Критическая информационная инфраструктура: безопасность в законе

Защита информационных ресурсов сегодня не менее «горячая» тема, чем Интернет вещей или цифровая трансформация предприятий. Растущие риски значительных финансовых потерь, возрастающая активность злоумышленников, а также необходимость соблюдать требования российского законодательства стимулируют развитие и внедрение систем информационной защиты.

Игорь Боровиков, председатель совета директоров Softline, заявил, открывая конференцию, что основная задача его компании состоит в том, чтобы помочь клиентам в проведении цифровой трансформации, а следовательно, и в предоставлении средств защиты бизнеса от киберугроз.

По его словам, позиции Softline в сфере информационной безопасности значительно укрепились после приобретения в начале года компании «Инфосекьюрити» и расширения спектра услуг за счет сервисов принадлежащего ей центра управления информационной безопасностью и компьютерной криминалистики.

«Теперь мы обладаем новыми компетенциями и одним из лучших центров Security Operation Center, имеющим опыт мониторинга безопасности крупнейших российских компаний», — подчеркнул Боровиков. На долю информационной безопасности в Softline приходится теперь более 300 млн долл. из суммарного оборота, составляющего около 1,3 млрд долл.

Заметное влияние на тематику конференции оказал вступивший в начале года в действие Федеральный закон 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», который регламентирует требования к практической безопасности широкого спектра предприятий — от госструктур, банков и учреждений здравоохранения до индивидуальных предпринимателей.

Теперь организации со значимыми объектами критической информационной инфраструктуры должны создавать собственные комплексы информационной безопасности, взаимодействующие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА). В состав этой системы входят главный, ведомственные, региональные и корпоративные центры.

Такие центры осуществляют сбор и анализ данных об атаках и инцидентах информационной безопасности, обеспечивают оперативное реагирование на угрозы и устранение последствий внешних вторжений.

Как это было и с персональными данными, в департаментах информационной безопасности предприятий возникает много вопросов по поводу выполнения требований нового закона, который еще дополняется разработкой и принятием ряда подзаконных актов и отраслевых документов. Однако всем субъектам критической информационной инфраструктуры уже сегодня следует понимать, относятся ли их ИТ-комплексы к критически важным, и определять, каким образом следует организовать их защиту.

На одной из дискуссионных сессий конференции, участие в которой приняли эксперты компаний Softline, Positive Technologies, Secret Technologies, Infowatch и «Код Безопасности», шло обсуждение соответствующей нормативной базы и системы ГосСОПКА, а также требований по соблюдению безопасности объектов критической информационной инфраструктуры, средств их защиты и других вопросов, вызывающих в настоящее время неизменный интерес «айтишников» и «безопасников».

Выступающие предлагали продукты и решения, позволяющие реализовать такие функции систем безопасности, как защита от неправомерного доступа к обрабатываемой ими информации, предотвращение негативных воздействий, способных нарушить или прекратить работу предприятия, восстановление функционирования в критических ситуациях и непрерывное взаимодействие с системой ГосСОПКА.

К примеру, для реализации основных функций систем безопасности значимых объектов критической информационной инфраструктуры и обеспечения их взаимодействия с системой ГосСОПКА в компании Positive Technologies рекомендуют применять программно-аппаратный комплекс PT Platform 187. Он содержит набор технических средств, позволяющий выполнить основные требования законодательства и, как утверждают разработчики, повысить эффективность информационной безопасности. В Positive рекомендуют также соблюдать определенную этапность при создании комплексов безопасности, начиная с защиты периметра.

Прозвучали также мнения о неуместности чрезмерной торопливости (имеет смысл подождать устранения пробелов в законодательстве) и о том, что при построении комплексов безопасности должен преобладать здравый смысл.

По словам Дмитрия Ковалева, руководителя группы технологического продвижения департамента информационной безопасности Softline, отечественные компании с высоким уровнем зрелости и ранее применяли для защиты своего бизнеса решения информационной безопасности, которые фактически предписываются сегодня регулятором. В выполняемых для них проектах оценивались риски, выделялись критически важные для бизнеса процессы, разрабатывались наиболее эффективные методы их защиты.

«В коммерческом мире это делается на основе стандартов и экспертных оценок. Теперь появились нормативные документы, регламентирующие требования к защите объектов критической информационной инфраструктуры, которые в значительной степени помогут обосновывать выделение ресурсов на решение задач информационной безопасности отечественных компаний», — подчеркнул Боровиков.

Источник: Computerworld Россия от 5 июня 2018 г.