Федеральная служба по техническому и экспортному контролю (ФСТЭК России) — федеральный орган исполнительной власти России, осуществляющий реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности.
Сертификация ФСТЭК
Основная статья: Сертификация ФСТЭК
История
2023
ФСТЭК планирует разработать требования к защите от DDoS и дефейсов, а также обновить лицензионную политику
Федеральная служба по техническому и экспортному контролю (ФСТЭК России) опубликовала выдержку[1] из плана своей нормотворческой деятельности в 2024 году. В нем, в частности, предусмотрена разработка двух проектов постановления правительства – обновления постановления №79 от 3 февраля 2012 г. «О лицензировании деятельности по ТЗКИ»[2] и №171 от 3 марта 2012 г. «О лицензировании деятельности по разработке и производству СЗКИ»[3]. Эта работа запланирована на третий квартал 2024 года.
Полный план ФСТЭК по разработке проектов правительственных актов
Собственно, требования к лицензиатам как на разработку средств защиты конфиденциальной информации (СКЗИ), так и на предоставление услуг по технической защите конфиденциальной информации (ТЗКИ) существуют с 2012 года и регулярно обновляются. Последнее значимое обновление было принято в ноябре 2021 года, хотя уже в феврале этого года в оба постановления были внесены незначительные изменения. Не совсем понятно, в каком направлении будут эти требования меняться, однако уже ясно, что условия по защите информации сильно изменились в прошлом году, что должно найти свое отражение и в нормативных актах.
Кроме того, к выпуску планируются восемь приказа, из которых для ИБ-отрасли наиболее интересны два. Они должны утвердить требования по защите от DoS-атак и к защите государственных ИС, обладателями которых является РФ, субъект РФ или муниципальное образование. Они должны быть разработаны в 4 квартале следующего года.
Полный перечень приказов, которые ФСТЭК планирует разработать в следующем году
Запланированный приказ, который будет утверждать требования по обеспечению защищенности государственных информационных систем и значимых объектов КИИ РФ от несанкционированного воздействия типа «отказ в обслуживании», скорее всего будет посвящен правильной организации защиты как от атак на выведение из строя государственный ИС или КИИ, так и от распределенных DoS-атак (DDoS). От последних самостоятельно защититься достаточно сложно, поскольку требуется как минимум взаимодействие с оператором связи и получение от него услуг по фильтрации паразитного трафика, а лучше – со специализированной компанией, которая может отсеивать трафик максимально близко к его источнику.
Приказ об утверждении требований о защите информации, содержащейся в государственных и иных информационных системах, обладателями которых является Российская Федерация, субъект Российской Федерации, муниципальное образование предназначен, скорее всего, для стимулирования защиты веб-ресурсов органов власти. Дело в том, что с прошлого года веб-ресурсы и приложения государственных структур активно атакуют хакеры и меняют их главную страницу (дефейс), однако требований по их защите нет – они редко признаются критической информационной инфраструктурой. «Группа Астра» в свободном доступе опубликовала курс по российской службе каталога ALD Pro для обучения администраторов 4.2 т
Да, есть требования по предоставлению правдивой и актуальной информации на государственных веб-ресурсах, но требований по защите опубликованных данных и систем, где они хранятся, нет. Это не позволяет органам власти закупать услуги и оборудование для защиты своих ресурсов, поскольку для подобных трат из бюджета должно быть обоснование и требования для организации тендера. Готовящийся приказ, возможно, эту проблему решит.
ФСТЭК займется созданием централизованной базы данных для контроля объектов КИИ - указ Путина
Президент России Владимир Путин подписал указ, которым расширил полномочия Федеральной службы по техническому и экспортному контролю (ФСТЭК). Соответствующий документ опубликован в ноябре 2023 года.
Путин расширил полномочия ФСТЭК
Согласно указу, ФСТЭК займется созданием централизованной базы данных, с помощью которой будет легче контролировать субъекты и объекты критической информационной инфраструктуры (КИИ). В соответствии с документом, у службы будут следующие полномочия:
- осуществление в пределах своей компетенции централизованный учет информационных систем (ИС) и иных объектов КИИ по отраслям экономики, а также мониторинг текущего состояния технической защиты информации и обеспечения безопасности значимых объектов КИИ;
- оперативное информирование в пределах своей компетенции аппараты федеральных органов государственной власти (ФОИВ) и органов государственной власти субъектов РФ, ФОИВ, органы исполнительной власти регионов, органы местного самоуправления и организации об угрозах безопасности информации и уязвимостях ИС и иных объектов КИИ, а также о мерах по технической защите от этих угроз и уязвимостей;
- разработка пределах своей компетенции совместно с аппаратами ФОИВ и органов государственной власти субъектов РФ, ФОИВ, органами исполнительной власти регионов, органами местного самоуправления и организациями процессы управления технической защитой информации и обеспечением безопасности значимых объектов КИИ, учитывающие отраслевую специфику данных объектов (за исключением процессов обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ), и организует внедрение этих процессов;
- организация в пределах своей компетенции взаимодействие аппаратов ФОИВ и органов государственной власти субъектов РФ, ФОИВ, органов исполнительной власти регионов, органов местного самоуправления и организаций при реализации ими мер по повышению уровня технической защищённости информации и обеспечения безопасности значимых объектов КИИ;
- оценка эффективности деятельности аппаратов ФОИВ и органов государственной власти субъектов РФ, ФОИВ, органов исполнительной власти регионов, органов местного самоуправления и организаций по технической защите информации и обеспечению безопасности значимых объектов КИИ.
Указ Президента Российской Федерации О внесении изменений в Указ Президента Российской Федерации от 16 августа 2004 г. № 1085
Путин расширил полномочия ФСТЭК на случай военного времени
22 мая 2023 года президент Владимир Путин подписал указ №366 о внесении изменений в положение о Федеральной службе по техническому и экспортному контролю. Документ появился на портале официального опубликования правовых актов[4] и вступил в силу в день подписания.
Согласно президентскому указу, пункт 8 положения о ФСТЭК, в котором перечисляются полномочия этой организации, дополняется новым подпунктом – 65(1) – следующего содержания:
«формирует перечень организаций, которые аккредитованы ФСТЭК России или имеют лицензии ФСТЭК России, осуществляют деятельность по обеспечению информационной безопасности Российской Федерации и прекращение работы которых в военное время создаст предпосылки для нарушения устойчивого функционирования информационной инфраструктуры Российской Федерации».
По данным базы правовых данных «КонсультантПлюс», всего положение о ФСТЭК в текущей действующей редакции содержит более 70 различных полномочий ведомства[5]. Других подпунктов, кроме нового, в которых упоминалось бы военное время, на данный момент среди них нет.
2020: ФСТЭК порекомендовал госорганам перевести свои системы с Windows 7 на более новые версии
22 января 2020 года TAdviser стало известно, что ФСТЭК опубликовал специальное информационное сообщение по поводу прекращения поддержки операционной системы Windows 7; государственным органам и другим организациям, которые на январь 2020 года продолжают использовать эту систему, рекомендовано перейти на более последние версии Windows до первого июня 2020 года. Подробнее здесь.
2019: Публикация действующего варианта требований к защите информации в государственных информсистемах
17 сентября 2019 года стало известно, что Федеральная служба по техническому и экспортному контролю опубликовала изменения в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Подробнее здесь.
Примечания
