Кто отвечает за безопасность критической информационной инфраструктуры

Ответственность за безопасность КИИ нужно связывать с обязанностями её субъекта. КИИ — это критическая информационная инфраструктура. Закон обращает требования к субъекту: он сообщает о компьютерных инцидентах, содействует обнаружению атак и ликвидации их последствий. Если субъекту принадлежит значимый объект, круг задач шире: нужно соблюдать требования к его безопасности и организовать защиту. Эти обязанности разделены в ч. 2 и 3 ст. 9 187-ФЗ (КИИ).

Для значимого объекта имеет значение не только собственность. Обязанности распространяются и на субъекта, которому объект принадлежит по договору аренды или на другом законном основании. При определении того, кто должен обеспечивать защиту, нужно учитывать основание владения объектом и его значимость. Аренда входит в число прямо названных оснований наряду с собственностью — ч. 3 ст. 9 187-ФЗ (КИИ).

Субъект создаёт систему безопасности значимого объекта и обеспечивает её функционирование. Это постоянная работа: система должна защищать обрабатываемую информацию от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения. Ещё одна задача — предотвращать воздействие на технические средства, способное нарушить или остановить работу объекта. Создание системы и поддержание её работы возложены на субъекта ч. 1 и 2 ст. 10 187-ФЗ (КИИ).

Защита охватывает и восстановление работы после нарушения. Для этого предусмотрены создание и хранение резервных копий необходимой информации. Кроме того, система безопасности должна непрерывно взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Эти задачи относятся к системе безопасности значимого объекта — п. 3 и 4 ч. 2 ст. 10 187-ФЗ (КИИ).

Если произошёл компьютерный инцидент, субъект обязан незамедлительно сообщить о нём федеральному органу исполнительной власти, уполномоченному в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Для деятельности в банковской сфере и иных сферах финансового рынка предусмотрено также уведомление Центрального банка Российской Федерации. Сообщение направляют в установленном порядке — п. 1 ч. 2 ст. 9 187-ФЗ (КИИ).

Принадлежность значимого объекта означает также обязанность реагировать на инциденты и принимать меры по ликвидации последствий атак на него. Субъект должен выполнять предписания об устранении нарушений требований безопасности. А если на объекте установлены средства обнаружения и предупреждения атак, нужно соблюдать порядок и технические условия их установки и эксплуатации, обеспечивать сохранность. Эти требования дополняют друг друга: эксплуатация средств защиты, реагирование и исполнение предписаний относятся к разным задачам субъекта — п. 3 ч. 2, п. 2 и 3 ч. 3 ст. 9 187-ФЗ (КИИ).