Объекты КИИ, их безопасность и сценарии размещения в облаке

Сбой ИТ-системы банка, остановка производственной линии завода или нарушение работы энергетической инфраструктуры могут привести к последствиям далеко за пределами одной организации. Поэтому для компаний в критически важных отраслях действуют специальные требования к информационной безопасности (ИБ).

Их регулирует Федеральный закон № 187-ФЗ: он устанавливает обязанности субъектов КИИ, а для значимых объектов предусматривает дополнительные требования к защите, в том числе по приказам ФСТЭК России.

Отсюда и задачи, которые стоят перед организацией: определить, какие системы относятся к объектам КИИ, провести их категорирование, оценить угрозы и внедрить меры защиты. Параллельно нужно решить, где размещать эти системы — в собственном ЦОД, частном облаке или на облачной платформе провайдера.

Разберем, что такое объекты КИИ, как проводится категорирование, какие требования предъявляются к их безопасности и при каких условиях возможно размещение КИИ в облаке.

• Что такое объекты КИИ и кто такие субъекты КИИ
• Категорирование КИИ: как определить значимость объекта
• Безопасность объектов КИИ: основные угрозы и меры защиты
• Требования ФСТЭК к КИИ: что должен выполнить субъект
• Можно ли размещать КИИ в облаке
• Как Cloud.ru помогает разместить объекты КИИ
• Чек-лист выбора облачного провайдера для КИИ
• Ответственность за нарушение требований 187-ФЗ
• Импортозамещение и искусственный интеллект: новые задачи для КИИ

Критическая информационная инфраструктура — это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, которые функционируют в значимых для государства и общества сферах. Их безопасность регулирует Федеральный закон от 26 июля 2017 года № 187-ФЗ.

• Объекты КИИ — это конкретные системы и сети, нарушение работы которых может повлиять на выполнение критически важных функций. Например, к ним могут относиться платежные системы банков, информационные системы медицинских организаций, сети связи и автоматизированные системы управления технологическими процессами на производстве.
• Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которые владеют объектами КИИ на предусмотренных законом основаниях и осуществляют деятельность в установленных сферах.

К таким сферам относятся здравоохранение, наука, транспорт, связь, энергетика, банковская деятельность и другие сферы финансового рынка, топливно-энергетический комплекс, атомная, оборонная и ракетно-космическая промышленность, горнодобывающая, металлургическая и химическая промышленность.

Категорирование КИИ — процедура оценки последствий нарушения работы объекта. По ее результатам определяют категорию значимости и требования к защите, которые необходимо учитывать при проектировании и эксплуатации системы.

Категорирование регулируется 187-ФЗ и постановлением Правительства РФ № 127.

В 2025–2026 годах подход к определению значимости менялся: необходимо учитывать применимые типовые отраслевые перечни, в том числе утвержденные распоряжением Правительства РФ № 360-р от 26 февраля 2026 года.

Объекту КИИ может быть присвоена одна из трех категорий.

• I категория — высокая значимость. Нарушение функционирования объекта может привести к наиболее серьезным последствиям по критериям законодательства.
• II категория — средняя значимость. Последствия нарушения соответствуют установленным критериям второй категории.
• III категория — низкая значимость. Последствия нарушения соответствуют критериям третьей категории.

При оценке учитывают возможный социальный, экономический и экологический ущерб, а также последствия для обороноспособности и безопасности государства. Категория определяется по установленным критериям, а не только по размеру компании или стоимости ее ИТ-инфраструктуры.

Защита КИИ начинается с анализа угроз. Организация должна определить, какие сценарии могут нарушить работу конкретного объекта, какие последствия они повлекут и какие меры помогут снизить риски.

Единого набора средств, одинаково подходящего всем объектам КИИ, нет. Состав защиты зависит от архитектуры системы, актуальных угроз, категории значимости и требований регуляторов.

На практике важно учитывать несколько основных направлений.

• Вредоносное ПО. Шифровальщики и целевые атаки могут привести к потере данных, нарушению доступности систем и остановке критически важных процессов.
• Уязвимости программного обеспечения и криптографических механизмов. Их эксплуатация может создать условия для перехвата информации, подмены данных или компрометации цифровых подписей.
• Нарушения изоляции виртуальных машин и контейнеров. Ошибки конфигурации и недостаточная сегментация могут увеличить риск несанкционированного доступа к данным и ресурсам.
• Компрометация учетных записей. Избыточные права, слабая аутентификация и несвоевременное отключение доступа повышают вероятность действий злоумышленников от имени сотрудников.
• Воздействие на ИИ-модели и обучающие данные. При использовании искусственного интеллекта необходимо учитывать риски подмены данных, изменения моделей и получения некорректных результатов.

Актуальные сведения об уязвимостях и сценариях атак можно проверять в Банке данных угроз безопасности информации ФСТЭК России.

Для защиты объектов КИИ используют сочетание организационных и технических мер.

1. Разработать модель угроз и нарушителя. Она описывает особенности объекта, потенциальные сценарии воздействия и возможные последствия.
2. Настроить сетевую защиту. Межсетевые экраны, сегментация сети и системы обнаружения и предотвращения вторжений помогают контролировать трафик и ограничивать распространение атак.
3. Обеспечить управление доступом. Следует предоставлять минимально необходимые права, применять надежную аутентификацию и регулярно проверять разрешения пользователей.
4. Организовать мониторинг и аудит. Журналы событий и инструменты анализа помогают выявлять подозрительную активность и расследовать инциденты.
5. Настроить резервное копирование. Важно регулярно создавать копии данных, защищать их от изменения и проверять возможность восстановления.
6. Подготовить план реагирования на инциденты. В нем определяют сценарии действий, ответственных сотрудников и порядок взаимодействия с регуляторами.

Для значимых объектов КИИ состав обязательных мер определяют с учетом требований приказов ФСТЭК России № 235 и № 239 и особенностей конкретной системы.

Требования к безопасности КИИ закреплены в нескольких нормативных документах. Они регулируют категорирование объектов, создание систем безопасности, выбор защитных мер и порядок реагирования на компьютерные инциденты.

Итак, субъекту КИИ необходимо:

• создать систему безопасности значимого объекта и поддерживать ее на протяжении жизненного цикла системы;
• определить угрозы и подготовить необходимую документацию;
• внедрить организационные и технические меры защиты с учетом применимых требований;
• организовать выявление, регистрацию и обработку компьютерных инцидентов;
• выполнять обязанности по взаимодействию с ГосСОПКА (государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак) и НКЦКИ (Национальным координационным центром по компьютерным инцидентам) в предусмотренных законом случаях;
• выполнять предписания уполномоченных органов.

Законодательство не устанавливает универсального запрета на размещение объектов КИИ в облачной инфраструктуре. Однако возможность такого размещения зависит от категории объекта, требований к его защите и характеристик выбранной платформы.

Для значимых объектов необходимо подтвердить, что инфраструктура и ее конфигурация подходят для соответствующего сценария. Сам по себе российский статус провайдера или наличие отдельных сертификатов не означает, что любая система заказчика автоматически соответствует требованиям.

Использование дата-центров уровня Tier III может быть одним из критериев выбора, но сам по себе этот уровень не является универсальным требованием 187-ФЗ.

Главный принцип: сначала определяют требования к объекту КИИ, а затем подбирают инфраструктуру. Даже если облачная платформа соответствует определенным требованиям, необходимо оценить собственную систему, настроить защиту на уровне приложений и данных и выполнить предусмотренные процедуры.

Cloud.ru предоставляет облачную инфраструктуру, которую можно рассматривать для размещения объектов КИИ — с учетом требований к конкретной системе. Инфраструктура имеет аттестаты соответствия требованиям по защите информации, в том числе приказу ФСТЭК России № 239.

Благодаря этому решение "Облако для КИИ" подходит для целого ряда сценариев: размещения значимых объектов КИИ I категории, государственных информационных систем 1 класса защищенности и информационных систем персональных данных с уровнем защищенности УЗ-1. Применимость аттестации при этом нужно подтверждать для конкретной конфигурации и состава размещаемой системы.

Инфраструктура Cloud.ru — это девять дата-центров в России с уровнем доступности SLA 99,982%. В облаке применяются отечественные операционные системы и базы данных, защищенные каналы связи и виртуальный межсетевой экран нового поколения UserGate — сертификат ФСТЭК России № 3905 для него был продлен в апреле 2026 года.

Облачный подход позволяет масштабировать ресурсы без самостоятельной закупки дополнительного оборудования и использовать предусмотренные платформой средства защиты.

Облачный провайдер не берет на себя обязанности субъекта КИИ — они остаются на организации. Поэтому до миграции нужно зафиксировать, какие меры защиты обеспечивает провайдер, а какие организация реализует сама, определить порядок обмена сведениями и убедиться, что архитектура позволяет выполнить все применимые требования. Иначе соответствие не подтвердить.

Перед переносом системы проверьте инфраструктуру и договорные условия по основным критериям.

• Аттестация. Наличие действующих документов о соответствии инфраструктуры требованиям, необходимых для объекта.
• Границы аттестованного сегмента. Документы должны подтверждать соответствие именно тех ресурсов и компонентов, которые планируется использовать.
• Российское ПО и оборудование. Используемые решения входят в реестр российского ПО или соответствуют применимым ограничениям по импортозамещению.
• Размещение данных. Соблюдение требований к местонахождению инфраструктуры и обработке информации.
• Разграничение ответственности. В договоре зафиксировано, какие меры защиты обеспечивает провайдер, а какие — заказчик.
• Управление доступом. Возможность контролировать права пользователей и администраторов, а также действия с ресурсами.
• Журналы и аудит. Предоставление необходимых журналов событий и сведений для расследования инцидентов.
• Проверки. Готовность провайдера предоставить документы и содействовать проверкам в согласованных пределах.
• Резервное копирование. Определены порядок хранения копий, сроки восстановления и проверка их целостности.
• Реагирование на инциденты. Согласованы порядок уведомления, ответственные лица и взаимодействие сторон.
• Надежность. Предусмотрены меры обеспечения доступности и восстановления после сбоев.

Если хоть по одному из пунктов нет подтвержденной информации, его нужно уточнить до заключения договора и переноса системы. Для окончательного выбора рекомендуется привлечь специалистов по информационной безопасности и проверить соответствие архитектуры актуальным требованиям регуляторов.

Нарушение требований к безопасности КИИ влечет административную, а в отдельных случаях — уголовную ответственность.

По КоАП РФ действуют две статьи:

• 13.12.1 — за нарушение требований в области безопасности КИИ (штраф для юрлиц от 50 000 до 500 000 рублей в зависимости от обстоятельств);
• 13.12.2, введенная Федеральным законом от 9 апреля 2026 года № 76-ФЗ, — за нарушение правил эксплуатации объектов КИИ (штраф для юрлиц от 100 000 до 500 000 рублей).

Уголовная ответственность предусмотрена статьей 274.1 УК РФ — за неправомерное воздействие на критическую информационную инфраструктуру. В установленных законом случаях наказание может достигать десяти лет лишения свободы.

Конкретная ответственность зависит от состава нарушения и применимой нормы, поэтому перед принятием решений нужно сверяться с актуальными редакциями законодательства.

Компании в сфере КИИ продолжают переходить на российское ПО и оборудование. Но просто заменить иностранные продукты недостаточно: важно, чтобы новые компоненты работали вместе, настройки безопасности сохранились, а системы не останавливались.

Выбирая инфраструктуру, рекомендуем проверить, какие требования к ПО, оборудованию и средствам защиты действуют для объекта. Конечно, облачная платформа с российским ПО поможет упростить часть задач по импортозамещению, но всю архитектуру оценивать все равно придется.

Второй фактор — искусственный интеллект. ИИ помогает анализировать данные и поддерживать технологические процессы, но добавляет и риски: данные можно подменить, модель — изменить, а результат — получить некорректный.

ФСТЭК России выпускала проект ГОСТ Р о безопасности ИИ-систем в ключевых отраслях. Это пока проект, а не обязательное требование. Но если вы используете ИИ в критически важных процессах, стоит заранее продумать контроль данных и действий пользователей, качество результатов и аудит моделей.

Безопасность КИИ требует комплексного подхода: от категорирования объектов и внедрения мер защиты до непрерывного мониторинга и реагирования на инциденты. Госорганизациям зачастую сложно выстроить контур защиты и непрерывного мониторинга самостоятельно.

Облачная инфраструктура Cloud.ru может стать основой для размещения значимых объектов КИИ, государственных информационных систем и ИСПДн — в подходящих для этого сценариях. Перед миграцией нужно подтвердить применимость аттестации к конкретной конфигурации, согласовать зоны ответственности и убедиться, что система готова выполнить все необходимые требования.

• Можно ли размещать значимые объекты КИИ в облаке?

  Да, если выбранная инфраструктура подходит для конкретного объекта и позволяет выполнить все применимые требования. Перед переносом необходимо проверить документы о соответствии, границы защищенного сегмента, архитектуру и распределение ответственности.

• Что регулирует 187-ФЗ?

  Федеральный закон № 187-ФЗ устанавливает основы обеспечения безопасности КИИ, определяет обязанности субъектов и регулирует вопросы категорирования объектов и защиты значимой инфраструктуры.

• Как проводится категорирование КИИ?

  Категорирование основано на оценке последствий нарушения функционирования объекта по установленным критериям. При определении значимости необходимо учитывать актуальный порядок и применимые типовые отраслевые перечни. По результатам объекту присваивают I, II или III категорию либо не присваивают категорию значимости.

• Какие требования ФСТЭК действуют для значимых объектов КИИ?

  Требования к созданию систем безопасности и обеспечению безопасности значимых объектов установлены, в частности, приказами ФСТЭК России № 235 и № 239. Состав мер зависит от применимых требований, категории объекта и особенностей его функционирования.

• Как выбрать облачного провайдера для размещения объектов КИИ?

  При выборе облачного провайдера важно убедиться, что его инфраструктура и услуги подходят для размещения конкретных объектов КИИ и позволяют выполнить установленные требования безопасности. До миграции необходимо проверить применимость аттестации к выбранной конфигурации, согласовать зоны ответственности и определить, какие меры защиты обеспечивает провайдер, а какие остаются на стороне субъекта КИИ.

• Как выбрать облако для КИИ?

  Проверьте аттестацию инфраструктуры, границы защищенного сегмента, используемые программно-аппаратные решения, условия размещения данных, порядок аудита и разграничение ответственности. Окончательное решение принимайте после оценки архитектуры и требований к вашему объекту.