ОАЦ опубликовал обновленные разъяснения к законодательству по кибербезопасности

Национальный центр обеспечения кибербезопасности и реагирования на киберинциденты (НЦК), функционирующий в структуре Оперативно-аналитического центра при Президенте Республики Беларусь (ОАЦ), подготовил комплексный "Обзор требований законодательства в сфере обеспечения кибербезопасности".

Главная цель документа - максимальная координация действий госорганов и бизнеса по обнаружению, предотвращению и минимизации последствий кибератак. Документ систематизирует нормативно-правовую базу (включая Указы № 40 "О кибербезопасности", № 196 и № 60), выделяет группы объектов информационной инфраструктуры (ОИИ) и дает четкие рекомендации по их защите.

Наши специалисты изучили документ и выделили ключевые положения, которые важно знать каждому руководителю и ИБ-специалисту.

Коллективная безопасность: почему требования касаются каждого

В ОАЦ подчеркивают: цифровые технологии стали основой экономики, но одновременно создали новые риски. В современном бизнесе и госсекторе кибератаки часто строятся по принципу "цепочки компрометации".

Злоумышленники ищут наименее защищенную компанию (например, небольшого подрядчика), взламывают ее инфраструктуру и используют ее как трамплин для проведения DDoS-атак, фишинговых рассылок или внедрения вирусов на критически важные объекты. Именно поэтому соблюдение базовых мер кибергигиены сегодня - это обязанность абсолютно всех организаций Беларуси.

Три группы объектов информационной инфраструктуры (ОИИ)

Законодательство разделяет ОИИ на три ключевые группы, к каждой из которых предъявляются свои требования по защите:

1. ОИИ для обработки общедоступной информации, включая корпоративные сайты.

Даже если ваша система обрабатывает только открытые данные, к ней применяются обязательные базовые требования ОАЦ (Приказ № 130):

• смена всех дефолтных паролей и учетных записей;
• строгий контроль и разграничение прав доступа (принцип минимальных привилегий);
• обязательное обновление ПО и средств защиты информации (СЗИ) в течение 1 месяца с момента выхода патчей;
• межсетевое экранирование, защита от вредоносного ПО и система обнаружения вторжений;
• сбор и хранение логов (событий безопасности) не менее 1 года.

Важно:

Успешная DDoS-атака на официальный сайт компании теперь оценивается как нарушение конституционного права граждан на получение информации и может влечь административную ответственность (ст. 24.58 КоАП).

2. Информационные системы, обрабатывающие ИРиПКО (информация, распространение и (или) предоставление которой ограничено - персональные данные, коммерческая тайна).

Для систем, где хранятся персональные данные (включая клиентские базы и кадровый учет) или закрытая служебная информация, требования еще выше:

• Категорирование и классы: ИС обязана пройти классификацию (присваивается класс, например, *3-ин, 3-спец, 4-дсп* и др.).
• Проектирование и создание СЗИ: разработка политики ИБ, структурных/логических схем и технического задания (ТЗ) с обязательным набором требований по аудиту, шифрованию и авторизации.
• Аттестация: системы защиты информации подлежат обязательной аттестации (самостоятельно комиссией или с привлечением лицензированного интегратора). Срок действия аттестата - 5 лет.
• Ежегодная проверка: эксплуатация системы требует регулярного (не реже 1 раза в год) анализа эффективности СЗИ и проведения инструктажей.

3. Критически важные объекты информатизации (КВОИ)

К этой категории относятся системы управления технологическими процессами (промышленность, энергетика, транспорт, банки, связь), сбой в которых создает угрозу национальным интересам.

Предприятия обязаны самостоятельно инициировать отнесение своих систем к КВОИ по утвержденным критериям:

• В течение 6 месяцев после включения в реестр должна быть спроектирована и создана система ИБ.
• Обязательно назначение подразделения/должностного лица по защите информации.
• Проведение ежегодного аудита системы ИБ КВОИ с оформлением соответствующего акта.

Центры кибербезопасности (SOC) и мониторинг 24/7

Согласно обновленным нормам, перечень ключевых организаций Беларуси обязан либо создавать собственные центры кибербезопасности (SOC), либо приобретать услуги по кибербезопасности у аттестованных центров.

Центры кибербезопасности обеспечивают круглосуточный автоматизированный мониторинг, сбор и анализ инцидентов, динамический анализ вредоносного ПО и проверку защищенности (пентесты). При обнаружении киберинцидента центр обязан проинформировать НЦК в течение 1 часа.

Контроль, проверки и ответственность

ОАЦ регулярно проводит плановые и внеплановые проверки соблюдения законодательства по ТКЗИ.

В случае выявления нарушений ОАЦ выдает обязательные предписания об их устранении (со сроком до 6 месяцев), а в критических ситуациях – на приостановление или полное прекращение функционирования информационной системы или КВОИ. Кроме того, законодательством предусмотрены персональная ответственность руководителей за соблюдение требований об обеспечении кибербезопасности.

Как подготовиться к требованиям регулятора вместе с Netland?

Выполнение обновленных требований законодательства предполагает наличие серьезных компетенций в компании, времени и ресурсов - от правильного оформления документации, приобретения и внедрения сертифицированных средств защиты до проведения аттестации СЗИ.

Команда Netland предлагает комплексный подход к обеспечению кибербезопасности вашей организации:

• Аудит и категорирование: поможем определить класс ваших ИС и провести инвентаризацию активов.
• Проектирование и внедрение СЗИ: разработаем ТЗ, подберем и настроим необходимое сертифицированое ПО в Республике Беларусь.
• Подготовка к аттестации: проведем все необходимые испытания и анализы защищенности.

Не откладывайте безопасность вашего бизнеса. Свяжитесь с нашими специалистами, чтобы привести ваши информационные системы в полное соответствие с требованиями законодательства Республики Беларусь.