Объекты КИИ, их безопасность и сценарии размещения в облаке

Критическая информационная инфраструктура — это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, которые функционируют в значимых для государства и общества сферах. Их безопасность регулирует Федеральный закон от 26 июля 2017 года № 187-ФЗ.

• Объекты КИИ — это конкретные системы и сети, нарушение работы которых может повлиять на выполнение критически важных функций. Например, к ним могут относиться платежные системы банков, информационные системы медицинских организаций, сети связи и автоматизированные системы управления технологическими процессами на производстве.

• Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которые владеют объектами КИИ на предусмотренных законом основаниях и осуществляют деятельность в установленных сферах.

К таким сферам относятся здравоохранение, наука, транспорт, связь, энергетика, банковская деятельность и другие сферы финансового рынка, топливно-энергетический комплекс, атомная, оборонная и ракетно-космическая промышленность, горнодобывающая, металлургическая и химическая промышленность.

Категорирование КИИ — процедура оценки последствий нарушения работы объекта. По ее результатам определяют категорию значимости и требования к защите, которые необходимо учитывать при проектировании и эксплуатации системы.

Категорирование регулируется 187-ФЗ и постановлением Правительства РФ № 127. 

Какие бывают категории значимости

Объекту КИИ может быть присвоена одна из трех категорий. 

• I категория — высокая значимость. Нарушение функционирования объекта может привести к наиболее серьезным последствиям по критериям законодательства.

• II категория — средняя значимость. Последствия нарушения соответствуют установленным критериям второй категории.

• III категория — низкая значимость. Последствия нарушения соответствуют критериям третьей категории.

При оценке учитывают возможный социальный, экономический и экологический ущерб, а также последствия для обороноспособности и безопасности государства. Категория определяется по установленным критериям, а не только по размеру компании или стоимости ее ИТ-инфраструктуры.

Защита КИИ начинается с анализа угроз. Организация должна определить, какие сценарии могут нарушить работу конкретного объекта, какие последствия они повлекут и какие меры помогут снизить риски.

Единого набора средств, одинаково подходящего всем объектам КИИ, нет. Состав защиты зависит от архитектуры системы, актуальных угроз, категории значимости и требований регуляторов.

Основные угрозы для КИИ

На практике важно учитывать несколько основных направлений.

• Вредоносное ПО. Шифровальщики и целевые атаки могут привести к потере данных, нарушению доступности систем и остановке критически важных процессов.

• Уязвимости программного обеспечения и криптографических механизмов. Их эксплуатация может создать условия для перехвата информации, подмены данных или компрометации цифровых подписей.

• Нарушения изоляции виртуальных машин и контейнеров. Ошибки конфигурации и недостаточная сегментация могут увеличить риск несанкционированного доступа к данным и ресурсам.

• Компрометация учетных записей. Избыточные права, слабая аутентификация и несвоевременное отключение доступа повышают вероятность действий злоумышленников от имени сотрудников.

• Воздействие на ИИ-модели и обучающие данные. При использовании искусственного интеллекта необходимо учитывать риски подмены данных, изменения моделей и получения некорректных результатов.

Актуальные сведения об уязвимостях и сценариях атак можно проверять в Банке данных угроз безопасности информации ФСТЭК России.

Как выстроить защиту КИИ

Для защиты объектов КИИ используют сочетание организационных и технических мер.

1. Разработать модель угроз и нарушителя. Она описывает особенности объекта, потенциальные сценарии воздействия и возможные последствия.

2. Настроить сетевую защиту. Межсетевые экраны, сегментация сети и системы обнаружения и предотвращения вторжений помогают контролировать трафик и ограничивать распространение атак.

3. Обеспечить управление доступом. Следует предоставлять минимально необходимые права, применять надежную аутентификацию и регулярно проверять разрешения пользователей.

4. Организовать мониторинг и аудит. Журналы событий и инструменты анализа помогают выявлять подозрительную активность и расследовать инциденты.

5. Настроить резервное копирование. Важно регулярно создавать копии данных, защищать их от изменения и проверять возможность восстановления.

6. Подготовить план реагирования на инциденты. В нем определяют сценарии действий, ответственных сотрудников и порядок взаимодействия с регуляторами.

Для значимых объектов КИИ состав обязательных мер определяют с учетом требований приказов ФСТЭК России № 235 и № 239 и особенностей конкретной системы.

Требования к безопасности КИИ закреплены в нескольких нормативных документах. Они регулируют категорирование объектов, создание систем безопасности, выбор защитных мер и порядок реагирования на компьютерные инциденты.

Итак, субъекту КИИ необходимо:

• создать систему безопасности значимого объекта и поддерживать ее на протяжении жизненного цикла системы;

• определить угрозы и подготовить необходимую документацию;

• внедрить организационные и технические меры защиты с учетом применимых требований;

• организовать выявление, регистрацию и обработку компьютерных инцидентов;

• выполнять обязанности по взаимодействию с ГосСОПКА (государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак) и НКЦКИ (Национальным координационным центром по компьютерным инцидентам) в предусмотренных законом случаях; 

• выполнять предписания уполномоченных органов.

Законодательство не устанавливает универсального запрета на размещение объектов КИИ в облачной инфраструктуре. Однако возможность такого размещения зависит от категории объекта, требований к его защите и характеристик выбранной платформы.

Для значимых объектов необходимо подтвердить, что инфраструктура и ее конфигурация подходят для соответствующего сценария. Сам по себе российский статус провайдера или наличие отдельных сертификатов не означает, что любая система заказчика автоматически соответствует требованиям.

Выбор подходящей инфраструктуры для объектов КИИ

Главный принцип: сначала определяют требования к объекту КИИ, а затем подбирают инфраструктуру. Даже если облачная платформа соответствует определенным требованиям, необходимо оценить собственную систему, настроить защиту на уровне приложений и данных и выполнить предусмотренные процедуры.

Cloud.ru предоставляет облачную инфраструктуру, которую можно рассматривать для размещения объектов КИИ — с учетом требований к конкретной системе. Инфраструктура имеет аттестаты соответствия требованиям по защите информации, в том числе приказу ФСТЭК России № 239.

Благодаря этому решение «Облако для КИИ» подходит для целого ряда сценариев: размещения значимых объектов КИИ I категории, государственных информационных систем 1 класса защищенности и информационных систем персональных данных с уровнем защищенности УЗ-1. Применимость аттестации при этом нужно подтверждать для конкретной конфигурации и состава размещаемой системы.

Защищенная инфраструктура и российское ПО

Инфраструктура Cloud.ru — это девять дата-центров в России с уровнем доступности SLA 99,982%. В облаке применяются отечественные операционные системы и базы данных, защищенные каналы связи и виртуальный межсетевой экран нового поколения UserGate — сертификат ФСТЭК России № 3905 для него был продлен в апреле 2026 года.

Кто за что отвечает: обязанности провайдера и субъекта КИИ

Облачный провайдер не берет на себя обязанности субъекта КИИ — они остаются на организации. Поэтому до миграции нужно зафиксировать, какие меры защиты обеспечивает провайдер, а какие организация реализует сама, определить порядок обмена сведениями и убедиться, что архитектура позволяет выполнить все применимые требования. Иначе соответствие не подтвердить.

Перед переносом системы проверьте инфраструктуру и договорные условия по основным критериям.

• Аттестация. Наличие действующих документов о соответствии инфраструктуры требованиям, необходимых для объекта.

• Границы аттестованного сегмента. Документы должны подтверждать соответствие именно тех ресурсов и компонентов, которые планируется использовать.

• Российское ПО и оборудование. Используемые решения входят в реестр российского ПО или соответствуют применимым ограничениям по импортозамещению. 

• Размещение данных. Соблюдение требований к местонахождению инфраструктуры и обработке информации.

• Разграничение ответственности. В договоре зафиксировано, какие меры защиты обеспечивает провайдер, а какие — заказчик.

• Управление доступом. Возможность контролировать права пользователей и администраторов, а также действия с ресурсами.

• Журналы и аудит. Предоставление необходимых журналов событий и сведений для расследования инцидентов.

• Проверки. Готовность провайдера предоставить документы и содействовать проверкам в согласованных пределах.

• Резервное копирование. Определены порядок хранения копий, сроки восстановления и проверка их целостности.

• Реагирование на инциденты. Согласованы порядок уведомления, ответственные лица и взаимодействие сторон.

• Надежность. Предусмотрены меры обеспечения доступности и восстановления после сбоев.

Если хоть по одному из пунктов нет подтвержденной информации, его нужно уточнить до заключения договора и переноса системы. Для окончательного выбора рекомендуется привлечь специалистов по информационной безопасности и проверить соответствие архитектуры актуальным требованиям регуляторов.

Нарушение требований к безопасности КИИ влечет административную, а в отдельных случаях — уголовную ответственность.

По КоАП РФ действуют две статьи: 

• 13.12.1 — за нарушение требований в области безопасности КИИ (штраф для юрлиц от 50 000 до 500 000 рублей в зависимости от обстоятельств);

• 13.12.2, введенная Федеральным законом от 9 апреля 2026 года № 76-ФЗ, — за нарушение правил эксплуатации объектов КИИ (штраф для юрлиц от 100 000 до 500 000 рублей).

Уголовная ответственность предусмотрена статьей 274.1 УК РФ — за неправомерное воздействие на критическую информационную инфраструктуру. В установленных законом случаях наказание может достигать десяти лет лишения свободы.

Конкретная ответственность зависит от состава нарушения и применимой нормы, поэтому перед принятием решений нужно сверяться с актуальными редакциями законодательства.

Компании в сфере КИИ продолжают переходить на российское ПО и оборудование. Но просто заменить иностранные продукты недостаточно: важно, чтобы новые компоненты работали вместе, настройки безопасности сохранились, а системы не останавливались.

Выбирая инфраструктуру, рекомендуем проверить, какие требования к ПО, оборудованию и средствам защиты действуют для объекта. Конечно, облачная платформа с российским ПО поможет упростить часть задач по импортозамещению, но всю архитектуру оценивать все равно придется.

Второй фактор — искусственный интеллект. ИИ помогает анализировать данные и поддерживать технологические процессы, но добавляет и риски: данные можно подменить, модель — изменить, а результат — получить некорректный.

ФСТЭК России выпускала проект ГОСТ Р о безопасности ИИ-систем в ключевых отраслях. Это пока проект, а не обязательное требование. Но если вы используете ИИ в критически важных процессах, стоит заранее продумать контроль данных и действий пользователей, качество результатов и аудит моделей.

Заключение

Безопасность КИИ требует комплексного подхода: от категорирования объектов и внедрения мер защиты до непрерывного мониторинга и реагирования на инциденты. Госорганизациям зачастую сложно выстроить контур защиты и непрерывного мониторинга самостоятельно.

Облачная инфраструктура Cloud.ru может стать основой для размещения значимых объектов КИИ, государственных информационных систем и ИСПДн — в подходящих для этого сценариях. Перед миграцией нужно подтвердить применимость аттестации к конкретной конфигурации, согласовать зоны ответственности и убедиться, что система готова выполнить все необходимые требования.

FAQ

• Можно ли размещать значимые объекты КИИ в облаке?

  Да, если выбранная инфраструктура подходит для конкретного объекта и позволяет выполнить все применимые требования. Перед переносом необходимо проверить документы о соответствии, границы защищенного сегмента, архитектуру и распределение ответственности.

• Что регулирует 187-ФЗ?

  Федеральный закон № 187-ФЗ устанавливает основы обеспечения безопасности КИИ, определяет обязанности субъектов и регулирует вопросы категорирования объектов и защиты значимой инфраструктуры.

• Как проводится категорирование КИИ?

  Категорирование основано на оценке последствий нарушения функционирования объекта по установленным критериям. При определении значимости необходимо учитывать актуальный порядок и применимые типовые отраслевые перечни. По результатам объекту присваивают I, II или III категорию либо не присваивают категорию значимости.

• Какие требования ФСТЭК действуют для значимых объектов КИИ?

  Требования к созданию систем безопасности и обеспечению безопасности значимых объектов установлены, в частности, приказами ФСТЭК России № 235 и № 239. Состав мер зависит от применимых требований, категории объекта и особенностей его функционирования.

• Как выбрать облачного провайдера для размещения объектов КИИ?

  При выборе облачного провайдера важно убедиться, что его инфраструктура и услуги подходят для размещения конкретных объектов КИИ и позволяют выполнить установленные требования безопасности. До миграции необходимо проверить применимость аттестации к выбранной конфигурации, согласовать зоны ответственности и определить, какие меры защиты обеспечивает провайдер, а какие остаются на стороне субъекта КИИ.

• Как выбрать облако для КИИ?

  Проверьте аттестацию инфраструктуры, границы защищенного сегмента, используемые программно-аппаратные решения, условия размещения данных, порядок аудита и разграничение ответственности. Окончательное решение принимайте после оценки архитектуры и требований к вашему объекту.