НОВЫЕ ПОДХОДЫ К ОБЕСПЕЧЕНИЮ КИБЕРБЕЗОПАСНОСТИ И ПОВЫШЕНИЮ ЭФФЕКТИВНОСТИ ЗАЩИТЫ ОБЩЕСТВА ОТ КИБЕРТЕРРОРИЗМА

Актуальность. Электронные системы обеспечивают связь, платежи, работу транспорта, здравоохранения и государственных услуг. Нарушение их работы быстро выходит за пределы отдельной организации: недоступность сервиса затрагивает людей, которые сами не являются целью атаки. Поэтому защита общества от кибертеррористических угроз требует оценивать не только уязвимость сети, но и последствия отказа цифровых функций, от которых зависит повседневная жизнь.

Цель исследования^ определить подходы, которые позволяют одновременно повысить устойчивость информационных систем и снизить последствия преднамеренных цифровых атак для населения. Использованы формально-юридический и системный методы, сопоставлены российские нормативные акты с рекомендациями международных органов по управлению рисками и реагированию на инциденты.

Термин «кибертерроризм» часто употребляется для описания любого масштабного или политически мотивированного киберинцидента. Такое расширительное использование смешивает террористическую деятельность, преступления против компьютерной информации, вымогательство и идеологические атаки на доступность сайтов. Российский закон связывает терроризм с идеологией насилия и практикой воздействия на решения органов власти, сопряжённой с устрашением населения либо другими формами противоправного насилия [1]. Уголовная квалификация определяется признаками конкретного состава, в том числе целями и последствиями деяния, а не только цифровым способом его совершения [2].

Следовательно, атака на государственный портал или массовый отказ в обслуживании не становится террористическим преступлением автоматически. Такие события способны причинить общественный ущерб и требуют оперативной защиты, даже если террористическая цель не установлена. Для управления риском полезно иметь широкую техническую классификацию инцидентов, а уголовно-правовую оценку проводить отдельно. Это позволяет защищать услугу без преждевременных выводов о мотиве нарушителя и одновременно не пропустить сочетание цифрового воздействия с угрозами населению.

Уязвимость общества возникает из-за взаимозависимости сервисов. Медицинская организация может пользоваться общим облаком, оператор связи — зависеть от энергоснабжения, а электронные платежи — от нескольких централизованных платформ идентификации. Если анализировать каждый актив отдельно, общая точка отказа останется незамеченной. В докладе ENISA за 2026 год подчёркивается, что цифровые зависимости расширяют поверхность риска; среди заметных угроз названы программы-вымогатели и атаки на организации, оказывающие важные услуги [7]. Европейские данные не описывают обстановку в России, но подтверждают значимость анализа цепочек зависимости как самостоятельной задачи.

Отечественные исследования кибертеррористических угроз обращали внимание на превентивную работу наряду с техническим реагированием. Кобец рассматривал использование террористическими структурами цифровых каналов для коммуникации, распространения идей и сбора сведений, подчёркивая необходимость системных мер противодействия [10]. Для современной модели защиты этот тезис означает, что раннее выявление должно учитывать совокупность контекстных сигналов и возможный вред для конкретной услуги. Отдельная публикация или политически окрашенное высказывание сами по себе не подтверждают подготовку преступления; необходимы проверка источника, оценка поведения в контексте и самостоятельная правовая квалификация.

Первый новый подход состоит в планировании защиты вокруг общественно значимой функции, а не только вокруг периметра конкретной сети. Организациям следует описать минимальный набор услуг, которые должны сохраняться при инциденте, определить их технологические и поставщицкие зависимости и заранее назначить временные альтернативы. Для больницы это может быть возможность продолжать неотложную помощь при недоступности части информационных систем; для муниципальной службы сохранять приём критических обращений через резервный канал. Конкретные меры зависят от отрасли и должны согласовываться с требованиями к защите информации.

Такой подход меняет и критерий готовности. Число установленных средств защиты само по себе не показывает, восстановится ли важная услуга после компрометации учётной записи, сбоя облачного провайдера или потери основной сети. Более содержательны время обнаружения, время восстановления согласованного уровня услуги, доля успешно восстановленных систем и результаты учений. Эти показатели не следует сводить к одному рейтингу: быстрый запуск сервера не гарантирует безопасность данных или доступность услуги для всех пользователей.

Технический фундамент устойчивости составляют многофакторная проверка доступа, ограничение привилегий, своевременное устранение известных уязвимостей, разделение сетевых сегментов, регистрация действий и резервные копии, изолированные от основной инфраструктуры. Новизна подхода заключается в проверке совместной работы этих мер при реалистичном отказе. Восстановление следует проводить из проверенного состояния, а не считать успешным лишь потому, что данные скопированы. Учения должны включать ситуацию, когда нарушитель уже получил доступ к части сети, чтобы проверить локализацию последствий и сохранение критических функций.

Защита также должна учитывать поставщиков программного обеспечения, облачных сервисов и оборудования. Закон № 58-ФЗ от 7 апреля 2025 года изменил регулирование безопасности критической информационной инфраструктуры, в том числе установил требования, связанные с программным обеспечением и программно-аппаратными средствами на значимых объектах [3]. Технологическая независимость может уменьшать отдельные риски поставки, но сама по себе не гарантирует своевременных обновлений, безопасной конфигурации или компетентного сопровождения. При оценке решения важны жизненный цикл продукта, порядок сообщения об уязвимостях, поддержка обновлений и возможность перейти на резервный вариант.

Второй подход — согласованное отраслевое реагирование. С 30 января 2026 года действуют порядки информирования о компьютерных атаках и инцидентах и непрерывного взаимодействия субъектов критической информационной инфраструктуры с государственной системой ГосСОПКА, утверждённые приказами ФСБ России № 547 и № 548 [5; 6]. Эти механизмы создают основу для передачи сведений и координации. Их практический эффект зависит от качества сообщений: точного времени события, затронутой услуги, наблюдаемых признаков и уже принятых мер. Оперативный обмен снижает дублирование анализа, если получатели могут сопоставить информацию и связаться с ответственным специалистом.

Для ускорения обмена организациям полезно согласовать минимальный формат первичного уведомления и последующего обновления статуса. Первое сообщение должно позволять понять масштаб и срочность инцидента, даже если причина пока неизвестна; окончательная атрибуция может занять существенно больше времени. Совместные учения операторов, органов управления и поставщиков помогают выявить несовпадение процедур до реального кризиса. Доступ к деталям атаки следует распределять по служебной необходимости, чтобы обмен не превращался в дополнительный источник утечки чувствительных данных.

Жуков указывал на высокую латентность киберпреступлений и описывал причины, по которым организации могут не сообщать об инцидентах: опасение репутационных потерь, недостаток доверия к системе взаимодействия и нехватка знаний о порядке обращения [11]. Эта работа опубликована в 2020 году, поэтому приведённые в ней объяснения не следует принимать за актуальную статистику. Их практическая ценность — в постановке проверяемого вопроса: понимает ли организация, куда и в какой срок передавать сведения, и может ли она сделать это до завершения внутренней атрибуции? Инструкции, ответственные контакты и учения должны устранять именно такие задержки.

Обмен техническими индикаторами следует строить с учётом контекста и срока актуальности. Один и тот же сетевой адрес может принадлежать общей инфраструктуре и использоваться разными клиентами. Непроверенный индикатор, разосланный без пояснения, способен вызвать блокировку легитимной услуги. Поэтому к сообщению целесообразно добавлять источник, степень уверенности, время наблюдения, способ проверки и условия пересмотра. Это простое правило повышает ценность коллективной разведки угроз и уменьшает риск, что поспешное защитное действие нарушит работу организации.

Третье направление применение автоматизированной аналитики и искусственного интеллекта для сортировки событий, поиска нетипичных связей и сокращения времени первичного анализа. По оценке ENISA, модели искусственного интеллекта, вероятно, будут чаще использоваться и при вредоносных операциях [7]. Следовательно, защитные инструменты надо проектировать с учётом того, что атакующий также применяет автоматизацию. NIST Cybersecurity Framework 2.0 включает управление риском в отдельную функцию Govern наряду с выявлением, защитой, обнаружением, реагированием и восстановлением; документ описывает результаты управления, а не предписывает одну технологию [8].

Модель машинного обучения не должна самостоятельно устанавливать террористический мотив, обвинять конкретного пользователя или без проверки отключать общественно значимую услугу. Её уместная роль — ранжировать сигналы и показывать аналитикам основания оценки. Организациям следует тестировать качество на собственных данных, проверять изменения после обновления, учитывать ложные срабатывания и иметь ручной способ продолжить работу при отказе модели. Решение об ограничении доступа к сервису должно учитывать вероятный вред от атаки и от самого защитного действия.

Киберзащита общества включает понятную коммуникацию во время сбоя. При атаке на сервис молчание оставляет информационное пространство слухам и поддельным инструкциям. Организации должны заранее определить официальный канал обновлений, резервную страницу или телефонный способ связи, порядок информирования о восстановлении и способ проверки подлинности сообщений. Гражданам важно сообщать, какая услуга затронута, какие действия доступны и где появится следующее обновление. Не следует раскрывать сведения, которые помогают повторить атаку или обходят защиту.

Информационная грамотность в этой модели имеет практическое содержание. Населению нужно уметь находить официальное сообщение о работе услуги, проверять адрес источника, распознавать подмену службы поддержки и знать безопасный способ сообщить о цифровой угрозе. Учения и инструкции должны учитывать людей с ограниченным доступом к интернету и пользователей, которым необходимы специальные форматы. Эффективность можно оценивать не числом просмотренных памяток, а тем, насколько быстро люди находят подтверждённый канал и используют его в моделируемой ситуации.

Для организаций малого масштаба и местных поставщиков услуг целесообразны базовые наборы мер с поэтапным внедрением. В США CISA публикует общие цели кибербезопасности для критической инфраструктуры; они систематизируют практики снижения известных рисков, включая управление доступом, обновление программ и резервное копирование [9]. Такие материалы не являются российскими требованиями, однако могут служить ориентиром при разработке понятных отраслевых профилей. Минимальный профиль должен связывать каждую меру с риском и показывать, как подтвердить её работу без дорогостоящей сертификации всех компонентов.

Недавнее изменение ст. 274.1 УК РФ Федеральным законом от 9 апреля 2026 года № 76-ФЗ уточнило условия ответственности за неправомерное воздействие на критическую информационную инфраструктуру; закон также предусматривает освобождение от ответственности по части третьей при активном содействии раскрытию или расследованию и сохранении следов воздействия [2; 4]. Эта норма подчёркивает практическую ценность сохранения цифровых следов и добросовестного сообщения об инциденте. Однако она не заменяет внутренние процедуры уведомления, резервирования и восстановления, которые должны сработать до начала уголовно-правовой оценки.

Предлагаемая модель объединяет четыре проверяемых результата: организация знает критические зависимости; сохраняет согласованный уровень общественно важной услуги; передаёт другим участникам качественные сведения об инциденте; предоставляет населению достоверную информацию и доступный альтернативный канал. Показатели должны проверяться учениями и разбором реальных инцидентов. Анализ после события должен приводить к конкретным изменениям в архитектуре, договорах, процедурах и подготовке сотрудников, а не ограничиваться отчётом о соблюдении формальных требований.

Результаты исследования показывают, что повышение кибербезопасности требует соединить защиту инфраструктуры с готовностью общества переносить и преодолевать сбои. Приоритетными являются анализ межсистемных зависимостей, проверяемое восстановление услуг, стандартизированный обмен проверенной информацией и прозрачная коммуникация с гражданами. Искусственный интеллект и новые средства обнаружения могут ускорить работу специалистов, если их решения контролируются человеком и не подменяют правовую квалификацию. Дальнейшее исследование целесообразно направить на разработку отраслевых показателей устойчивости и оценку того, как учения влияют на реальное время восстановления услуг.