Согласно совместному исследованию К2 Кибербезопасность и Anti-malware.ru, 71% российских компаний столкнулись с трудностями при выполнении требований закона "О безопасности критической информационной инфраструктуры Российской Федерации" (КИИ). Также, в результате сложностей с соответствием закону, 44% предприятий вынуждены увеличить расходы на обеспечение безопасности.
Более 14% организаций увеличили бюджет по информационной безопасности в 10 раз. Основная причина этого — недооценка объема работ из-за недостаточно глубокого аудита и увеличение объема работ из-за особенностей инфраструктуры. Некоторые компании также не полностью понимают требования закона, что приводит к увеличению числа необходимых мер по защите информации.
Из числа субъектов КИИ включаются предприятия, нарушение работы которых может привести к негативным последствиям для транспортной инфраструктуры, сетей связи, государственных услуг и здоровья людей. Основная цель закона "О безопасности критической информационной инфраструктуры Российской Федерации" — защитить IT-системы государственных органов, банков, промышленных предприятий, медицинских учреждений и других компаний от кибератак. Несмотря на то, что закон был принят в 2018 году, только 7% компаний полностью осуществили его реализацию, в то время как 35% респондентов все еще находятся на стадии начальной реализации проекта.
Согласно исследованию, главной сложностью в выполнении закона назвали подбор и приобретение отечественного ПО и оборудования, обусловленную его высокой стоимостью и недостаточностью предложения на рынке. В то же время, 48% опрошенных уверены в том, что российские продукты позволят удовлетворить требования закона. Однако, 31% компаний не довольны предлагаемыми решениями на рынке. Кроме того, 21% организаций не успеют перейти на российские продукты к 2025 году в соответствии с требованиями указа № 166.
Среди других сложностей предприятия отмечают: затруднения в понимании самого закона (13%), организацию процессов (8%) и аудит и категоризацию (8%).
Начальник отдела управления ФСТЭК России по Центральному федеральному округу Валентин Данилушкин говорит, что введение указа президента РФ от 01.05.2022 г. № 250 "О дополнительных мерах по обеспечению информационной безопасности Российской Федерации" стало стимулом для организаций начать системную работу по выполнению требований закона № 187-ФЗ. Он добавляет, что ФСТЭК России уже с 2017 года проводит разъяснительную работу, направленную на облегчение для субъектов КИИ понимания закона и приведения своей деятельности в соответствие с его требованиями. Организация активно присылает документы с перечнями и сведениями об объектах КИИ. Данную активизацию субъектов КИИ по выполнению требований закона ФСТЭК России предполагает и в дальнейшем.
Директор по информационной безопасности "Т Плюс" Татьяна Зайцева говорит, что происходит поэтапный переход к использованию российских решений в соответствии с требованиями закона № 187-ФЗ. Она отмечает, что в связи с увеличением числа кибератак требования закона являются обоснованными и направлены на практическую информационную безопасность. Принятие закона и подзаконных актов, таких как указы № 166 и № 250, позволяет заказчикам требовать соблюдения требований информационной безопасности от поставщиков.
Директор по развитию бизнеса К2 Кибербезопасность Андрей Зайкин сообщает, что, несмотря на серьезные трудности, ситуация с обеспечением безопасности КИИ позитивная. По данным исследования, 90% субъектов КИИ приступили к реализации требований закона, охватывающих десятки тысяч организаций. Однако, многие предприятия все еще используют зарубежные решения в инфраструктуре объектов защиты, включая средства защиты. Он также отмечает, что российские вендоры активно развивают свои продукты, используя передовые технологии, что вызвано освобождением продуктовых ниш на рынке и поддержкой от государства.
Архитектор решений по информационной безопасности Positive Technologies Михаил Кадер комментирует, что видны значительные изменения в подходе регуляторов в направлении практической и результативной кибербезопасности, в том числе на предприятиях. Это включает ответственность руководства и процессы оценки и подтверждения уровня защищенности.
Источник: https://ixbt.pro/
/s2.siteapi.org/42c0d024c6ee4b4/img/aifz9nekkhcskcgsgwg4w84ckgsk4o)