СБ ЗОКИИ: требуется ли обязательное наличие технической поддержки производителя на СрЗИ, используемые для обеспечения безопасности значимых объектов КИИ?

2025 год

Ответ: в рамках внесения изменений в Требования к созданию систем безопасности…, утвержденные приказом ФСТЭК России от 21.12.2017 № 235 (далее – Требования к СОИБ), в соответствии с абзацем 3 пункта 21 Требований к СОИБ, наличие обязательной технической поддержки не требуется. Однако отсутствие технической поддержки со стороны разработчиков (производителей) средств защиты информации (далее – СрЗИ) вносит ряд ограничений:

• СрЗИ в отношении которых была прекращена техническая поддержка со стороны разработчика (производителя) нельзя считать сертифицированными (пункт 14 Положения о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 03.04.2018 № 55). Соответственно в отношении таких СрЗИ должна быть проведена оценка соответствия в форме испытаний или приемки при использовании их для обеспечения безопасности значимых объектов критической информационной инфраструктуры (далее – КИИ);
• при использовании таких СрЗИ должны быть рассмотрены соответствующие актуальные угрозы безопасности информации, связанные с устранением недостатков и дефектов, в том числе с устранением уязвимостей и недекларированных возможностей программного обеспечения СрЗИ и его обновлений. Процедуры, заменяющие техническую поддержку разработчика (производителя), должны быть регламентированы организационно-распорядительной документацией субъекта КИИ.