Подавляющее большинство объектов КИИ не имеют минимального уровня защиты. По результатам мониторинга, проведённого ФСТЭК, выяснилось, что это характерно для 89% объектов критической информационной инфраструктуры.
Согласно новой методике
Ранее ФСТЭК России разработала методику оценки показателя состояния защиты информации на объектах критической информационной инфраструктуры (КИИ).
Цель методики – оценка степени достижения органами государственной власти и организациями минимально необходимого уровня защиты информации, не составляющей государственную тайну, и уровня обеспечения безопасности значимых объектов КИИ от самых распространённых угроз безопасности.
Из проведенного на основе новой методики мониторинга ИБ-архитектуры 100 отечественных организаций выяснилось, что подавляющее большинство из них не имеет и минимального уровня защиты. Как пояснил начальник управления ФСТЭК Сергей Бондаренко на SOC Forum 2024, незащищенность организаций означает, что объекты критической инфраструктуры могут стать легкой целью для злоумышленников.
Точка зрения эксперта
В условиях информационного давления такие результаты – тревожный сигнал для всех участников рынка.
По словам члена комитета Госдумы по информационной политике, информационным технологиям и связи Антона Немкина, «в 2024 году увеличилась доля высококритичных атак – сразу на 66%. Речь идет об атаках, итогом которых стали реальное нарушение бизнес-процессов. При этом наибольшая доля – практически 70% – высококритичных атак пришлась на критическую информационную инфраструктуру. За аналогичный период 2023 года показатель составил порядка 46%».
Объекты КИИ – стратегически важные для страны информационные системы, автоматизированные системы управления, а также информационно-телекоммуникационные сети, от работоспособности которых зависит стабильное функционирование разных сфер жизни.
«Сюда можно отнести, например, информсистемы в сфере здравоохранения. Успешная кибератака может привести к остановке систем жизнеобеспечения, некорректно поставленному диагнозу и, как следствие, причинению реального вреда здоровью граждан. Поэтому подобное положение дел просто недопустимо», – подчеркнул депутат.
Отраслевая тенденция
Слабая защищенность характерна не только для объектов КИИ, отметил эксперт: «По данным Роскомнадзора, 90% организаций не защищены от внешних атак. Думаю, эта проблема актуальна для всей отрасли».
Ранее ФСТЭК опубликовала проект приказа, предполагающий внесение правок в текущие требования безопасного хранения данных, не относящихся к гостайне и обрабатываемых госорганами, а также объектами КИИ. Основная цель предлагаемых поправок – повышение защищенности организаций от возможных DDoS-атак. Так, их хотят обязать хранить информацию об атаках злоумышленников в течение трех лет, а также расширить канал передачи данных для обеспечения пропуска двукратного объема трафика.
Ужесточение требований необходимо, считает Антон Немкин: «Объекты КИИ должны работать бесперебойно, от этого зависит устойчивость большинства отраслей экономики. Предлагаемые изменения дополнят существующие модели защиты инфраструктуры. Кроме того, введение требования по хранению информации об инцидентах позволит сформировать базу данных инцидентов и детально проанализировать действия злоумышленников».
