Указ 604 вынуждает бизнес наращивать инвестиции в ИБ и защиту от БПЛА
Подписанный в конце августа Владимиром Путиным указ №604, который позволяет вводить временное госуправление объектами критической инфраструктуры при неисполнении требований по киберзащите и защите от атак БПЛА, вынуждает бизнес почти из всех отраслей инвестировать дополнительные средства в ИБ и ПВО. Эксперты предупреждают: цены на телеком-услуги, логистику, ТЭК и другие вырастут, но главная проблема — это отсутствие критериев достаточности защиты от БПЛА и кибератак.
Некоторые сегменты бизнеса уже чувствуют влияние указа президента РФ Владимира Путина №604 от 24 августа, который позволяет вводить временное государственное управление в отношении имущества объектов критической инфраструктуры, если их владельцы не обеспечивают надлежащую защиту, в том числе от БПЛА и киберзащиту. Например, как сообщал «Коммерсантъ», операторы центров обработки данных (ЦОД) будут вынуждены поднимать стоимость своих услуг из-за модернизации системы предотвращения инцидентов.
Напомним, что основанием для введения временного управления может стать непринятие мер по безопасности, нарушение установленных требований, создание угрозы нормальному функционированию объекта, а также неэффективность мер по пресечению атак с использованием беспилотных летательных аппаратов или несвоевременное восстановление работы. Временным управляющим по умолчанию назначается Росимущество. Помимо ЦОД, под действие указа попадают объекты топливно-энергетического комплекса, промышленности, связи, транспортной и коммунальной инфраструктуры, энергетики, жизнеобеспечения и др. О том, что речь может идти не только о защите от БПЛА но и о киберзащите, SecPost сообщал 25 августа.
SecPost обратился к «Вымпелкому» (бренд «Билайн»), МТС, «МегаФону» и Tele2 с просьбой объяснить, как данный указ повлияет на стоимость их услуг. Все четыре оператора связи отказались от комментариев.
Интерес к исполнению данного указа уже заметен со стороны региональных органов власти, сообщил SecPost исполнительный директор «Орион телеком» Денис Якунин. По его словам, после ввода указа к операторам связи пришел запрос о выполнении требований от профильного министерства. Якунин отмечает, что если с кибербезопасностью у операторов связи накоплен достаточно большой опыт, то вопрос защиты от БПЛА сложнее.
«Для обычного бизнеса речь, конечно, не идет о создании собственной «ПВО», корректнее говорить о коммерчески доступных инженерно-технических мерах защиты: физических защитных конструкциях, защите критических узлов, мониторинге, противопожарных мероприятиях и снижении вторичного ущерба. Даже для регионов, удаленных от основных направлений атак, этот вопрос уже актуален: угрозой может быть не только прямое попадание, но и последствия уничтожения беспилотника, возгорания и повреждения соседней инфраструктуры», — подчеркивает он.
Но Денис Якунин отмечает, что для «Орион Телеком» сам по себе указ №604 не является причиной экстренно увеличивать бюджет на информационную безопасность или повышать стоимость услуг: «для регионального телекома сегодня существуют и другие потенциально гораздо более существенные регуляторные риски — например, обсуждаемая реформа лицензирования операторов связи с новыми требованиями к капиталу, инфраструктуре, СОРМ и последствиями утраты лицензии».
По словам заместителя генерального директора «Кросс Скай Технолоджис» Дмитрия Щербакова, стоимость защиты объектов от БПЛА зависит от площади и от типа беспилотников, от которых компания намерена защищаться. Таким образом, говорит он, цена на защиту от БПЛА может варьироваться от нескольких миллионов до сотен миллионов рублей.
Появление инструмента временного управления имуществом компаний за недостаточность защиты критической инфраструктуры — это сильнейший управленческий сигнал. Не штраф, не предписание об устранении, а потенциальная утрата контроля над активами, напоминает гендиректор «ICL Системные Технологии» Регина Ахметзянова. Первая линия атаки, по ее словам, это отрасль энергетики и ТЭК: объекты физически масштабные, часто на открытых площадках, каскадный сбой затрагивает целые регионы: «Здесь защита от беспилотников и киберзащита АСУ ТП — это два равноценных контура, и оба требуют серьёзных капитальных вложений».
Следующей линией атаки она называет ЦОД, поскольку они имеют физический доступ к своим системам, транспорт и логистику, ЖКХ и системы жизнеобеспечения.
SecPost отправил запрос в «Лукойл», «Газпромнефть», «Татнефть», «Тебоил», Ozon, Wildberries и др. Ни одна из перечисленных компаний не смогла ответить на запрос.
Однако главной проблемой указа Ахметзянова называет вовсе не потенциальную потерю бизнеса, а отсутствия критериев физической и киберзащиты объектов критической инфраструктуры.
«Компании не понимают, где проходит граница между «достаточно» и «недостаточно», нет чётких метрик и процедур. Эта неопределённость — главный риск для планирования, потенциально более разрушительный, чем сами затраты на защиту», — подчеркивает она, добавляя, что перекладывание ответственности оправдано только при условии, что параллельно формируется понятная нормативная рамка. Также Ахметзянова подчеркивает, что рост расходов от компаний это не прогноз, а реальность.
Отраслевые различия будут зависит от специфики объектов и существующего уровня защищенности: в транспорте и логистике под удар попадают транспортно-логистические комплексы, для которых критична не только кибербезопасность, но и защита от физических атак, поскольку сбои в их работе могут иметь масштабные экономические последствия, объяснил SecPost руководитель департамента соответствия требованиям по информационной безопасности Infosecurity («Софтлайн Решения») Анатолий Сазонов: «Финансовый сектор, включая банки, ощутит рост цен на услуги ЦОД, а их собственная инфраструктура также может быть признана объектом критической инфраструктуры».
SecPost отправил запрос в Сбербанк, ВТБ, Россельхозбанк, Альфа-Банк и др. Ни один из банков не ответил на запрос.
В фармацевтике, продолжает Сазонов, в зону действия указа попадают производственные площадки, склады с продукцией и информационные системы, что требует усиления защиты не только физических объектов, но и критичных ИТ-систем. Объекты связи и ЖКХ прямо упомянуты в указе, и для них ключевым направлением станет обеспечение физической устойчивости к атакам. По словам Сазонова, экономические последствия будут значительными: рост затрат на безопасность неизбежен, и он в конечном итоге ляжет на плечи потребителей, как это уже происходит с услугами ЦОД.
Читайте также
