Ещё десять лет назад вопросы ИТ-инфраструктуры были заботой системного администратора и ИТ-директора. Сегодня это стратегический актив компании, от состояния которого напрямую зависят непрерывность бизнеса, безопасность данных, репутация и соответствие требованиям законодательства. 

Сбой в корпоративной сети останавливает производство. Уязвимость в системе хранения данных открывает доступ к коммерческой тайне. Несоответствие требованиям регуляторов — в первую очередь ФСТЭК и ФСБ для субъектов критической информационной инфраструктуры — влечёт штрафы и предписания. А отсутствие резервного копирования превращает рядовой инцидент в катастрофу. 

При этом многие руководители по-прежнему не имеют чёткого представления о том, что именно входит в цифровую инфраструктуру их организации, в каком она состоянии и где находятся реальные точки риска. Эта статья для них. 

Цифровая инфраструктура организации — это совокупность технических, программных, сетевых ресурсов и процессов, которые обеспечивают работу всех информационных систем компании, хранение и передачу данных, взаимодействие между сотрудниками, подразделениями и внешними контрагентами. 

Если говорить совсем просто: это всё, без чего сотрудники не могут выполнять свою работу в цифровой среде — от рабочих компьютеров и корпоративной почты до серверов, баз данных, ERP-систем и средств защиты информации. 

Важно понимать, что цифровая инфраструктура не просто набор железа и программ. Это ещё и процессы: как управляется доступ к данным, как реагируют на инциденты, как обновляется программное обеспечение, кто и за что отвечает. Инфраструктура без выстроенных процессов — это красивый, но небезопасный фасад. 

Это физическая основа всей инфраструктуры: серверы, рабочие станции, ноутбуки, сетевое оборудование (коммутаторы, маршрутизаторы, межсетевые экраны), системы хранения данных (СХД), источники бесперебойного питания. Отдельный элемент — серверная комната или центр обработки данных (ЦОД): физическое пространство, в котором размещается ключевое оборудование. 

Состояние аппаратной части часто недооценивают. Между тем устаревшее оборудование один из главных источников рисков: оно работает медленнее, чаще выходит из строя и нередко не поддерживает актуальные версии программного обеспечения и средств защиты. 

Для субъектов критической информационной инфраструктуры в этом блоке добавляется дополнительное измерение. С 1 января 2025 года органам государственной власти и компаниям с госучастием запрещена эксплуатация иностранных средств защиты информации на значимых объектах КИИ. Для всех субъектов КИИ действует запрет на использование СЗИ из недружественных стран на любых объектах КИИ. Требования о переходе на отечественное ПО для значимых объектов КИИ закреплены в 58-ФЗ. 

Правильная архитектура сети с сегментацией, разграничением доступа и контролем трафика это базовая мера защиты. Особенно критично для организаций с распределённой инфраструктурой: несколько офисов, производственные площадки, удалённые сотрудники. 

 
Резервное копирование — ключевой элемент этого блока, который при этом очень часто организован плохо: бэкапы создаются нерегулярно, хранятся на том же сервере, что и основные данные, а их работоспособность никто не проверяет. Первый серьёзный инцидент в таких компаниях становится последним предупреждением. 

 
Для субъектов КИИ этот блок регламентирован отдельно: приказ ФСТЭК №239 устанавливает конкретные требования к составу и характеристикам средств защиты в зависимости от категории значимости объекта. Применение несертифицированных или иностранных СЗИ на значимых объектах КИИ — прямое нарушение, которое ФСТЭК фиксирует при каждой проверке. 

 
Практика показывает: большинство успешных атак и инцидентов — это не взлом технических средств защиты, а использование человеческого фактора и организационных пробелов. Сотрудник, не знающий политику паролей. Подрядчик с избыточными правами доступа. Уволенный системный администратор, учётная запись которого не заблокирована. 

Многие руководители не подозревают, что их организация является субъектом критической информационной инфраструктуры. Между тем 187-ФЗ «О безопасности критической информационной инфраструктуры» охватывает организации в 14 сферах: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. 

Если ваша организация работает в одной из этих сфер и в её распоряжении находятся информационные системы, сети или автоматизированные системы управления — на праве собственности, аренды или ином законном основании — она является субъектом КИИ. А значит, часть её цифровой инфраструктуры относится к объектам КИИ и подпадает под специальные требования по защите. 

С 1 сентября 2025 года вступили в силу поправки к 187-ФЗ, внесённые Федеральным законом №58-ФЗ от 07.04.2025. Они уточнили порядок категорирования, ввели обязательный переход на отечественное ПО и средства защиты, а также скорректировали круг субъектов — в частности, исключили из него индивидуальных предпринимателей. С 1 марта 2026 года вступает в силу 325-ФЗ от 31.07.2025, распространяющий часть требований ГосСОПКА на юридические лица под контролем государства, ранее не являвшиеся субъектами КИИ. 

Для таких организаций цифровая инфраструктура — это уже не просто вопрос эффективности бизнеса, а предмет государственного контроля. ФСТЭК России проверяет субъектов КИИ планово и внепланово, и только за период с января по октябрь 2025 года было проверено свыше 700 значимых объектов с выявлением более 1100 нарушений. 

Опыт работы с организациями из разных отраслей позволяет выделить несколько системных проблем, которые встречаются снова и снова.  

Непрозрачность: никто не знает, что есть. Нет актуального реестра оборудования и программного обеспечения. ИТ-специалисты уходят и уносят знания о том, как всё устроено. Документация не велась или не обновлялась годами. Это не только операционный риск, но и нарушение требований по управлению конфигурацией и инвентаризацией ресурсов, предусмотренных приказом ФСТЭК №239 для субъектов КИИ.  

Устаревшая инфраструктура. Серверы, которые работают по десять лет. Операционные системы, снятые с поддержки производителем. Сетевое оборудование, для которого уже не выходят обновления безопасности. Всё это — открытые двери для атак и потенциальные точки отказа. 

Отсутствие сегментации и избыточные права доступа. Все сотрудники работают в одной плоской сети. Бухгалтер имеет доступ к производственным системам. Подрядчики подключаются к той же сети, что и ключевые бизнес-системы. В случае инцидента это означает, что атака, начавшаяся с одного компьютера, может распространиться на всю инфраструктуру. 

Формальная безопасность. Антивирус установлен, политика паролей существует в виде документа, но никто её не соблюдает. Средства защиты куплены, но не настроены или настроены неправильно. Резервные копии создаются, но никто не проверяет, можно ли из них восстановить данные. 

Иностранное программное обеспечение и СЗИ на объектах КИИ. После ухода зарубежных вендоров с российского рынка многие организации продолжают использовать иностранные решения, лишившиеся поддержки и обновлений. Для органов государственной власти и компаний с госучастием с 1 января 2025 года это прямое нарушение запрета на иностранные СЗИ на значимых объектах КИИ. Для всех субъектов КИИ без исключения действует запрет на СЗИ из недружественных стран на любых объектах КИИ. 

Прежде чем выстраивать защиту, нужно понять, что именно защищать и в каком состоянии это находится. Отправная точка — ответы на несколько базовых вопросов. 

Есть ли актуальный реестр всего оборудования и программного обеспечения? Знаете ли вы, какие системы являются критически важными для бизнеса и что произойдёт при их отказе? Настроено ли резервное копирование и когда последний раз проверялось восстановление из резервных копий? Все ли средства защиты информации актуальны, обновлены и соответствуют требованиям регуляторов? Есть ли актуальная документация: схемы сети, политики безопасности, инструкции для сотрудников? 

Если хотя бы на три из этих вопросов нет уверенного положительного ответа — это сигнал для проведения полноценного аудита. 

Аудит цифровой инфраструктуры даёт организации актуальную картину AS-IS: что есть, в каком состоянии, где риски и что нужно сделать в первую очередь. Для субъектов КИИ такой аудит — ещё и возможность выявить несоответствия требованиям 187-ФЗ и приказа ФСТЭК №239 до того, как их найдёт регулятор. 

Защита цифровой инфраструктуры — это не разовое мероприятие, а непрерывный процесс. Тем не менее есть базовые направления, с которых нужно начать. 

Инвентаризация и управление активами. Нельзя защитить то, о чём не знаешь. Актуальный реестр всех активов — оборудования, программного обеспечения, информационных систем — это фундамент любой системы защиты. 

Управление доступом. Каждый сотрудник и подрядчик должен иметь доступ только к тем ресурсам, которые необходимы ему для работы. Принцип минимальных привилегий — один из наиболее эффективных способов ограничить распространение атаки при компрометации одной учётной записи. 

Сегментация сети. Разделение инфраструктуры на сегменты с ограниченным взаимодействием между ними существенно снижает риск горизонтального распространения атаки. Особенно важно изолировать производственные и технологические системы от корпоративной сети. 

Управление обновлениями и уязвимостями. Большинство успешных атак эксплуатируют известные уязвимости, для которых уже существуют патчи. Регулярное обновление операционных систем, прикладного ПО и средств защиты — обязательная, но до сих пор нередко игнорируемая практика. 

Резервное копирование и планирование восстановления. Резервные копии должны создаваться регулярно, храниться изолированно от основных систем и периодически проверяться на возможность восстановления. Наличие плана восстановления после инцидента (BCP/DRP) — обязательное условие для организаций, для которых простой критичен. 

Мониторинг и реагирование на инциденты. Система мониторинга событий безопасности позволяет обнаружить атаку или аномалию на ранней стадии — до того, как она привела к серьёзным последствиям. Для субъектов КИИ это требование закреплено нормативно: необходимо обеспечить взаимодействие с ГосСОПКА и соблюдать установленный порядок информирования об инцидентах. 

Обучение сотрудников. Человек остаётся самым уязвимым элементом любой системы защиты. Фишинговые письма, социальная инженерия, случайное нарушение правил работы с данными — всё это невозможно закрыть техническими средствами без базовой осведомлённости сотрудников. 

Цифровая трансформация инфраструктуры — переход в облако, внедрение новых систем, автоматизация процессов — создаёт новые возможности и одновременно новые риски. Облачные сервисы расширяют периметр атаки. Интеграции между системами создают новые точки уязвимости. Быстро внедрённые решения нередко вводятся в эксплуатацию без надлежащей оценки рисков безопасности. 

Безопасность должна быть встроена в процесс цифровой трансформации с самого начала, на этапе проектирования архитектуры, выбора решений и планирования интеграций. Принцип «сначала внедрим, потом защитим» неизбежно приводит к тому, что защита обходится значительно дороже, а риски остаются актуальными ещё долго после завершения проекта. 

Для субъектов КИИ этот принцип закреплён нормативно: любые изменения в составе и архитектуре значимых объектов КИИ требуют актуализации категорирования, оценки влияния на систему защиты и обновления соответствующей документации. 

Независимо от масштаба организации и отрасли, путь к управляемой и защищённой цифровой инфраструктуре начинается с одного шага — понять, что есть сейчас. 

Если у вас нет актуальной картины состояния инфраструктуры, начните с аудита. Если вы работаете в отрасли, попадающей под действие 187-ФЗ, убедитесь, что вы правильно определили свой статус субъекта КИИ и выполнили требования по категорированию. Если у вас есть значимые объекты КИИ — проверьте соответствие требованиям приказа ФСТЭК №239 и убедитесь в отсутствии запрещённых иностранных СЗИ. 

Чем раньше вы получите реальную картину, тем дешевле обойдётся её улучшение. И тем меньше вероятность того, что следующее, что вам сообщит о состоянии вашей инфраструктуры, будет предписание регулятора или звонок службы безопасности в три часа ночи. 

Хотите понять, в каком состоянии цифровая инфраструктура вашей организации? 

Специалисты ВКорпе проводят аудит ИТ-инфраструктуры и помогают субъектам КИИ выстроить защиту в соответствии с требованиями регуляторов. Работаем с организациями из всех регулируемых отраслей. 

Получить бесплатную консультацию →