Накануне проводимого нами межрегионального круглого стола, участникам рассылалась анкета, в которой было предложено задать интересующие вопросы экспертам.
 
На них отвечали:

• • Артём Половинко, директор по ИБ ОО «Рубикон»;
  • Александр Немошкалов, директор по развитию бизнеса ООО «Код Безопасности»;
  • Денис Геннадьевич Никитин, заместитель начальника 1 отдела ФСТЭК России по Южному и Северо-Кавказскому федеральным округам.

 
В статье рассказываем про то, что обсуждали в рубрике «Вопрос – ответ».

Продукты «Код Безопасности»

Часть вопросов коснулась продуктов компании. И это понятно – очень многие организации используют средства «Кода Безопасности» для построения системы защиты информации.
 
Вопрос 1. Когда в Континент 4 будет реализован функционал системы обнаружения вторжения в режиме UTM на уровне L2?

Ответ. Сейчас поддерживается либо UTM, либо SSO в режиме L2. В ближайших планах такой реализации нет. Рассматривается реализация L2 в режиме сетевого экрана.
 
Вопрос 2. Когда появится возможность создавать кластер из устройств в режиме детектора атак?
 
Ответ. На текущий момент можем через агрегацию с помощью внешнего устройства распределить трафик на ферму из двух и более устройств детектор атак. Но отказоустойчивый режим пока не поддерживается.
 
Вопрос 3. В релиз был выпущен Континент 4 в виртуальном исполнении. Планируется подобное для Континент TLS Server с сертификацией?
 
Ответ. Да, такой вариант планируется и можно сказать, что он уже есть. Сейчас доступна некоммерческая сборка для отдельных заказчиков в качестве тестирования. В ней достаточно широкие возможности, в том числе виртуализация. Версия активно тестируется, исправляются ошибки. В будущем планируется получение сертификата.
 
Вопрос 4. Планируется ли в системе журналирования Континент АПКШ 3 поддерживание СУБД, отличных от Microsoft SQL Server, например PostgreSQL?
 
Ответ. В Континенте 4 и 3.9 движемся в направлении импортозамещения. В Континент 4 уже реализована работа с PostgreSQL, в последних версиях Континент 3 также планируется переход на PostgreSQL, чтобы уйти от Microsoft SQL Server.

Выполнение законодательство в сфере КИИ

Все знают, что сейчас активно идет развитие законодательства в отношении критической инфраструктуры. Так вот большая часть вопросов была задана экспертам в этом отношении.
  
Вопрос 1. Нужно ли в течении предварительных испытаний выполнять требования пункта 29.3 приказа № 239 ФСТЭК, если прикладное ПО, обеспечивающее функции информационной системы, давно используется?

Ответ. Конечно, да. В случае модернизации ПО нужно соответствовать приказу ФСТЭК № 239.
 
Следующий вопрос был как продолжение второго. Просили пояснения к пункту 29.3.  Как поступать, если использование прикладного ПО требуется на ЗОКИИ, но у производителя нет документов, подтверждающих выполнение этого пункта?

Для ответа на него после конференции мы связались с ФСТЭК России и получили ответ. В настоящее время у регулятора нет рычагов воздействия на производителей в виде штрафов за остутствие таких документов. Единственным решением этой ситуации остается только просить производителя сделать документы или переходить на другое ПО в случае его отказа.
 
Вопрос 2. 21.12.2022 было опубликовано постановление правительства № 2360 «Об изменении правил категорирования объектов КИИ». Согласно нему с 21.03.2023 года исходными данными для категорирования будет перечень отраслевых типовых ОКИИ, которые могут формироваться госорганами и юр.лицами, выполняющими функции по государственной политике или правового регулирования в сфере. Когда будут готовы перечни для сферы здравоохранения?
 
Ответ. Типовые объекты нужны чтобы понимать какая организация прокатегорирована. В настоящее время перечень на рассмотрении в Госдуме, но для сферы здравоохранения перечень можно найти в методических рекомендация по категорированию, выпущенных Минздравом.
 
Вопрос 3. Сложное медицинское оборудование, такое как как аппараты МРТ и рентген, считаются медицинским изделием и прошли регистрацию в надзорном органе в сфере здравоохранения. Вся ответственность за него возлагается на производителя и эксплуатирующая организация не имеет права влиять на работу изделий. При внештатной ситуации возможно только обращение к производителю, т.к. международный договор отменяет любую ответственность за безопасность медицинских изделий, возложенную на субъект КИИ. Как относить в таком случае медоборудование к объекту КИИ?
 
Отметим, что в дополнение к этому вопросу из зала было пояснение, что производители оборудования зачастую не разрешают установку стороннего ПО, например антивирусных или иных средств защиты. Они объясняют это тем, что ответственность в такой ситуации целиком на пользователе оборудования.
 
Ответ. Зарубежные производители несут ответственность за то, что вы на месте измените ПО оборудования или вставите внешний носитель. Во-первых помните, что до 2025 года все субъекты КИИ должны перейти на отечественное ПО и оборудование. Для государства это мера первой значимости, поэтому работы по стимуляции отечественного производства ведутся активно. Во–вторых, используйте организационные меры. Например, при получении обновления ПО от производителя проверяйте его на наличие вредоносного кода на другом компьютере.
 
Вопрос 4. Каким порядком учредитель может передать третьим лицам вопрос по согласованию перечня ОКИИ, проведению плановых выездных проверок с целью определения правильности категорирования и создания системы безопасности КИИ, по ведению учета ЗОКИИ за подведомственными организациями? Легитимна ли вообще такая передача? Не будет ли это являться вмешательством 3-х лиц в деятельность хозяйствующего субъекта?
 
Ответ. Это право прописано в постановлении Правительства № 127. Если говорить о том, кто осуществляет построение СЗИ, то за это отвечает сама организация. Если эта организация, например, предприниматель с одной штатной единицей, то лучше привлекать на аутсорсинг организацию – лицензиата. При построении системы безопасности в организации должен быть сотрудник, ответственный за ИБ. В случае инцидента руководитель несет персональную ответственность.

Подведем итоги

Благодарим каждого, задавшего вопросы как в анкете, так и на мероприятии. Получилось очень познавательно. Такие рубрики позволяют получать ответы от первых лиц ведущих компаний и от регуляторов.

Также благодарим наших экспертов за развернутые ответы на вопросы и за плодотворную дискуссию во время сессии «Вопрос – ответ».
 
Если у вас есть вопросы по ИБ, законодательству или продуктам отечественных производителей – присылайте нам. Самые интересные разберем в статье, дадим полный экспертный ответ.