Почему объекты КИИ уходят в облако

Критическая информационная инфраструктура (КИИ) — это совокупность информационных систем, телекоммуникационных сетей и автоматизированных систем управления, которые функционируют в критически важных для государства и общества отраслях: здравоохранении, науке, транспорте, связи, энергетике, банковской сфере и т. д. Субъектами КИИ являются государственные органы, учреждения, российские юридические лица и индивидуальные предприниматели, владеющие или использующие эти системы.

В 2024 году две трети кибератак пришлись именно на объекты КИИ— это почти 90 тысяч инцидентов. Нарушение работы объектов КИИ может привести к серьезным последствиям — в том числе создать угрозу жизни и здоровью граждан, привести к экономическим потерям и подрыву доверия к государственным институтам.

В этих условиях обеспечение безопасности этих объектов — первостепенная задача для государства и бизнеса. Такая инфраструктура, будучи ядром ключевых процессов государства, окружена большим числом регуляторных норм. Законодательная база в области защиты КИИ — это Федеральный закон от 26 июля 2017 года №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Кроме того, за регулирование отвечают приказы ФСТЭК №235 и №239, а также ряд постановлений Правительства и указов Президента.

Документы устанавливают принципы и меры по обеспечению безопасности КИИ, определяют требования к системам безопасности и применению средств защиты информации, а также вводят запрет на использование ПО и оборудования, производимых в недружественных странах. Они же определяют обязанности субъектов КИИ по защите своих информационных систем от компьютерных атак и иных угроз.

Согласно Федеральному закону № 187-ФЗ, ответственность за безопасность объектов КИИ лежит на их владельцах. Это ставит компании перед важным вопросом: можно ли такие объекты размещать в облаках.

До середины 2010-х годов крупный бизнес выбирал строить и поддерживать собственную инфраструктуру (on-premise). Однако локальные серверы часто оказываются ограниченными в масштабируемости и отказоустойчивости. Расширение мощностей требует значительных вложений в оборудование и его настройку, а обеспечение высокой доступности сервисов — создания сложной системы резервного копирования и восстановления. В результате бизнес сталкивается с высоким уровнем затрат, трудностями с управлением и нехваткой специалистов, обладающих необходимыми компетенциями. Облачные решения предлагают эффективную альтернативу. Провайдеры предоставляют масштабируемую инфраструктуру, которая позволяет быстро и без капитальных затрат адаптироваться к росту нагрузки. Компании платят только за фактически используемые ресурсы, что снижает затраты и переводит расходы в категорию операционных.

Использование облаков также решает кадровую проблему — эксперты говорят о растущем остром дефиците в ИБ-специалистах, к 2027 году он может составить около 30% от общей занятости. Провайдеры берут на себя обслуживание инфраструктуры, обеспечение безопасности и своевременной поддержки.

Наконец, облачные сервисы ускоряют внедрение новых ИТ-продуктов благодаря преднастроенной инфраструктуре и поддержке DevOps-подхода. Это сокращает Time-to-Market (время от появления идеи до выхода продукта на рынок) и позволяет бизнесу быстрее адаптироваться к изменениям и запускать обновления. К субъектам КИИ, в которых лучше всего выстроена информационная безопасность, традиционно относятся промышленность и банковский сектор.

Представители первого с помощью облаков управляют инфраструктурой на географически распределенных предприятиях, а последнего — регулярно выпускают обновления и новые продукты для большого числа пользователей по всей стране.

Чтобы не допустить инциденты информационной безопасности, специалисты облачных провайдеров круглосуточно мониторят инфраструктуру, реагируют на любые аномалии в режиме реального времени — и обеспечивают тем самым выполнение SLA на уровне 99% и выше. Поскольку on-premise решения также не гарантируют стопроцентного выполнения SLA, а на первый план выходит скорость реагирования на угрозы, бизнес все чаще смотрит в сторону облачного размещения. Аналитики Т1 Облако прогнозируют, что в этом году спрос на аттестованную облачную инфраструктуру для КИИ вырастет на 10-15% относительно 2024-го.

Добиться таких параметров помогают строгие процедуры контроля и применения передовых технологий. Наиболее распространенные из них — файерволы уровня веб-приложений (WAF) и межсетевые экраны нового поколения (NGFW) для фильтрации трафика, AntiDDoS для защиты от DDoS-атак, а также Mail Gateway для контроля за электронной почтой. Часто используются двухфакторная аутентификация, защита от посещения вредоносных сайтов DNS Security, различные платформы управления уязвимостями и платформы безопасной разработки.

При этом защита данных в облаке — это зона ответственности не только провайдера, но и клиента. Так, последний отвечает за корректное управление своими данными, настройку прав доступа и выполнение внутренних регламентов по защите информации.

Клиент также должен выстроить ИТ-ландшафт таким образом, чтобы он отвечал необходимым параметрам безопасности — уровень защищенности системы оценивается по ее самому слабому элементу. Поскольку облачные провайдеры активно инвестируют в обеспечение безопасности своих дата-центров, основная угроза может исходить именно от уязвимостей на стороне клиентских систем. Чтобы в совокупности обеспечить комплексную безопасность, провайдер предоставляет бизнесу инструменты и кадры для доработки и миграции инфраструктуры. А кроме того, берет на себя ее защиту — физическую и сетевую безопасность, шифрование данных и отражение кибератак.

У надежных провайдеров есть необходимые для своей деятельности аттестаты соответствия требованиям по ИБ, сертификатам ISO/IEC 27001, 27017, 27018 и т. д. Их ИБ-инструментарий интегрирован с отечественными и международными базами уязвимостей, а также позволяет регулярно проводить аудит безопасности.

Помимо этого, облачные провайдеры защищают данные физически: обеспечивают отказоустойчивость в рамках сейсмо- и пожаробезопасности, других природных и техногенных факторов. Также они придерживаются политики георезервирования, подразумевающую резервирование и размещение компонентов систем на разных площадках, что обеспечивает стабильную работу при сбоях.

Они также используют дата-центры, которые соответствуют строгим требованиям (стандарты доступности уровня Tier III и IV). В сочетании с эффективными инструментами безопасности это гарантирует отказоустойчивость, защищенность от утечек, взломов и физического воздействия, а также и соответствие законодательным нормам.

Облачные провайдеры играют ключевую роль в обеспечении безопасности критической информационной инфраструктуры, предлагают современные и надежные решения, соответствующие требованиям российского законодательства. Сотрудничество с проверенными облачными сервисами позволяет бизнесу не только повысить уровень защиты своих информационных систем, но и сосредоточиться на развитии основных направлений деятельности, доверив вопросы безопасности профессионалам.