Что регулирует закон
187-ФЗ регулирует безопасность критической информационной инфраструктуры. Это не закон про обычные сайты. Он касается информационных систем, сетей и автоматизированных систем управления, которые важны для устойчивой работы государства, экономики и ключевых отраслей.
Если сбой или атака на систему может привести к серьезным последствиям для важной отрасли, такая система может попасть под требования 187-ФЗ.
Когда 187-ФЗ касается сайта
Обычный сайт компании обычно не попадает под 187-ФЗ только потому, что он есть в интернете.
Критически важные сферы
Здравоохранение, наука, транспорт, связь и энергетика.
Банковская сфера, финансовый рынок, топливно-энергетический комплекс, металлургия, химическая и горнодобывающая промышленность.
Атомная энергетика, оборонная промышленность, ракетно-космическая отрасль и связанные системы.
Сайт может иметь значение, если через него управляют услугами, принимают заявки, передают данные в важные системы или обеспечивают доступ к инфраструктуре.
Что нужно предусмотреть
Это могут быть не только сайты, но и информационные системы, сети, серверы, автоматизированные системы управления.
Нужно определить, относится ли система к значимым объектам КИИ.
Для значимых объектов КИИ применяются специальные требования по безопасности.
Важны обнаружение, предупреждение и реагирование на компьютерные атаки.
Нужны регламенты, ответственные лица, документы, журналы и процедуры реагирования, а не только технические средства защиты.
Основные риски
Организация относится к субъектам КИИ, но не провела анализ объектов и не определила их категорию.
Для системы не выполнены установленные требования по защите.
Инциденты не фиксируются, не передаются в установленном порядке, нет ответственных за безопасность.
Сайт или внешняя система связаны с внутренними критическими системами без должной защиты.
Нет документов, журналов, регламентов и технических мер, которые подтверждают управляемую защиту.
Для кого особенно важно
Для таких организаций вопрос нужно анализировать не по наличию сайта, а по роли системы в критичных процессах.
Для обычной компании корпоративный сайт, интернет-магазин или лендинг обычно не делает 187-ФЗ главным законом.
Если сайт связан с банком, медицинской системой, транспортом, энергетикой, связью или промышленной инфраструктурой, вопрос нужно анализировать отдельно.