Диалог с ФСТЭК России — Виталий Лютиков отвечает на вопросы специалистов ИБ (17.02.2021) | BIS TV

• Заместитель директора Стек Виталий Лютиков отвечает на вопросы из московской студии.  

• Вопросы были собраны заранее и не все могут быть отвечены в рамках телемоста.  

• Стек продолжает привлекать экспертов к разработке и экспертизе методических документов.  

• Обсуждаются возможности для более широкого привлечения экспертного сообщества.  

• В 2021 году начинаются первые проверки субъектов КИИ.  

• Методики оценки и проверок будут опубликованы для подготовки субъектов.  

• В России существует система контроля за выполнением требований безопасности кибербезопасности, но методики контроля пока носят внутренний характер.  

• В случае нарушения требований безопасности, информация о результатах контроля направляется в Национальный центр по кибербезопасности.  

• В отношении других государственных органов, таких как следственные органы, информация о нарушениях требований безопасности не передается.  

• В России существуют документы, касающиеся импортозамещения для всех объектов кибербезопасности, но процедура контроля их исполнения пока не ясна.  

• В рамках сто восемьдесят седьмого федерального закона, стек России контролирует только выполнение требований, установленных в соответствии с этим законом.  

• В отношении требований по безопасности, связанных с противодействием компьютерным атакам, стек России не устанавливает требования к отечественности и не контролирует их выполнение.  

• В требованиях двести тридцать девятого приказа установлено, что анализ кода и реализация безопасного программирования должны проводиться не только для средств защиты, но и для другого программного обеспечения, используемого на значимых объектах кибербезопасности.  

• В стек России контроль выполнения этих требований будет ограничиваться проверкой того, были ли установлены соответствующие требования и проверены ли они при установке программного обеспечения.  

• В отношении сертификации программного обеспечения, стек России не имеет механизмов принуждения к сертификации, но может работать с заказчиками объектов, чтобы они устанавливали соответствующие требования и контролировали их выполнение.  

• Обсуждение проблемы единых требований к безопасности для различных средств обеспечения безопасности.  

• Упоминается, что требования по безопасности должны быть едиными, но их состав может меняться в зависимости от заказчика.  

• Упоминается, что в ближайшей перспективе не планируется выпускать разъясняющие методические документы по проведению оценки соответствия.  

• Обсуждается вопрос о том, как проводить оценку соответствия для прикладного программного обеспечения, которое не является средством защиты информации.  

• Упоминается, что реализация требований к техническим средствам госсоки и средствам защиты информации не исключается.  

• Обсуждается вопрос о том, как провести грань между техническими средствами госсоки и средствами защиты информации.  

• Упоминается, что средства защиты от компьютерных атак могут также относиться к средствам госсоки.  

• Обсуждение проблемы с использованием средств госсока для противодействия компьютерным атакам.  

• Упоминание о сложности терминологии и необходимости внесения изменений в законодательство.  

• Обсуждение необходимости внесения изменений в законодательство на основе правоприменительной практики.  

• Упоминание о необходимости работы над системными вопросами, такими как отнесение объектов к значимым.  

• Обсуждение планов по модернизации банка данных угроз и автоматизации процесса моделирования угроз.  

• Упоминание о конкурсе на разработку автоматизированного средства для анализа угроз.  

• Обсуждение планов по принятию изменений в Кодекс об административных правонарушениях и новых составов административных нарушений за невыполнение требований законодательства по безопасности КИИ.  

• Упоминается, что документ находится на площадке Государственной Думы и проходит стадию сбора предложений поправок ко второму чтению.  

• Упоминается, что в ходе проработки законопроекта он стал более правильным и обоснованным.  

• Упоминается, что штрафы могут быть установлены на уровне, который будет достаточным для побуждения к движению в этом направлении.  

• Обсуждение того, что не все системы являются объектами КИИ, а только те, которые обслуживают критические процессы.  

• Упоминается, что закон есть закон, и его надо выполнять, независимо от того, как его трактуют другие органы.  

• Упоминается, что ГОСТ по разработке, безопасной разработке 56939 не требует переоценки и изменений.  

• Упоминается, что изменения в стандарте связаны с тем, что разработчики ориентируются на бизнес-процессы, а не на стадии жизненного цикла программного обеспечения.  

• Упоминается, что оценка соответствия и сертификация не потребуют переоценки или изменений ГОСТа.  

• Упоминается, что изменения в стандарте связаны с тем, что разработчики ориентируются на бизнес-процессы, а не на стадии жизненного цикла программного обеспечения.  

• Упоминается, что инструменты и методологии статического и динамического анализа разрабатываются в отдельных ветках стандартов.  

• Обсуждение доступности документов ДСП для всех, а не только для лицензиатов.  

• Упоминается, что документы ДСП могут быть предоставлены для служебного пользования, но не для всех.  

• Упоминается, что документы ДСП могут быть использованы для разработки средств безопасности или обеспечения безопасности.  

• Упоминаются планы по разработке методических документов, таких как порядок аттестации госсистем, требования к средствам дистанционной работы и типовая модель угроз аппаратных устройств.  

• Упоминается, что планы направлены на стандартизацию и методическое обеспечение деятельности в области безопасности.  

• Упоминается, что опыт телемоста был положительным и будет развиваться в будущем.  

• Упоминается, что зам. начальника управления Торбиненко Ирина Борисовна будет отвечать на вопросы, связанные с оценкой и отнесением объектов.