187-ФЗ о безопасности критической информационной инфраструктуры: полный обзор для операторов КИИ

Закон 187-ФЗ предъявляет жесткие требования к организациям, работающим в критических отраслях. Разбираем, как определить, являетесь ли вы субъектом КИИ, как провести категорирование объектов, какие меры защиты внедрять по приказам ФСТЭК и что грозит за неисполнение. Полное практическое руководство.

Критическая инфраструктура под прицелом: что нужно знать о 187-ФЗ

Закон вступил в силу в 2018 году, но только сейчас, с ужесточением санкционной политики и ростом кибератак на критическую инфраструктуру, регуляторы (ФСТЭК, ФСБ) начали массовые проверки. Штрафы за неисполнение требований достигают 6 миллионов рублей, а для руководителей — уголовная ответственность.

Разберем пошагово, как определить, попадаете ли вы под действие закона, и что делать, чтобы избежать санкций.

1. Кого касается 187-ФЗ: проверьте свою отрасль

Согласно ст. 2 187-ФЗ, закон распространяется на организации, которые владеют или эксплуатируют объекты КИИ в следующих сферах:

Важное уточнение: если ваша организация работает в одной из этих сфер, но не использует информационные системы (например, обычная городская поликлиника без электронных карт), то объекты КИИ у вас отсутствуют. Однако на практике таких случаев почти не осталось.

2. Что такое объекты КИИ

Объектами КИИ (критической информационной инфраструктуры) признаются:

• Информационные системы (ИС) — например, система документооборота, ERP, CRM, если их нарушение приведет к негативным последствиям.
• Автоматизированные системы управления производством (АСУ ТП) — SCADA, PLC, системы управления технологическими процессами.
• Информационно-телекоммуникационные сети — сети связи, интернет-каналы, VPN, обеспечивающие взаимодействие объектов.
• Информационно-телекоммуникационные сети, взаимодействующие с сетью “Интернет” — все, что имеет выход в интернет (а это почти всё).

Не являются объектами КИИ:

• Личные устройства сотрудников.
• Системы, не влияющие на производственные процессы (например, буфет, профсоюз).

3. Пошаговый план действий для оператора КИИ

Шаг 1. Определите, являетесь ли вы субъектом КИИ

Проверьте:

1. Работает ли ваша организация в одной из 13 отраслей?
2. Есть ли у вас объекты, которые могут быть признаны значимыми (их нарушение повлияет на обороноспособность, экономику, здоровье населения)?

Если да — вы субъект КИИ.

Шаг 2. Проведите категорирование объектов КИИ (самый важный шаг)

Категорирование — это процесс определения категории значимости объекта (1, 2 или 3). Чем выше категория, тем жестче требования к защите.

Порядок категорирования:

1. Создайте комиссию по категорированию (приказом).
2. Определите перечень всех объектов, которые могут быть отнесены к КИИ.
3. Оцените последствия от возможных компьютерных атак на каждый объект по трем критериям:
   • социальные (гибель людей, нарушение здоровья);
   • политические (нарушение прав, международные отношения);
   • экономические (прямые и косвенные убытки);
   • экологические (воздействие на окружающую среду);
   • оборонные (влияние на обороноспособность).
4. Присвойте каждой категории баллы и определите категорию значимости.

Категории значимости:

• 1 категория — высокая значимость (масштабные последствия федерального уровня).
• 2 категория — средняя значимость (региональный уровень).
• 3 категория — низкая значимость (объект влияет только на деятельность одной организации).
• Без категории — если последствия минимальны, но объект остается в реестре.

Шаг 3. Направьте сведения во ФСТЭК

В течение 10 дней после утверждения акта категорирования направьте сведения во ФСТЭК России (в электронном виде через личный кабинет). ФСТЭК ведет реестр значимых объектов КИИ.

Шаг 4. Внедрите систему безопасности

В зависимости от категории значимости внедряются меры защиты согласно:

• Приказу ФСТЭК № 31 от 25.03.2014 (для значимых объектов 1-3 категории).
• Приказу ФСТЭК № 239 от 25.12.2017 (для всех субъектов КИИ, включая объекты без категории).

Также нужно:

• Создать систему обнаружения вторжений (ГосСОПКА или собственная, аттестованная).
• Обеспечить взаимодействие с государственной системой обнаружения (ГосСОПКА ФСБ России).

Шаг 5. Аттестуйте объекты (для значимых)

Объекты 1 и 2 категории подлежат обязательной аттестации на соответствие требованиям безопасности. Для 3 категории — по решению оператора, но рекомендуется.

Шаг 6. Обеспечьте реагирование на инциденты

Подключитесь к Национальному координационному центру по компьютерным инцидентам (НКЦКИ) ФСБ России. Обо всех инцидентах нужно сообщать в установленном порядке.

4. Требования к защите (приказы ФСТЭК)

Приказ ФСТЭК № 31 (для значимых объектов)

Устанавливает 17 мер защиты, сгруппированных по направлениям:

Приказ ФСТЭК № 239 (для всех субъектов КИИ)

Устанавливает требования по:

• созданию системы безопасности (организационная структура);
• планированию мероприятий;
• реагированию на инциденты;
• взаимодействию с государственными системами.

5. Программное обеспечение и технические средства

Что можно и нужно использовать

Что запрещено для значимых объектов КИИ

6. Ответственность за несоблюдение

Административная ответственность (КоАП РФ)

Уголовная ответственность

• Ст. 274.1 УК РФ — неправомерное воздействие на критическую информационную инфраструктуру РФ (до 10 лет лишения свободы).
• Ст. 274.2 УК РФ — нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации (до 5 лет).

Блокировка деятельности

ФСТЭК может приостановить эксплуатацию объекта КИИ до устранения нарушений.

7. Чек-лист: проверьте себя

• Определена отраслевая принадлежность (есть ли у вас объекты в 13 сферах).
• Создана комиссия по категорированию (приказ).
• Проведена инвентаризация всех объектов (ИС, АСУ ТП, сети).
• Проведено категорирование для каждого объекта.
• Акты категорирования утверждены руководителем.
• Сведения направлены во ФСТЭК.
• Разработаны организационно-распорядительные документы по защите КИИ.
• Внедрены сертифицированные средства защиты (для значимых объектов).
• Налажено взаимодействие с ГосСОПКА/НКЦКИ.
• Проведено обучение сотрудников.
• Проведена аттестация (для значимых объектов 1-2 категории).

8. Часто задаваемые вопросы

9. Как мы помогаем клиентам в ООО «Стратегия Ра»

Мы проводим полный цикл работ по приведению организаций в соответствие с 187-ФЗ:

1. Аудит и инвентаризация — определяем, какие объекты попадают под КИИ.
2. Категорирование — проводим оценку последствий, готовим акты.
3. Разработка документов — политики, положения, инструкции, модель угроз.
4. Техническое проектирование — выбираем сертифицированные средства защиты, разрабатываем техзадание.
5. Внедрение СЗИ — настраиваем межсетевые экраны, антивирусы, SIEM, ГосСОПКА.
6. Аттестация — проводим испытания, получаем аттестат соответствия.
7. Сопровождение — помогаем взаимодействовать с ФСТЭК и НКЦКИ.

10. Полезные ссылки