Защита критической инфраструктуры в России отстаёт от темпов развития кибератак

ФСТЭК с 2024 года проверила около 2000 значимых объектов критической информационной инфраструктуры (КИИ) и выявила 2141 нарушение. По оценке Национального координационного центра по компьютерным инцидентам (НКЦКИ), более 90% реализованных кибератак начинаются с простых способов проникновения, а на целевые и многофакторные атаки приходится лишь несколько процентов. Результаты проверок представители ФСТЭК и НКЦКИ озвучили 27 октября на SOC Forum 2026.

Представитель НКЦКИ Иван Минаев сообщил, что защищённость организаций растёт, но медленнее, чем возможности злоумышленников. Для проникновения в инфраструктуру атакующим нередко хватает базовых приёмов, если компания не ищет уязвимости, слабо контролирует доступы и не проверяет свои системы.

К значимым объектам КИИ относятся системы банков, медицинских учреждений, транспорта, энергетики и связи. Сбой в них может быстро дойти до обычных россиян в виде недоступных платежей, остановленных сервисов и перебоев в услугах. Поэтому регуляторы оценивают не только наличие документов, но и фактическое выполнение защитных мероприятий.

Заместитель начальника управления ФСТЭК Павел Зенкин сообщил, что в 2026 году служба обнаружила 593 нарушения, меньше, чем годом ранее. Снижение числа находок не означает, что организации достигли нужного уровня защиты, а многие недостатки повторяются из года в год, в том числе:

• отсутствие анализа защищённости;
• применение несертифицированных средств защиты;
• слабый контроль действий администраторов;
• отсутствие внешних и внутренних аудитов.

Без регулярного анализа защищённости организация может не знать о собственных уязвимостях. Средства защиты без сертификации вызывают вопросы к соответствию требованиям, отсутствие контроля над администраторами мешает заметить подозрительную активность, а без аудитов нельзя проверить, работают ли внедрённые меры. Кроме того, в ФСТЭК сообщили, что в 30% случаев организации не выполняют меры, предусмотренные по итогам анализа угроз, то есть даже проведённая оценка рисков не всегда приводит к изменениям в инфраструктуре.

Начальник управления ФСТЭК Павел Жиров рассказал, что служба оценивает эффективность киберзащиты по показателю защищённости и показателю зрелости. Первый отражает минимальный уровень защиты от типовых актуальных угроз и рассчитывается по 16 показателям, связанным с угрозами и опытом прошлых кибератак. Второй показывает, насколько последовательно организация выстраивает процессы защиты и выполняет необходимые меры.

В сентябре 2026 года ФСТЭК опубликовала новые требования к защите значимых объектов КИИ, и с 1 марта 2027 года будут действовать правила, по которым:

• защищённость нужно оценивать не реже чем раз в 6 месяцев;
• зрелость нужно оценивать не реже чем раз в 3 года;
• подрядчиков с доступом к значимым объектам нужно оценивать до предоставления доступа, а затем не реже чем раз в 3 года.

Если показатель защищённости не соответствует установленным значениям, руководителя организации должны уведомить в течение 3 календарных дней, чтобы он решил, какие меры принять. Тот же срок предусмотрен для сообщения о неудовлетворительной оценке зрелости подрядчика. Проверка превращается из разовой подготовки документов перед аудитом в постоянную работу.

Павел Зенкин обратил внимание на то, что руководители нередко начинают заниматься защитой после сообщений об инциденте в другой компании, когда похожая организация столкнулась с серьёзными последствиями атаки. Пока меры откладываются, уязвимости остаются открытыми, а после инцидента приходится решать сразу несколько задач:

• устранять первоначальную причину;
• восстанавливать системы;
• разбираться с последствиями для бизнес-процессов;
• проводить повторные проверки.

Павел Жиров заявил, что одних штрафов может быть недостаточно для изменения отношения организаций к защите, и руководство нужно побуждать регулярно вкладываться в киберзащиту, а не воспринимать её как формальное требование. ФСТЭК не исключает ужесточения ответственности, если организации продолжат игнорировать меры.

Искусственный интеллект (ИИ) уже применяют для проверки результатов анализа исходного кода, защиты сетевого периметра и поиска уязвимостей. Риск появляется, когда ИИ-агент получает доступ к корпоративным системам и самостоятельно выполняет действия, ведь злоумышленники могут попытаться повлиять на самого агента или воспользоваться его полномочиями. Павел Зенкин указал на необходимость сохранять человеческий контроль, а Иван Минаев отметил, что ответственность за процессы защиты должна оставаться за людьми, поскольку ИИ не может нести юридическую ответственность. Внедрение ИИ в критической инфраструктуре требует:

• проверки возможностей инструмента;
• определения границ доступа;
• контроля выполняемых операций;
• порядка реагирования на ошибки.

Эксперты CISOCLUB отметили, что 2141 нарушение, выявленное с 2024 года, говорит о сбоях в базовой дисциплине, а не о нехватке дорогих технологий. Анализ защищённости, контроль администраторов и аудиты стоят существенно дешевле последствий атаки, которая начинается с банального слабого места. Требование регулярно считать показатели защищённости и зрелости переводит киберзащиту из режима подготовки к проверке в режим постоянной работы, поэтому процессы стоит выстроить заранее, не дожидаясь 1 марта 2027 года.

Подрядчики с доступом к значимым объектам могут стать самой короткой дорогой для атакующих, и оценивать их лучше до выдачи прав. С ростом числа ИИ-агентов растёт цена ошибки в настройке прав, поэтому каждому агенту нужны ограниченный доступ и понятный владелец. Для россиян это означает, что чем быстрее организации закроют старые недостатки, тем меньше шансов, что платёж, запись к врачу или доступ к государственным услугам остановятся из-за примитивной атаки.

Ранее сообщалось, что ФСТЭК России зафиксировала увеличение доли организаций, относящихся к критической информационной инфраструктуре (КИИ), которые достигли минимально необходимого уровня защиты от распространённых киберугроз по сравнению с аналогичным периодом 2025 года. С прошлого года ведомство разработало и направило субъектам КИИ более 200 организационных и технических мер для повышения защищённости. При этом конкретные показатели роста в сообщении не приводятся.