Введение

Инфраструктура, важная для национальной безопасности

Критическая инфраструктура, или критическая национальная инфраструктура (CNI) в Великобритании, обозначает объекты инфраструктуры, которые правительства считают жизненно важными для функционирования общества и экономики и требующие особой защиты в целях национальной безопасности. Исторически сложилось так, что критическая инфраструктура находилась в сфере ответственности государства в силу своей стратегической важности, однако наблюдается тенденция к её приватизации, что порождает дискуссии о роли частного сектора в обеспечении функционирования этих важнейших объектов.

Европейский союз

Европейская программа по защите критической инфраструктуры (EPCIP) относится к доктрине или конкретным программам, разработанным в результате директивы Европейской комиссии EU COM(2006) 786, которая определяет европейскую критическую инфраструктуру, отказ, инцидент или атака на которую могут оказать влияние как на страну, на территории которой она расположена, так и как минимум на одно другое европейское государство-член. Государства-члены обязаны имплементировать директиву 2006 года в свое национальное законодательство. Была предложена номенклатура европейской критической инфраструктуры на основе информации, предоставленной государствами-членами. Для каждой идентифицированной европейской критической инфраструктуры (ECI) должен быть разработан план безопасности оператора (OSP), включающий в себя идентификацию важных активов, анализ рисков, основанный на основных сценариях угроз и уязвимости каждого актива, а также определение, выбор и приоритизацию контрмер и процедур.

Германия

Немецкая программа защиты критической инфраструктуры KRITIS координируется Федеральным министерством внутренних дел. Некоторые из её специализированных ведомств, такие как Федеральное ведомство по информационной безопасности Германии или Федеральное ведомство гражданской защиты и оказания помощи при катастрофах BBK, предоставляют соответствующий контент, например, об ИТ-системах.

Сингапур

В Сингапуре критически важные объекты инфраструктуры подпадают под действие Закона о защищенных зонах и защищенных местах. В 2017 году парламент принял Закон об охране инфраструктуры, который обеспечивает защиту определенных территорий, объектов и помещений в Сингапуре от угроз безопасности. Закон вступил в силу в 2018 году.

Великобритания

В Великобритании Национальный орган по защите безопасности (NPSA) предоставляет информацию, консультации по обеспечению безопасности персонала и физической защиты предприятий и организаций, составляющих национальную инфраструктуру Великобритании, помогая снизить ее уязвимость к терроризму и другим угрозам. Он может привлекать ресурсы других государственных ведомств и служб, включая МИ-5, Национальный центр кибербезопасности (NCSC) и другие государственные ведомства, ответственные за секторы национальной инфраструктуры.

Законодательство на государственном уровне

Несколько штатов США приняли законопроекты о "критической инфраструктуре", продвигаемые Американским советом по законодательным обменам (ALEC), с целью криминализации протестов против индустрии ископаемого топлива. В мае 2017 года Оклахома приняла закон, предусматривающий уголовную ответственность, в том числе тюремное заключение, за незаконное проникновение на территорию, признанную критической инфраструктурой, включая нефте- и газопроводы, или за сговор с целью совершения такого проникновения. ALEC представил версию этого законопроекта в качестве модельного закона и рекомендовал другим штатам принять его. В июне 2020 года Западная Вирджиния приняла Закон о защите критической инфраструктуры, который предусматривает уголовную ответственность, в том числе тюремное заключение, за протесты против объектов нефтегазовой отрасли.

Стресс-тестирование

Критическая инфраструктура (КИ), такая как автомагистрали, железные дороги, сети электроснабжения, плотины, портовые сооружения, крупные газопроводы или нефтеперерабатывающие заводы, подвержена воздействию множества природных и антропогенных опасностей и факторов стресса, включая землетрясения, оползни, наводнения, цунами, лесные пожары, последствия изменения климата или взрывы. Эти факторы стресса и резкие события могут приводить к отказам и потерям и, следовательно, прерывать функционирование жизненно важных служб для общества и экономики. Поэтому владельцам и операторам КИ необходимо выявлять и количественно оценивать риски, связанные с КИ, обусловленные различными факторами стресса, чтобы определить стратегии смягчения последствий и повысить устойчивость КИ. Стресс-тесты – это передовые и стандартизированные инструменты для оценки опасностей и рисков КИ, которые включают в себя события с низкой вероятностью и высокими последствиями (LP HC), а также так называемые экстремальные или редкие события, а также систематическое применение этих новых инструментов к классам КИ. Стресс-тестирование – это процесс оценки способности КИ поддерживать определенный уровень функциональности в неблагоприятных условиях, при этом стресс-тесты учитывают события LP HC, которые не всегда принимаются во внимание при проектировании и процедурах оценки рисков, обычно используемых государственными органами или заинтересованными сторонами промышленности. В рамках европейского исследовательского проекта STREST была разработана многоуровневая методология стресс-тестирования КИ, состоящая из четырех фаз:

Фаза 1: Предварительная оценка, в ходе которой собираются доступные данные о КИ (контекст риска) и интересующих явлениях (контекст опасности). Определяются цель и задачи, временные рамки, уровень стресс-теста и общие затраты на стресс-тест. Фаза 2: Оценка, в ходе которой проводится стресс-тест в масштабе компонента и системы, включая анализ уязвимости и риска КИ для факторов стресса, определенных на фазе 1. Стресс-тест может дать три результата: "Успешно", "Частично успешно" и "Неуспешно", основанные на сравнении количественно оцененных рисков с допустимыми уровнями риска и системой штрафов. Фаза 3: Принятие решения, в ходе которой результаты стресс-теста анализируются в соответствии с целью и задачами, определенными на фазе 1. Определяются критические события (события, которые наиболее вероятно приведут к превышению заданного уровня потерь) и стратегии снижения риска. Фаза 4: Отчетность, в ходе которой результаты стресс-теста и рекомендации по снижению риска, основанные на результатах, полученных на фазе 3, формулируются и представляются заинтересованным сторонам. Эта методология стресс-тестирования была продемонстрирована на шести объектах КИ в Европе на уровне компонентов и систем: нефтеперерабатывающий и нефтехимический завод в Милаццо, Италия; концептуальная альпийская земляная плотина в Швейцарии; трубопровод Баку – Тбилиси – Джейхан в Турции; часть национальной сети хранения и распределения газа Gasunie в Нидерландах; портовая инфраструктура Салоников, Греция; и промышленный район в регионе Тоскана, Италия. Результаты стресс-тестирования включали определение критических компонентов и событий, а также стратегии снижения рисков, которые формулируются и сообщаются заинтересованным сторонам.