Кратко

  • Согласно разделу 14 Telecommunications (Security) Act 2021 правительство должно оценить последствия и эффективность разделов 1–13, опубликовать доклад и представить его парламенту.
  • В 2024–25 годах Ofcom получил 625 сообщений об инцидентах против 1 526 годом ранее. Снижение сообщений о нарушениях устойчивости имело несколько причин: новые категории приоритета, переход от PSTN к VoIP и более широкие улучшения у операторов.

Почему стало меньше сообщений

Сокращение более чем наполовину выглядит убедительно, но само по себе не объясняет, что изменилось в безопасности. С 1 октября 2024 года по 30 сентября 2025 года Ofcom учел 616 инцидентов устойчивости и девять инцидентов кибербезопасности. За предыдущие 12 месяцев — 1 518 и восемь соответственно. Почти весь спад приходится на сообщения о сбоях и непрерывности услуг, а не на киберинциденты.

Ofcom указывает на несколько объяснений снижения сообщений об инцидентах устойчивости. Некоторые операторы изменили внутренние категории приоритета. При переходе от медной телефонной сети PSTN к голосовой связи через IP в отдельных случаях затрагивалось меньше абонентов, и больше событий не достигали порога обязательного уведомления. Кроме того, операторы ссылались на общие улучшения отрасли. Эти факторы могут менять статистику без сопоставимого изменения базового риска.

Именно эту проблему ставит правительственный сбор свидетельств. Он открылся 17 августа и завершается 12 октября 2026 года в 23:59. Раздел 14 обязывает Secretary of State проверить влияние и эффективность разделов 1–13 закона 2021 года, опубликовать доклад и передать его парламенту. Участников просят исключать улучшения, которые возникли бы в рамках обычной деятельности, прежних обязательств или более широких коммерческих решений. Это просьба отделить дополнительный эффект закона, а не голосование за или против него. Сам сбор ответов еще не является выводом.

Разные уровни регулирования

Telecommunications (Security) Act 2021 внес изменения в Communications Act 2003. Он возлагает на публичных операторов связи общие обязанности: снижать риски безопасности, готовиться к инцидентам, ограничивать их последствия и устранять ущерб. Electronic Communications (Security Measures) Regulations 2022 задают конкретные требования. Telecommunications Security Code of Practice объясняет практический путь их выполнения, но сам по себе не является отдельным обязательным нормативным правилом. В предусмотренных законом случаях Ofcom и суды должны учитывать соответствующие положения Code.

Это различие важно для оценки. Внедренный контроль подтверждает, что оператор что-то сделал; он еще не доказывает, что стало меньше компрометаций, короче перебои или быстрее восстановление. Операторы выполняют требования и управляют сетями. Правительство устанавливает правила и выпускает руководство. Ofcom ведет надзор и применяет свои полномочия. National Cyber Security Centre (NCSC) дает техническую экспертизу. Secretary of State отвечает за предусмотренный законом обзор, а парламент получает итоговый доклад.

Прогресс не отменяет вопрос о знаменателе

Первый отчет Ofcom охватывал период с октября 2022-го по октябрь 2024 года. Регулятор счел твердые выводы преждевременными, хотя первые признаки в целом были положительными. В отчете 2025 года отмечен прогресс в управлении устаревающими активами, проверках восстановления резервных копий и обработке инцидентов. Два раунда запросов информации охватили первые 67 из 258 мер Code.

Одновременно остаются пробелы. По наблюдениям Ofcom, чуть менее половины операторов Tier 1 и 10% Tier 2 могли недостаточно применять соответствующие меры цепочки поставок, если поставщик сам является регулируемым оператором связи. Более половины Tier 1 и четверть Tier 2, по-видимому, считали полноценные проверки безопасности нового оборудования до заключения договора экономически нецелесообразными или практически трудными. Это выводы по операторам, попавшим под мониторинг, а не оценка всего рынка Великобритании.

Знаменатель здесь принципиален. В отчете указаны семь операторов Tier 1 с соответствующей выручкой не менее £1 млрд и 31 оператор Tier 2 с выручкой от £50 млн до менее £1 млрд. От операторов Tier 3 с выручкой ниже £50 млн не ожидается соблюдения Code. Результаты надзора за крупными участниками нельзя выдавать за среднее по отрасли.

От выполнения требований к результату

Полезный обзор мог бы сопоставить инциденты при неизменных определениях и учитывать число затронутых клиентов, тяжесть события, длительность перебоев и время восстановления. Следует отдельно показывать внедрение мер и конечные результаты, а также объяснять влияние порогов отчетности и технологического перехода. Ofcom считает, что четыре из девяти киберинцидентов 2024–25 годов, вероятно, не достигли обязательного порога уведомления. Статистика сообщений охватывает события, соответствующие заданным критериям, а не все вторжения или распространенность киберриска.

Обзор также может проследить, улучшились ли контроль поставщиков и проверки до покупки оборудования, и какие альтернативные меры Ofcom сочтет достаточными. Но версия 1.1 Code опубликована лишь в июле 2026 года, после периода данных отчета за 2024–25 годы. Долгосрочный эффект обновления пока не отражен в этих цифрах.

Ofcom сообщил, что в отчетном году не применял полномочия по обеспечению исполнения Telecommunications (Security) Act. Два штрафа за нарушения устойчивости, упомянутые в том же документе, были вынесены по отдельным General Conditions. Смешение этих оснований исказило бы оценку правоприменения.

Источники