Соответствие ФСТЭК и ФСБ для КИИ

ФЗ 187 «О безопасности критической информационной инфраструктуры РФ» (2017) распространяется на АСУ ТП объектов 13 отраслей: ТЭК, транспорт, атомная энергетика, химическая, оборонная, здравоохранение, связь и др. Шкафы автоматики и SCADA таких объектов подлежат категорированию (3 категории значимости) и постановке на учёт в НКЦКИ при ФСБ. Требования регуляторов — ФСТЭК (техническая защита) и ФСБ (криптография и инциденты).

Для объекта КИИ 1-й (высшей) или 2-й категории значимости требования жёсткие: применение сертифицированных ФСТЭК средств защиты информации (СЗИ), контроллеров и SCADA с действующим сертификатом по требованиям безопасности информации (приказ ФСТЭК № 239 — классы защищённости К1, К2, К3), использование отечественной криптографии ГОСТ 34.12-2018 (Магма, Кузнечик) для защищённого обмена с диспетчерскими системами, подключение к государственной системе ГосСОПКА для обмена инцидентами, аттестация объекта как ИСПДн/АС по приказу ФСТЭК № 17.

На практике поставщик автоматики для НПЗ, магистрального газопровода, SIS-систем должен подтвердить соответствие стандартным комплектом: сертификат ФСТЭК на применяемую SCADA (например, «КРУГ-2000», «Торнадо», АСТРА.Линукс), сертификат ФСБ на модули защищённой связи (устройства ViPNet, С-Терра, Континент), сертификат ФСТЭК на отечественный ПЛК (ЭЛНА, Регул, Прософт), в проекте — обоснование категории значимости и соответствия приказу № 239.

Невыполнение требований ФЗ 187 — административная ответственность (штраф до 500 тыс. руб) и уголовная (ст. 274.1 УК РФ, до 10 лет лишения свободы при тяжких последствиях). Для коммерческих объектов, не входящих в КИИ (БЦ, ТРЦ, малые котельные), требования ФСТЭК/ФСБ не применяются — достаточно стандартной сертификации по ТР ТС 004/2011 и ТР ТС 020/2011 + базовые меры кибербезопасности АСУ ТП.