Ассоциация банков России опубликовала письмо ФСТЭК России с комментариями о подготовке заместителя руководителя организации по информационной безопасности (ИБ), назначить которого предприятия критической информационной инфраструктуры (КИИ) должны в соответствии с прошлогодним указом Президента №250. В письме начальник 1-го управления Службы Николай Мартинец в ответ на запрос АБР о рекомендуемом курсе профессиональной переподготовки для замруководителя по ИБ ответил, что ни один из согласованных регулятором курсов профпереподготовки не содержит необходимого набора знаний и навыков, которые замруководителю по ИБ приписывает постановление Правительства №1272 и сейчас ведомство разрабатывает его.
Прочитав ответ ФСТЭК России многие пришли к выводу, что подготовить специалиста под требования УП №250 невозможно. Однако это не так. Чтобы внести ясность, Академия Информационных Систем подготовила разъяснения по поводу процесса подготовки замруководителя по ИБ.
- Уточнение. Речь идет о профпереподготовке для специалистов, у которых нет высшего профильного образования по ИБ. Подготовка выпускников специалитета и магистратуры удовлетворяет требованиям УП №250 и ПП №1272. Но если вы закончили только бакалавриат, этого будет недостаточно и вам нужно доучиваться в магистратуре или на курсах ДПО.
Как готовить замруководителя по ИБ?
Раньше была профпереподготовка ИБ-512, которая удовлетворяла всем определенный ПП №1272 требованиям, однако в связи с изменившимся профстандартом, в декабре 2022 года ФСТЭК России отозвал её согласование и больше её не читают, хотя выданные ранее дипломы остаются действительными.
Сейчас универсального курса, как справедливо отметили во ФСТЭК России, нет. Но это вовсе не значит, нужный набор компетенций нельзя приобрести, объединив несколько курсов — подобные решения уже предлагают ряд профильных учебных центров.
Мы в АИС для подготовки замруководителя по ИБ предлагаем несколько комбинаций курсов в зависимости от начального уровня, которые комбинируются с согласованной ФСТЭК России и ФСБ России профпереподготовкой «Информационная безопасность. Обеспечение защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, криптографическими и некриптографическими методами» или просто ИБ-520.
Специалист будет соответствовать требованиям к замруководителям, если он пройдет обучение по:
- ИБ-520 и курсу повышения квалификации «Информационная безопасность. Основы обеспечения безопасности ЗОКИИ» (авторский курс АИС);
В разных учебных центрах подходы к выполнению требований УП №250 и ПП №1272 могут отличаться, однако принцип один и без курса ИБ-520 пока обойтись не получится.
- Справка. Информация о согласовании программ подготовки и организациях, которые могут их читать, доступна на официальном сайте ФСТЭК России.
В чем разница между этими комбинациями?
Согласно требованиям ФСТЭК России, пройти профпереподготовку ИБ-520 могут только специалисты с высшим техническим образованием. Если у вас нет высшего образования или если оно гуманитарное, для необходимо получить базовые знания по информационным технологиям — для этого АИС разработала специальную месячную программу профпереподготовки по ИТ.
Если же у вас есть высшее техническое образование, то достаточно пройти относительно короткий курс повышения квалификации, который также раскрывает темы, необходимые для компетенций замруководителя и которых нет в программе ИБ-520.
Почему всё так сложно?
Дело в том, что текущая редакция ПП №1272 предъявляет к знаниям, умениям и профессиональным компетенциям замруководителя по ИБ крайне обширные требования. В документе их перечисление занимает около трех страниц А4.
Кроме знаний непосредственно ИБ, законодательства, нормативки, видов угроз и пр. сюда входит понимание:
- производственных, бизнес и управленческих процессов,
- влияния ИТ на деятельность компании,
- используемых в организации телеком-решений, включая информационные системы, сети, автоматизированные системы управления и операционные системы
Конечно, всё это не помешает вам назначить на должность замруководителя по ИБ человека, не обладающего всеми этими компетенциями, но в случае инцидентов и проверок регуляторы или контролирующие органы вполне могут указать на это несоответствие, что едва ли пройдет безболезненно для предприятия.