На стадии общественного обсуждения находится проект приказа ФСТЭК России «О внесении изменений в Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования, утверждённые приказом Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. № 235».
Изменения связаны с реализацией требований, установленных Указом Президента № 250. Так, например, предложено убрать требования о количестве часов профпереподготовки (360 и 72 соответственно в отношении руководителей и специалистов подразделений ИБ) и дать возможность субъектам КИИ часть функций возложить на «…специалистов со средним профессиональным образованием по специальности «Информационная безопасность».
Очень интересное (и полезное для субъектов КИИ) дополнение к пункту 21 приказа № 235. Об этом и других изменениях в нашем обзоре-сравнении:
|
Пункт |
было |
станет |
|
8 |
Руководитель субъекта критической информационной инфраструктуры или уполномоченное им лицо, на которое возложены функции обеспечения безопасности значимых объектов критической информационной инфраструктуры |
Руководитель субъекта критической информационной инфраструктуры или заместитель руководителя субъекта критической информационной инфраструктуры, на которого возложены полномочия по информационной безопасности в соответствии с Указом Президента Российской Федерации от 1 мая 2022 г. № 250 |
|
10 |
Руководитель субъекта критической информационной инфраструктуры создает или определяет структурное подразделение, ответственное за обеспечение безопасности значимых объектов критической информационной инфраструктуры |
Руководитель субъекта критической информационной инфраструктуры возлагает функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры на структурное подразделение, обеспечивающее информационную безопасность субъекта критической информационной инфраструктуры в соответствии с Указом Президента Российской Федерации от 1 мая 2022 г. № 250 |
|
|
Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции: разрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта критической информационной инфраструктуры (уполномоченному лицу); |
Слово «уполномоченному» заменить словом «ответственному»;
|
|
10.1 |
По решению руководителя субъекта критической информационной инфраструктуры (уполномоченного лица) |
Слово «уполномоченному» заменить словом «ответственному»; |
|
|
Координацию и контроль выполнения функций структурными подразделениями по безопасности, специалистами по безопасности обособленных подразделений (филиалов, представительств) осуществляют структурные подразделения по безопасности, специалисты по безопасности субъекта критической информационной инфраструктуры |
Координацию и контроль выполнения функций структурными подразделениями по безопасности, специалистами по безопасности обособленных подразделений (филиалов, представительств) осуществляют ответственное лицо или структурные подразделения по безопасности, специалисты по безопасности субъекта критической информационной инфраструктуры |
|
12 |
Работники структурного подразделения по безопасности, специалисты по безопасности должны соответствовать следующим требованиям: наличие у руководителя структурного подразделения по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе профессиональной переподготовки по направлению «Информационная безопасность» (со сроком обучения не менее 360 часов), наличие стажа работы в сфере информационной безопасности не менее 3 лет; наличие у штатных работников структурного подразделения по безопасности, штатных специалистов по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе повышения квалификации по направлению «Информационная безопасность» (со сроком обучения не менее 72 часов); |
Работники структурного подразделения по безопасности, специалисты по безопасности должны соответствовать следующим требованиям: наличие у руководителя структурного подразделения по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного профессионального образования и документа, подтверждающего прохождение обучения по программе профессиональной переподготовки по направлению «Информационная безопасность», наличие стажа работы в сфере информационной безопасности не менее 3 лет; наличие у штатных работников структурного подразделения по безопасности, штатных специалистов по безопасности высшего или среднего (при наличии должности в штатом расписания у субъекта критической информационной инфраструктуры)профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе повышения квалификации по направлению «Информационная безопасность»; |
|
12.1 |
|
На специалистов со средним профессиональным образованием установка и настройка средств защиты информации значимых объектов критической информационной инфраструктуры; информирование работников о нарушениях требований ведение протоколов и журналов учета при осуществлении мониторинга средств защиты информации значимых объектов критической информационной инфраструктуры»; |
|
21 |
|
В случае невозможности обеспечения средств защиты информации гарантийной, технической поддержкой со стороны разработчиков (производителей), субъектом критической информационной инфраструктуры должны быть реализованы организационные и технические меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта, в соответствии с Требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденными приказом ФСТЭК России от 25 декабря 2017 г. № 239.»; |
|
27 |
Организационно-распорядительные документы по безопасности значимых объектов должны быть доведены до руководства субъекта критической информационной инфраструктуры, подразделения по безопасности, специалистов по безопасности, а также до иных подразделений (работников), участвующих в обеспечении безопасности значимых объектов критической информационной инфраструктуры, в части, их касающейся |
Организационно-распорядительные документы по безопасности значимых объектов должны быть доведены до руководства субъекта критической информационной инфраструктуры, ответственного лица, подразделения по безопасности, специалистов по безопасности, а также до иных подразделений (работников), участвующих в обеспечении безопасности значимых объектов критической информационной инфраструктуры, в части, их касающейся |
|
36 |
В случае проведения по решению руководителя субъекта критической информационной инфраструктуры внешней оценки (внешнего аудита) состояния безопасности значимых объектов критической информационной инфраструктуры внутренний контроль может не проводиться. |
В случае проведения по решению руководителя, ответственного лица субъекта критической информационной инфраструктуры внешней оценки (внешнего аудита) состояния безопасности значимых объектов критической информационной инфраструктуры внутренний контроль может не проводиться. |
