О некоторых аспектах обеспечения безопасности критической информационной инфраструктуры в Российской Федерации

Вопросы обеспечения национальной безопасности в целом, и обеспечение информационной безопасности, в частности, являются наиболее актуальными направлениями деятельности российского государства на современном этапе. В ситуации обострения геополитической обстановки и вынужденного противостояния со значительным блоком иностранных государств, негативно настроенных по отношению к России, именно информационные ресурсы и системы являются, с одной стороны, наиболее уязвимыми сегментами государственной и общественной жизни, а с другой стороны, они же могут стать самыми действенными видами «вооружения» используемыми в информационном, экономическом и политическом противоборстве конкурирующих на международной арене государств.

К сожалению, наверное, стоит констатировать, что информационное межгосударственное противоборство, являющееся, в принципе, нормальным перманентным явлением в мировой политике, в настоящее время вступило в уже не столь естественную фазу информационной войны, со всеми вытекающими отсюда последствиями. Такая ситуация с неизбежностью подводит нас к необходимости уделить особое внимание обеспечению информационной безопасности российского государства, для осуществления защиты национальных информационных ресурсов. ^[1]

Реализуя указанное направление, Государственная Дума РФ, 26 июля 2017 года, приняла Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации», ^[2] призванный обеспечить безопасность критической информационной инфраструктуры России (далее КИИ) в целях ее устойчивого функционирования при проведении в отношении указанной инфраструктуры компьютерных атак.

Данный Закон определяет терминологический аппарат, востребованный в регулируемой им сфере, принципиальные основы обеспечения безопасности КИИ, полномочия органов государственной власти в указанной области, подходы к определению перечня наиболее значимых объектов рассматриваемой инфраструктуры, права и обязанности ее субъектов, а также упоминает об ответственности за нарушение установленных требований.

Так, ст.2 Федерального закона «О безопасности критической информационной инфраструктуры РФ», дает определения целому ряду терминов, в числе которых - автоматизированная система управления, безопасность КИИ, значимый объект КИИ, компьютерная атака, компьютерный инцидент, КИИ, объекты и субъекты КИИ.

Отметим, что ни одно из указанных определений, по сути, не является новым, поскольку ранее, в 2012 г., эти, и еще некоторые другие дефиниции, уже были упомянуты в «Основных направлениях государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации».^[3] Причем, интересным в данном случае является тот факт, что ни одно из установленных Законом определений, не является идентичным своему более раннему аналогу из «Основных направлений государственной политики в области обеспечения безопасности автоматизированных систем…». Например, под компьютерной атакой ранее предлагалось понимать - целенаправленное воздействие на информационные системы и информационно-телекоммуникационные сети программно-техническими средствами, осуществляемое в целях нарушения безопасности информации в этих системах и сетях. ^[4] Новая, законодательная версия определения компьютерной атаки выглядит следующим образом: целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты КИИ, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации.

Или же другой, более сложный для восприятия пример: термин «критическая информационная инфраструктура», ранее понимавшийся как «совокупность автоматизированных систем управления критически важными объектами инфраструктуры Российской Федерации и обеспечивающих их взаимодействие информационно-телекоммуникационных сетей, предназначенных для решения задач государственного управления, обеспечения обороноспособности, безопасности и правопорядка, нарушение (или прекращение) функционирования которых может стать причиной наступления тяжких последствий», теперь, в Законе стал означать: «объекты КИИ, а также сети электросвязи, используемые для организации взаимодействия таких объектов».

Очевидно, понимание новой версии определения невозможно без выяснения того, что же имеется в виду под объектами КИИ. Под которыми в Законе понимаются «информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ». Что приводит нас к необходимости выяснения значения сущности категории «субъекты КИИ». Здесь законодатель дает следующее определение: «государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей».

Признавая сложность формулирования определения столь многопланового понятия как КИИ, все же отметим, что применение, настолько громоздкого, трехступенчатого формата, когда первое понятие (инфраструктура), определяется через второе понятие (объекты инфраструктуры), а второе – через третье (субъекты инфраструктуры), вряд ли можно считать удачным. Возможно, стоило бы попытаться объединить в одном определении хотя бы два из трех приведенных понятий. Применив, например, следующую редакцию: «КИИ - информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ, а также сети электросвязи, используемые для организации их взаимодействия». ^[4]

Поговорим теперь о принципах обеспечения безопасности КИИ. В Федеральном законе «О безопасности критической информационной инфраструктуры РФ» их выделено три. Во-первых, это принцип законности, во-вторых - непрерывности и комплексности обеспечения безопасности КИИ, и в-третьих - приоритет предотвращения компьютерных атак. Здесь все достаточно очевидно, отметим только, что принцип законности является общеправовым конституционным принципом, закрепленным в ч. 2 ст. 15 и ст. 120 Конституции РФ, ^[5] и поэтому не нуждается в специальном закреплении в отраслевом законодательстве. Однако, если законодатель хотел как-то расширить или уточнить содержание указанного принципа применительно к конкретной сфере (как например в случае с интерпретацией принципа законности в уголовном праве ^[6]), то возможно, стоило бы дать некоторые пояснения по данному вопросу.

Далее по тексту Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации», следует статья 5, определяющая сущность государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также правовой статус компетентных, в рассматриваемой сфере, федеральных органов государственной власти. Во исполнение упомянутой статьи, 22 декабря 2017 года, Президентом РФ был утвержден Указ «О совершенствовании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»,^[7] согласно которому функции федерального органа исполнительной власти, уполномоченного в указанной области, были возложены на Федеральную службу безопасности Российской Федерации (далее ФСБ РФ).

Заметим также, что согласно п.2 ч.2 ст.5 рассматриваемого закона, на федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на российские информационные ресурсы (то есть, на ФСБ РФ) также возложена обязанность создать национальный координационный центр по компьютерным инцидентам (далее – НКЦКИ), очевидно, организации аффилированной с ФСБ РФ, однако все-таки достаточно автономной. В настоящий момент такой центр еще не создан, хотя Положение о НКЦКИ уже имеется, правда пока только на стадии проекта, сейчас проходящего этап общественного обсуждения и независимой антикоррупционной экспертизы. ^[8]

Еще одним нововведением Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации», является фиксирование понятия «значимый объект КИИ», которое означает, что, хотя КИИ и представляет собой совокупность объектов КИИ и связующих их электросетей, не все эти объекты имеют значение для обеспечения безопасности КИИ. К значимым объектам, Закон относит только те из них, которым присвоена одна из категорий значимости и которые включены в реестр значимых объектов КИИ.

По этому поводу, ч.2 ст.7 рассматриваемого Закона устанавливает, что категорирование объектов осуществляется исходя из их социальной, экономической, политической, экологической и оборонной значимости, с учетом которых объектам присваивается одна из трех категорий, соответственно – первая, вторая или третья. При этом, ч.2 ст.6 относит определение показателей критериев значимости объектов КИИ, а также порядка и сроков осуществления их категорирования, к компетенции Правительства РФ.

Реализую возложенную на него функцию, Правительство РФ 8 февраля 2018 года, своим Постановлением №127, утвердило Правила категорирования объектов КИИ РФ. ^[9] Согласно которым, субъекты КИИ сами осуществляют категорирование принадлежащих им объектов присваивая им одну из категорий (I категория – высших уровень значимости, III – самый низкий), либо не присваивая никакой, при этом руководствуясь следующими показателями критериев значимости объектов КИИ.

В рамках критерия «Социальная значимость» определены и оцениваются 5 показателей:

1. Причинение ущерба жизни и здоровью людей (измерения делаются в количестве человек): I категория - более 500; II - более 50, но менее или равно 500; III – от 1 до 50 включительно. Относительно формулировки данного показателя не совсем ясен подход к его определению с учетом использования союза «и», и отсутствием союза «или». Ведь совершенно очевидно, что нельзя причинить ущерб жизни без ущерба для здоровья, с другой стороны, если возможен (или причинен) вред здоровью, но при этом никто не умер, исходя из формулы показателя, такие ситуации учитываться при оценке показателя не должны. Поэтому, полагаем, что для достижения достаточной ясности показателя, необходимо либо добавить союз «или», либо исключить слово «здоровью», в зависимости от того, какова здесь реальная воля законодателя.

2. Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения, оцениваемые по двум параметрам:

а) на территории, на которой возможно нарушение обеспечения жизнедеятельности: I категория – более территории одного субъекта РФ или города федерального значения; II – в пределах территории одного субъекта РФ или города федерального значения; III – в пределах одного муниципального образования или одной внутригородской территории города федерального значения. Говоря об этом показателе, хочется напомнить, что согласно ст.65 Конституции РФ, ^[5] города федерального значения (их, как мы знаем, всего три – Москва, Санкт-Петербург и Севастополь) – являются субъектами, находящимися в составе Российской Федерации наравне с другими видами субъектов (республиками, областями, и т.д.). Поэтому, отделять их от категории других субъектов и упоминать отдельно, видимо не имеет особого смысла.

б) по количеству людей, условия жизнедеятельности которых могут быть нарушены: I – 5000 и более тыс. человек; II – от 1000 но менее 5000; III – от 50 но менее 1000.

Третьим показателем в категории «Социальная значимость» служит возможность прекращения или нарушения функционирования объектов транспортной инфраструктуры, оцениваемая:

во-первых, на территории, на которой возможно нарушение транспортного сообщения или предоставления транспортных услуг. В данном случае, подходы к определению значения показателей аналогичны применяемым при определении уровня значимости объекта по показателю «прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения»;

во-вторых, по количеству людей, для которых могут быть недоступны услуги связи (тыс. человек). Здесь опять же значение показателей унифицировано с ранее указанной позицией пп. б) п.2.

Данный подход сохраняется и при определении значения показателей следующего п.4 «Прекращение или нарушение функционирования сети связи».

Пятый пункт в категории «Социальная значимость» связывается с возможным возникновением отсутствия доступа к государственной услуге, оцениваемым в максимальном допустимом времени, в течение которого государственная услуга может быть недоступна для ее получателей (показатель устанавливается и рассчитывается в часах). Причем при определении значения показателей критериев значимости объектов КИИ РФ в этом случае, значения показателей III категории (более 12, но менее или равно 24), превосходят значения показателей II категории (более 6, но менее или равно 12) а те, в свою очередь, уступают показателям I категории значимости объекта (менее 6 часов отсутствия доступа). Очевидно, здесь имеется в виду разность самих предоставляемых услуг, и важность оперативности их предоставления для обеспечения безопасности жизнеобеспечения населения.

Следующие 2 показателя относятся к категории «Политическая значимость» категорируемых объектов. Соответственно, показатель 6, это «Прекращение или нарушение функционирования государственного органа в части невыполнения возложенной на него функции (полномочия), с такими значениями критериев: I категория - прекращение или нарушение функционирования Администрации Президента РФ, Правительства РФ, Федерального Собрания РФ, Совета Безопасности РФ, Верховного и Конституционного Судов РФ; II категория - прекращение или нарушение функционирования федерального органа государственной власти; и, III категория - прекращение или нарушение функционирования органа государственной власти субъекта РФ или города федерального значения. Признавая очевидную важность, в политическом смысле, вышеперечисленных органов, и, в целом, соглашаясь с их распределением по категориям значимости для нормального функционирования КИИ России, отметим только, что общепризнанным фактом в теории и в практике любого современного демократического правового государства, является беспрецедентное значение системы избирательных органов для нормального течения политической жизни страны. Если, тем более, учесть тот факт, что текущий уровень информатизации избирательного процесса достаточно высок (о чем свидетельствует наличие Государственной автоматизированной системы «Выборы» - территориально-распределенной, телекоммуникационной, автоматизированной системы общегосударственного уровня, предназначенной для реализации информационных процессов в ходе подготовки и проведения выборов и референдумов^[10]), тяжесть политических последствий компьютерных атак, например на ЦИК РФ, или же на Федеральный центр информатизации при ЦИК РФ, ведающий вопросами использования, эксплуатации и развития ГАС «Выборы», довольно сложно переоценить. Однако, исходя из предложенной системы категорирования значимости объектов, следует, что в настоящий момент, исходя из уровня политической значимости, и ЦИК РФ, и ФЦИ при ЦИК РФ отнесены ко второй категории, что, по нашему мнению, не в полной мере соответствует их значению для безопасности указанной сферы.

Седьмой показатель, определяющий политическую значимость объектов КИИ, связан с возможностью (в случае компьютерной атаки) нарушения условий международного договора России, срыва переговоров или подписания планируемого к заключению международного договора, оцениваемые по уровню международного договора. Так, к I категории отнесено - нарушение условий межгосударственного договора (срыв переговоров или подписания); ко II - межправительственного договора; и к III-ей –договора межведомственного характера.

Далее, в перечне показателей, следуют две группы факторов определяющих экономическую (оцениваются показатели ущерба для государственных корпораций, государственных (муниципальных) предприятий и предприятий с государственным участием, стратегических предприятий, бюджета различных уровней, а также прекращение или нарушение проведения клиентами банковских операций, осуществляемых субъектом КИИ, являющимся системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых), и экологическую (оцениваются возможные вредные воздействия на окружающую среду) значимость объектов КИИ.

К сожалению, в формате одной статьи не представляется возможным рассмотреть их все подробно, отметим только что, в целом, они выглядят достаточно системно и логично, поэтому, позволим себе сразу перейти к последней группе показателей, определяющих значимость объектов КИИ для обеспечения обороны и безопасности государства, а также сохранения правопорядка. Здесь представлены три фактора (в общем порядке нумерации – 12-й, 13-й, и 14-й), влияющих на значимость объектов КИИ.

На первое место в указанной номинации поставлен показатель «прекращение или нарушение функционирования пункта управления (ситуационного центра), оцениваемое в уровне (значимости) пункта управления или ситуационного центра», со следующими значениями для категорий: I - прекращение или нарушение функционирования пункта управления государством или ситуационного центра Администрации Президента РФ, Правительства РФ, Федерального Собрания РФ, Совета Безопасности РФ, Верховного и Конституционного Судов РФ; II –пункта управления или ситуационного центра федерального органа государственной власти или государственной корпорации; III - пункта управления или ситуационного центра органа государственной власти субъекта РФ.

По данному показателю хотелось бы прояснить несколько моментов.

Например, что понимается под пунктом управления, вообще, и под пунктом управления государством, в частности. Анализ действующего законодательства, не позволяет выявить примеров использования фразеологизма «пункт управления» применительно к государству и его органам. Наиболее часто встречаемый контекст, включающий данное словосочетание, это: «блочный пункт управления», и «резервный пункт управления», в сфере атомной энергетики, ^[11] «пункт управления», и «передвижной пункт управления» в вооруженных силах,^[12] «пункт управления воздушным движением», в сфере эксплуатации воздушного транспорта и аэродромов, ^[13] вероятно, можно отыскать и иные примеры по отраслям. Однако, по отношению к государственным органам, и тем более к государству как таковому, практика применения указанного словосочетания, на данный момент не может считаться устоявшейся, не имеет общепонимаемого значения, и поэтому, требует дополнительных разъяснений.

С ситуационными центрами, положение несколько иное. Хотя законодательство и не содержит определения данному явлению, наличие подобных центров в органах государственной власти, равно как и в структуре других субъектов КИИ объективно. ^[14] Однако, фактических подтверждений существования в настоящее время ситуационных центров, и тем более, командных пунктов в Верховном и Конституционном Судах РФ, получить не удается. Конечно возможно, что Правительство РФ, упоминая о подобных (не существующих сегодня) подразделениях, создает задел на будущее, тем не менее, полагаем, что в настоящее время, такой подход может затруднить задачу правоприменителя, в значительной мере привязанного к существующему положению вещей.

Кроме того, хотелось бы отметить, что как было бы ни приятно осознавать, что вопросы обеспечения обороны и безопасности государства, в первую очередь зависят от Федерального собрания РФ и высших российских судов, тем не менее, наверное, законодателю не стоило недооценивать и важность Министерства обороны РФ, а равно Генерального штаба Вооруженных Сил РФ, в его составе ^[15] в указанной сфере. Поскольку, исходя из предложенной системы значений показателей определения значимости объектов КИИ, следует, что указанные, по сути, ключевые в деле организации обороны Российской Федерации структуры, попадают только во вторую категорию объектов КИИ, что, вероятно, недостаточно логично.

Два следующих показателя в рассматриваемом разделе определяют значимость объектов КИИ в зависимости от возможного снижения показателей государственного оборонного заказа, выполняемого субъектом КИИ, и от опасности прекращения или нарушения функционирования информационной системы в области обеспечения обороны страны, безопасности государства и правопорядка, оцениваемое в максимально допустимом времени, в течение которого информационная система может быть недоступна пользователю. Данные позиции, полагаем, можно оставить без комментариев.

Подводя итог нашему исследованию, стоит отметить, что, принимая во внимание реальность, серьезность и опасность внешних угроз информационной безопасности нашего государства, создание условий для сохранения КИИ РФ в устойчивом и работоспособном состоянии, является наиболее важной задачей на современном этапе, именно в силу ее «критичности» для нормального функционирования государства, общества, а значит и каждой отдельной личности в конечном итоге. Поэтому, полагаем, выстраивая и защищая от компьютерных атак такую сверхважную систему, необходимо наиболее тщательно осуществлять правовое регулирование в указанной сфере, не допуская неточности или неясности правовых предписаний на указанный счет, и принимая во внимание, тот факт, что качество и эффективность реализации установленных правовых норм, не в последнюю очередь зависит от ясности, доступности и исполнимости имеющегося нормативного материала.