Сергей Левашов — о киберрисках, КИИ и будущем информационной безопасности в авиации
Информационная безопасность в авиации сегодня выходит далеко за рамки защиты данных и ИТ-систем. От неё зависит устойчивость всей отрасли, бесперебойность процессов и готовность авиапредприятий к новым вызовам.
В интервью Сергей Владимирович Левашов рассказывает о ключевых киберрисках, актуальных требованиях регуляторов и задачах, которые сегодня стоят перед авиационной отраслью.
Сергей Владимирович, почему сегодня тема информационной безопасности в гражданской авиации становится одной из ключевых для отрасли? Какие риски, на ваш взгляд, сейчас наиболее актуальны для авиапредприятий, аэропортов и организаций авиационной инфраструктуры?
Сегодня гражданская авиация представляет собой большую цифровую экосистему: системы бронирования, регистрации пассажиров, управления аэропортом, досмотра, доступа в зоны транспортной безопасности, системы обработки багажа, ТЗК и прочие информационные системы для обеспечения взаимодействия между авиакомпаниями, операторами аэропортов, подрядчиками и государственными системами. Поэтому любой серьезный сбой в инфраструктуре или информационной системе быстро становится не просто технической проблемой, а риском для регулярности перевозок, безопасности пассажиров, деятельности предприятия.
С точки зрения регулирования это тоже уже не является сугубо «внутренним делом ИТ-службы». Авиация находится на пересечении нескольких контуров: транспортная безопасность по 16-ФЗ, безопасность критической информационной инфраструктуры по 187-ФЗ, защита персональных данных по 152-ФЗ, требования ФСТЭК и ФСБ России, а также отраслевые подходы Минтранса России. Отмечу, что приказ ФСТЭК России №117 предусматривает переход от общего подхода к КИИ к отраслевой модели, где транспорт в целом и гражданская авиация в частности рассматриваются с учетом конкретных типовых объектов и реальных последствий инцидентов.
Если говорить простыми словами, главный риск сегодня — потеря управляемости цифровой инфраструктурой. Для аэропорта это может быть остановка регистрации, сбой в работе системы обработки багажа, недоступность систем досмотра или контроля доступа, нарушение работы информационных табло, каналов связи и технологических систем. Для авиапредприятия — нарушение процессов планирования рейсов, обслуживания воздушных судов, обмена операционными данными, утечка персональных данных пассажиров.
Отдельно я бы выделил атаки через подрядчиков и поставщиков. Авиационная инфраструктура сильно зависит от внешних сервисных организаций, интеграторов, разработчиков, облачных и телекоммуникационных решений. Можно обеспечить эффективную защиту периметра, но если не контролировать цепочку поставки, то существует вероятность инцидента через удаленный доступ подрядчика, обновление программного обеспечения или слабое место в смежной системе.
Еще один актуальный риск — совмещение киберугроз и физической безопасности. Например, системы видеонаблюдения, контроля доступа, интроскопы, средства транспортной безопасности, антидроновые решения — все это сегодня цифровые системы. Нарушение их работы может повлиять уже не только на информационную безопасность, но и на режимную, транспортную и авиационную безопасность.
Поэтому задача ИБ в авиации сейчас — не просто «установить средства защиты», а обеспечить устойчивость функционирования отрасли: чтобы атака, ошибка, сбой оборудования или человеческий фактор не приводили к остановке ключевых процессов.
Конференция «Авиакод» заявлена как площадка для диалога между государством, авиационной отраслью и ИБ-компаниями. Какую практическую задачу она должна решить для участников рынка?
На мой взгляд, главная практическая задача «Авиакода» — перевести требования законодательства и регуляторов на язык понятных отраслевых действий. Авиация обладает определенной спецификой. Нельзя просто взять типовой подход из банков, энергетики или промышленности и механически перенести его на аэропорт или авиапредприятие. Здесь другие технологические процессы, другой уровень ответственности, другая цена простоя и другой режим взаимодействия с государственными органами.
Рынку нужна площадка, где можно обсуждать не абстрактную «кибербезопасность», а конкретные вопросы: какие системы в аэропорту относить к объектам КИИ, каким образом проводить категорирование, как выстраивать взаимодействие с ГосСОПКА, учитывать требования ФСТЭК России по значимым объектам КИИ, как наиболее эффективно совмещать требования ИБ с транспортной безопасностью, как безопасно проводить импортозамещение и модернизацию унаследованных систем.
Особенно важно, что в 2025–2026 годах законодательство претерпело значительные изменения. Появился более отраслевой подход к категорированию КИИ, усилились требования к использованию российского программного обеспечения и программно-аппаратных средств на значимых объектах КИИ, появились новые правила непрерывного взаимодействия с ГосСОПКА и новые порядки информирования о компьютерных атаках и инцидентах. Для предприятий это означает, что нужно не просто «актуализировать папку документов», а пересмотреть реальную архитектуру защиты, процессы реагирования и ответственность руководителей.
Поэтому практические результаты конференции мне представляются следующими.
Первое — единое понимание требований. Чтобы аэропорты, авиакомпании, провайдеры ИТ-решений и регуляторы одинаково понимали, что считается хорошей практикой, а что является зоной риска.
Второе — прикладные рекомендации. Участникам нужны не общие лозунги, а шаблоны, чек-листы, типовые модели угроз, подходы к категорированию, требования к подрядчикам, сценарии реагирования на инциденты.
Третье — формирование доверия между отраслью и поставщиками. Авиации требуются решения, которые учитывают режим непрерывной работы, сертификационные ограничения, требования регуляторов и специфику эксплуатации. «Авиакод» может стать тем местом, где ИБ-компании лучше понимают реальные задачи отрасли, а отрасль — какие технологии можно внедрять безопасно и без риска для операционной устойчивости.
Авиационная отрасль относится к числу наиболее чувствительных секторов критической информационной инфраструктуры. Какие сложности возникают у организаций при категорировании объектов КИИ и выполнении требований регуляторов?
Первая сложность — правильно определить границы объекта КИИ. В авиации одна и та же система может быть связана с пассажирским сервисом, производственным процессом, транспортной безопасностью, персональными данными и взаимодействием с внешними государственными или отраслевыми системами. Например, система управления аэропортом или система регистрации пассажиров — это не просто «ИТ-сервис». Ее отказ может повлиять на расписание, пропускную способность терминала, качество обслуживания, безопасность и финансовые показатели.
Вторая сложность: важно связать технические системы с их влиянием на работу отрасли. Категорирование по 187-ФЗ и ПП РФ №127 — это не просто список серверов, а понимание, что произойдёт при сбое, утечке или изменении данных. В авиации последствия часто наступают не в серверной, а в операционном контуре: в виде задержек рейсов, очередей в терминале, нарушений работы служб досмотра, остановка обработки багажа, невозможности осуществления обслуживания воздушных судов, сбоев во взаимодействии с перевозчиками и государственными органами.
Третья касается изменений, которые произошли в период 2025–2026 годов. Постановление Правительства №1762 усилило роль типовых отраслевых объектов и отраслевых особенностей категорирования. Это, безусловно, необходимо, потому что появляется большая определенность. Но для организаций это означает необходимость пересмотра прежних подходов: сопоставить свои информационные системы, сети и АСУ с отраслевыми перечнями, проверить ранее принятые решения по категориям, актуализировать сведения, которые направляются во ФСТЭК России.
Четвертая сложность — выполнение требований уже после проведения категорирования. Присвоить категорию — это только начало. Дальше нужно создать или актуализировать систему безопасности значимого объекта КИИ, реализовать меры по приказам ФСТЭК России, организовать мониторинг, управление уязвимостями, контроль доступа, резервирование, реагирование на инциденты, взаимодействие с ГосСОПКА. И все это должно работать не на бумаге, а в режиме 24/7, потому что аэропорт или авиапредприятие не могут остановиться «на профилактику ИБ».
Пятая связана с проблемой импортозамещения. Современное законодательство теперь прямо побуждает субъекты КИИ к использованию российского ПО и соответствующих программно-аппаратных средств на значимых объектах. Однако авиация исторически использует много специализированных решений, часть из которых тесно связана с международными стандартами, производителями оборудования и глобальными системами перевозок. Поэтому переход должен быть не формальным, а управляемым: через анализ рисков, пилотные проекты, тестирование совместимости, планы миграции и резервные сценарии.
И, наконец, существуют управленческие вызовы. КИИ невозможно сделать силами одного специалиста по ИБ. Нужна комиссия в составе специалистов по ИТ, эксплуатации, транспортной безопасности, юридическим вопросам, закупкам, производственных подразделений и руководства. Без этого категорирование превращается в бумажное упражнение, а требования регуляторов — в набор несвязанных задач.
Каким вы видите дальнейшее развитие Экспертного совета и отраслевого взаимодействия после конференции? Может ли «Авиакод» стать постоянной площадкой для выработки стандартов и практических рекомендаций по ИБ в гражданской авиации?
Да, я считаю, что такая площадка отрасли необходима. Более того, после изменений 2025–2026 годов она становится особенно востребованной. Законодательство задает рамки, регуляторы формируют обязательные требования, однако между нормой закона и реальной эксплуатацией в аэропорту или авиакомпании всегда существуют расхождения. Именно здесь, как представляется, и выполняет свою важную роль Экспертный совет.
Мне видится развитие Экспертного совета в нескольких направлениях.
Первое — методическая работа. Нужны отраслевые рекомендации по категорированию объектов КИИ в гражданской авиации, по описанию типовых систем, по моделям угроз, по взаимодействию с подрядчиками, по защите технологических сегментов, по реагированию на инциденты. Причем это должны быть документы, написанные понятным языком для руководителей, ИТ, ИБ и эксплуатации.
Второе — обмен практикой. У многих организаций схожие проблемы: унаследованные системы, дефицит специалистов, зависимость от поставщиков, сложность импортозамещения, необходимость совмещать ИБ, транспортную безопасность и операционную непрерывность. Если каждая организация будет решать это в одиночку, отрасль будет терять время. Если лучшие практики будут обобщаться, то все окажутся в выигрыше.
Третье — диалог с регуляторами. Важно, чтобы обратная связь от отрасли доходила до государства в структурированном виде. Не в формате жалоб, а в формате конкретных предложений: какие требования вызывают неоднозначную трактовку, где нужны разъяснения, какие типовые объекты требуют уточнения, какие сроки миграции реалистичны, какие меры действительно повышают устойчивость, а какие дают только формальное соответствие.
Четвертое — формирование требований к рынку ИБ-решений. Авиации нужны не просто «коробочные» продукты, а решения, которые выдерживают требования непрерывности, интегрируются с существующей инфраструктурой, поддерживают российскую нормативную базу, помогают работать с ГосСОПКА, дают прозрачность по инцидентам и не создают новых рисков для эксплуатации.
Если «Авиакод» сможет регулярно собирать представителей государственных структур, отрасли, экспертов и поставщиков для обсуждения конкретных документов и практических кейсов, он вполне может стать постоянной площадкой для выработки стандартов, профессиональных отраслевых механизмов, который помогает преобразовывать требования законодательства в работающую систему безопасности гражданской авиации.
В конечном счете главная цель заключается в том, чтобы информационная безопасность воспринималась не как барьер для развития авиации, а как неотъемлемое условие ее безопасного, эффективного, технологически независимого развития.
