В небольшом городе водоканал управляет насосными станциями через автоматизированную систему. Диспетчер видит давление и уровень воды на экране, а при аварии может переключить насос удалённо. Когда руководителю говорят про закон о критической информационной инфраструктуре, он пожимает плечами: «Мы же не атомная станция, у нас двадцать сотрудников».

Именно с этого недоразумения начинаются проблемы. Критическая информационная инфраструктура определяется не размером организации и не количеством сотрудников, а последствиями остановки. Если из-за сбоя без воды останется весь город, включая больницу и пожарную часть, — это уже критическая инфраструктура, независимо от штата.

Что такое КИИ и кто такой субъект

Критическая информационная инфраструктура — это системы и сети, которые обеспечивают работу жизненно важных отраслей: энергетики, транспорта, связи, здравоохранения, финансов, водоснабжения, пищевой промышленности, государственного управления. Если такая система останавливается, последствия выходят за пределы одной компании.

Закон 187-ФЗ, принятый в 2017 году, вводит два разных понятия, которые постоянно путают. Объект КИИ — это конкретная система, сеть или автоматизированный комплекс: например, сервер биллинга оператора связи или система управления насосной станцией. Субъект КИИ — организация, которая владеет объектом или обеспечивает его работу. Именно субъект отвечает за выполнение требований.

Из этого следует первый практический вывод. Водоканал может не считать себя «айтишной компанией», но если он эксплуатирует объект КИИ, он становится субъектом и попадает под закон. Дальше вопрос уже не в желании, а в категорировании.

Категория — это последствия, а не размер

Каждый объект КИИ нужно обследовать и отнести к одной из трёх категорий значимости: первой, второй или третьей. Первая — самая высокая.

Категория зависит от того, что произойдёт, если объект перестанет работать. Насколько пострадают люди, экономика, оборона и безопасность государства. Для водоканала вопрос звучит так: сколько жителей останется без воды, какие объекты зависят от водоснабжения, есть ли резервные источники, сколько времени займёт восстановление.

Порядок категорирования установлен постановлением Правительства № 127, а требования к процессу — приказом ФСТЭК № 239. Ошибка на этом этапе дорого стоит: заниженная категория означает, что к объекту применяются более мягкие требования, чем должны, а это выясняется при проверке или, что хуже, при инциденте.

После категорирования сведения о значимых объектах направляются в ФСТЭК и включаются в реестр. С этого момента объект официально становится значимым, и к нему применяются обязательные требования по защите.

Что требуется после категорирования

Значимый объект КИИ — это не только документы. Нужно создать систему безопасности, которая включает организационные меры, технические средства и процессы реагирования.

Требования к системе безопасности задаёт приказ ФСТЭК № 235. Требования к защите информации в значимых объектах — приказ № 117 от 25 декабря 2017 года. Это тот самый «первый 117-й», который часто путают с приказом № 117 от 11 апреля 2025 года про государственные информационные системы: разные документы, разные объекты, одинаковый номер.

Отдельно действует приказ ФСБ № 378 — он устанавливает требования к защите информации в значимых объектах, включая использование криптографических средств. Если в системе применяется шифрование или электронная подпись, требования ФСБ становятся частью общей картины.

И есть ещё один элемент, который отличает КИИ от обычной защиты информации: взаимодействие с ГосСОПКА. Это государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак. Субъект КИИ должен подключиться к ней, сообщать об инцидентах, получать информацию об угрозах и выполнять рекомендации. Для водоканала это означает, что атака на насосную станцию — не внутреннее дело компании, а событие, о котором нужно сообщить.

Как выглядит путь водоканала

Начинается всё с инвентаризации. Нужно понять, какие системы есть, где они находятся, кто к ним имеет доступ и как они связаны с технологическим процессом. У водоканала это может быть диспетчерская система, контроллеры на станциях, каналы связи, серверы и рабочие места операторов.

Потом проводится обследование и категорирование. Специалисты оценивают последствия остановки: сколько людей останется без воды, какие организации пострадают, есть ли альтернативные источники. По результатам объекту присваивается категория или делается вывод, что он не является значимым.

Если категория присвоена, нужно создать систему безопасности. Здесь важно не копировать чужой проект, а исходить из своей архитектуры: сегментировать сеть, чтобы из офиса нельзя было напрямую достучаться до контроллеров, ограничить удалённый доступ подрядчиков, настроить журналирование, обеспечить резервное копирование конфигураций.

Дальше — подключение к ГосСОПКА и обучение персонала. Диспетчер должен понимать, что делать при подозрительной активности, а руководитель — что инцидент нужно расследовать и сообщать о нём, а не «перезагрузить и забыть».

И наконец — регулярность. Категория может измениться, если изменился технологический процесс или состав систем. Требования обновляются, появляются новые угрозы. Система безопасности значимого объекта — это не проект, который закрыли, а процесс, который поддерживают.

Почему категорирование — самое трудное

Категорирование кажется формальностью только до первого спора. Руководитель производства говорит, что остановка насоса приведёт к аварии, а ИТ-специалист — что система резервируется вручную и ничего страшного не произойдёт. Оба могут быть правы в разных сценариях, и задача категорирования — не выбрать «правого», а зафиксировать обоснованный ответ.

Сложность в том, что последствия редко выражаются в деньгах напрямую. Для водоканала это количество людей без воды, работа больниц и пожарных частей, возможность подвоза воды. Для транспортного предприятия — количество пассажиров и маршрутов. Для больницы — не только данные, но и жизнь пациентов. Поэтому обследование начинается не с серверов, а с технологического процесса: что делает объект, кто от него зависит, сколько времени допустим простой.

Вторая сложность — доказательства. Недостаточно написать «категория вторая, потому что важно». Нужны документы: схема объекта, описание процессов, оценка последствий, расчёты или обоснования, решение комиссии. Проверяющий смотрит не на красивое название, а на то, что за ним стоит.

Третья — изменение категории. Если на станции добавили удалённое управление или подключили новый район, последствия меняются, и категория может стать выше. Это не повод откладывать категорирование «до стабильного состояния»: стабильного состояния у инфраструктуры не бывает.

Что происходит после подключения к ГосСОПКА

Многие воспринимают подключение к ГосСОПКА как ещё одну бумагу: подключились, отправили документы, забыли. На практике это меняет режим работы. Организация должна не только сообщать об инцидентах, но и уметь их замечать, классифицировать и описывать так, чтобы информация была полезной.

Для водоканала это означает, что нужно заранее решить, кто отвечает за взаимодействие, какие события считаются инцидентом, в какие сроки передаётся информация и что делать, если связь с системой пропала. Если диспетчер видит странное поведение контроллера, он должен не просто перезагрузить его, а зафиксировать факт и передать ответственному.

Здесь же появляется требование к совместимости: средства защиты и журналы должны давать информацию в понятном виде. Если система пишет логи, которые никто не читает, пользы от подключения мало.

Чего не хватает чаще всего

Самая частая проблема — не отсутствие средств защиты, а отсутствие ролей. В небольшой организации один человек отвечает за всё: за сети, за компьютеры, за охрану труда и за информационную безопасность. Формально ответственный есть, фактически у него нет времени.

Вторая проблема — подрядчики. Обслуживание насосных станций часто передают внешней организации, которая подключается удалённо. Если доступ не ограничен по времени и не журналируется, подрядчик становится частью периметра, о котором никто не думает.

Третья — резервные каналы и ручные режимы. Хорошая защита учитывает не только атаку, но и сбой: что делать, если автоматика недоступна, кто принимает решение, сколько времени займёт переход на ручное управление. Для критической инфраструктуры это не менее важно, чем межсетевой экран.

Если кажется, что это не про вас

Самый опасный сценарий — решить, что закон касается только крупных объектов. Проверить это можно за несколько вопросов. Есть ли у организации системы, которые управляют технологическим процессом? Зависит ли от их работы население или другие организации? Что произойдёт, если система остановится на час, на сутки, на неделю? Есть ли ручной режим и сколько времени займёт переход?

Если ответы вызывают тревогу, стоит начать с инвентаризации и консультации с ФСТЭК, а не ждать проверки. Категорирование можно провести и получить вывод об отсутствии значимости — это тоже законный результат, если он обоснован. Гораздо хуже, когда объект значимый, но организация узнаёт об этом после инцидента.

Что будет за нарушение

Для субъектов КИИ предусмотрена административная и уголовная ответственность. Уголовный кодекс содержит статью 274.1 — неправомерное воздействие на критическую информационную инфраструктуру. Она касается не только тех, кто атакует, но и тех, кто создаёт условия для атаки или помогает ей.

Административная ответственность наступает за нарушение требований по защите объектов КИИ, за непредставление сведений и за другие нарушения. Конкретные размеры зависят от состава и меняются, поэтому перед принятием решений нужно смотреть действующие нормы.

Но не только штрафы мотивируют. Для критической инфраструктуры серьёзнее другое: предписание, ограничение работы, потеря доверия и остановка процесса. Если насосная станция не работает, разбираться с штрафом будут уже после того, как люди останутся без воды.

Как совместить КИИ и защиту персональных данных

Одна и та же система часто попадает под несколько режимов. Водоканал обрабатывает данные абонентов — значит, применяется 152-ФЗ. Одновременно он может быть субъектом КИИ. Больница обрабатывает медицинские данные и может управлять значимым объектом. Это не взаимоисключающие истории.

На практике удобно идти от системы, а не от закона. Сначала описать систему, данные и процессы, затем определить, какие режимы применяются: персональные данные, КИИ, государственная информационная система, отраслевые требования. Потом выбрать самый строгий набор требований и проверить, что он покрывает остальные.

Такой подход экономит силы: вместо трёх параллельных систем защиты появляется одна, документы которой учитывают все применимые требования. И проверяющему проще: он видит целостную картину, а не три папки, которые противоречат друг другу.

Главная мысль

КИИ начинается не с размера компании и не с наличия ИТ-отдела, а с вопроса: что произойдёт, если эта система остановится. Если последствия серьёзные, закон применяется независимо от того, считает ли себя организация «критической».

Категорирование — это не формальность, а способ понять, сколько ресурсов нужно вложить в защиту. Дальше требования ФСТЭК и ФСБ, взаимодействие с ГосСОПКА и постоянное обновление системы складываются в ту же логику, что и в обычной информационной безопасности: понять, что защищаем, от кого и что будет, если не получится.

Что делать дальше