Индонезия предложила обязательную киберсертификацию промышленных систем

Индонезия планирует ввести обязательную сертификацию цифрового оборудования повышенного риска перед его установкой на объектах критической инфраструктуры. Требование затронет промышленные датчики, устройства интернета вещей и системы управления, используемые в энергетике, нефтегазовой промышленности и на транспорте. Инициатива связана в том числе с рисками подключения промышленного оборудования к корпоративным ИТ-сетям.

Сертификация предусмотрена законопроектом о кибербезопасности и киберустойчивости (RUU KKS), включенным в законодательные приоритеты Индонезии на 2026 г. Проверку оборудования предполагается проводить через Национальное агентство кибербезопасности и криптографии (BSSN). 

Одна из проблем промышленной кибербезопасности связана с системами диспетчерского управления и сбора данных (SCADA). Многие из них создавались для работы в изолированных сетях и не имеют достаточной защиты от современных сетевых атак. При подключении такого оборудования к корпоративной инфраструктуре без надлежащего разделения сетей злоумышленники могут получить доступ к технологическим системам через уязвимости офисной ИТ-среды.

Для снижения этих рисков используются разделение производственных и корпоративных сетей, контроль доступа и модель нулевого доверия (Zero Trust). При этом средства защиты должны быть совместимы с промышленными системами управления. Предлагаемая сертификация позволит проверять защищенность цифровых продуктов еще до их внедрения, а не ограничиваться мерами безопасности на работающем предприятии.

Законопроект также предусматривает сроки уведомления о киберинцидентах. Операторы критической инфраструктуры должны будут сообщать о происшествиях в BSSN в течение 24 часов после обнаружения, остальные организации - в течение 72 часов. Это повышает значение систем мониторинга технологических сетей, регистрации событий безопасности и инструментов расследования атак.

«Если законопроект примут, производителям промышленной автоматики потребуется учитывать национальные требования к кибербезопасности при подготовке оборудования к поставкам в Индонезию. При этом сертификация не заменит защиту производственных сетей: предприятиям по-прежнему понадобятся средства контроля доступа, мониторинга и реагирования на инциденты», - отметил Иван Горковенко, региональный директор ГК Softline по Юго-Восточной Азии.