Путин поручил создать киберотделы в каждом российском ведомстве

Из указа следует, что госструктурам необходимо будет создавать подразделения по обеспечению информационной безопасности. Кроме того, запрещается использование средств защиты информации от компаний из недружественных стран

«О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» — такое название получил один из указов, подписанных в воскресенье Владимиром Путиным. Основная часть документа посвящена «структурным подразделениям, осуществляющим функции по обеспечению информационной безопасности». Назовем их киберотделами. Такие подразделения теперь должны появиться в каждом российском ведомстве, госфонде, госкорпорации и на стратегическом или системообразующем предприятии, а также в юрлицах, «являющихся объектами критической информационной инфраструктуры» России. Функции киберотделов описаны лаконично: «обнаружение, предупреждение и ликвидация последствий компьютерных атак и реагирование на компьютерные инциденты».

Возникает вопрос: зачем понадобился указ, если такие подразделения вроде бы должны быть в любой крупной организации? Комментирует генеральный директор Phishman Алексей Горелкин:

Алексей Горелкин генеральный директор Phishman «Давайте начнем с того, что в идеале существует. Но в целом там могут быть какие-нибудь размазанные должностные инструкции, должностные обязанности, размазанная ответственность. Так, мы увидели на примере ФЗ № 187, что мы — конкретный человек с конкретной ответственностью. Здесь инициатива идет в том же самом русле. При этом не будем забывать, что госоргиназация бывает тоже разного размера. Бывают очень небольшие организации государственные, я сталкивался с такими, в которых как таковой информационной безопасности нет. Или, как я говорил ранее, роли размазаны. То есть там человек и айтишник — и числится инженером, и информационной безопасностью занимается. Поэтому в идеальном мире, конечно, должен быть отдел информационной безопасности, там должны сидеть специальные люди со специальной квалификацией. Но в реальности это не всегда так. Данная инициатива необходима именно для того, чтобы все соответствовало нашим с вами ожиданиям».

Вторая важная составляющая президентского указа о кибербезопасности — вводимый с 1 января 2025 года запрет на использование в России «средств защиты информации» из «недружественных стран». Согласно тексту документа, норма касается «органов и организаций» без указания размеров или значимости. Вероятно, имеются в виду вообще любые российские юрлица. Если интерпретация верна, менее чем через три года иностранные антивирусы в России можно будет использовать только на частных компьютерах, а все организации должны будут работать с российскими провайдерами или компаниями из «дружественных стран».

Учитывая, что многие ведущие продукты в этой сфере созданы как раз на Западе, не может ли это привести к снижению защищенности российских ведомств и компаний? Рассуждает управляющий RTM Group Евгений Царев:

Евгений Царев управляющий RTM Group «Я думаю, что нас еще ждет много подобного рода документов и все это будет еще уточняться. Возможно, сроки будут сокращаться или, наоборот, переноситься. Сейчас мы находимся на этапе, когда мы адаптируемся. Я думаю, что западным компаниям будет работать тяжело либо практически невозможно, потому что есть еще разные другие инструментарии: как сделать так, чтобы им было сложнее работать или по крайней мере им пришлось бы очень постараться для того, чтобы начать работать на российском рынке. Будут появляться отечественные решения, то есть это долгий и длинный путь и своеобразный вызов для такой экономической отрасли, как информационная безопасность. Государству нужно много чего замещать. Если глядеть на то, что происходит в последнее время в плане регуляторики, я бы сказал, что это вызов на десятилетия».

Ведомства и организации, охваченные указом, смогут обращаться за поддержкой на цифровом фронте только к лицензированным провайдерам кибербезопасности. А также будут обязаны предоставлять ФСБ «беспрепятственный доступ (в том числе удаленный) к используемым ими информационным ресурсам в целях осуществления мониторинга». Является ли мессенджер или почта сотрудника, открытые на рабочем компьютере в такой организации, частью ее «информационных ресурсов», в указе не уточняется.