Великобритания отнесла дата-центры к элементам критически важной национальной инфраструктуры (CNI). По данным The Register, в результате сектор будет обеспечен господдержкой, направленной на предотвращение негативных последствий сбоев в работе IT, примером которых может служить инцидент с CrowdStrike, а также на защиту от кибератак и природных катаклизмов.

ЦОД стали четырнадцатым дополнением к списку CNI-объектов Великобритании. Также в список входят гражданская атомная промышленность, энергетика, финансы, здравоохранение и др. Это первое обновление списка почти за 10 лет после добавления в него в 2015 году космической и оборонной сфер. Новость появилась через год после того, как NCSC предупредил о растущем уровне угрозы CNI-объектам Великобритании. В ноябре 2023 года было объявлено, что готовность справляться с киберугрозами в стране оставляет желать лучшего.

За поддержку отвечает специальная команда из высокопоставленных правительственных чиновников, которая будет отслеживать ландшафт угроз и прогнозировать возможные риски. Кроме того, та же команда будет отвечать за реагирование на чрезвычайные ситуации. Национальный центр кибербезопасности Великобритании (NCSC), а также другие спецслужбы будут получать приоритетный доступ к ЦОД, если те подвергнутся той или иной угрозе. Пока власти не комментируют, что подразумевается под «приоритетным доступом».

Источник изображения: Stanley Dai/unsplash.com

Как заявляют представители властей, уже само присвоение дата-центрам статуса CNI будет сдерживать киберпреступников от атак. СМИ усомнились в таких выводах, предположив, что это сделает объекты более привлекательной целью для злоумышленников. Также ожидается, что присвоение дата-центрам нового статуса повысит уверенность в будущих инвестициях в сектор.

Параллельно правительство Великобритании приветствовало инвестиции в объёме £3,75 млрд ($4,89 млрд) в крупнейший в Европе дата-центр, строительство которого запланировано компанией DC01UK в Хартфордшире, что недалеко от Лондона. После победы на выборах лейбористское правительство отозвали решения, блокировавшие строительство ЦОД в Хартфордшире и Бакингемшире, граничащими с «Большим Лондоном».

Впрочем, некоторые эксперты подчёркивают, что сегодня хранение и обработка данных обычно не ограничивается одной страной, так что любые новые правила стоит прорабатывать и принимать на международном уровне. При этом многие ЦОД обслуживают по несколько или даже много клиентов одновременно, поэтому ограничения затронут всех пользователей, даже тех, чей бизнес не относится к критической инфраструктуре. Это может замедлить инновации и повысить расходы. Возможно, операторам ЦОД придётся создать специальные кластеры только для критической инфраструктуры, что дополнительно усложнит решение вопросов и повысит затраты — необходимо будет найти баланс между безопасностью и небольшими затратами.

С 1 сентября 2024 года вступило в силу постановление правительства РФ, запрещающее субъектам критической информационной инфраструктуры (КИИ) приобретать иностранные программно-аппаратные комплексы (ПАК), которые не является доверенными. Полный переход на доверенные ПАК преимущественно отечественной разработки должен быть завершён к 1 января 2030 года.

Под доверенными ПАК подразумеваются устройства, сведения о которых внесены в реестр российской радиоэлектронной продукции, а программное обеспечение, используемое в составе ПАК, включено в реестры российского или евразийского ПО. Кроме того, если комплекс предназначен для использования в области информационной безопасности, то он обязан иметь сертификат ФСТЭК или ФСБ России.

По данным аналитического центра «Интерфакс-ProЗакупки», разработкой, производством, техподдержкой и сервисным обслуживанием доверенных ПАК будет заниматься АО «НПО КИС» — «Критические информационные системы» (дочерняя структура госкорпорации «Росатом»).

Источник изображения: freepik.com

Таким образом, программно-аппаратные решения иностранного производства будут постепенно заменяться на оборудование и софт, которые находятся в соответствующих реестрах российской радиоэлектронной продукции и отечественного ПО. Операторы КИИ смогут использовать зарубежные ПАК лишь в двух случаях: если комплексы были приобретены до 1 сентября 2024 года и если они не имеют отечественных аналогов, что подтверждается заключением Минпромторга.

Список объектов КИИ страны включает телекоммуникационные и IT-системы, а также АСУ ТП, которые используются в государственных органах, здравоохранении, на транспорте и в связи, кредитно-финансовой сфере, топливно-энергетическом комплексе и различных отраслях промышленности: атомной, оборонной, ракетно-космической, химической и других. Ответственными за импортозамещение в сфере КИИ назначены Минздрав, Минобрнауки, Минтранс, Минцифры, Минэнерго, Минпромторг, Минфин, Росреестр, «Росатом», «Роскосмос» и Центробанк.

Больше половины (59 %) средних и крупных компаний с критической информационной инфраструктурой (КИИ) России не успеют полностью перейти на отечественные решения в области информационной безопасности к началу 2025 года, как предписано в указе президента № 250 от 30 марта 2022 года. Об этом сообщили «Ведомости» со ссылкой на исследование компании «К2 кибербезопасность», которая провела анонимный опрос более 80 IT- и ИБ-директоров таких компаний.

Согласно указу, до 1 января 2025 года на объектах КИИ должен быть завершён процесс импортозамещения всего ПО и программно-аппаратных комплексов (ПАК). Как пояснили в компании «К2 кибербезопасность», указ касается организаций из 14 сфер деятельности: ТЭК, финсектор, здравоохранение, наука, транспорт, связь и др. 19 % участвовавших в опросе компаний уже заменили зарубежные решения на отечественные аналоги, ещё 22 % находятся в процессе перехода, но, скорее всего, успеют до конца года.

Источник изображения: Tumisu/Pixabay

Большая часть респондентов назвали главной сложностью выполнения указа недостаток отечественных аналогов зарубежных ИБ-решений. Ещё 28 % участников опроса сообщили, что имеющиеся аналоги недостаточно качественны, в 14 % опрошенных компаний заявили, что нет необходимых средств и других ресурсов для перехода на российские средства киберзащиты. Еще 8 % респондентов считают главной сложностью нереалистичные сроки, а 6 % — отсутствие готовности инфраструктуры.

В свою очередь, в Минцифры сообщили, что настоящее время в рамках исполнения указов президента уже более 84 % зарубежных решений на объектах КИИ заменяются отечественными аналогами, хотя не уточнили, какие классы ПО учтены в приведённом показателе и какой процент импортозамещения реализован именно в сфере информационной безопасности.

Президент РФ внёс изменения в указ «О дополнительных мерах по обеспечению информационной безопасности РФ» от 1 мая 2022 года. Согласно новому постановлению, с 1 января 2025 года государственным структурам, госкорпорациям и субъектам критической информационной инфраструктуры (КИИ) запрещается использовать услуги и сервисы информационной безопасности (ИБ), предоставляемые недружественными государствами.

Внесённая в указ поправка дополняет запрет на использование средств киберзащиты из недружественных стран: организациям, на которые распространяется документ, с 2025 года также запрещается использовать в своей IT-инфраструктуре системы защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении РФ, российских юридических или физических лиц недружественные действия, либо производителями которых являются компании, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними.

Источник изображения: pikisuperstar / freepik.com

Помимо прочего предложенные президентом изменения содержат ряд уточнений, касающихся мер по оптимизации контроля и мониторинга за деятельностью аккредитованных центров ГосСОПКА. Ожидается, что внесённые в указ «О дополнительных мерах по обеспечению информационной безопасности РФ» дополнения будут способствовать повышению киберустойчивости экономики государства и технологической независимости отрасли кибербезопасности.

В настоящий момент на государственном уровне прорабатывается также вопрос по созданию отдельного ведомства, которое будет заниматься централизованным управлением, координированием и решением задач в сфере ИБ. Некоторые представители индустрии говорят о необходимости создания подобной госструктуры, поскольку сейчас вопросами кибербезопасности занимаются сразу несколько ведомств.

Федеральная служба по техническому и экспортному контролю опубликовала правила оценки защищённости объектов критической информационной инфраструктуры (КИИ). Об этом сообщает издание «Коммерсантъ» со ссылкой на представленную на сайте регулятора документацию.

Согласно тесту документа, организации, объекты которой относятся к КИИ, должны будут по запросу ФСТЭК России или в рамках внутреннего регламента представлять ведомству сведения о защищённости своих систем: результаты контроля и опросов профильных сотрудников, данные об используемых средствах защиты, проводимых процедурах аудита ИБ и т. д. Список объектов критической информационной инфраструктуры страны включает телекоммуникационные и IT-системы, а также АСУ ТП, которые задействованы в государственных органах, здравоохранении, на транспорте и в связи, кредитно-финансовой сфере, топливно-энергетическом комплексе и различных отраслях промышленности: атомной, оборонной, ракетно-космической, химической и других.

Оценка защищённости объектов КИИ должна проводиться не реже чем раз в полгода. Внеочередная проверка может быть проведена в случае возникновения киберинцидента или значимых изменений в IT-инфраструктуре компании. Соответствующий документ размещён на информационном портале Федеральной службы по техническому и экспортному контролю fstec.ru в разделе «Документы → Специальные нормативные документы».

Напомним, что ФСТЭК России ведёт централизованный учёт информационных систем и иных объектов КИИ по отраслям экономики, а также мониторинг и оценку текущего состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры. Также в числе обязанностей ведомства значится оперативное информирование органов власти, местного самоуправления и организаций об угрозах безопасности информации и уязвимостях информационных систем и иных объектов КИИ, а также о мерах по технической защите от этих угроз и уязвимостей.

Минцифры подготовило законопроект, который позволит правительству и ЦБ определять перечень объектов критической информационной инфраструктуры (КИИ), сообщили «Ведомости» со ссылкой на источники в телеком-операторе и профильной ассоциации. С 2025 года такие объекты должны перейти согласно указу президента на отечественный софт.

Также правительство будет устанавливать порядок закупок и использования телеком-оборудования и программно-аппаратных комплексов (ПАК) иностранного происхождения. Кроме того, правительство и ЦБ наделят полномочиями устанавливать порядок и сроки перехода финансовых организаций — субъектов КИИ на «преимущественное использование российского ПО и отечественной радиоэлектронной продукции, в том числе телекомоборудования и ПАК, на принадлежащих им значимых объектах КИИ».

Источник изображения: ФСТЭК

Эксперты отмечают, что это уже третья редакция закона, которая содержит более жёсткую нормативную базу, ясные требования и невозможность их обойти. При этом попытка бюрократизировать процесс импортозамещения может привести к его затягиванию — более эффективным было бы экономическое стимулирование владельцев КИИ и разработчиков.

Ключевые изменения касаются вопроса категорирования объектов КИИ. Госорганы и ЦБ должны по согласованию с Федеральной службой по техническому и экспортному контролю (ФСТЭК) сформировать перечни типовых отраслевых объектов КИИ, включая типы информационных систем, выполняемых ими функций и видов деятельности. Законопроектом предусмотрены сроки устранения недоработок при предоставлении сведений о КИИ, хотя штрафы за невыполнение требований не прописаны.

В настоящее время субъекты КИИ могут сами категоризировать свои объекты и не относить их к КИИ во избежание лишних хлопот, поскольку это обязывает выполнять целый ряд мероприятий по локализации и защите объекта, что чаще всего сложно, дорого и не всегда реализуемо, если, например, на рынке нет соответствующих отечественных решений, поясняет эксперт.

Компания «К2 Кибербезопасность» обнародовала результаты исследования, в ходе которого оценивался уровень защищённости субъектов критической информационной инфраструктуры (КИИ) в России. Речь идёт об организациях и предприятиях, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы, а также государственных, медицинских и прочих служб.

Данные получены на основе опроса 108 представителей российских компаний из ключевых сегментов экономики с выручкой более 5 млрд руб. В исследовании участвовали субъекты нефтегазовой промышленности, металлургии, электроэнергетики, сферы здравоохранения и пр. Опрос проведён в июне–августе 2023 года.

Источник изображения: pixabay.com

Установлено, что практически каждый третий (32 %) субъект КИИ в России сталкивался с киберинцидентами разной степени серьёзности. Как минимум 35 % из них сопряжены с ущербом, который можно оценить в деньгах. Чаще всего атаки на КИИ оборачиваются простоем сервисов: основными причинами таких инцидентов называются DDoS-атаки и взломы сайтов. Другие негативные последствия — репутационный ущерб, потеря данных без возможности восстановления и непосредственные финансовые убытки.

Авторы исследования выяснили, насколько респонденты готовы к исполнению требований закона «О безопасности критической информационной инфраструктуры Российской Федерации» (187-ФЗ), принятого ещё в 2018 году. Значительное число компаний ещё не знают, какие решения им понадобятся для реализации требований — с планами не определились 24 % опрошенных. Чёткое представление о предстоящих закупках имеют 68 % субъектов.

Изображение: «К2 Кибербезопасность»

Оказалось, что большинство компаний скептически относятся к возможности реализации проектов защиты КИИ на базе отечественных решений. Так, 31 % категорически не удовлетворены тем, что предлагает рынок. С другой стороны, 48 % респондентов уверены в том, что российские продукты справятся с требованиями закона.

Среди компаний, которые уже приступили к работам, только 7 % полностью завершили проекты по созданию системы обеспечения информационной безопасности, удовлетворяющей требованиям 187-ФЗ. Около 14 % находятся на завершающих этапах, ещё 34 % занимаются организационной работой и 35 % только начинают или планируют начать эту деятельность. При этом только 29 % опрошенных заявляют, что ещё не столкнулись с серьёзными сложностями на различных этапах реализации проекта.

Президент РФ подписал указ, увеличивающий штат работников Федеральной службы по техническому и экспортному контролю и расширяющий её полномочия по управлению безопасностью значимых объектов критической информационной инфраструктуры (КИИ). Об этом сообщает издание D-Russia.ru со ссылкой на официальный портал правовой информации.

Согласно документу, предельная штатная численность центрального аппарата ведомства будет увеличена с 260 до 289 сотрудников, территориальных органов — с 1012 до 1101 работника (без учёта персонала для охраны и обслуживания зданий). Также указ наделяет ФСТЭК России полномочиями по созданию информационной автоматизированной системы для управления деятельностью по технической защите информации и обеспечению безопасности значимых объектов КИИ.

В рамках своей компетенции ФСТЭК России будет вести централизованный учёт информационных систем и иных объектов КИИ по отраслям экономики, а также мониторинг и оценку текущего состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры. Также в числе обязанностей ведомства значится оперативное информирование органов власти, местного самоуправления и организаций об угрозах безопасности информации и уязвимостях информационных систем и иных объектов КИИ, а также о мерах по технической защите от этих угроз и уязвимостей.

Список объектов критической информационной инфраструктуры страны включает телекоммуникационные и IT-системы, а также АСУ ТП, которые используются в государственных органах, здравоохранении, на транспорте и в связи, кредитно-финансовой сфере, топливно-энергетическом комплексе и различных отраслях промышленности: атомной, оборонной, ракетно-космической, химической и других.

Каждая пятая компания, владеющая критической инфраструктурой (КИИ), не успеет перейти на российскоге ПО к 2025 году из-за отсутствия подходящего аналога зарубежным продуктам. Такие данные представлены в совместном исследовании «К2 кибербезопасности» (подразделение компании «К2Тех») и Anti-Malware.ru.

Авторы исследования в июне–августе 2023 года опросили 108 руководителей по ИТ и ИБ российских компаний с выручкой более 5 млрд руб. и госкорпораций в разных отраслях, а также представителей разработчиков аппаратного и программного обеспечения для кибербезопасности. Напомним, что согласно указу президента от 30 марта 2022 года, с 1 января 2025 года госкомпаниям запрещено использовать иностранное ПО и оборудование для обеспечения работы КИИ.

Источник: «К2Тех»

58 % опрошенных компаний уверены в том, что успеют уложиться в сроке и реализовать все требования закон, тогда как 21 % компаний полагают, что не успеют вовремя реализовать необходимые проекты. Основным препятствием последние называют сложности с заменой иностранных решений на отечественные, связанные как с высокой стоимостью, так и с нехваткой оборудования. При этом 2 % компаний сказали, что у них в принципе нет средства на реализацию требований 187-ФЗ, ещё 44 % были вынуждены кратно увеличить расходы на ИБ, причём у 14 % компаний бюджеты выросли сразу на порядок.

Источник: «К2Тех»

Как показало исследование, лишь 8 % российских компаний завершили переход с иностранного на российское ПО. Еще 14 % находятся на завершающей стадии, а 10 % не приступали к переходу. При этом 24 % респондентов не понимают, какие решения нужны для выполнения указа, а 31 % уверены, что отечественные решения неспособны справиться с предъявляемыми требованиями. Среди наиболее востребованного ПО опрошенные называли межсетевые экраны (54 % респондентов), антивирусную защиту (33 %), сетевое оборудование (29 %) и средства криптографической защиты (25 %).

Источник: «К2Тех»

Участники рынка отмечают, что проблемы с выполнением законодательства в области КИИ связаны с тем, что многие владельцы подобных объектов не занимаются присвоением категорий, что является нарушением требований законодательства. К КИИ относятся сети связи и информационные системы госорганов, финансовых, энергетических, транспортных, медицинских, телекоммуникационных и ряда других компаний.

Минцифры, по информации газеты «Ведомости», намерено включить локализацию производства оборудования в перечень критериев для оценки технологической независимости критической информационной инфраструктуры (КИИ). Это, в частности, необходимо в свете сложившейся геополитической обстановки.

В соответствии с утверждёнными требованиями, с 1 января 2025 года на значимых объектах КИИ могут использоваться только программные продукты, включённые в реестр российского или евразийского ПО. Кроме того, госорганам и организациям запрещается применять средства защиты информации из недружественных стран.

Источник изображения: Delta Computers

В июне 2023-го премьер-министр Михаил Мишустин поручил Минцифры «проработать вопрос формирования системы оценки уровня соответствия КИИ требованиям по технологической независимости». В ответ в ведомстве предлагают оценивать наличие отечественных разработок, производственных линий высокотехнологичной продукции, а также наличие необходимых кадровых ресурсов и научных и технологических заделов у владельцев КИИ.

Разрабатываемая система оценки необходима для понимания того, насколько владельцы объектов КИИ готовы к переходу на отечественные программные и аппаратные решения, а также к их разработке и производству к 2025 году. Наработки Минцифры лягут в основу системы показателей технологического суверенитета, о которой говорится в Концепции технологического развития до 2030-го. В соответствии с этим документом к концу десятилетия Россия «должна обладать собственной научной, кадровой и технологической базой критических и сквозных технологий». Речь идёт об организации производства высокотехнологичной продукции — чипов и другой микроэлектроники, высокоточных станков и робототехники, авиакосмической техники, беспилотников, медицинского оборудования, телекоммуникационной техники и ПО.