Кратко

  • Минздрав США определил десять направлений киберзащиты для линии 988. В федеральное соглашение 2026 года вошли три, в договор оператора с центрами — семь.
  • Ни один из двенадцати изученных комплектов не содержал все три обязательных документа к сроку. Пять комплектов оставались неполными в марте 2026 года.

Человеку, набравшему 988, нужна работающая линия, а не схема подчинения. Но именно схема определяет, восстановится ли связь после атаки. За коротким номером в США стоят федеральное ведомство, оператор национальной сети, поставщики связи и около 218 самостоятельных центров кризисной помощи. Government Accountability Office проследило, как требования к безопасности переходят от одного участника к другому. На переходах выяснилось, что общий стандарт и обязательный договор — разные документы.

Цена ошибки уже известна. В декабре 2022 года атака с применением программы-вымогателя затронула критическую инфраструктуру 988; общенациональная работа службы прерывалась на несколько часов. Только в январе 2026 года сеть обработала 428 тысяч звонков. Служба принимает также сообщения и онлайн-обращения. Если местный центр недоступен, контакт может перейти в резервный центр штата либо национальный резерв. Этот маршрут нужно проверять во время учений, пока его не проверила авария.

Министерство здравоохранения и социальных служб США сформулировало десять направлений контроля кибербезопасности. В его соглашении с оператором сети на 2026 финансовый год аудиторы нашли три. В договоре оператора с центрами — семь. Это подсчёт договорных требований, а не оценка доли защищённых компьютеров. Пробел важен потому, что обязательства, отсутствующего в договоре исполнителя, нельзя столь же ясно требовать, финансировать и проверять.

Представители ведомства объяснили GAO, что не могут напрямую обязать нефедеральные системы выполнять все меры. Оператор, однако, вправе включить их в условия участия центров. Значит, право назвать стандарт принадлежит одной организации, а право закрепить его в последнем рабочем договоре — другой. Между ними помещается значительная часть реальной власти над надёжностью службы.

С уже установленными требованиями к документам возникла отдельная проблема. Аудиторы изучили двенадцать контрольных списков центров. Ни один центр не представил все три документа по безопасности к установленному сроку. Семь передали материалы позже; пять по состоянию на март 2026 года всё ещё не завершили пакет. По двенадцати спискам нельзя вычислить долю нарушений среди всех центров. Зато можно оценить сам механизм проверки: в день контроля у проверяющего не было полного набора доказательств.

GAO отдельно изучило выбранные меры у оператора и десяти центров, отобранных без претензии на статистическое представительство. Выбранные меры постоянного мониторинга выполнялись полностью. Оператор не применил обновлённые рекомендации по паролям и лишь частично выполнил некоторые меры планирования непрерывности. В изученных центрах часть мер реагирования на инциденты и восстановления тоже была реализована не полностью. Увидеть сбой — одна способность; перевести обращение и вернуть услугу — другая.

Единообразия техники здесь нет. В марте 2026 года 104 центра пользовались общей платформой оператора, остальные могли работать на собственных системах. Все применяли портал обмена документами. Одни центры имеют штатных ИТ-специалистов, другие располагают небольшой командой. Одинаковая подпись под договором не делает одинаковыми ресурсы на тесты, резервирование и восстановление.

Самая жёсткая мера вызывает конфликт с целью службы. По словам чиновников, участие центров добровольно, а основной рычаг за несоблюдение требований — исключение из сети. Они же признали, что исключение может ослабить 988 и помощь в штатах. Контроль безопасности рискует отнимать рабочие места консультантов в сети. GAO предложило десять рекомендаций: дополнить оба договора, наладить сбор документов, обновить требования к паролям и обеспечить планы и тренировки реагирования. Минздрав согласился.

Согласие пока не показывает, сколько центров продолжат принимать обращения при следующем нападении. Выборка из десяти центров не отвечает на такой вопрос. Ответ дадут обновлённые договоры, своевременные документы и проверенные маршруты переключения и восстановления. Один номер должен вести к одной проверяемой цепи ответственности, а не к нескольким предположениям о том, кто уже провёл испытание.

Источники