Мониторинг Информационной Безопасности Средств и Систем Информатизации
Перечитывал тут на днях постановление правительства №541 от 15 июня 2016 года, вносящее правки в Положения о лицензировании деятельности № 79 (ТЗКИ) и №171 (производство и разработка средств защиты конфиденциальной информации).
О нем в последнее время стали много говорить, особенно после конференции SOC Forum (там его тоже упоминали). Дело в том, что в обновленном варианте Положения № 79 появилась, вроде как, новая лицензируемая деятельность — «услуги по мониторингу информационной безопасности средств и систем информатизации». И существует мнение (например, Алексея Лукацкого), что SOCам и MSSP необходимо будет обновить свои лицензии на ТЗКИ, добавить в них еще один вид деятельность.
Это, кстати, не сложно сделать, ведь «тяжелых» новых требований не появилось. Так, обсуждаемое ранее требование по наличию (сертифицированной) СУИБ прошло мимо документа, и из него даже убрали обязательство по наличию «системы производственного контроля» (все ориентировались на СМК по 9001) из требований к соискателю лицензии по ТЗКИ. Аналогично не появились и «пугающие» требования по использованию сертифицированных средств мониторинга (особенно SIEM) и защиты для предоставления сервисов SOC, и положения о необходимости аттестации всей инфраструктуры SOC (инфраструктуры, необходимой для предоставления услуг)… Ну а новые (расширенные) требования по штатной численности «опытных» специалистов в штате и наличию специального оборудования решается SOCами, на мой взгляд, по умолчанию.
Но вернемся к документу и попробуем разобраться…
Стоит обратить внимание, что сами правки Положения №79 скорее «косметические», в нем нет фундаментальных изменений. По сути, чуть-чуть подточили формулировки, и немного их конкретизировали. Например, указали необходимое количество лет опыта у персонала, добавили про положения про наличие средств контроля (анализа) исходных кодов текстов программного обеспечения, сократили перечень «грубых нарушений лицензионных требований».
«Какие же они «косметические»? — спросите вы. — Ведь появился новый лицензируемый вид деятельности — «услуги по мониторингу информационной безопасности средств и систем информатизации».
