Раздел рассматривает международные и российские нормативные акты, регулирующие кибербезопасность информационных и операционных технологий в ЦОД. В зарубежной практике основное внимание уделяется защите данных (HIPAA, GDPR) и встроенной безопасности устройств (SB327). В Российской Федерации применяется комплекс федеральных законов и приказов ФСТЭК, определяющих защиту критической информационной инфраструктуры (КИИ), персональных данных и инженерных систем.
Международное регулирование кибербезопасности затрагивает все аспекты цифровой инфраструктуры — от медицинских систем до центров обработки данных. В России эти функции выполняют национальные законы и ведомственные нормативы, ориентированные на защиту КИИ и персональных данных.
Основные группы документов:
Health Insurance Portability and Accountability Act (1996, ред. 2013) и HITECH Act (2009) устанавливают требования к защите электронных медицинских данных (ePHI) и предусматривают штрафы за их компрометацию.
Ключевая норма (Section 164.308(a)(7)(ii)(C)):
Разрабатывать и внедрять процедуры для обеспечения непрерывности критически важных процессов и защиты данных ePHI во время аварийного режима.
Требуется защита данных при любых отказах инфраструктуры. В контексте ЦОД это подразумевает резервирование питания, связи и киберзащиту систем управления, включая SNMP и Modbus. Уязвимости в этих протоколах могут сделать неэффективным даже избыточное резервирование.
Для соответствия HIPAA ЦОД должен обеспечивать:
General Data Protection Regulation (2018) защищает персональные данные граждан ЕС вне зависимости от местоположения серверов. Любой ЦОД, обрабатывающий такие данные, обязан соблюдать требования GDPR.
Основные положения статьи 32:
Нарушение требований влечёт штраф до 4 % мирового оборота компании. Это включает ответственность за компрометацию инженерных и коммуникационных систем, влияющих на доступность данных.
California Senate Bill 327 (2018, вступил в силу 2020) требует, чтобы все сетевые устройства (включая OT) имели встроенные средства защиты от несанкционированного доступа.
Основное требование:
Производитель обязан оснастить устройство средствами защиты, предотвращающими несанкционированное изменение, разрушение или раскрытие данных.
Устройства без встроенной защиты (Modbus, BACnet, SNMP без шифрования) не допускаются к применению без внешних средств безопасности. Фактически это запрет на эксплуатацию незащищённых OT-устройств в штатной инфраструктуре.
SB327 стал моделью для новых инициатив в других странах и регионах. Для ЦОД это означает необходимость применения сертифицированных шлюзов и контроллеров, поддерживающих:
В Российской Федерации защита OT и ИТ-систем в ЦОД регулируется федеральным законодательством и ведомственными актами. Основные документы формируют систему защиты критической информационной инфраструктуры (КИИ), персональных данных и инженерных сетей.
Ключевые нормативные акты:
В отличие от США и ЕС, в России основное внимание уделяется категорированию объектов КИИ и выполнению требований ФСТЭК к значимым системам. Нормативы обеспечивают комплексную защиту — от сетевых атак до несанкционированного физического доступа.
| Область | США / ЕС | Российская Федерация | Практическое значение для ЦОД |
|---|---|---|---|
| Персональные данные | GDPR | 152-ФЗ, 149-ФЗ | Конфиденциальность, локализация, классы ИСПДн |
| Критическая инфраструктура (OT) | SB327 | 187-ФЗ, ПП №127, Приказ №239 | Категорирование, меры защиты, реагирование |
| Непрерывность и отказоустойчивость | HIPAA | Приказ №239, Приказ №17 | Планирование аварийных сценариев, резервирование |
| Физическая и киберзащита | — | ПП №258 (2024) | Комплексная защита промышленных зон и инженерных систем |