Что говорит законодательство
В самом начале закона прямо указана его ключевая цель: он регулирует отношения в области обеспечения безопасности КИИ “в целях её устойчивого функционирования при проведении в отношении неё компьютерных атак”.
Далее закон закрепляет базовые принципы обеспечения безопасности КИИ, включая приоритет предотвращения компьютерных атак, а также непрерывность и комплексность мер.
Отдельным блоком закон описывает создание и работу государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (по сути – механизма координации и реагирования на инциденты на уровне государства).
И ещё одна важная цель закона – распределить полномочия: что определяет Президент РФ, что устанавливает Правительство РФ, и какие функции выполняют уполномоченные федеральные органы в сфере безопасности КИИ.
Как это работает на практике
На практике 187-ФЗ “сшивает” три уровня управления безопасностью КИИ:
- Государство задаёт рамки: принципы, полномочия органов, правила контроля, координацию реагирования на инциденты.
- Субъекты КИИ (организации и госструктуры, у которых есть объекты КИИ) должны выстроить у себя управление безопасностью: чтобы атаки не приводили к остановке критичных процессов и чтобы инциденты правильно обрабатывались.
- Единая система реагирования (госуровень) помогает обнаруживать атаки, обмениваться информацией и снижать последствия инцидентов, если атака всё же произошла.
Иными словами: закон не столько “про бумажки”, сколько про то, чтобы критически важные сервисы не ложились от кибератак и было понятно, кто что делает до, во время и после инцидента.
Выводы и рекомендации
187-ФЗ преследует главную цель: обеспечить устойчивую работу КИИ при компьютерных атаках, закрепив принципы, полномочия государства и общую систему обнаружения/реагирования.
Если организация работает в сферах, перечисленных в 187-ФЗ, стоит начать с базового вопроса – какие ИТ-системы у нас критичны для ключевых процессов (то есть какие нельзя “уронить” без серьёзных последствий). Это обычно и есть отправная точка для корректного выполнения требований закона.
