Какие системы государство считает критически важными и почему

Как мы писали в первой части нашего материала про КИИ, время, когда об информационной безопасности нужно было переживать только ИТ-компаниям и высокотехнологичному бизнесу, давно позади. Сейчас все предприятия каждый день используют самый разный софт, от которого зависит их способность производить товары и услуги. Поэтому некоторые сферы бизнеса, наиболее чувствительные для государства, регулируются отдельным Федеральным законом от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», а также указом Президента РФ № 166 от 30.03.2022 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации».

Объектами критической инфраструктуры закон считает информационные и автоматизированные системы управления, функционирующие в следующих сферах:

• энергетика,
• топливно-энергетический комплекс,
• атомная энергия,
• горнодобывающая промышленность,
• металлургическая промышленность,
• химическая промышленность.

Что это значит для бизнеса?

Компаниям из этих сфер необходимо провести мероприятия, направленные на определение критичности используемых информационных систем, и обеспечить информационную безопасность критических систем. Другими словами, обеспечить полную информационную безопасность.

Кроме того, о каждом инциденте информационной безопасности, будь то фишинговое (поддельное) письмо или вирус на флешке, предприятия из этих сфер обязаны информировать Национальный координационный центр по компьютерным инцидентам (НКЦКИ).

Полный перечень необходимых мероприятий для обеспечения защиты значимых объектов КИИ отражен в следующих документах:

• Приказ ФСТЭК РФ № 235 от 21.12.2017 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»;
• Приказ ФСТЭК РФ № 239 от 25.12.2017 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

Среди того, что требуется от бизнеса, — как организационные, так и технические меры защиты информации: от проектирования систем защиты информации до их внедрения и обеспечения эксплуатации.

Новое главное слово в информационной безопасности — импортозамещение

Зачастую в промышленных организациях используются специализированные отраслевые решения, построенные на базе инфраструктурных продуктов иностранных вендоров, что создает дополнительные трудности при обеспечении их защиты и соответствия установленным требованиям.

Всем российским промышленным компаниям из сфер КИИ до 2025 года необходимо импортозаместить используемое программное обеспечение и средства защиты информации. Эти процессы регламентируют два приказа Президента РФ:

• Указ Президента РФ № 166 от 30.03.2022 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации»;
• Указ Президента РФ № 250 от 01.05.2022 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации».

Эти же приказы закрепляют за бизнесом ответственность за обеспечение информационной безопасности и создание соответствующего подразделения в компании.

Чем может помочь Цифроматика?

Цифроматика обладает необходимыми лицензиями ФСТЭК России и ФСБ России в области защиты информации для проверки информационной безопасности любых объектов КИИ. В нашей команде есть специалисты со значительным опытом работы в сфере защиты ИТ-инфраструктуры субъектов критической информационной инфраструктуры — от систем Минэкономразвития и Счетной палаты до РЖД и Роскосмоса. Свой опыт работы мы используем в работе с компаниями любого масштаба, включая малый бизнес.

Первое, что мы предлагаем всем нашим клиентам — экспресс-аудит безопасности ИТ-инфраструктуры. При тестировании ИБ промышленной компании сотрудники Цифроматики выступают в роли белых хакеров, которые пытаются найти лазейки в системе защиты и продемонстрировать возможности получения доступа к информации, информационным системам и компонентам ИТ-инфраструктуры. По статистике почти все подобные тесты на проникновение заканчиваются успехом и при этом проходят незаметно для рядовых ИТ-специалистов.

По результатам сотрудники Цифроматики не только описывают найденные уязвимости, но и дают рекомендации по их устранению и повышению уровня реальной защищенности.