Сервис-провайдер «РТК-ЦОД», являющийся дочерней структурой «Ростелекома», запустил сервис «Облако КИИ», предназначенный для размещения значимых объектов критической информационной инфраструктуры российских компаний. По словам «РТК-ЦОД», «Облако КИИ» предлагает «беспрецедентный уровень безопасности и защиты в комплексе с классическими преимуществами IaaS-решений».

Как указано в пресс-релизе, «Облако КИИ» — первое на отечественном рынке импортонезависимое решение для организаций, инфраструктура которых должно быть приведена в соответствие с требованиями регуляторов в сфере КИИ, в первую очередь, с положениями федерального закона №187-ФЗ и приказа ФСТЭК №239 о безопасности критической информационной инфраструктуры РФ.

Источник изображения: «РТК-ЦОД»

Сообщается, что сервис построен на базе российских решений с соблюдением требований информационной безопасности и импортозамещения для компаний-субъектов КИИ. Средства защиты информации сервиса аттестованы ФСТЭК России, благодаря чему в облачной инфраструктуре можно размещать объекты КИИ до второй категории значимости, государственные информационные системы первой категории и работать с персональными данными до первого уровня значимости включительно. Оборудование «Облака КИИ» включено в реестр Минпромторга, а ПО — в реестр Минцифры.

Согласно указу президента РФ о мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры России, подписанному в марте 2022 года, с 1 января 2025 года органам государственной власти запрещается использовать иностранное ПО на объектах КИИ.

До 1 января 2025 года, когда согласно указу президента РФ госорганам и госкомпаниям будет запрещено использовать иностранное программное обеспечение (ПО) на объектах КИИ, осталось совсем немного. Но крупные компании по-прежнему не готовы и в очередной раз обращаются к правительству с просьбой отложить переход, пишут «Ведомости».

Ассоциация крупнейших потребителей программного обеспечения и оборудования (АКП ПОО), основанная «Росатомом», «Газпром нефтью», «Транснефтью», РЖД, Дом.РФ, «Роскосмосом», «Ростехом» и «Ростелекомом», направила 3 сентября министру цифрового развития Максуту Шадаеву и председателю комитета Госдумы по информполитике Александру Хинштейну письмо с просьбой предусмотреть индивидуальные сроки перехода на отечественное ПО объектов КИИ, пишет издание.

В качестве главного аргумента изменения сроков перехода авторы письма приводят неурегулированность законом «О безопасности КИИ Российской Федерации» особенностей перехода субъектов КИИ на российское ПО и ПАК при реорганизации (например, присоединения или слияния). Требования по срокам для различных структур внутри одной компании могут различаться, а в случае реорганизации (присоединения) организаций сроки должны корректироваться, считают в ассоциации, иначе возникает риск невозможности перехода на отечественные IT-решения на значимых объектах КИИ.

Источник изображения: jamesmarkosborne/Pixabay

Представитель «Ростеха» сообщил, что по таким зарубежным программным продуктам, как Siemens NX, Teamcenter и FiberSIM, уже есть аналоги, но не везде достигнут «требуемый уровень зрелости по функциональности и совместимости», поэтому желательно уже сейчас скорректировать сроки перехода объектов КИИ на преимущественное использование отечественного ПО.

Отсутствие полной функциональной совместимости может создать риски при работе АСУ ТП, систем проектирования и моделирования (CAD, CAE), ERP-платформ, ИБ-решений и т.д. Директор департамента оборудования и ПО J’son & Partners допустил, что ассоциация может ориентироваться в сроках перехода на задержки в поставках импортозамещённого ПО, переход и старт промышленной эксплуатации на отдельных объектах. Впрочем, некоторые эксперты считают, что процесс импортозамещения нужно было начинать гораздо раньше, а без давления государства он может и не закончиться.

«Сбер» объявил, что к концу 2024 года полностью завершит в рамках импортозамещения перевод своих автоматизированных систем в значимых объектах критической информационной инфраструктуры (КИИ) с иностранных СУБД на собственное решение Platform V Pangolin — реляционную СУБД корпоративного класса на базе PostgreSQL. С 2020 года Platform V Pangolin является целевой СУБД в «Сбере».

Реляционная СУБД Platform V Pangolin входит в состав цифровой облачной платформы «СберТеха» Platform V «СберТеха». Platform V Pangolin основана на доработанной СУБД с открытым кодом PostgreSQL. Доработки повышают безопасность хранимых данных, доступность, надёжность и производительность системы. Также улучшено масштабирование.

Источник изображения: «Сбер»

По словам старшего вице-президента и руководителя блока «Технологии» Сбербанка, продукты собственной платформы нисколько не уступают по функциональности решениям западных вендоров, и более того, по ряду параметров превосходят их, и уже успешно заместили в «Сбере» многие из них. В частности, СУБД Platform V Pangolin полностью соответствует повышенным требованиям «Сбера» к производительности и безопасности: «Решение гарантирует надёжное хранение и быструю обработку больших объёмов данных в высоконагруженных системах компании».

Platform V Pangolin входит в реестр российского ПО и полностью подходит для задач импортозамещения. Решение используют в крупных российских компаниях и с 2021 года оно доступно для внешнего рынка. В настоящее время больше 80 тыс. инсталляций Platform V Pangolin успешно используется в составе сервисов и приложений разного уровня масштаба и критичности.

Великобритания отнесла дата-центры к элементам критически важной национальной инфраструктуры (CNI). По данным The Register, в результате сектор будет обеспечен господдержкой, направленной на предотвращение негативных последствий сбоев в работе IT, примером которых может служить инцидент с CrowdStrike, а также на защиту от кибератак и природных катаклизмов.

ЦОД стали четырнадцатым дополнением к списку CNI-объектов Великобритании. Также в список входят гражданская атомная промышленность, энергетика, финансы, здравоохранение и др. Это первое обновление списка почти за 10 лет после добавления в него в 2015 году космической и оборонной сфер. Новость появилась через год после того, как NCSC предупредил о растущем уровне угрозы CNI-объектам Великобритании. В ноябре 2023 года было объявлено, что готовность справляться с киберугрозами в стране оставляет желать лучшего.

За поддержку отвечает специальная команда из высокопоставленных правительственных чиновников, которая будет отслеживать ландшафт угроз и прогнозировать возможные риски. Кроме того, та же команда будет отвечать за реагирование на чрезвычайные ситуации. Национальный центр кибербезопасности Великобритании (NCSC), а также другие спецслужбы будут получать приоритетный доступ к ЦОД, если те подвергнутся той или иной угрозе. Пока власти не комментируют, что подразумевается под «приоритетным доступом».

Источник изображения: Stanley Dai/unsplash.com

Как заявляют представители властей, уже само присвоение дата-центрам статуса CNI будет сдерживать киберпреступников от атак. СМИ усомнились в таких выводах, предположив, что это сделает объекты более привлекательной целью для злоумышленников. Также ожидается, что присвоение дата-центрам нового статуса повысит уверенность в будущих инвестициях в сектор.

Параллельно правительство Великобритании приветствовало инвестиции в объёме £3,75 млрд ($4,89 млрд) в крупнейший в Европе дата-центр, строительство которого запланировано компанией DC01UK в Хартфордшире, что недалеко от Лондона. После победы на выборах лейбористское правительство отозвали решения, блокировавшие строительство ЦОД в Хартфордшире и Бакингемшире, граничащими с «Большим Лондоном».

Впрочем, некоторые эксперты подчёркивают, что сегодня хранение и обработка данных обычно не ограничивается одной страной, так что любые новые правила стоит прорабатывать и принимать на международном уровне. При этом многие ЦОД обслуживают по несколько или даже много клиентов одновременно, поэтому ограничения затронут всех пользователей, даже тех, чей бизнес не относится к критической инфраструктуре. Это может замедлить инновации и повысить расходы. Возможно, операторам ЦОД придётся создать специальные кластеры только для критической инфраструктуры, что дополнительно усложнит решение вопросов и повысит затраты — необходимо будет найти баланс между безопасностью и небольшими затратами.

С 1 сентября 2024 года вступило в силу постановление правительства РФ, запрещающее субъектам критической информационной инфраструктуры (КИИ) приобретать иностранные программно-аппаратные комплексы (ПАК), которые не является доверенными. Полный переход на доверенные ПАК преимущественно отечественной разработки должен быть завершён к 1 января 2030 года.

Под доверенными ПАК подразумеваются устройства, сведения о которых внесены в реестр российской радиоэлектронной продукции, а программное обеспечение, используемое в составе ПАК, включено в реестры российского или евразийского ПО. Кроме того, если комплекс предназначен для использования в области информационной безопасности, то он обязан иметь сертификат ФСТЭК или ФСБ России.

По данным аналитического центра «Интерфакс-ProЗакупки», разработкой, производством, техподдержкой и сервисным обслуживанием доверенных ПАК будет заниматься АО «НПО КИС» — «Критические информационные системы» (дочерняя структура госкорпорации «Росатом»).

Источник изображения: freepik.com

Таким образом, программно-аппаратные решения иностранного производства будут постепенно заменяться на оборудование и софт, которые находятся в соответствующих реестрах российской радиоэлектронной продукции и отечественного ПО. Операторы КИИ смогут использовать зарубежные ПАК лишь в двух случаях: если комплексы были приобретены до 1 сентября 2024 года и если они не имеют отечественных аналогов, что подтверждается заключением Минпромторга.

Список объектов КИИ страны включает телекоммуникационные и IT-системы, а также АСУ ТП, которые используются в государственных органах, здравоохранении, на транспорте и в связи, кредитно-финансовой сфере, топливно-энергетическом комплексе и различных отраслях промышленности: атомной, оборонной, ракетно-космической, химической и других. Ответственными за импортозамещение в сфере КИИ назначены Минздрав, Минобрнауки, Минтранс, Минцифры, Минэнерго, Минпромторг, Минфин, Росреестр, «Росатом», «Роскосмос» и Центробанк.

Больше половины (59 %) средних и крупных компаний с критической информационной инфраструктурой (КИИ) России не успеют полностью перейти на отечественные решения в области информационной безопасности к началу 2025 года, как предписано в указе президента № 250 от 30 марта 2022 года. Об этом сообщили «Ведомости» со ссылкой на исследование компании «К2 кибербезопасность», которая провела анонимный опрос более 80 IT- и ИБ-директоров таких компаний.

Согласно указу, до 1 января 2025 года на объектах КИИ должен быть завершён процесс импортозамещения всего ПО и программно-аппаратных комплексов (ПАК). Как пояснили в компании «К2 кибербезопасность», указ касается организаций из 14 сфер деятельности: ТЭК, финсектор, здравоохранение, наука, транспорт, связь и др. 19 % участвовавших в опросе компаний уже заменили зарубежные решения на отечественные аналоги, ещё 22 % находятся в процессе перехода, но, скорее всего, успеют до конца года.

Источник изображения: Tumisu/Pixabay

Большая часть респондентов назвали главной сложностью выполнения указа недостаток отечественных аналогов зарубежных ИБ-решений. Ещё 28 % участников опроса сообщили, что имеющиеся аналоги недостаточно качественны, в 14 % опрошенных компаний заявили, что нет необходимых средств и других ресурсов для перехода на российские средства киберзащиты. Еще 8 % респондентов считают главной сложностью нереалистичные сроки, а 6 % — отсутствие готовности инфраструктуры.

В свою очередь, в Минцифры сообщили, что настоящее время в рамках исполнения указов президента уже более 84 % зарубежных решений на объектах КИИ заменяются отечественными аналогами, хотя не уточнили, какие классы ПО учтены в приведённом показателе и какой процент импортозамещения реализован именно в сфере информационной безопасности.

Президент РФ внёс изменения в указ «О дополнительных мерах по обеспечению информационной безопасности РФ» от 1 мая 2022 года. Согласно новому постановлению, с 1 января 2025 года государственным структурам, госкорпорациям и субъектам критической информационной инфраструктуры (КИИ) запрещается использовать услуги и сервисы информационной безопасности (ИБ), предоставляемые недружественными государствами.

Внесённая в указ поправка дополняет запрет на использование средств киберзащиты из недружественных стран: организациям, на которые распространяется документ, с 2025 года также запрещается использовать в своей IT-инфраструктуре системы защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении РФ, российских юридических или физических лиц недружественные действия, либо производителями которых являются компании, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними.

Источник изображения: pikisuperstar / freepik.com

Помимо прочего предложенные президентом изменения содержат ряд уточнений, касающихся мер по оптимизации контроля и мониторинга за деятельностью аккредитованных центров ГосСОПКА. Ожидается, что внесённые в указ «О дополнительных мерах по обеспечению информационной безопасности РФ» дополнения будут способствовать повышению киберустойчивости экономики государства и технологической независимости отрасли кибербезопасности.

В настоящий момент на государственном уровне прорабатывается также вопрос по созданию отдельного ведомства, которое будет заниматься централизованным управлением, координированием и решением задач в сфере ИБ. Некоторые представители индустрии говорят о необходимости создания подобной госструктуры, поскольку сейчас вопросами кибербезопасности занимаются сразу несколько ведомств.

Федеральная служба по техническому и экспортному контролю опубликовала правила оценки защищённости объектов критической информационной инфраструктуры (КИИ). Об этом сообщает издание «Коммерсантъ» со ссылкой на представленную на сайте регулятора документацию.

Согласно тесту документа, организации, объекты которой относятся к КИИ, должны будут по запросу ФСТЭК России или в рамках внутреннего регламента представлять ведомству сведения о защищённости своих систем: результаты контроля и опросов профильных сотрудников, данные об используемых средствах защиты, проводимых процедурах аудита ИБ и т. д. Список объектов критической информационной инфраструктуры страны включает телекоммуникационные и IT-системы, а также АСУ ТП, которые задействованы в государственных органах, здравоохранении, на транспорте и в связи, кредитно-финансовой сфере, топливно-энергетическом комплексе и различных отраслях промышленности: атомной, оборонной, ракетно-космической, химической и других.

Оценка защищённости объектов КИИ должна проводиться не реже чем раз в полгода. Внеочередная проверка может быть проведена в случае возникновения киберинцидента или значимых изменений в IT-инфраструктуре компании. Соответствующий документ размещён на информационном портале Федеральной службы по техническому и экспортному контролю fstec.ru в разделе «Документы → Специальные нормативные документы».

Напомним, что ФСТЭК России ведёт централизованный учёт информационных систем и иных объектов КИИ по отраслям экономики, а также мониторинг и оценку текущего состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры. Также в числе обязанностей ведомства значится оперативное информирование органов власти, местного самоуправления и организаций об угрозах безопасности информации и уязвимостях информационных систем и иных объектов КИИ, а также о мерах по технической защите от этих угроз и уязвимостей.

Минцифры подготовило законопроект, который позволит правительству и ЦБ определять перечень объектов критической информационной инфраструктуры (КИИ), сообщили «Ведомости» со ссылкой на источники в телеком-операторе и профильной ассоциации. С 2025 года такие объекты должны перейти согласно указу президента на отечественный софт.

Также правительство будет устанавливать порядок закупок и использования телеком-оборудования и программно-аппаратных комплексов (ПАК) иностранного происхождения. Кроме того, правительство и ЦБ наделят полномочиями устанавливать порядок и сроки перехода финансовых организаций — субъектов КИИ на «преимущественное использование российского ПО и отечественной радиоэлектронной продукции, в том числе телекомоборудования и ПАК, на принадлежащих им значимых объектах КИИ».

Источник изображения: ФСТЭК

Эксперты отмечают, что это уже третья редакция закона, которая содержит более жёсткую нормативную базу, ясные требования и невозможность их обойти. При этом попытка бюрократизировать процесс импортозамещения может привести к его затягиванию — более эффективным было бы экономическое стимулирование владельцев КИИ и разработчиков.

Ключевые изменения касаются вопроса категорирования объектов КИИ. Госорганы и ЦБ должны по согласованию с Федеральной службой по техническому и экспортному контролю (ФСТЭК) сформировать перечни типовых отраслевых объектов КИИ, включая типы информационных систем, выполняемых ими функций и видов деятельности. Законопроектом предусмотрены сроки устранения недоработок при предоставлении сведений о КИИ, хотя штрафы за невыполнение требований не прописаны.

В настоящее время субъекты КИИ могут сами категоризировать свои объекты и не относить их к КИИ во избежание лишних хлопот, поскольку это обязывает выполнять целый ряд мероприятий по локализации и защите объекта, что чаще всего сложно, дорого и не всегда реализуемо, если, например, на рынке нет соответствующих отечественных решений, поясняет эксперт.

Компания «К2 Кибербезопасность» обнародовала результаты исследования, в ходе которого оценивался уровень защищённости субъектов критической информационной инфраструктуры (КИИ) в России. Речь идёт об организациях и предприятиях, от которых зависит работа транспорта, сетей связи, функционирование финансовой системы, а также государственных, медицинских и прочих служб.

Данные получены на основе опроса 108 представителей российских компаний из ключевых сегментов экономики с выручкой более 5 млрд руб. В исследовании участвовали субъекты нефтегазовой промышленности, металлургии, электроэнергетики, сферы здравоохранения и пр. Опрос проведён в июне–августе 2023 года.

Источник изображения: pixabay.com

Установлено, что практически каждый третий (32 %) субъект КИИ в России сталкивался с киберинцидентами разной степени серьёзности. Как минимум 35 % из них сопряжены с ущербом, который можно оценить в деньгах. Чаще всего атаки на КИИ оборачиваются простоем сервисов: основными причинами таких инцидентов называются DDoS-атаки и взломы сайтов. Другие негативные последствия — репутационный ущерб, потеря данных без возможности восстановления и непосредственные финансовые убытки.

Авторы исследования выяснили, насколько респонденты готовы к исполнению требований закона «О безопасности критической информационной инфраструктуры Российской Федерации» (187-ФЗ), принятого ещё в 2018 году. Значительное число компаний ещё не знают, какие решения им понадобятся для реализации требований — с планами не определились 24 % опрошенных. Чёткое представление о предстоящих закупках имеют 68 % субъектов.

Изображение: «К2 Кибербезопасность»

Оказалось, что большинство компаний скептически относятся к возможности реализации проектов защиты КИИ на базе отечественных решений. Так, 31 % категорически не удовлетворены тем, что предлагает рынок. С другой стороны, 48 % респондентов уверены в том, что российские продукты справятся с требованиями закона.

Среди компаний, которые уже приступили к работам, только 7 % полностью завершили проекты по созданию системы обеспечения информационной безопасности, удовлетворяющей требованиям 187-ФЗ. Около 14 % находятся на завершающих этапах, ещё 34 % занимаются организационной работой и 35 % только начинают или планируют начать эту деятельность. При этом только 29 % опрошенных заявляют, что ещё не столкнулись с серьёзными сложностями на различных этапах реализации проекта.