Инструменты пользователя

Инструменты сайта

Вы посетили:
topics:20:regulation

Различия

Показаны различия между двумя версиями страницы.

Ссылка на это сравнение

topics:20:regulation [2025/11/15 18:06] – создано admintopics:20:regulation [2025/11/15 18:10] (текущий) – admin
Строка 3: Строка 3:
 ====== Законодательные и нормативные требования ====== ====== Законодательные и нормативные требования ======
 <WRAP box round> <WRAP box round>
-Раздел рассматривает ключевые нормативные акты, регулирующие кибербезопасность информационных и операционных технологий в ЦОД, включая HIPAA, GDPR и SB327. Эти документы задают обязательные требования к защите данных, устойчивости систем и безопасности подключённых устройств.+Раздел рассматривает международные и российские нормативные акты, регулирующие кибербезопасность информационных и операционных технологий в ЦОД.   
 +В зарубежной практике основное внимание уделяется защите данных (HIPAA, GDPR) и встроенной безопасности устройств (SB327).   
 +В Российской Федерации применяется комплекс федеральных законов и приказов ФСТЭК, определяющих защиту критической информационной инфраструктуры (КИИ), персональных данных и инженерных систем.
 </WRAP> </WRAP>
  
 ===== Общие положения ===== ===== Общие положения =====
 <WRAP info> <WRAP info>
-Законодательство по кибербезопасности охватывает широкий спектр отраслей — от медицины до центров обработки данных. Несмотря на то, что уровень осведомлённости специалистов ЦОД о таких нормах высок, понимание требований к инженерным (OT) системам остаётся ограниченным.+Международное регулирование кибербезопасности затрагивает все аспекты цифровой инфраструктуры — от медицинских систем до центров обработки данных.   
 +В России эти функции выполняют национальные законы и ведомственные нормативы, ориентированные на защиту КИИ и персональных данных.
 </WRAP> </WRAP>
  
-Основные международные нормативы, влияющие на проектирование и эксплуатацию ЦОД: +Основные группы документов: 
-  * **HIPAA** — регулирование защиты медицинских данных (США); +  * **HIPAA (США)** — защита медицинских данных и требований к отказоустойчивости инфраструктуры; 
-  * **GDPR** — защита персональных данных граждан ЕС; +  * **GDPR (ЕС)** — комплексная защита персональных данных граждан Европейского Союза; 
-  * **SB327** — закон штата Калифорния, распространяющийся на IoT и OT-устройства.+  * **SB327 (США, Калифорния)** — обязательная встроенная защита IoT- и OT-устройств; 
 +  * **187-ФЗ, 152-ФЗ, 149-ФЗ, приказы ФСТЭК и постановления Правительства РФ** — российская нормативная база для защиты КИИ и инженерных систем ЦОД.
  
-===== HIPAA =====+===== HIPAA (США) =====
 <WRAP info> <WRAP info>
-**Health Insurance Portability and Accountability Act (HIPAA, 1996, ред. 2013)** и связанный с ним **HITECH Act (2009)** задают требования к защите электронных медицинских данных (ePHI) и предусматривают крупные штрафы за их компрометацию.+**Health Insurance Portability and Accountability Act (1996, ред. 2013)** и **HITECH Act (2009)** устанавливают требования к защите электронных медицинских данных (ePHI) и предусматривают штрафы за их компрометацию.
 </WRAP> </WRAP>
  
-Ключевая норма (Section 164.308(a)(7)(ii)(C)) предписывает:+Ключевая норма (Section 164.308(a)(7)(ii)(C)):
 > Разрабатывать и внедрять процедуры для обеспечения непрерывности критически важных процессов и защиты данных ePHI во время аварийного режима. > Разрабатывать и внедрять процедуры для обеспечения непрерывности критически важных процессов и защиты данных ePHI во время аварийного режима.
  
 <WRAP important> <WRAP important>
-В случае отключения питания все медицинские данные должны оставаться защищёнными. Это означает необходимость резервирования питания и связи, а также киберзащиты систем управления, в том числе работающих по SNMP и Modbus.   +Требуется защита данных при любых отказах инфраструктуры.   
-Уязвимости в этих протоколах делают возможным остановку ИБП или компрометацию систем хранения данных даже при соблюдении резервирования.+В контексте ЦОД это подразумевает резервирование питания, связи и киберзащиту систем управления, включая SNMP и Modbus.   
 +Уязвимости в этих протоколах могут сделать неэффективным даже избыточное резервирование.
 </WRAP> </WRAP>
  
 <WRAP tip> <WRAP tip>
-Для соответствия HIPAA проект ЦОД должен предусматривать: +Для соответствия HIPAA ЦОД должен обеспечивать: 
-  * отказоустойчивое электроснабжение и управление; +  * отказоустойчивое электроснабжение и охлаждение; 
-  * киберзащиту коммуникационных протоколов (шифрование, аутентификация); +  * шифрование и аутентификацию каналов управления; 
-  * защиту каналов передачи ePHI при авариях и переключениях.+  * сохранность данных при аварийных сценариях и переключениях.
 </WRAP> </WRAP>
  
-===== GDPR =====+===== GDPR (ЕС) =====
 <WRAP info> <WRAP info>
-**General Data Protection Regulation (GDPR, ЕС, 2018)** регулирует защиту персональных данных граждан ЕС (PII), вне зависимости от того, где физически размещаются данные. Все ЦОД, обрабатывающие данные европейских пользователей, подпадают под действие GDPR.+**General Data Protection Regulation (2018)** защищает персональные данные граждан ЕС вне зависимости от местоположения серверов.   
 +Любой ЦОД, обрабатывающий такие данные, обязан соблюдать требования GDPR.
 </WRAP> </WRAP>
  
-Ключевая статья 32 требует: +Основные положения статьи 32: 
-  * обеспечение **конфиденциальности, целостности, доступности и устойчивости** систем обработки; +  * поддержание **конфиденциальности, целостности, доступности и устойчивости** систем обработки; 
-  * оценку рисков, включая утрату, несанкционированное изменение и утечку данных.+  * оценка рисков утраты, утечки или модификации данных; 
 +  * обеспечение защиты инженерных систем, поддерживающих IT-инфраструктуру.
  
 <WRAP important> <WRAP important>
-Нарушение требований GDPR влечёт штраф до **4 % годового мирового оборота** компании.   +Нарушение требований влечёт штраф до **4 % мирового оборота** компании.   
-Это делает защиту инженерных и коммуникационных систем ЦОД обязательным условием соблюдения закона.+Это включает ответственность за компрометацию инженерных и коммуникационных систем, влияющих на доступность данных.
 </WRAP> </WRAP>
  
-С точки зрения OT: +===== SB327 (США, Калифорния) =====
-  * системы электропитания и охлаждения, поддерживающие IT-нагрузку, также должны быть защищены; +
-  * используется принцип «безопасность по умолчанию» (secure by design); +
-  * требуется доказуемая непрерывность работы при киберинцидентах. +
- +
-===== SB327 =====+
 <WRAP info> <WRAP info>
-**California Senate Bill 327 (SB327, 2018/2020)** — первый закон, регулирующий безопасность IoT- и OT-устройств на уровне штата. Вступил в силу 1 января 2020 г. и требует, чтобы каждое сетевое устройство было оснащено «разумными средствами защиты».+**California Senate Bill 327 (2018, вступил в силу 2020)** требует, чтобы все сетевые устройства (включая OT) имели встроенные средства защиты от несанкционированного доступа.
 </WRAP> </WRAP>
  
-Основные положения: +Основное требование: 
-> Производитель должен оснастить устройство средствами защиты, соответствующими его назначению, способными предотвращать несанкционированный доступ, уничтожение, изменение или раскрытие данных.+> Производитель обязан оснастить устройство средствами защиты, предотвращающими несанкционированное изменение, разрушение или раскрытие данных.
  
 <WRAP important> <WRAP important>
-Устройства без встроенной защиты (например, использующие Modbus, BACnet или SNMP без шифрования) **не допускаются к применению** в инфраструктуре Калифорнии без внешних систем безопасности.   +Устройства без встроенной защиты (Modbus, BACnet, SNMP без шифрования) **не допускаются к применению** без внешних средств безопасности.   
-Это фактически запрещает закупку OT-оборудования без криптографической или сетевой защиты.+Фактически это запрет на эксплуатацию незащищённых OT-устройств в штатной инфраструктуре.
 </WRAP> </WRAP>
  
 <WRAP tip> <WRAP tip>
-Закон SB327 стал прецедентом: по его образцу формируются аналогичные инициативы в других штатах и странах.   +SB327 стал моделью для новых инициатив в других странах и регионах.   
-Для ЦОД это означает необходимость сертифицированных средств защиты OT, включая: +Для ЦОД это означает необходимость применения сертифицированных шлюзов и контроллеров, поддерживающих: 
-  * защищённые шлюзы и протоколы обмена (TLS, VPN); +  * шифрованные протоколы (TLS, VPN); 
-  * контроль паролей и политик доступа на уровне производителя; +  * контроль доступа и парольную политику; 
-  * журналирование всех операций в инженерных сетях.+  * ведение журналов действий и событий безопасности.
 </WRAP> </WRAP>
  
-===== Сравнительная таблица требований ===== +===== Российская практика ===== 
-^ Закон / стандарт ^ Область применения ^ Ключевые требования ^ Потенциальные штрафы ^ +<WRAP info> 
-| **HIPAA** | Медицинские учреждения, ЦОД с ePHI | Непрерывность, защита данных при авариях | До млн $ за инцидент | +В Российской Федерации защита OT и ИТ-систем в ЦОД регулируется федеральным законодательством и ведомственными актами.   
-| **GDPR** | Все организации, работающие с гражданами ЕС | Конфиденциальность, целостность, устойчивость | До 4 % мирового оборота | +Основные документы формируют систему защиты критической информационной инфраструктуры (КИИ), персональных данных и инженерных сетей. 
-| **SB327** | IoT- и OT-устройства в Калифорнии | Встроенная защита, исключение незащищённых протоколов | Запрет эксплуатации, штрафы по законам штата |+</WRAP> 
 + 
 +Ключевые нормативные акты: 
 +  * **187-ФЗ (26.07.2017)** — базовый закон о безопасности КИИ (технические, организационные и правовые меры).   
 +  * **ПП РФ №127 (08.02.2018)** — порядок категорирования объектов КИИ и критерии их значимости.   
 +  * **Приказ ФСТЭК №239 (25.12.2017)** — требования к безопасности значимых объектов КИИ (мониторинг, защита, реагирование).   
 +  * **149-ФЗ (27.07.2006)** — «Об информации…»; устанавливает требования к защите информации и локализации данных.   
 +  * **152-ФЗ (27.07.2006)** — «О персональных данных»; определяет технические и организационные меры защиты.   
 +  * **Приказ ФСТЭК №17 (11.02.2013)** — защита информации в ГИС, включая ЦОД, с разграничением ответственности.   
 +  * **ПП РФ №258 (01.03.2024)** — антитеррористическая защищённость промышленных объектов (сертифицированное ПО, физическая и киберзащита). 
 + 
 +<WRAP important> 
 +В отличие от США и ЕС, в России основное внимание уделяется **категорированию объектов КИИ** и выполнению требований ФСТЭК к значимым системам.   
 +Нормативы обеспечивают комплексную защиту — от сетевых атак до несанкционированного физического доступа. 
 +</WRAP> 
 + 
 +===== Сравнение подходов ===== 
 +^ Область ^ США / ЕС ^ Российская Федерация ^ Практическое значение для ЦОД ^ 
 +| Персональные данные | GDPR | 152-ФЗ, 149-ФЗ | Конфиденциальность, локализация, классы ИСПДн | 
 +| Критическая инфраструктура (OT) | SB327 | 187-ФЗ, ПП №127, Приказ №239 | Категорирование, меры защиты, реагирование | 
 +| Непрерывность и отказоустойчивость | HIPAA | Приказ №239, Приказ №17 | Планирование аварийных сценариев, резервирование | 
 +| Физическая и киберзащита | — | ПП №258 (2024) | Комплексная защита промышленных зон и инженерных систем |
  
 ===== Ключевые выводы ===== ===== Ключевые выводы =====
 <WRAP tip> <WRAP tip>
-  * Законодательные требования напрямую затрагивают инженерные системы ЦОД, включая питание, охлаждение и мониторинг.   +  * Зарубежные акты (HIPAA, GDPR, SB327) задают модельные принципы регулирования ИБ в ЦОД, но применимы в юрисдикциях США и ЕС.   
-  * HIPAA и GDPR требуют доказуемой непрерывности и защиты данных; SB327 — встроенной безопасности устройств.   +  * В РФ аналогичные функции выполняют 187-ФЗ, 152-ФЗ и приказы ФСТЭК, где упор делается на защиту КИИ и персональных данных.   
-  * Устройства, использующие Modbus, BACnet или SNMP без защиты, не соответствуют современным требованиям.   +  * В отличие от HIPAA, российское регулирование не отраслевое, а функциональное — охватывает любые системы, влияющие на безопасность государства и граждан.   
-  * При проектировании и эксплуатации ЦОД необходимо учитывать как отраслевые, так и региональные нормы.   +  * Инженерные сети (OT) входят в контур КИИ и подлежат категорированию при влиянии на IT-сервисы и обработку данных.   
-  * Для объектов на территории РФ аналогичные функции выполняют требования по защите КИИ (ФСТЭК, ФСБ).   +  * Устойчивость и резервирование рассматриваются как часть обеспечения требований к **доступности информации**.   
-  * Интеграция стандартов безопасности должна выполняться на стадии проектирования и проверяться аудитами ИБ.+  * При проектировании ЦОД важно проводить аудит применимости российских актов и реализовывать меры защиты по уровням значимости.
 </WRAP> </WRAP>
  
 </WRAP> </WRAP>
 +
  
topics/20/regulation.1763229983.txt.gz · Последнее изменение: — admin