ФСТЭК России выпустила приказ, согласно которому в «Требования по обеспечению безопасности значимых объектов КИИ» будут внесены определенные изменения, направленные на эксплуатацию на таких объектах преимущественно российского ПО и оборудования.
Эксплуатация российского железа и софта на объектах КИИ, как объясняется в документе, необходимо, чтобы обеспечить в сфере технологическую независимость и безопасность, сформировать условия для последующего продвижения продукции, выпущенной отечественными производителями.
В большей степени изменения, прописанные в приказе ФСТЭК России, коснулись условий подбора и приобретения ПО и оборудования, которое будет использоваться в составе значимых объектов КИИ, процедуры принятия решения об эксплуатации отечественного железа и софта на подобных объектах.
Разработка данного приказа ФСТЭК России велась в соответствии с предшествующим поручением президента РФ Владимира Путина, которое было вынесено по результатам «Прямой линии», прошедшей 20.06.2019 г.
Согласно выпущенному приказу, расширяется запрет на использование элементов значимого объекта КИИ первой и второй категорий. В этом случае придется попрощаться с Zoom, облачными сервисам, серверами обновлений, которые располагаются за пределами России. При этом эксперты по информационной безопасности допускают, что регулятором серверы обновлений не рассматриваются в качестве угрозы для объектов КИИ.
Особое внимание специалисты уделяют другому изменению – новому регламенту оценки соответствия средств защиты значимых объектов КИИ. Стоит напомнить, что в предыдущей версии приказа средства защиты должны были проходить оценку соответствия одной из форм – получение обязательного сертификата, приема, испытания.
В виде того, что в РФ нет достаточного количества сертифицированных изделий, в особенности для промышленной сферы, многие субъекты КИИ предполагали использоваться двумя другими формами оценки соответствия, которые ФСТЭК России никак не регламентирована.
Но в соответствии с новой редакцией приказана ведомства, если субъект КИИ выбирает форму оценку в виде приемки или испытаний, то средства защиты (за исключением интегрированных в прикладное и общесистемное ПО) обязательно должны дополнительно проходить проверку на шестой уровень доверия (с учетом 131-го приказа ФСТЭК России).