СБ ЗОКИИ: Может ли субъект КИИ самостоятельно осуществлять техническую поддержку СрЗИ и какие риски при этом возникают?

2025 год

Ответ: да, субъект критической информационной инфраструктуры (далее – КИИ) может осуществлять техническую поддержку средств (систем) защиты информации (далее – СрЗИ), эксплуатируемых на объектах КИИ, собственными силами.
СрЗИ должны быть обеспечены технической поддержкой со стороны разработчиков (производителей) согласно Требованиям к созданию систем безопасности значимых объектов КИИ, утвержденным приказом ФСТЭК России от 21.12.2017 № 235 (далее – Требования к СОИБ). Однако в соответствии с пунктом 21 Требований к СОИБ, при отсутствии технической поддержки СрЗИ со стороны разработчиков (производителей), субъектом КИИ должны быть реализованы организационные и технические меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта в соответствии с Требованиями по обеспечению безопасности значимых объектов КИИ, утвержденными приказом ФСТЭК России от 25.12.2017 № 239. То есть субъекту КИИ необходимо самостоятельно доказать, что данное СрЗИ обеспечивает блокирование актуальных угроз значимого объекта КИИ и угроз, возникающих в условиях эксплуатации данного СрЗИ, без осуществления технической поддержки со стороны производителя. Для выполнения требований законодательства в области безопасности КИИ Российской Федерации субъекту КИИ необходимо будет разработать модели угроз безопасности информации, провести оценку рисков (включая риски информационной безопасности), провести самостоятельную оценку СрЗИ на соответствие требованиям безопасности в форме испытаний, а также принимать дополнительные меры информационной безопасности и оказывать техническую поддержку своими силами. Однако необходимо учитывать, что оказание технической поддержки является совокупностью действий, направленных на устранение недостатков и дефектов СрЗИ, в том числе устранение уязвимостей и недекларированных возможностей программного обеспечения СрЗИ, его обновление.

• В случае невыполнения Требований к СОИБ в части обеспечения СрЗИ технической поддержкой, возможно наложение административной ответственности. ФСТЭК России в рамках государственного контроля может выявить данное нарушение (отсутствие технической поддержки) и выписать предписание на его устранение (обеспечить СрЗИ технической поддержкой или реализовать компенсирующие меры собственными силами). При невыполнении предписания ФСТЭК России возможно привлечение юридического лица к административной ответственности по пункту 1 статьи 13.12.1 Кодекса Российской Федерации об административных правонарушениях – административный штраф на юридическое лицо составляет до 100 тыс. руб. Обращаем внимание, что обоснование отсутствия технической поддержки со стороны производителя или условий, при которых техническая поддержка не может осуществляться производителем, в зоне ответственности субъекта КИИ.