Прямая линия с регулятором

Здесь Вы можете задать свой вопрос по теме реализации мер для обеспечения защиты информации, который примут эксперты BISA и передадут в соответствующее ведомство регулятора, либо помогут найти ответ силами ИБ сообщества.

Вы можете задать вопрос анонимно, а можете указать e-mail для связи. Тогда, при необходимости, эксперт BISA поможет вам сформулировать ваш вопрос точнее и оповестит Вас, когда ответ будет получен.

Лучшие вопросы и ответы

Насколько велика по вашим оценкам зависимость субъектов КИИ от иностранных ИТ и ИБ вендоров?

24.09.2020
16

Вопросы импортозамещения к компетенциям нашего ведомства не относятся, но мы имеем некий срез по объектам КИИ, по которым соответствующие субъекты нам представили сведения. Поэтому, я скажу так: опираясь на те сведения, которые мы имеем – это, безусловно, не характеризует все отрасли и полностью картинку не дает, но по тем объектам, которые сегодня есть – это порядка 16 тысяч систем и сетей, более 80% объектов построено исключительно на зарубежном ПО и оборудовании. Около 20% объектов КИИ, так или иначе, использует отечественное ПО и оборудование. Это только на основе тех данных, которые поступают к нам в Службу.

Л Ответил Лютиков В.С. заместитель директора ФСТЭК России, 24.09.2020
Л Лютиков В.С. заместитель директора ФСТЭК России
Читать далее

Все вопросы и ответы

24.09.2021
16

Количество технологий растёт лавинообразно, как ФСТЭК будет справляться с их увеличением? Будут ли придуманы упрощённые правила?

По поводу сроков сокращения: да, мы над этим работаем. По поводу лавинообразности технологий: мы оцениваем количество заявок, поступающих на сертификацию, у нас нет лавинообразного увеличения количества заявок. Казалось бы, несмотря на принимаемые меры должно быть, но де-факто увеличения заявок нет […]. По поводу сроков: мы знаем, что у нас есть неравномерность загруженности лабораторий с точки зрения проводимых работ […], у нас больше 35-40 лабораторий, но распределения работ по сертификационным испытаниям у них неравномерные, и в результате получается перегруз первых лабораторий, но здесь это регулируется заявителями. Заявитель выбирает лабораторию для испытаний. Мы заинтересованы в увеличении количества лабораторий и у нас есть такие тенденции, их количество растет, но не сильно. Следующая проблема, которая тоже влияет на сроки, – я всё время о ней говорю – это готовность заявителя при выходе на сертификацию. Ещё раз хочу сказать, что для того, чтобы обеспечить успешное проведение испытаний на соответствие требованиям доверия, необходимо, чтобы у заявителя был, в первую очередь, наиболее широко применяемый уровень доверия. Для того, чтобы обеспечить, необходимо, чтобы у заявителя были внедрены процедуры безопасной разработки […]. У нас есть расчёты по поводу того, во сколько раз по времени и по материальным издержкам сокращаются испытания, если внедрены базовые механизмы безопасной разработки – в разы, и это понятно, потому что, (вместо того) чтобы провести те виды испытаний и те виды исследований – всё переносится на лабораторию, а лаборатория просто так работать не будет. Для того, чтобы сократить это время, надо посмотреть стандарты по безопасной разработке, внедрить эти механизмы. […] Самое главное, как потом можно обеспечить поддержку безопасности этого продукта в процессе его эксплуатации. Если мы не хотим иметь проблем на этапах эксплуатации, то у разработчика должно быть всё предусмотрено изначально. Что касается бюрократических процедур, мы также эту работу проводим, мы подготовили ряд изменений в положение по сертификации, […] долго […] оценку регулирующего воздействия проходили. Сейчас мы регистрируем в Минюст этот документ. Мы полагаем, что на 30-40% сокращаем время проведения испытаний путем исключения отдельных процедур […]. Мы прорабатываем вопрос, как снизить издержки разработчиков с точки зрения затрат на сертификацию и изменения продукта. Продукты меняются, тем более с внедрением современных методов разработки, поэтому мы сейчас прорабатываем вопрос: как снизить затраты разработчика на сертификационные испытания вносимых изменений. У нас есть мысли, они связаны со снижением издержек тех компаний, которые внедрили безопасную разработку. Если мы видим, что компания внедрила безопасную разработку, соответствующую стандартам, то от ряда процедур при внесении изменений, наверное, сможет отказаться. Пока (этот документ) у нас в проработке, официальное изменение нормативно-правовых актов мы пока ещё не представляли, но я думаю, в ближайшее время, по крайней мере, до конца этого года, мы какое-то предложение внесём и корректировку нормативных документов постараемся сделать.

Л Ответил Лютиков В.С. заместитель директора ФСТЭК России, 24.09.2020
Л Лютиков В.С. заместитель директора ФСТЭК России
Читать далее

Как работает этот проект

1
Вы отправляете свой вопрос
2
Поступающие вопросы анализирует рабочая группа экспертов BISA
3
Актуальные вопросы отправляем в нужное ведомство регулятора
4
Публикуем ответ на сайте, при необходимости дополняем его комментариями экспертов

Кто модерирует проект?

Смирнов Михаил

Главный редактор BISA

Рабочая группа экспертов BISA

Присоединиться к рабочей группе

Об истории проекта

Проект «Прямая линия с регулятором» стал результатом работы участников круглого стола «Требования регуляторов 2020-2021» на BIS Summit 2020. Именно там прозвучало предложение сформировать удобную информационную площадку с единой базой знаний, где специалисты ИБ смогут задавать вопросы и получать разъяснения от регуляторов и экспертов ИБ-сообщества по темам защиты объектов КИИ, лицензированию, сертификации, стандартизации в сфере ЗИ, созданию и применению защищённого отечественного ПО и мн. др.

Все ответы доступны на сайте и сформированы в базу знаний, которая растет и актуализируется в соответствии изменениями, происходящими в отрасли ИБ.

Смотреть, как это было: