ФСТЭК вводит для субъектов КИИ расчет защищенности и зрелости: эксперты предупреждают о росте затрат
ФСТЭК опубликовала приказ №220, который меняет требования к созданию систем безопасности на значимых объектах КИИ, установленные приказом №235 в 2017 году. Документ вводит обязательный расчет показателей защищенности (Кзи) и уровня зрелости (Узи). Эксперты отмечают, что новые требования заставят российские организации пересмотреть бюджеты на ИБ. Это приведет к дополнительным затратам подрядчиков, а конечным плательщиком станут сами субъекты КИИ.
Федеральная служба по техническому и экспортному контролю (ФСТЭК) РФ опубликовала приказ №220. Документ вносит изменения в требования к созданию систем безопасности в значимых объектах (ЗО) критической информационной инфраструктуры (КИИ), которые были установлены приказом №235 в 2017 году. Нормативный акт был зарегистрирован 7 сентября, 8 сентября опубликован на портале официального опубликования правовых актов.
К объектам КИИ относятся информационные сети, информационно-телекоммуникационные сети и автоматизированные системы управления, которые задействованы в ключевых отраслях экономики и обеспечения жизнедеятельности государства. Среди них могут быть объекты здравоохранения, науки, транспорта, связи, энергетики, финансовой и банковской сферы и так далее. Статус значимого объекта присваивают, если сбой или нарушение работы системы может привести к негативным последствиям.
Приказ №220 вводит для субъектов КИИ обязательный расчет показателей защищенности (Кзи) и уровня зрелости (Узи). Кзи характеризует текущее состояние безопасности объекта КИИ и степень его соответствия минимально необходимому уровню защиты от типовых угроз. Узи определяет полноту, достаточность и фактическую эффективность проведенных мероприятий. Аналогичная система уже была введена для государственных информационных систем.
Субъекты КИИ будут отчитываться перед ФСТЭК по Кзи каждые полгода. При этом от подрядчиков будет требоваться подтверждение зрелости до начала работ. А субъект КИИ обязан установить для подрядчика требование о расчете Узи.
Мнение экспертов
По словам ведущего инженера группы систем защиты АСУ ТП компании «Газинформсервис» Никиты Фотина, затраты на поддержание и улучшение уже сложившихся в организациях процессов обеспечения ИБ потребуют пересмотра выделяемых бюджетов в соответствующих бизнес-планах компаний.
«Важно также учесть, что теперь регулярные „замеры пульса“ в части защищенности и зрелости организаций потребуют вложений для устранения выявленных недостатков, причем в кратчайшие сроки — то есть до следующей проверки, — иначе систематическое неустранение недостатков получит негативную оценку со стороны регулятора, а может повлечь те или иные санкции в отношении субъекта КИИ», — подчеркнул эксперт.
Приказ не предусматривает непрерывного измерения, отмечает руководитель направления стратегического маркетинга компании «Код Безопасности» Павел Коростелев. Да, измерения придется проводить с периодичностью раз в полгода для показателя защищенности, а для Узи — один раз в три года.
«Процесса непрерывного измерения не требуется, и к числу основных проблем это не относится. Вместе с тем требования в целом, в частности к уровню зрелости, представляют собой существенную задачу и требуют серьезной, последовательной работы», — говорит Коростелев.
Коростелев обращает внимание на ряд вопросов, возникающих в связи с тем, что организации должны будут запрашивать у подрядчиков расчет уровня зрелости: каким образом будет проводиться расчет, как будет обеспечиваться корректность данных? Как полагает эксперт, это приведет к дополнительным затратам подрядчиков на кибербезопасность.
«Нельзя утверждать, что услуги существенно подорожают, однако вероятно влияние на бизнес-модель отдельных участников рынка. В связи с этим можно ожидать консультаций и консолидации рынка организаций, обслуживающих субъектов», — считает Коростелев.
Фотин также прогнозирует рост стоимости не только услуг, но и продуктов у подрядчиков.
«По итогу за обсуждаемые в контексте законопроекта мероприятия заплатит конечный пользователь продуктов и услуг ИБ — субъекты КИИ. А вот те в свою очередь уже будут взыскивать средства для пополнения бюджетов по своим каналам», — полагает эксперт. Вероятно, это будет решаться за счет повышения цен на услуги субъектов КИИ для повышения доходной части бизнеса, но этот момент зависит сугубо от того, кому принадлежит субъект КИИ и чем он занимается. Эксперт оговаривается, что это сугубо его предположения.
«Не склонен считать, что рынок как-то в особенности проредится или будет подвержен переделу. По мне так основные игроки рынка определены и имеют своих крупных якорных заказчиков», — говорит Фотин.
Фотин считает ключевым вопросом то, как изменившиеся требования повлияют на безопасность. Выстраивание процессов ИБ подразумевает привитие определенных способов взаимодействия с действительностью, подчеркивает эксперт, условно называя это «культурой». «И вот в контексте проведения внутренних мероприятий по контролю защищенности и уровню зрелости (посредством расчетов, конечно же) потребуется определенный уровень культуры прозрачной и понятной отчетности, а также культуры проведения проверок», — отмечает эксперт.
По мнению Фотина, в данном контексте потребуется синергия между целым рядом факторов: корректностью расчетов, оформлением результатов, отправкой сведений субъектами КИИ в адрес регулятора, проверками, мониторингом состояния отчетности и применением мер в случае неисполнения закона. «Чем прозрачнее и надёжнее внутренние процедуры ИБ в организации, тем выше шансы успешного прохождения проверок и подтверждения, что закон со стороны субъекта КИИ фактически соблюдается», — резюмирует эксперт.
Приказ вступает в силу с 1 марта 2027 года.
Читайте также
