Минцифры утвердило рекомендации по защите центров обработки данных от атак беспилотников. Документ впервые вводит категории критичности для ЦОД, определяет требования к физической защите и резервированию. Разбираем, что изменилось и почему это касается не только крупных провайдеров, но и компаний, которые размещают в дата-центрах свои системы.

Что произошло

Отраслевой штаб Минцифры утвердил требования к комплексной защите центров обработки данных от беспилотников и других воздушных угроз. Документ распространяется на проектируемые, строящиеся и действующие ЦОДы в России независимо от формы собственности и оператора.

Поводом стали атаки на пять дата-центров крупных провайдеров в разных регионах. После этого Минцифры создало штаб по защите сетей связи от внешнего деструктивного воздействия и определило перечень важнейших объектов.

Три категории критичности

Ключевое нововведение — разделение дата-центров на три категории. От категории будет зависеть не только набор требований к защите, но и порядок взаимодействия с силовыми ведомствами и экстренными службами.

К1 — стратегические объекты. Поражение может нарушить ключевые государственные функции на срок от часа.

К2 — объекты регионального и отраслевого уровня. Обеспечивают работу экономически или социально важных систем. Нарушение может продолжаться от четырёх часов.

К3 — корпоративные ЦОДы. Повреждение приводит к существенным потерям отдельных организаций, но без масштабных последствий для государства.

Что требуется от дата-центров

Для действующих ЦОД рекомендации предусматривают снижение заметности с воздуха, физическое укрепление конструкций, установку средств радиоэлектронной борьбы и систем противодействия воздушным угрозам.

Защита должна выстраиваться по многоуровневому принципу. Конструкции обязаны обеспечивать сохранность машинных залов, систем охлаждения и электроснабжения при воздействии ударной волны и осколков. Критически важные сервисы предлагается резервировать.

Кроме того, документ предусматривает создание единого ситуационного центра и взаимодействие операторов с Минобороны, МЧС, Росгвардией и экстренными службами.

Что это значит для бизнеса

На первый взгляд может показаться, что новые требования касаются только операторов дата-центров. Но это не так. Если компания размещает свои системы в ЦОД, её работа зависит от того, насколько устойчива эта площадка к физическим угрозам.

Физическая защита перестаёт быть абстрактной темой. Ещё недавно вопросы безопасности сводились к программным средствам, межсетевым экранам и шифрованию. Сегодня становится очевидно, что информационная безопасность должна учитывать и физическое воздействие.

Облако как инструмент устойчивости

Показательным стал пример, когда вывод из строя трёх дата-центров в рамках одной компании не привёл к длительной остановке сервисов. Перераспределение мощностей между оставшимися площадками позволило восстановить работу в кратчайшие сроки.

Это ещё раз подтверждает тезис: облако и распределённая инфраструктура — это не про безопасность в узком смысле, а про устойчивость. Когда одна площадка недоступна, вторая продолжает работу. Когда один регион ограничен в ресурсах, нагрузка переходит в другой.

Для бизнеса это означает, что при выборе провайдера стоит смотреть не только на цену и характеристики серверов, но и на то, как устроена его инфраструктура. Есть ли резервные площадки. Как организовано переключение. Насколько быстро сервисы восстанавливаются в случае инцидента.

Что учитывать при выборе площадки

Если вы рассматриваете размещение систем в дата-центре или уже работаете с провайдером, обратите внимание на несколько параметров.

Физическая защита. Насколько площадка защищена от внешних угроз. Есть ли укреплённые конструкции, системы раннего обнаружения, резервные каналы связи.

Распределение. Размещены ли системы в одном месте или между несколькими площадками. Это напрямую влияет на устойчивость к инцидентам.

Резервирование. Как организовано резервное копирование и восстановление. Что произойдёт, если одна из площадок выйдет из строя.

Соответствие требованиям. Если вы работаете с персональными данными или объектами КИИ, площадка должна иметь соответствующие аттестаты и защищённые сегменты.

Новые рекомендации Минцифры говорят нам о том, что физическая безопасность инфраструктуры становится частью общего контура защиты информации. Компании, которые размещают свои системы в дата-центрах, должны учитывать это при выборе провайдера. Распределённая инфраструктура, резервирование и физическая защита площадок перестают быть опцией и становятся базовым условием устойчивости бизнеса.