Защита ЦОДов от кинетических и кибератак. Что пока предлагают регуляторы разных стран

Привет, Хабр!

В конце апреля наш экспертно-аналитический центр подготовил доклад о защите ЦОДов и о последствиях, которые наступают при аварии или целенаправленной атаке. Мы немного освежили данные и предлагаем вам почитать, что сейчас предпринимают для защиты от киберугроз (и не только) в мире. 

Как сейчас вообще бизнес и государство смотрят на ЦОДы

Обеспечение безопасности ЦОДов сейчас — это де-факто фундамент выживания бизнеса и государства. Вспомните, сколько сервисов легло разом после атак на ДЦ Яндекса. И ущерб для компании тут огромный, начиная от необходимости ремонта (что в текущих условиях по актуальным ценам на компоненты, прямо скажем, так себе) и заканчивая материальными потерями в плане недополученной выгоды на момент простоя всех приложений. А есть ещё и репутационные потери, из-за которых часть клиентов могла уйти к конкурентам, плюс атаки на ЦОДы ожидаемым образом отразились и на цене акций.

Так что «Рабочий ЦОД = залог выживания бизнеса» это уже не громкая фраза, а насущная реальность. 

Поэтому сегодня ЦОДЫ рассматриваются как стратегические объекты, которые надо защищать от диверсий и техногенных катастроф. Тут сразу стоит отметить, что без надёжной физической базы все остальные меры защиты неэффективны. Можно выделить три главных составляющих такой базы.

1. Отказоустойчивость. Стандарты (скажем, Tier III или IV) гарантируют, что даже при аварии на электросетях или ремонте систем охлаждения данные останутся доступны.

2. Контроль доступа. Ранее хватало пропусков по биометрии и прокачанных систем видеонаблюдения. Теперь такой же обязательной мерой становится антидроновая защита. Потому что всем без разницы, насколько у вас умные турникеты и мониторинг в серверных, когда по самому объекту может прилететь.

3. Геораспределение и физическая защита. Да, та самая история про все яйца в одной корзине, причём не самой крепкой. Мера защиты тут — создание катастрофоустойчивых кластеров с дублированием данных в разных регионах (как показывает практика, регионов надо не два. И не три). Если ранее защита ЦОДов от террористических атак и БПЛА казалась чем-то из серии «Да вы перегибаете», то теперь хотя бы систему ПВО начального уровня или заглубленный бункер для ЦОДа вполне себе можно считать базовым минимумом.

Почему кибербез никуда не делся

При переключении внимания на физическую безопасность важно не потерять фокус и в плане кибербеза. Да, кинетические атаки наносят куда больше ущерба в момент времени, и восстанавливать физически уничтоженный ЦОД куда сложнее, чем проверять бэкапы даже после самого злостного вайпера. Но это не значит, что ИБ-экспертам можно немного расслабиться — кибератаки, как правило, следуют сразу за физическими, и пока специалисты компании будут в авральном режиме восстанавливать данные и балансировать нагрузки, злоумышленники будут им в этом активно мешать.

В ЦОДах сосредоточено огромное количество данных, включая корпоративную информацию и КИИ. Здесь рекомендации остаются актуальными:

1. Защита от DDoS. Нужны мощные фильтры на уровне магистральных каналов, способные выдерживать атаки терабитного масштаба. 

2. Сегментация сети. Принцип «Zero Trust». Взлом конкретного сервера или информационного ресурса не должен привести к несанкционированному доступу к другим ИС, оборудованию или системам управления ЦОД.

3. Импортозамещение стека. Как бы вы ни относились к импортозаму, именно переход на отечественные решения (СЗИ, NGFW) исключает вероятность удалённого управления и внешнего вмешательства в работу инфосистем в ЦОДе. 

Как в соответствии с ситуацией в мире меняется подход к киберстратегиям государств

Рассмотрим для примера США, ЕС в общем и Россию.

США

Запущена «Киберстратегия для Америки 2026». Главный акцент — для предотвращения кибератак на инфраструктуру страны нужны наступательные кибероперации. Принцип «Бей первым» никуда не делся. Включает формирование моделей поведения противника, модернизацию правительственных сетей на базе Zero Trust и защиту цепочек поставок с отказом от оборудования и ПО иностранных вендоров. Как видите, импортозамещение — штука, актуальная не только для нас. 

ЦОДы как приоритет: центры обработки данных официально включены в список критической инфраструктуры, требующей усиленной защиты. Фокус на переход от изолированных служб ИБ к SOC-центрам, управляющим автономными динамическими системами защиты с использованием ИИ. 

Евросоюз

Два основных документа здесь — «ProtectEU» и «Cyber Solidarity Act» (2025 и 2026 соответственно). Европа по привычке делает ставку на коллективную безопасность и суверенитет. С февраля 2025 года на территории стран, входящих в ЕС, уже работает «Европейская система оповещения», это распределённая сеть для обнаружения угроз в реальном времени по всему пространству ЕС. 

Сертификация и DORA (финансовый сектор). Внедрены жёсткие стандарты устойчивости для финансового сектора и обязательная сертификация ИТ-продуктов. 

«ProtectEU» с апреля 2025 объединяет кибербезопасность с моделью внутренней безопасностью ЕС, фокусируясь на защите от гибридных угроз и создании защищённой системы связи для государственных и экстренных служб.

Отдельно хотим отметить Таллинское руководство (обе версии, как 2.0, так и 3.0). Де-факто это не считается международным договором, это ближе к исследованию по практическому применению норм международного права к кибероперациям в мирное время. По сути его чаще всего и цитируют сейчас, когда речь заходит о киберугрозах. 

Руководство не обходит стороной и ЦОДы — оно классифицирует атаки на физическую инфраструктуру (ЦОД и системы связи) как потенциальный акт агрессии, если последствия сопоставимы с вооруженным нападением.

Россия

Продолжает своё развитие концепция противодействия киберпреступности до 2030 года. В 2026 году упор изначально был сделан на системную борьбу с мошенничеством и достижение технологического суверенитета. 

Стратегия: по поручению Правительства РФ в 2026 году разрабатывается единый проект стратегического планирования по борьбе с ИТ-преступлениями. 

Технологический суверенитет: К 2030 году доля иностранных решений на рынке ИБ должна упасть до 4% (с активным ростом отечественного рынка до почти 1 трлн рублей). 

Защита граждан: утверждён план мероприятий по борьбе с киберпреступлениями, включающий повышение цифровой грамотности и технического противодействия кибератакам. Также ведётся разработка новой Доктрины информационной безопасности Российской Федерации.

С учётом последних атак на ЦОДы, можно ожидать уточнения стратегии в плане их физической защиты.

Вот что уже начали делать:

• Минцифры рассматривает размещение новых дата-центров на специально защищённых, заглубленных или удалённых площадках.

• Приоритет — энергоизбыточные регионы (Урал, Восточная Сибирь и прочее), дабы снизить концентрацию в Москве и области (сейчас тут  более 80% всех мощностей страны).

• До конца 2026 года ведомство подготовит предложения по господдержке: проектное финансирование, специальные инвестиционные контракты (СПИК), соглашения о защите и поощрении капиталовложений (СЗПК), льготное кредитование.

• Ассоциация компаний интернет-торговли (АКИТ) попросила правительство временно разрешить хранение и обработку персональных данных россиян в дружественных странах (до 1 марта 2028) для пострадавших компаний на период восстановления инфраструктуры.

Кроме этого, есть и ряд уже действующих законодательных инициатив, которые сейчас начали активно применять к ЦОДам.

• Указ президента № 604 (24 августа 2026). Позволяет вводить временное государственное управление (через Росимущество) в отношении объектов критической инфраструктуры, если оператор не обеспечил надлежащую защиту, в том числе от БПЛА, или несвоевременно восстановил работу. Формально ЦОДы пока ещё не всегда входят в перечень КИИ, но на практике требования распространяются и на них (особенно если там размещены госсистемы, банки и прочее). Это уже стимулирует операторов усиливать физическую защиту (сетки, укрытия, детекторы дронов).

• Льготы по кредитам на защиту критической инфраструктуры. ЦБ рассматривает возможность сделать понижающие коэффициенты риска бессрочными. Власти также обсуждают компенсацию затрат на защиту от БПЛА.

• Закон о регулировании деятельности дата-центров (принят летом 2025, вступил в силу 1 марта 2026). Вводит понятие ЦОД, реестр Минцифры, требования к операторам и информационной безопасности, запрет на майнинг на площадках ЦОД.

• Ответственность за инциденты в КИИ. В январе 2026 Госдума в первом чтении приняла законопроекты о двухуровневой ответственности (уголовная за уничтожение/блокирование данных + административная за нарушения правил эксплуатации).

ЦОДы как ахиллесова пята супердержав

В апреле 2026 года Иран официально объявил инфраструктуру западных ИТ-компаний законными военными целями. КСИР даже публиковал список технологических компаний (включая Microsoft, AWS, Google, Nvidia и Apple), «утративших свой гражданский статус». 

Обосновали атаки просто: инфра и мощности ЦОДов используются для планирования атак на Иран и разработку военных планов, так что ЦОДы можно и нужно сносить. 

В том же апреле иранские источники заявили об успешном «уничтожении» операционного центра облачных вычислений Amazon в Бахрейне. 

Ранее, в марте, атакам подверглись два ДЦ AWS в ОАЭ, что вызвало перебои в банковском секторе и работе гражданских приложений (доставка, такси). Правда, данные об этих ударах и их последствиях не были официально подтверждены. Равно как и официально опровергнуты.

В общем, как показала практика, ЦОДы во всех странах куда уязвимее к атакам, а последствия от этого куда серьёзнее, чем думали раньше. 

И это мы говорим о ЦОДах. А ведь Иран ещё с мая активно грозится перерезать подводные кабели, идущие по дну Ормузского пролива. Какие тут могут быть проблемы для общей связности Сети — можно только представить.

Как думаете, что мы увидим в ближайшее время? Модульные и мобильные ЦОДы, способные в случае чего переехать подальше, как дом на колёсах? Корпоративное ПВО на значимых объектах? Бункеры под ЦОДы?

Отчёт в PDF можно взять тут.