Эксперты объяснили новый указ Путина о кибербезопасности
Новый указ президента Владимира Путина расширяет и уточняет список ограничений на сотрудничество российских организаций с иностранными сервисами по информационной безопасности, заявили РБК в пресс-службе Angara Security.
«Ограничения распространяются на использование международных репозиториев открытого кода (например, GitHub), облачные сервисы и технологии. В целом новый указ закрепляет положения ранее опубликованных 166-го и 250-го указов. До 1 января 2025 года импортозамещение должно быть завершено, и официальная позиция исключает возможность для отсрочки», — пояснили в компании.
Путин накануне подписал поправки к указу от 1 мая 2022 года, который вводил требования для государственных корпораций и ведомств в сфере реагирования на кибератаки, документ также запрещал использовать системы защиты от недружественных стран с 1 января 2025 года.
Новая версия расширяет сферу действия указа. Прежде всего она предусматривает установление требований к аккредитованным центрам, которые будут привлекаться для реагирования на инциденты в госструктурах и субъектах критической информинфраструктуры. Кроме того, дополняется запрет на средства защиты из недружественных государств: прежде запрещалось использование только программного обеспечения, новая версия говорит и о запрете защитных услуг.
«Я думаю, что это больше задел на ограничения для иностранных VPN-сервисов, это самая популярная услуга, которой каждый первый пользуется, а в компаниях — для обхода блокировок. Если по предыдущей формулировке под запрет попадал факт установки продуктов (СЗИ), то по текущей уточнили, что и в формате сервиса от таких организаций ничего получать нельзя, что в целом очевидно», — рассказала РБК Альбина Аскерова, руководитель направления по работе с регуляторами группы компаний Swordfish Security.
Она предположила, что президентский указ стал реакцией на действия компаний, которые «используют недружественное ПО в формате сервиса» и, таким образом, формально обходят указ.
«Отдельные компании, в основном в IТ (IТ и информационная безопасность часто связаны) могли представлять в качестве сервиса аренду оборудования или предоставление ПО условно по подписке. Указ поможет оградить субъекты критической инфраструктуры от таких компаний», — считает коммерческий директор «Кода безопасности» Федор Дбар.
Установление новым указом требований к аккредитованным центрам — незначительное изменение, которое не окажет влияния на большинство организаций, оценил в беседе с «Коммерсантом» бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий.
«Это требование обращено ФСБ — разработать, утвердить и контролировать правила аккредитации центров ГосСОПКА, которые обеспечивают мониторинг, ликвидацию последствий компьютерных атак, а также анализ защищенности в соответствии с требованиями указа», — уверен он.
Президентский указ был опубликован на следующий день после введения США новых санкций против российской IТ-сферы. Вашингтон решил запретить предоставление любому лицу в России услуг по консультированию и проектированию в области IТ, а также услуг IТ-поддержки и облачных услуг для программного обеспечения, предназначенного для управления предприятием, а также софта для проектирования и производства. Это сделано для «прекращения зависимости российского военно-промышленного комплекса от иностранных IТ-систем».