187-FZ «عن أمن البنية التحتية المعلوماتية الحرجة»

ما هو القانون الاتحادي رقم 187-FZ «عن أمن البنية التحتية المعلوماتية الحرجة»

اعتُمد القانون الاتحادي رقم 187-FZ «عن أمن البنية التحتية المعلوماتية الحرجة للاتحاد الروسي» في 26 يوليو 2017 ويرسم متطلبات إلزامية لحماية منشآت CII (البنية التحتية المعلوماتية الحرجة) — الأنظمة المعلوماتية وأنظمة التحكم المؤتمتة وشبكات الاتصال الضرورية للإدارة العامة والدفاع والاقتصاد ودعم حياة السكان. يسري القانون على منظمات القطاعات الصحية والنقل والاتصالات والطاقة والمالية والعلم وصناعات الدفاع والذرة وسائر القطاعات الضامنة لنشاط الدولة الحيوي. وتراقب الامتثال للمتطلبات خدمة FSTEC الروسية، وقد نُصّت غرامات إدارية (تصل إلى مليون روبل للمنظمات) وملاحقة جنائية (بموجب المادة 274.1 من قانون العقوبات الروسي — حبس حتى 8 سنوات) عند المخالفة. فالمخالفة لا تسبب خسائر مالية فحسب بل تهدد الأمن الوطني، لذا يعد الامتثال لـ187-FZ بالغ الأهمية لجميع رعايا CII. ولحماية منشآت CII يلزم نشر منظومات أمن شاملة تضم أنظمة SIEM وحلول DLP للمراقبة ومنع الحوادث، مع استخدام وسائل معتمدة لحماية المعلومات.

تصنيف منشآت CII

يقسم القانون منشآت البنية التحتية المعلوماتية الحرجة إلى ثلاث فئات أهمية بحسب الأضرار المحتملة عند المساس بأمنها. الفئة الأولى — منشآت قد يؤدي المساس بأمنها إلى طارئ باتساع فيدرالي وأضرار جسيمة للاقتصاد أو الدفاع أو أمن الدولة. الفئة الثانية — منشآت يخلق حادثها تهديداً على المستوى الجهوي وقد يعطل دعم حياة السكان أو البنية النقلية لأحد أقاليم الاتحاد الروسي. الفئة الثالثة — منشآت قد يسبب حوادثها أضراراً على مستوى بلدية أو منظمة واحدة. المنشآت ذات الأهمية الخاصة — فئة مستقلة للمنشآت بالغة الأهمية للدفاع والأمن والنظام العام. ويجرى التصنيف وفق منهجيات إدارية تراعي العواقب الاجتماعية والسياسية والاقتصادية للحوادث المحتملة، وتُرسل نتائجه إلى FSTEC خلال 10 أيام عمل من اعتماد محضر التصنيف. وتُرسم للفئات المختلفة متطلبات مغايرة لمستوى الحماية وتكرار التفتيش.

التزامات رعايا CII

يلتزم رعايا CII (منظمات مالكو المنشآت) بالمتطلبات التالية رسمها القانون والقوانين التطبيقية. إنشاء منظومة أمن للمنشآت — ابتكار وتطبيق تدبيرات حماية تنظيمية وتقنية تشمل سياسات الأمن واللوائح والتعليمات وتعيين المسؤولين. إجراء التصنيف — تحديد فئة أهمية كل منشأة في المهلة المرسومة (وللمنشآت الجديدة خلال سنة من التشغيل) وتمرير المعلومات إلى FSTEC. استخدام وسائل حماية تشفيرية (СКЗИ) معتمدة — تطبيق وسائل معتمدة من جهاز FSB لحماية المعلومات عند نقلها وتخزينها. توفير تدبيرات حماية تقنية — حماية من الوصول غير المصرح به، وحماية من الفيروسات، ومراقبة سلامة البيانات، وتشفير قنوات الاتصال، والنسخ الاحتياطي، ومراقبة أحداث الأمن. التبليغ عن الحوادث — إخطار FSTEC فوراً بالحوادث المعلوماتية في المنشآت والتفاعل مع منظومة الدولة لكشف الهجمات المعلوماتية ومنعها ومعالجة آثارها (GosSOPKA). إجراء الاعتماد — إثبات مطابقة منظومة الحماية لمتطلبات الأمن بإجراء اختبارات الاعتماد. ومنذ 2025 حظر استخدام البرمجيات الأجنبية على منشآت CII (عدا حالات انعدام نظائر وطنية).

المسؤولية عن مخالفة 187-FZ

ترسم مسؤوليتان إدارية وجنائية عند عدم الامتثال لمتطلبات القانون. غرامات إدارية — للمسؤولين حتى 500 ألف روبل وللمنظمات حتى مليون روبل (بموجب المادة 13.14 من قانون المخالفات الإدارية الروسي عن مخالفة متطلبات حماية المعلومات)، مع غرامات عن عدم تنفيذ أوامر FSTEC أو عدم تقديم المعلومات أو تقديمها غير دقيقة. المسؤولية الجنائية — ترسم المادة 274.1 من قانون العقوبات الروسي «التأثير غير المشروع على البنية التحتية المعلوماتية الحرجة للاتحاد الروسي» حبساً حتى 8 سنوات لإنشاء برمجيات خبيثة تستهدف منشآت CII أو نشرها أو استخدامها. العزل عن المنصب — للمسؤولين حتى 3 سنوات عند المخالفة المتكررة. تعليق النشاط — للمحكمة أن تقرر تعليق نشاط المنظمة حتى تصحيح المخالفات. وللتقليل من المخاطر يوصى بتدقيق منتظم لمنظومات الأمن وتحديث وسائل الحماية فوراً وإجراء اعتماد منشآت CII في المهل المرسومة.