БелГИЭ (Белорусское государственное учреждение «Государственная инспекция по ядерной и радиационной безопасности») осуществляет контроль за соблюдением требований безопасности в области использования атомной энергии, радиационной безопасности, а также за выполнением требований законодательства в сфере информатизации на объектах ядерной отрасли и критической информационной инфраструктуры (КИИ). Проверка веб-ресурсов организаций, подведомственных или связанных с ядерной отраслью, — это серьезный процесс, игнорирование требований которого может привести к предписаниям, штрафам и, в крайних случаях, к ограничению доступа к ресурсу (блокировке) по решению суда или уполномоченного органа.

В данной статье подробно разбираются правовые основы, технические и организационные требования, выполнение которых минимизирует риски блокировки сайта при проверке БелГИЭ и иными контролирующими органами Республики Беларусь (Операционно-аналитический центр при Президенте РБ, МЦРИ, ГКНЦ).

Правовая основа проверки веб-ресурсов

Понимание нормативной базы — первый шаг к соответствию (compliance). Основные документы, регламентирующие требования к сайтам организаций ядерной отрасли и КИИ:

• Закон РБ «Об использовании атомной энергии» (№ 419-З от ): Статья 23 устанавливает требования к физической ядерной безопасности и защите ядерных материалов, что распространяется на информационные системы.
• Закон РБ «О физической защите ядерных материалов, радиоактивных веществ, источников ионизирующего излучения, объектов их использования, хранения и транспортировки»: Регламентирует режим секретности и защиту информации.
• Указ Президента РБ № 60 «О некоторых вопросах информатизации» (в ред. Указа № 168): Основной документ, определяющий требования к защите информации, использованию национального домена ;BY, размещению ресурсов на территории РБ.
• Постановление Совета Министров РБ № 111 «Об утверждении Положения о порядке обеспечения безопасности критической информационной инфраструктуры»: Жестко регламентирует требования к ИС КИИ, включая веб-интерфейсы.
• НП-001-15 «Общие положения по обеспечению физической ядерной безопасности, физической защиты и учета ядерных материалов»: Нормативный документ БелГИЭ, содержащий требования к ИБ на объектах использования атомной энергии.
• Закон РБ «О персональных данных» (№ 99-З от ): Требования к обработке ПДн на сайте (политика конфиденциальности, согласие, локализация БД).
• Технические регламенты и стандарты (СТБ, ГОСТ РБ): Например, СТБ ИСО/МЭК 27001-2017 (Системы менеджмента информационной безопасности).

Ключевые направления проверки сайта инспекторами БелГИЭ

Инспекторы проверяют не «дизайн», а соответствие функционала и контента требованиям безопасности и законодательства. Основные векторы проверки:

Локализация и хостинг (Критически важно для КИИ и госорганов)

• Размещение на территории РБ: Согласно Указу № 60, информационные системы госорганов, организаций КИИ и субъектов критической информационной инфраструктуры должны размещаться на территории Республики Беларусь.
• Доменная зона .BY / .БЕЛ: Официальные сайты должны использовать национальные домены. Использование .com, .ru, .info для официального представительства организации ядерной отрасли — грубое нарушение.
• Исключение внешних CDN/Cloudflare (для КИИ): Маршрутизация трафика через зарубежные узлы (Cloudflare, AWS CloudFront и др.) недопустима для ресурсов КИИ, так как создает угрозу несанкционированного доступа к метаданным трафика и нарушает суверенитет данных.

Защита персональных данных (Закон № 99-З)

Наличие форм обратной связи, авторизации, корзины или личного кабинета автоматически подводит сайт под действие Закона о ПДн.

• Политика конфиденциальности: Доступная по прямой ссылке в футере/хедере, содержащая все обязательные реквизиты (наименование оператора, цели обработки, категории ПДн, сроки, права субъектов, меры защиты).
• Получение согласия: Чек-боксы «Я согласен» должны быть не проставленными по умолчанию (opt-in). Текст согласия должен быть конкретным, а не общим.
• Локализация БД: База данных с ПДн граждан РБ должна физически находиться на территории Беларуси.
• Уведомление ОАЦ: Оператор обязан уведомить Операционно-аналитический центр при Президенте РБ о начале обработки ПДн (если не действуют исключения ст. 16 Закона). Наличие номера уведомления в политике — признак добросовестности.

Информационная безопасность и защита от НСД (Несанкционированного доступа)

Для объектов ядерной отрасли применяются повышенные требования (НП-001-15, руководящие документы ГКНЦ).

• SSL/TLS сертификат: Обязательное использование HTTPS (TLS 1.2/1.3). Сертификат должен быть выдан доверенным УЦ (в т.ч. Национальным УЦ РБ — НУЦ РБ). Самоподписанные сертификаты недопустимы.
• Заголовки безопасности (Security Headers): Наличие Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options: nosniff, Strict-Transport-Security (HSTS), Referrer-Policy.
• Защита от OWASP Top 10: Отсутствие SQL-инъекций, XSS, CSRF, небезопасной десериализации. Наличие WAF (Web Application Firewall) — существенный плюс.
• Управление уязвимостями: Регулярное сканирование (SAST/DAST), своевременное установление обновлений CMS, фреймворков, библиотек, ОС сервера.
• Журналирование (Логирование): Сохранение логов доступа, ошибок, событий безопасности минимум за 6 месяцев (согласно требованиям КИИ) с защитой от подделки.
• Контроль целостности: Мониторинг изменений критических файлов сайта (FIM — File Integrity Monitoring).

Контент и информационное наполнение

• Обязательная публичная информация (ст. 15 Закона РБ «О правовой информации», Указ № 60): Полное наименование, ЮНП, адрес, контакты, лицензии (если применимо), структура организации, отчетность.
• Отсутствие гостайны и защищаемой информации: Проверка на предмет случайной публикации сведений, составляющих государственную тайну, коммерческую тайну, информацию о физической защите объектов (планы, схемы охраны, коды доступа, фото СКУД/ТВ).
• Актуальность: Устаревшая информация (старые приказы, неактуальные контакты, сломанные ссылки) трактуется как нарушение требований к обеспечению достоверности информации.
• Версия для слабовидящих: Обязательное требование для госорганов и организаций КИИ (СТБ/ГОСТ РБ доступность).

Соответствие требованиям к КИИ (если применимо)

Если организация входит в реестр субъектов КИИ (утвержден Советом Безопасности РБ):

1. Наличие акта категорирования объекта ИИ (в т.ч. веб-ресурса).
2. Разработанная и согласованная модель угроз.
3. Внедренная система защиты информации (СЗИ) соответствующего класса (К1, К2, К3).
4. Проведение регулярных аудитов ИБ и пентестов аккредитованными организациями (лицензиатями ГКНЦ/КГБ).
5. Наличие плана реагирования на инциденты ИБ.

Типичные нарушения, приводящие к предписаниям и риску блокировки

Алгоритм подготовки к проверке (Чек-лист «День Х»)

Этап 1: Инвентаризация и аудит (За 1-2 месяца до плановой проверки / постоянно)

1. Подтвердите статус ресурса: Является ли сайт частью ИС КИИ? Есть ли акт категорирования?
2. Технический аудит безопасности (Пентест): Закажите проверку у лицензиата ГКНЦ/КГБ. Устраните все критические и высокие находки (Critical/High).
3. Аудит ПДн: Пройдитесь по всем формам. Есть ли согласие? Куда улетают данные? Где БД? Есть ли уведомление в ОАЦ?
4. Проверка контента: Удалите/заархивируйте устаревшие PDF, фото объектов, внутренние приказы, выложенные в открытый доступ. Проверьте метаданные файлов (EXIF, авторы docx).

Этап 2: Техническое закрепление (За 2-4 недели)

• Настройте CSP (Content Security Policy) в режиме report-only, затем в блокирующем.
• Внедрите WAF (ModSecurity + OWASP CRS или коммерческий) с правилами блокировки атак и виртуального патчинга.
• Настройте централизованное логирование (SIEM / ELK / Splunk) с алертами на аномалии (брутфорс, сканирование, ошибки 5xx).
• Включите HSTS с предзагрузкой (preload) и Secure, HttpOnly, SameSite=Strict/Lax для куков.
• Настройте резервное копирование (3-2-1 правило) и проверьте восстановление.

Этап 3: Организационное оформление (За 1 неделю)

• Подготовьте пакет документов для инспектора: Акт категорирования, Модель угроз, Свидетельство о сертификации СЗИ (есть), Протоколы пентестов, Журналы учета инцидентов, Приказ о назначении ответственного за ИБ/ПДн.
• Обучите администраторов сайта и контент-менеджеров базовым правилам гигиены (не загружать исполняемые файлы, проверять картинки, не хранить пароли в коде).

Что делать, если проверка уже идет / получено предписание

1. Не паникуйте, не удаляйте логи. Удаление логов, это статья 23.34 КоАП (препятствование контролю) или УК.
2. Изучите предписание внимательно. Оно должно содержать ссылку на конкретную норму права (статью закона, пункт НП/Постановления), которую вы нарушили. Общие фразы «сайт небезопасен» — основание для обжалования.
3. Составьте план мероприятий по устранению. Укажите конкретные сроки, ответственных, меры верификации. Согласуйте с руководством.
4. Обжалование. Если предписание незаконно (например, требуют перенести сайт на .BY, но вы не КИИ и не госорган, или требуют НУЦ сертификат там, где допустим глобальный), — обжалуйте в вышестоящий орган или суд в 10-дневный срок. Срок исполнения предписания не приостанавливается автоматически, нужно ходатайствовать об отсрочке.
5. Фиксируйте устранение. После исправления направляйте официальное уведомление в БелГИЭ с приложением скринов, отчетов сканеров, акту проверки.

Проактивная стратегия: Как спать спокойно

Лучшая защита от блокировки — это не «обход» проверки, а встроенная культура безопасности (Security by Design / Privacy by Design).

• Внедрите СМИБ (ISO 27001 / СТБ ИСО/МЭК 27001): Сертифицированная система менеджмента снимает 90% вопросов инспекторов к процессам.
• Автоматизируйте compliance: Используйте сканеры конфигураций (Lynis, OpenSCAP), мониторинг изменений файлов (AIDE, Tripwire, OSSEC/Wazuh), мониторинг SSL-сертификатов (certbot monitoring, Zabbix/Prometheus).
• Bug Bounty / VDP (Vulnerability Disclosure Policy): Опубликуйте страницу /.well-known/security.txt с контактами для репортинга уязвимостей. Это показывает зрелость процесса ИБ.
• Регулярные учения: Раз в квартал отрабатывайте сценарий «дефейс сайта», «утечка БД», «DDoS на админку». Скорость реакции — ключевой метрика для регулятора.
• Взаимодействие с БелГИЭ/ГКНЦ: Не прятайтесь. Задавайте уточняющие вопросы по нормативке на предварительных консультациях. Покажите инициативу.

Блокировка сайта при проверке БелГИЭ, это крайняя мера, применяемая при систематическом игнорировании требований физической ядерной безопасности, защиты информации и законодательства о персональных данных. Риск блокировки минимален, если организация:

1. Размещает ресурс в сегменте .BY на территории РБ (для КИИ/госсектора — обязательно).
2. Обеспечивает HTTPS с валидным сертификатом (НУЦ РБ для госсектора).
3. Полностью соответствует Закону о ПДн № 99-З (согласие, политика, локализация БД, уведомление ОАЦ).
4. Не публикует защищаемую информацию (режим физзащиты, схемы СКУД).
5. Имеет актуальные акты категорирования, модели угроз, протоколы пентестов от лицензиатов.
6. Оперативно устраняет уязвимости и ведет журналирование событий безопасности.

Помните: Инспектор БелГИЭ проверяет не «красивость» верстки, а выполнение требований нормативных правовых актов в сфере ядерной безопасности и информатизации. Инвестиции в соответствие (Compliance) и информационную безопасность дешевле штрафов, репутационных потерь и судебных издержек по разблокировке ресурса.

Данная статья носит информационный характер и не является юридической консультацией. Для решения конкретных вопросов по категорированию объекта, выбору СЗИ или обжалованию предписаний рекомендуется обратиться к квалифицированным юристам и лицензиатам ГКНЦ/КГБ РБ.