Проблема занижения категории значимости КИИ

Окажет ли положительный эффект законопроект о поправках в статью КОАП о непредоставлении сведений категорирования ОКИИ? Эксперт AKTIV.CONSULTING Александр Моисеев поделился своим мнением на страницах BIS Journal.

В Госдуму внесен законопроект о поправках в статью КОАП о непредоставлении (а также о предоставлении недостоверных) сведений о результатах категорирования ОКИИ. По мнению ведущего консультанта AKTIV.CONSULTING Александра Моисеева данная мера положительно скажется на усилении защиты объектов КИИ при условии должного контроля со стороны регулятора, а также внешнего аудита.

Данные поправки направлены в первую очередь на борьбу с проблемой негласного умышленного «занижения» категории значимости объектов КИИ, которое повсеместно практикуется в обособленных подразделениях (филиалах, представительствах) субъектов КИИ, не имеющих должного ведомственного контроля или координации со стороны вышестоящей организации.

Причины такого «занижения» могут иметь разный характер – нехватка специалистов ИБ, нехватка финансовых ресурсов на реализацию требований по безопасности КИИ в полном объеме или нехватка временных ресурсов менеджмента и сотрудников основных структурных подразделений из-за «турбулентности» в ведении операционной деятельности.

Без должного контроля со стороны регулятора, а также внешнего аудита (как мы помним, мера «внешнего аудита (АУД.11)» приказа ФСТЭК России №239 не является обязательной для всех категорий значимости), данные комплаенс риски принимают без долгих раздумий, тем самым превращая мероприятия «внутреннего аудита (АУД.10)» в формальность.

Поправки будут однозначно способствовать планомерному усилению защиты объектов КИИ, разумеется, при должном контроле.

Меры по обеспечению безопасности принимаются на всех стадиях жизненного цикла и являются повседневной составной частью работ по эксплуатации объектов КИИ всех причастных должностных лиц: технического, научного, финансового, административного и другого персонала.

Руководитель субъекта КИИ или уполномоченное им лицо (дополнительные меры, введенные согласно Указу Президента РФ №250 от 01.05.2022, прямо возлагают полномочия на заместителя руководителя) несёт за обеспечение информационной безопасности объекта КИИ персональную ответственность, которая не может быть делегирована рядовым специалистам по ИБ. Пришло время подойти к этому вопросу со всей полнотой ответственности.

Ссылка на публикацию