ФСБ заявила, что организации действуют без ее ведома, и предупредила, что информацией о состоянии защищенности инфраструктуры завладеют иностранные спецслужбы.
В материалах федеральной службы по техническому и экспортному контролю (ФСТЭК) подчеркнуто, что передача информации о кибератаках иностранным организациям без ведома российских спецслужб является
нарушением действующих нормативных актов со стороны организаций, управляющих объектами критической инфраструктуры. Впрочем, это мало кого остановило.
При этом в Национальный координационный центр по компьютерным инцидентам (НКЦКИ), созданный ФСБ, компании передают данные намного менее охотно. Среди них есть и те, кто вообще не информирует НКЦКИ
об инцидентах, вероятно опасаясь за свой имидж и возможные финансовые потери. В результате центр не имеет полной картины происходящего и не может адекватно реагировать в соответствии с ситуацией.
Точные прогнозы из столь обрывочных данных тоже никак не получаются.
Несмотря на то, что в приказе ФСБ от 24 июля № 367 и № 368 четко прописано, что по вопросам обмена информацией с иностранными организациями компании должны обращаться в НКЦКИ, многие из
них обмениваются данными напрямую с зарубежными структурами никого не предупредив.
«Обращений в адрес НКЦКИ от субъектов критической информационной инфраструктуры по вопросам обмена информацией с иностранными (международными) организациями, предусмотренных приказами ФСБ, не
поступило ни одного. В то же время, по имеющейся у ФСБ информации, известно, что обмен такой информацией осуществляется субъектами критической информационной инфраструктуры России с нарушением
требований приказов ФСБ», — говорится в материалах ФСТЭК.
Закон «О безопасности критической информационной инфраструктуры» действует в России с 2018 года. Его основной целью является защита важнейших предприятий страны от кибератак. В этот список входят
сети связи и информационные системы госорганов, предприятий оборонной промышленности, транспорта, кредитно-финансовой сферы, энергетики, топливной и атомной промышленности и др. Требования по
обеспечению безопасности ФСТЭК присваивает на основе предоставленной владельцами таких объектов информации. Помимо этого, владельцы обязаны подключиться к Государственной системе обнаружения,
предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
По мнению ФСТЭК закон не работает в полную силу по нескольким причинам. Во-первых, в прошлом году ведомство уже отмечало отсутствие сведений о «критичности» своих объектов от банков и операторов
связи. Во-вторых, часть подзаконных актов, которыми должны утвердить детали взаимодействия организаций в рамках данного закона, все еще не принята. В качестве меры пресечения подобных «вольностей»
служба разработала проект правок, в котором также упоминаются штрафы за нарушение порядка обмена информацией о компьютерных инцидентах с иностранными организациями (до 200 тыс.). За
непредоставление данных полагается до 500 тыс. рублей.
