Закон «О безопасности критической информационной инфраструктуры Российской Федерации. Обеспечение безопасности критической информационной инфраструктуры российской федерации Обзор нового законодательства по безопасности критической инфраструктуры
Москва, Кремль
Подписан Закон о безопасности критической информационной инфраструктуры России.
Он регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.
Определены основные принципы обеспечения безопасности, полномочия госорганов, а также права, обязанности и ответственность лиц, владеющих на праве собственности или ином законном основании объектами инфраструктуры, операторов связи и информационных систем, обеспечивающих взаимодействие этих объектов.
К объектам инфраструктуры отнесены информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры.
Закреплены понятия компьютерной атаки, компьютерного инцидента и др. Определен порядок функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы.
Федеральный закон от 26 июля 2017 г. N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"
Настоящий Федеральный закон вступает в силу с 1 января 2018 г.
Текст Федерального закона опубликован на "Официальном интернет-портале правовой информации" (www.pravo.gov.ru) 26 июля 2017 г., в "Российской газете" от 31 июля 2017 г. N 167, в Собрании законодательства Российской Федерации от 31 июля 2017 г. N 31 (часть I) ст. 4736
История рассмотрения и принятия Федерального закона
На фоне последних мировых компьютерных атак был принят федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», направленный на создание государственной системы обнаружения, предупреждения и ликвидации последствий атак на информационные ресурсы страны, который вступит в силу с 1 января 2018 года.
В пояснительной записке к законопроекту № №47571-7 «О безопасности критической информационной инфраструктуры Российской Федерации» подчеркивалось, что «осуществляемый в настоящее время в Российской Федерации переход к информационному обществу приводит к тому, что подавляющее большинство систем принятия решений и бизнес-процессов в ключевых отраслях экономики и сфере государственного управления реализуются или планируются к реализации с использованием информационных технологий. В различных информационных системах уже сейчас хранятся и обрабатываются значительные объемы информации, в том числе касающейся вопросов государственной политики и обороны, финансовой и научно-технической сферы, частной жизни граждан. Одновременно информационные технологии повсеместно внедряются при построении автоматизированных систем управления производственными и технологическими процессами, используемых в топливно-энергетическом, финансовом, транспортном и других секторах критической инфраструктуры Российской Федерации».
По мнения разработчиков законопроекта, «нанесение ущерба критической информационной инфраструктуре может привести к катастрофическим последствиям, а учитывая, что она является связующим звеном между другими секторами национальной инфраструктуры, неизбежно нанесет ущерб и этим секторам. Переход информационных и коммуникационных технологий на систему цифровых сигналов упростил и частично автоматизировал управление процессами, но, в то же время, сделал их более уязвимыми перед компьютерными атаками. Вредоносная программа, направленная на внесение изменений в бинарный код программы (алгоритм программы, записанный в двоичной системе исчисления) способна вывести из строя любое оборудование, работающее с использованием бинарного кода. При этом равную опасность могут представлять атаки, совершаемые в преступных, террористических и разведывательных целях со стороны отдельных лиц, сообществ, иностранных специальных служб и организаций.
При развитии событий по наихудшему сценарию компьютерная атака способна полностью парализовать критическую информационную инфраструктуру государства и вызвать социальную, финансовую и/или экологическую катастрофу.»
В пояснительной записке также отмечалось, что «стабильность социально-экономического развития Российской Федерации и ее безопасность, по сути, поставлены в прямую зависимость от надежности и безопасности функционирования информационно-телекоммуникационных сетей и информационных систем».
Для обеспечения координации деятельности субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты будет создан национальный координационный центр по компьютерным инцидентам (ст.5 ч.2).
В государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ будет осуществляться сбор, накопление, систематизация и анализ информации, которая будет:
- Поступать через средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак;
- Представляться субъектами критической информационной инфраструктуры и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры РФ, в соответствии с перечнем информации;
- Представляться иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными.
В целях учета значимых объектов критической информационной инфраструктуры будет создан реестр (ст.8). Сведения из него будут направляться в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ.
Оценка безопасности критической информационной инфраструктуры будет осуществляться федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы, в целях прогнозирования возникновения возможных угроз безопасности критической информационной инфраструктуры и выработки мер по повышению устойчивости ее функционирования при проведении в отношении ее компьютерных атак (уполномоченный ФОИВ) (ст.12).
При осуществлении оценки безопасности будет проводиться анализ:
- Данных, получаемых при использовании средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе информации о наличии в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, признаков компьютерных атак;
- Информации, представляемой субъектами критической информационной инфраструктуры и уполномоченным ФОИВ, в соответствии с перечнем информации, а также иными не являющимися субъектами органами и организациями, в том числе иностранными и международными;
- Сведений, представляемых в государственную систему по итогам проведения государственного контроля, о нарушении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры, в результате которого создаются предпосылки возникновения компьютерных инцидентов;
- Иной информации, получаемой уполномоченным ФОИВ, в соответствии с законодательством Российской Федерации.
1 января 2018 года вступил в силу Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», который касается не только госучреждений и коммерческих организаций, но и индивидуальных предпринимателей.
Суть новой законодательной инициативы раскрывает Василий Степаненко , директор департамента информационной безопасности компании «Сервионика», входящей в группу «АйТеко».
Каковы предпосылки принятия нового федерального закона? Одна из причин - рост рисков, связанных с безопасностью данных. По оценкам ФСБ России, в 2016 году было совершено порядка 70 миллионов попыток атак на объекты критической информационной инфраструктуры РФ, и 2/3 из них - атаки, совершенные из-за границы.
Четверть целевых кибератак, зафиксированных «Лабораторией Касперского», были направлены на промышленные компании. По наблюдениям экспертов в сфере информационной безопасности, в 2017-м число APT-атак выросло в два раза, а среднее время присутствия злоумышленника в инфраструктуре - от вторжения до обнаружения - составляет три года.
Что предстоит усовершенствовать? Во-первых, ГосСОПКА - государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ.
Во-вторых, защищенность информационных систем госорганов, включая усиление персональной ответственности руководства за обеспечение ИБ. Именно эти два пункта в значительной мере реализованы в федеральном законе о безопасности КИИ, принятом летом 2017 года.
На какие отрасли распространяется 187-ФЗ? Новый закон охватывает здравоохранение, науку, транспорт, связь, энергетику, банки, финансы, ТЭК, атомную энергетику, оборонную, ракетно-космическую, горнодобывающую, металлургическую и химическую отрасли промышленности.
К субъектам КИИ относится любое юридическое лицо, обладающее информационной системой, используемой в одной из этих отраслей. К значимым объектам КИИ, распределенным на три категории, относятся все информационные системы, инциденты с которыми могут нарушить выполняемые ими социально-значимые функции и нанести значительный ущерб.
К ним предъявляются наиболее серьезные требования по обеспечению ИБ, неисполнение которых может повлечь серьезные последствия вплоть до уголовного наказания.
Как исполнение положений закона будет регулироваться и контролироваться? Закон определяет четырех регуляторов: ФСТЭК (Федеральную службу по техническому и экспортному контролю) и ФСБ как основных, Банк России и Минкомсвязь как дополнительных, согласовывающих требования по обеспечению безопасности объектов КИИ для своей сферы регулирования.
Функции ФСТЭК состоят в категорировании и ведении реестра значимых объектов КИИ, разработке требований по обеспечению информационной безопасности объектов КИИ и контроле их выполнения. ФСБ отвечает за практические аспекты безопасности, являясь главным центром ГосСОПКА.
Что необходимо сделать субъекту КИИ, чтобы выполнить требования закона? Самостоятельно провести категорирование всех своих объектов КИИ и сообщить о них в письменной форме в ФСТЭК для внесения сведений в реестр значимых объектов КИИ.
Реагировать на компьютерные инциденты, незамедлительно информируя о них ФСБ и оказывая содействие должностным лицам в деятельности, связанной с предупреждением, обнаружением и ликвидацией последствий инцидентов. Обеспечивать выполнение порядка, технических условий установки и эксплуатации технических средств ГосСОПКА.
Как будет осуществляться надзор за выполнением законодательных требований? ФСТЭК будет следить за правильностью категорирования объектов КИИ и выполнением требований к обеспечению информационной безопасности значимых объектов.
Плановые проверки будут проводиться каждые 3 года, внеплановые - по произошедшим инцидентам, поручениям президента и правительства или по требованию прокуратуры.
Оценка безопасности объектов КИИ будет осуществляться органами ФСБ. ФСБ будет производить анализ сведений от технических средств ГосСОПКА, из реестра значимых объектов КИИ, сведений, предоставляемых субъектами.
Что будет, если нарушить этот закон? Невыполнение обязанности по категорированию и предоставлению сведений об отдельных объектах КИИ не преследуется по закону, однако невыполнение требований по обеспечению безопасности КИИ, в том числе повлекшее за собой тяжкие последствия или угрозу их возникновения, наказуемо.
Насколько сложно реализовать требования нового закона на практике? Большинство российских промышленных компаний тратят сегодня на информационную безопасность менее 50 млн рублей в год.
При этом опрошенные в ходе исследования «Сколько стоит безопасность» руководители 27% организаций оценили в аналогичную сумму потери от одного дня простоя инфраструктуры из-за кибератаки. Во многих компаниях нет отдельного бюджета на обеспечение информационной безопасности: он является частью ИТ-бюджета, составляя не более 20% от него.
Для реализации требований 187-ФЗ и подзаконных актов регуляторов требуются значительные средства, и руководителям субъектов КИИ необходимо как-то выходить из ситуации. На сегодняшний день один из наиболее обсуждаемых вариантов решения проблемы обеспечения полноценной защиты объектов КИИ - подключение их к корпоративным центрам реагирования (Security Operations Center - SOC).
Они предоставляют полный спектр услуг по мониторингу и администрированию систем защиты информации, выявлению и реагированию на инциденты. Такой подход, возможно, станет одним из важных трендов в области ИБ в России.
Услуги SOC позволят субъектам КИИ более экономно реализовать требования нового закона. С вступлением 187-ФЗ в силу обеспечение информационной безопасности становится непрерывным процессом, а не «заморозкой» системы в эталонном состоянии.
Среди достаточно большого числа законодательных ИТ/ИБ-новшеств, вступивших в силу в 2018 г., можно выделить Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» . Его актуальность видна уже потому, что он принят в виде самостоятельного закона, а не поправок к ранее действовавшим документам. Но это же показывает, что речь идет о регулировании новой (для законодательства) ИТ-сферы, а потому можно ожидать, что процесс практического применения закона будет проходить вполне естественную «притирку».
С вопросами о том, как 187-ФЗ может повлиять на развитие ситуации на корпоративном ИТ/ИБ-рынке, о перспективах его применения, возможных проблемах и вариантах их решения, мы обратились к ряду экспертов.
Что регулирует новый закон
Одна из главных новаций закона - механизм реализации «Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» (ГосСОПКА), которая, по-видимому, должна взять под государственный контроль все уже существующие системы ИБ и стать единым центром управления всем этим хозяйством.
Закон расширяет перечень информационных систем (для них вводится понятие «критическая информационная инфраструктура», КИИ), к которым предъявляются обязательные требования по безопасности со стороны государства и владельцы которых теперь несут ответственность, в том числе уголовную. Как пояснил директор по методологии и стандартизации Positive Technologies Дмитрий Кузнецов, под КИИ понимаются ИТ-системы государственных и коммерческих организаций, сбои в которых (в том числе в результате хакерских атак) могут привести к тяжелым социальным, политическим, экологическим и прочим последствиям.
С точки зрения директора по ИБ компании РТ-ИНФОРМ (Центр компетенций по ИТ и ИБ госкорпорации Ростех) Александра Евтеева, важным является то, что закон определяет порядок категорирования значимых объектов КИИ, порядок госконтроля в области обеспечения их безопасности, права и обязанности организаций, которым принадлежат субъекты КИИ.
В плане регулирования отношений в области обеспечения безопасности КИИ в условиях проведения хакерских атак закон выделяет два направления - обеспечение безопасности и противодействие атакам. В этом связи директор департамента ИБ компании «Сервионика» (ГК «АйТеко») Василий Степаненко напоминает, что в соответствии с Указом Президента РФ от 25.11.2017 № 569 федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ, является ФСТЭК России, а согласно Указу Президента РФ от 15.01.2013 № 31с полномочия по созданию ГосСОПКИ возложены на ФСБ России.
«ГосСОПКА должна контролировать степень защищенности критической информационной инфраструктуры РФ от компьютерных атак, - отметил Дмитрий Огородников, директор по развитию Angara Technologies Group. - При этом до сих пор не было четкого понимания, кто должен конкретно подключаться к этой системе. Теперь, с выходом 187-ФЗ, появилась ясность в данном вопросе. А именно, в законе указали, что к ГосСОПКЕ должны подключаться все субъекты КИИ, причем вне зависимости, есть ли у них значимые объекты КИИ или нет».
Начальник информационно-аналитического управления Московской городской Думы Антон Таран среди ключевых идей закона выделяет необходимость создания единого центра мониторинга и управления ИБ для важных с точки зрения государства ИТ-систем. «Сегодня центральная власть может не знать, что на какой-нибудь центр управления ТЭЦ в Ханты-Мансийске напали хакеры и вывели на два часа из строя систему пожаротушения. А теперь будут знать и как-то реагировать», - пояснил он.
Действительно, теперь закон напрямую обязывает службы ИБ таких объектов передавать информацию о зафиксированных атаках в ФСБ. Генеральный директор R-Vision Александр Бондаренко считает, что это позволит наладить обмен информацией между специалистами по ИБ и в целом повысит уровень защищенности объектов КИИ.
Что предстоит сделать субъектам КИИ и регуляторам для реализации закона
«В части ФСТЭК всем субъектам КИИ необходимо будет выполнить ряд мероприятий, в том числе выделение и категорирование объектов КИИ, выполнение требований по безопасности. Но у большинства организаций на сегодняшний день уже реализованы определенные меры безопасности (например, в соответствии с нормативными актами по ГИС и/или ПДн), поэтому им потребуется соотнести имеющуюся систему защиты информации с требованиями ФСТЭК в части КИИ и при необходимости ее доработать», - считает Дмитрий Огородников. В части ФСБ, добавил он, потребуется провести работы по подключению к ГосСОПКЕ, что, наверно, является самым обременительным мероприятием.
«Сейчас мы ждем утверждения правительством правил категорирования объектов КИИ, а также утверждения требований ФСТЭК по внедрению мер по защите информации на объектах КИИ в зависимости от присвоенной категории, - рассказал руководитель направления ИБ компании „Системный софт“ Яков Гродзенский. - После того, как эти документы будут утверждены, видимо определенное время займет у ФСТЭК работа по категорированию объектов КИИ. После этого начнется массовое внедрение соответствующих решений».
«В соответствии с приказом ФСТЭК № 227 от 6.12.2017 об утверждении порядка ведения реестра КИИ данный реестр будет закрытым. Сведения из него направляются в ГосСОПКУ, а также могут предоставляться только государственным органам или российским юридическим лицам, выполняющим функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере», - отметил Дмитрий Огородников. Добавим, что в соответствии с Указом Президента от 02.03.2018 № 98 сведения, раскрывающие меры по обеспечению безопасности КИИ, а также сведения, раскрывающие состояние ее защищенности, отнесены к государственной тайне.
Совершенно определенном можно сказать, что реализация 187-ФЗ потребует от участников рынка дополнительных усилий, в том числе финансовых затрат.
«В силу того, что количество объектов и организаций, которые подпадают под действие данного закона, внушительно, а уровень обеспечения ИБ на них не очень высокий, это потребует серьезных инвестиций в безопасность. Таким образом, обеспечение защиты объектов КИИ может стать очередным драйвером рынка, каким в свое время стал пресловутый закон о персональных данных», - уверен Александр Бондаренко.
«На рынке ИБ появится новый вид услуг, ориентированных на приведение в соответствие требованиям ФСТЭК в части КИИ, а также услуги по подключению к ГосСОПКЕ. Здесь возможны различные варианты: создание ведомственных центров, подключение к корпоративным центрам и т. д. Все варианты также потребуют закупки соответствующих средств защиты информации», - полагает Дмитрий Огородников.
По словам Якова Гродзенского, организациям, подпадающим под определение субъектов КИИ, неминуемо придется создавать центры ГосСОПКИ в своей инфраструктуре. В связи с этим будет необходимо реализовать интерфейс обмена информацией с Головным центром. «В том числе на основе уже существующих решений отечественных разработчиков нужно внедрить систему учета инцидентов и реагирования на них (IRP), основанную на SIEM-решениях, которые являются частью SOC организации. Кроме того, необходимо проводить анализ защищенности инфраструктуры и внедрить решения по повышению осведомленности сотрудников по вопросам ИБ», - пояснил он.
«Для поставщиков средств безопасности закон несет позитивные новости, но как это отразится на ИТ-рынке - сказать сложно, ведь вполне возможно, что дополнительные усилия в направлении безопасности будут реализовываться за счет сокращения активности по другим ИТ-проектам», - делится своими опасениями Антон Таран.
Но Александр Евтеев высказывает мнение, что реализация закона скажется позитивно на деятельности организаций, которые сегодня зачастую несут прямые потери от своего невнимания к проблемам безопасности: «В последние годы существенно увеличилось число инцидентов, связанных с компьютерными атаками, злоумышленники постоянно находят новые способы атак. Тенденция последних лет к ужесточению требований ИБ, особенно для госсектора и КИИ, является необходимой ответной мерой».
По-видимому, одним из важных направлений, которые попадают в поле применения 187-ФЗ, являются системы управления технологическими процессами. На это, в частности, обращает внимание Дмитрий Кузнецов: «Владельцы промышленных предприятий и разработчики средств промышленной автоматизации осознали, насколько промышленность уязвима к атакам, и сейчас происходит кооперация между производителями систем АСУ ТП и компаниями, специализирующимися на анализе защищенности таких систем».
В свою очередь, Василий Степаненко отмечает, что закон подразумевает не проведение некоторой одноразовой акции по усилению безопасности ИТ-систем, а постоянную работу в этом направлении: «Заказчикам нужно теперь постоянно разрабатывать и осуществлять мероприятия по обеспечению безопасности, планировать бюджеты на это, информировать ФСБ об инцидентах, расследовать инциденты и оказывать содействие представителям ФСБ и ФСТЭК». По его словам, аттестация КИИ будет проходить не в привычном формате выдачи аттестата соответствия, а в виде проверки выполнения установленному ФСТЭК минимуму требований и постоянной оценки эффективности мер защиты со стороны ФСБ.
Все ли гладко в 187-ФЗ?
Опыт предыдущих лет показывает, что реализация принятых законов в области ИТ порой проходит довольно сложно. Оказывается, что какие-то положения принятых актов трудновыполнимы на практике, а каким-то важным аспектам законодатели уделили недостаточное внимание или вовсе упустили их из виду. Регулярно возникает и проблема финансирования исполнения требований закона.
«Качество 187-ФЗ - не лучше и не хуже аналогичных законов, связанных с ИТ, - отмечает Антон Таран. - Есть не до конца проработанные определения, допускающие неоднозначные толкования. Есть размытость формулировок. Как обычно бывает, довольно подробно прописаны алгоритмы администрирования и функционал уполномоченных органов, поскольку от этого зависит дальнейшее нормотворчество и зоны ответственности, а соответственно и бюджетополучатели. Пока не понятно, каковы будут затраты бюджета на создание и функционирование системы. Учитывая, что законом предусмотрено создание национального координационного центра по компьютерным инцидентам, затраты все же предстоят. Если только это не будет виртуальный центр».
С тем, что исполнение потребует существенных затрат как со стороны владельцев информационных систем, так и со стороны государства, согласны все эксперты. Но Дмитрий Кузнецов уверен, что такие расходы просто необходимы: «Проблема ИБ многими организациями игнорировалась. Необязательность защиты привела к тому, что во многих жизненно важных информационных системах отсутствуют элементарные механизмы защиты. Болезнь стала запущенной, и сейчас ее лечение требует серьезных усилий».
Александр Бондаренко видит потенциальную проблему закона в том, что на его внедрение в реальную жизнь потребуется несколько лет, так как критические объекты в силу своих особенностей потребуют серьезной адаптации существующих механизмов защиты.
То, что государство в столь явном виде проявило озабоченность вопросами безопасности КИИ, - хорошо. Но Василий Степаненко видит проблему 187-ФЗ в том, что он, по его мнению, плохо состыкован с другими законами, которые уже давно действуют в ряде отраслей, обозначенных как потенциальные субъекты КИИ. Не ясно пока и с ответственностью по исполнению требований закона, например, где лежит зона ответственности руководителя субъекта, а где - иных должностных лиц. Не все понятно и с финансированием. «Обязать всех выделять бюджеты и бояться проверок можно, но без должного финансирования, в том числе со стороны государства, сложно добиться реальных результатов», - считает эксперт.
Что же касается перспектив закон, то, по мнению Антона Тарана, об этом говорить пока сложно. С одной стороны, чисто теоретически, систематизация, координация и стандартизация никому еще не вредили, и если будущая система будет реально работать, а издержки для экономики субъектов КИИ не будут превышать потенциальные риски, то можно ожидать повышения уровня безопасности. С другой, говорить об оценке эффективности закона будет очень сложно, пока не будут определены количественные показатели обеспечения безопасности.
Главную же проблему закона он видит в издержках для бизнеса. Ведь отдельно взятый субъект вполне способен обеспечить себя защитой от компьютерных атак и в целом должен владеть технологиями ИБ не хуже государства. Создание же дополнительных организационных и, возможно, материальных затрат для любого бизнеса должно компенсироваться дополнительными доходами, при этом есть риск, что дополнительные затраты не будут компенсированы повышением уровня безопасности.
В целом все эксперты согласны с тем, что практическая реализация закона в решающей степени будет зависеть от системы последующий нормативных подзаконных актов, которые в том числе должны определить ответственность тех или иных лиц за исполнение закона.
