сбоев в работе систем.
• Организация безопасной разработки ПО. Внедрение практик безопасной разработки для минимизации уязвимостей в ПО, используемом в КИИ.
• Внедрение средств многофакторной аутентификации. Использование многофакторной аутентификации для усиления контроля доступа к критически важным системам и данным.

Организационные мероприятия:

• Создание и внедрение политик и процедур безопасности. Разработка и внедрение политик безопасности, определяющих требования к защите данных и порядок действий в случае атак хакеров.
• Обучение персонала. Проведение регулярных тренингов для работников по вопросам цифровой безопасности, включая обучение способам социальной инженерии и правилам безопасного поведения в сети.
• Управление доступом. Ограничение доступа к критичным системам и сведениям на основе принципа минимальных привилегий.
• Реагирование на возникающие проблемы. Разработка планов реагирования на кибератаки и проведение регулярных тренировок для отработки действий в случае возникновения проблем.
• Сотрудничество с госорганами и другими структурами. Участие в обмене информацией об угрозах и передовых практиках в области кибербезопасности.
• Проведение аудитов безопасности. Регулярное проведение проверок для оценки эффективности принятых мер и выявления слабых мест.

Насколько важно применять лицензированные защитные средства в КИИ?

Использование лицензированных инструментов защиты информации является важным, но не всегда обязательным требованием. Необходимость сертификации зависит от конкретных задач и угроз, с которыми сталкивается организация. Сертификация подтверждает соответствие средств установленным стандартам и требованиям безопасности, что повышает доверие к их надежности.

Но иногда организации могут использовать и несертифицированные средства, если они обеспечивают необходимый уровень защиты и соответствуют внутренним требованиям безопасности. При выборе инструментов следует учитывать как наличие сертификации, так и функциональные возможности, эффективность и совместимость с существующей инфраструктурой. Также, важно помнить, что законодательство РФ в области защиты КИИ постоянно меняется и необходимо следить за актуальными требованиями.

Концепция Secure by design

Secure by design (безопасность по умолчанию) – это подход к разработке ПО и информационных систем, при котором безопасность встраивается в продукт на стадиях этапах его жизненного цикла. Суть этого подхода заключается в том, чтобы изначально проектировать системы с учетом потенциальных угроз и уязвимостей, а не добавлять меры безопасности постфактум. Это позволяет снизить риски кибератак и обеспечить надежную защиту данных.

Внедрение Secure by design

Внедрение принципов Secure by design в процессы проектирования, разработки и тестирования является ключевым аспектом создания надежных и защищенных информационных систем. При этом на каждом этапе важно соблюдать определенные требования, действовать согласно предустановленному порядку.

Проектирование

На стадии проектирования необходимо проводить тщательный анализ угроз и моделирование кибератак, чтобы выявить возможные уязвимости и создать архитектуру системы с учетом требований безопасности. Это включает в себя определение критически важных компонентов системы, анализ рисков и разработку мер по их минимизации. Также необходимо учитывать требования закона и стандарты безопасности, применяемые к конкретной области применения системы.

Разработка

В ходе работы следует использовать безопасные практики кодирования, проводить регулярные проверки кода на наличие уязвимых мест и применять средства статического и динамического анализа. Таким образом, можно выявить и устранить недостатки на первых стадиях разработки, что снижает затраты на их исправление в дальнейшем. Также необходимо обеспечить безопасную конфигурацию компонентов системы и защиту от несанкционированного доступа.

Проверка

На стадии проверки необходимо проводить тщательное тестирование безопасности, включая тестирование на проникновение и анализ уязвимостей, чтобы убедиться в надежности системы. Это позволяет находить и устранять слабые места, которые не были обнаружены на предыдущих стадиях разработки. Также необходимо проводить тестирование на соответствие требованиям безопасности и стандартам, применимым к конкретной области применения системы.