ТОПы бьют тревогу из-за трудностей с сертификацией ПАК
ТОПы бьют тревогу из-за трудностей с сертификацией ПАК «Газпром» и «Транснефть» предупредили о рисках, связанных с требованиями по использованию доверенных программно-аппаратных комплексов (ПАК) на объектах критической информационной инфраструктуры (КИИ). Основная проблема - в третьем критерии доверенности ПАК, прописанном в постановлении правительства №1912. Он требует обязательной сертификации ФСТЭК или ФСБ в случае реализации в комплексе функций защиты информации. Под это определение в теории попадает даже базовая аутентификация (например, вход по паролю), что фактически обязывает сертифицировать практически любое оборудование, используемое на значимых объектах КИИ. К чему это может привести Как отмечает Forbes со ссылкой на заместителя генерального директора по АСУ ТП ООО «Ультиматек», в России сейчас реально работает не более пяти аккредитованных лабораторий ФСТЭК, способных проводить полный цикл испытаний. Они хронически перегружены, а процесс сертификации из-за доработок и повторных подач растягивается до года. Так что трудности здесь носят инфраструктурный характер, а в случае увеличения нагрузки на систему сертификации эти сроки могут ещё увеличиться. Результатом станет не просто потеря денег и времени, а инфраструктурный коллапс. Изменения уже прорабатываются Правительство, судя по всему, уже услышало замечания экспертов. Сейчас разрабатывается проект изменений в постановление №1912. В этом проекте предусмотрены послабления для ПАК на объектах КИИ. Во-первых, предусмотрены случаи, в которых допускается использовать не доверенные ПАК после 1 января 2030 года. Подробно о такой возможности мы писали в этом посте. Во-вторых - изменена формулировка в части требований по сертификации ФСБ и ФСТЭК. Такая сертификация потребуется: 🔹 Если программное обеспечение предназначено для обеспечения безопасности значимых объектов КИИ. 🔹Если защита информации является основной функцией ПАК. Ранее формулировка предполагала, что лицензия потребуется во всех случаях, когда в ПАК реализована функция защиты информации. Так что ждём и надеемся, что в скором времени проект будет принят. А если в вашем случае получение лицензии всё-таки потребуется, мы готовы помочь с прохождением этой непростой процедуры.