ФСТЭК обновила требования к защите ГИС: почему формальная аттестация не спасает от сбоев и киберрисков

1 час назад

© Изображение сгенерировано нейросетью

Для банков и крупного ритейла изменения в требованиях ФСТЭК к защите государственных информационных систем (ГИС) становятся ориентиром перехода от разовой проверки к постоянному подтверждению защищенности цифровых сервисов. В этих отраслях обновление приложения, подключение внешнего API, изменение прав доступа или ошибка подрядчика могут затронуть платежи, онлайн-продажи, программу лояльности, логистику и клиентские данные.

Напомним, с 1 сентября вступили в силу изменения в порядке аттестации объектов информатизации и требованиях к защите информации в ГИС. Эксперты отмечают: заказчикам и поставщикам ИБ-решений потребуется уделять больше внимания сопровождению систем после аттестации, контролю изменений, доступов и распределению ответственности при облачном размещении.

Приказы ФСТЭК регулируют государственные и иные информационные системы в пределах своей области применения и не становятся автоматически прямым требованием для каждого банка или торговой компании. Однако заложенный в них подход к постоянному контролю защищенности применим к любому бизнесу, от которого зависит непрерывность цифровых операций.

Директор департамента информационной безопасности ГК АВТОДОМ и ГК «АвтоСпецЦентр» Сергей Орлов считает, что новые требования фиксируют отход от формального подхода к киберзащите.

«Эпоха “бумажной безопасности” завершена — киберзащита в России стала жёстким и непрерывным процессом государственного контроля», — отметил он.

По словам Орлова, усиление регулирования затрагивает не только процедуру подтверждения соответствия, но и защищенность программного обеспечения, технических средств и баз данных. Это означает, что заказчикам недостаточно один раз внедрить средства защиты и оформить необходимую документацию: необходимо поддерживать безопасность при изменении инфраструктуры и конфигураций.

Контроль после аттестации

Практическое значение изменений состоит в том, что аттестация перестаёт быть финальной точкой проекта. Владельцу системы необходимо сохранять её защищённость при обновлении ПО, замене оборудования, подключении новых сервисов, изменении схем удалённого доступа и модернизации инфраструктуры.

CEO «Облакотека» Максим Захаренко обращает внимание, что обновлённый порядок детальнее описывает подтверждение защищенности системы в процессе эксплуатации. По его словам, отчёт по результатам контроля необходимо направлять во ФСТЭК не реже одного раза в три года и в течение пяти рабочих дней после завершения контроля. Непредставление отчета может стать основанием для приостановления действия аттестата.

«Для руководителя практический вывод прост: в бюджете должны быть предусмотрены люди и работы, которые понадобятся после прохождения аттестации», — говорит Захаренко.

Отдельной задачей становится планирование изменений. При модернизации системы могут потребоваться дополнительные испытания измененных компонентов, а при повышении требуемого класса защищенности — повторная аттестация. В то же время не каждое обновление автоматически означает необходимость проводить аттестацию заново: решение зависит от характера изменений и их влияния на условия защиты.

Для банков и ритейлеров эта логика актуальна в том числе при развитии мобильных приложений, личных кабинетов, программ лояльности, интеграций с внешними сервисами и подрядчиками. Чем больше изменений происходит в цифровом контуре, тем выше риск, что согласованная ранее модель доступа или защиты перестанет соответствовать фактической архитектуре.

Что проверить при размещении ГИС в облаке

Для облачных сценариев принципиально важно, какая именно часть инфраструктуры охвачена аттестатом. По словам Захаренко, инфраструктура должна быть аттестована по классу не ниже класса размещаемой на ней системы. Однако наличие аттестата у облачной площадки само по себе не означает, что размещенная на ней ГИС автоматически считается аттестованной.

Заказчику и провайдеру необходимо заранее закрепить обязанности сторон. В частности, стоит определить:

-кто обновляет операционные системы и устраняет выявленные уязвимости;

-кто управляет учетными записями, правами доступа и многофакторной аутентификацией;

-кто собирает и хранит журналы событий;

-кто отвечает за резервное копирование и восстановление данных;

-кто и в какие сроки реагирует на инциденты;

-как меняются процедуры при модернизации инфраструктуры.

Эксперт рекомендует начать с ревизии удаленного доступа — прежде всего администраторов и подрядчиков. Важно понимать, кто подключается к системе, с каких устройств, на какой срок получает полномочия и кто контролирует их своевременный отзыв после завершения работ.

Спрос на сопровождение защищенных систем будет расти

Для рынка информационной безопасности изменения означают рост роли не только аттестационных работ, но и сервисов постоянного сопровождения. Заказчикам понадобятся средства управления доступом, контроля конфигураций и изменений, мониторинга событий, анализа уязвимостей и подготовки отчётности.

От интеграторов и облачных провайдеров потребуется чётче описывать границы ответственности, подтверждать применимость инфраструктуры к конкретному проекту и обеспечивать заказчику прозрачность процессов эксплуатации. Для банков и ритейла этот подход особенно важен: устойчивость цифровой инфраструктуры напрямую влияет на доступность платежей, продаж, логистических операций и клиентских сервисов.

Регуляторный вектор показывает: защищенность должна подтверждаться не только комплектом документов или итогом разовой проверки, но и фактической способностью системы сохранять требуемый уровень защиты после изменений в инфраструктуре.

Ранее RUБЕЖ рассказывал, что требования приказа ФСТЭК № 117 стали ориентиром для защищённой облачной инфраструктуры: провайдеры развивают аттестованные контуры для размещения государственных систем. Подробнее в материале: «Облачная платформа Selectel первой в России выполнила требования приказа ФСТЭК №117»