Каким компаниям нужно усиливать информационную безопасность в 2022 году?

1 мая 2022 года был подписан и сразу же вступил в силу Указ Президента РФ № 250, согласно которому многие компании теперь должны принимать дополнительные меры по обеспечению информационной безопасности (ИБ). Это необходимо для повышения устойчивости и безопасности работы информационных ресурсов Российской Федерации. В статье даём разъяснения к указу. 

Кому нужно принимать дополнительные меры по обеспечению информационной безопасности?

Действие указа распространяется на:

• федеральные органы исполнительной власти;

• высшие исполнительные органы власти субъектов РФ;

• госфонды;

• госкорпорации;

• стратегические предприятия;

• системообразующие организации российской экономики;

• субъекты критической информационной инфраструктуры (КИИ) РФ.

Органы власти и госкорпорации, а также некоторые стратегические предприятия и ранее уделяли особое внимание информационной безопасности. А к некоторым субъектам КИИ впервые предъявили такие требования. К субъектам КИИ относятся не только госорганы и госучреждения, но и юрлица и ИП, которым принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сферах:

• здравоохранения;

• науки;

• транспорта;

• связи;

• энергетики;

• финансов;

• атомной энергии;

• обороны;

• различных видов промышленности (ракетно-космической, горнодобывающей, металлургической и химической).

Кроме того, субъекты КИИ — это юрлица и ИП, обеспечивающие взаимодействие указанных систем и сетей.

Распоряжением Правительства РФ № 1661-р от 22.06.2022 утверждён полный перечень органов и организаций, которым необходимо принимать дополнительные меры по обеспечению информационной безопасности. 

Как органы и организации из перечня должны обеспечивать информационную безопасность?

Указ возлагает на руководителей органов и организаций личную ответственность за обеспечение ИБ. При этом руководитель должен дать своему заместителю полномочия по обеспечению ИБ. Организация должна своевременно обнаруживать, предупреждать и ликвидировать последствия компьютерных атак и реагировать на компьютерные инциденты. Выполнять эти функции должно имеющееся или созданное структурное подразделение. 

В случае необходимости организации могут привлекать сторонние компании к выполнению функций по обеспечению ИБ, но эти компании должны быть лицензированы на осуществление деятельности по технической защите конфиденциальной информации. Реестр таких организаций представлен на сайте ФСТЭК. 

Руководители органов и организаций должны обеспечивать беспрепятственный доступ к мониторингу информационных ресурсов организации должностным лицам ФСБ и реализовывать рекомендуемые ими организационные и технические меры.

До 1 июля органы и организации из перечня должны были оценить уровень защищённости своих информационных систем и представить доклад в Правительство РФ.

Также в указе говорится о том, что до 1 января 2025 года организациям нужно полностью отказаться от средств защиты информации, разработанных производителями из недружественных стран или связанных с ними иностранных государств. 

Как оценить и повысить информационную безопасность компании?

Вопрос усиления информационной безопасности актуален сегодня для многих российских компаний. Чтобы не допустить нарушений в информационной безопасности и утечки корпоративных данных, необходимо провести комплексный мониторинг системы ИБ, выявить проблемы в технологиях и используемом оборудовании, угрозы и дать оценку её защищённости. Далее необходимо разработать и принять соответствующие меры по улучшению ИБ. 

Если в компании нет собственных специалистов по информационной безопасности, можно привлечь стороннюю организацию. Повысить уровень безопасности поможет переход на российское ПО и оборудование. У СберКорус есть эффективные решения по созданию защищённой информационной среды и безопасной IT-инфраструктуры. Компания оказывает комплексную услугу, которая включает оценку информационной безопасности, разработку проекта по модернизации или замене ПО и оборудования, подбор решений и внедрение.