Указ №250: кого назначить ответственным за ИБ в субъектах КИИ и что это значит на практике

Сканы документа пошли по чатам в четверг утром - ещё до официальной публикации. К пятнице у нас накопилось несколько звонков от клиентов-субъектов КИИ с примерно одинаковым вопросом: «Мы видели скан указа. Что нам теперь делать?». Официальная дата - 1 мая, но содержание на руках уже сейчас, и вопрос вполне реальный.

Разбираем то, что читаем в тексте.

Суть требования

Указ вводит обязательное назначение заместителя руководителя организации, ответственного за информационную безопасность, для трёх категорий:

• субъекты критической информационной инфраструктуры (то есть организации из 187-ФЗ, имеющие значимые объекты КИИ),
• государственные органы и органы местного самоуправления,
• организации, осуществляющие взаимодействие с государственными информационными системами.

Для первых двух категорий - именно заместитель руководителя, а не просто «сотрудник, ответственный за ИБ». Это принципиальное отличие от того, как это обычно устроено: во многих организациях ИБ сидит на уровне начальника отдела или даже специалиста, формально подчинённого IT. Теперь в субъектах КИИ ИБ должна быть на уровне зама.

Что конкретно должен делать этот зам

Из текста указа следует, что заместитель руководителя, ответственный за ИБ:

• организует создание структурного подразделения по ИБ (или определяет ответственных, если подразделение уже есть),
• взаимодействует с ФСБ и ФСТЭК по вопросам информационной безопасности,
• несёт персональную ответственность за выполнение требований в области ИБ.

Последнее - ключевое. Персональная ответственность должностного лица уровня зама - это не то же самое, что «ответственный специалист». Это означает административные последствия при нарушениях, и это меняет политический вес вопроса внутри организации.

Кого назначить

Вот где у большинства клиентов возникает практическая проблема. Типичная ситуация в субъекте КИИ среднего размера: есть замдиректора по IT, есть замдиректора по безопасности (часто физической), и есть где-то один-два специалиста по ИБ. Ни один из существующих замов не имеет профильной ИБ-компетенции в нужном объёме.

Варианты, которые обсуждаются в звонках:

• Переназначить одного из существующих замов - добавить в его полномочия ИБ. Минус: человек уже загружен, и ИБ получит остаточное внимание. Плюс: быстро, без новой штатной единицы.
• Ввести новую позицию зама по ИБ - правильно по духу, но требует времени на поиск, бюджета и согласования штатки. В текущих условиях кадрового дефицита в ИБ - нетривиально.
• Повысить действующего начальника отдела ИБ до замдиректора - если человек есть и достаточно квалифицирован. Часто это самый реалистичный путь.

Что точно не работает: назначить ответственным IT-директора без изменения его полномочий и без изменения организационной структуры. Указ требует именно заместителя руководителя с выделенной зоной ответственности за ИБ, а не добавления строчки в должностную инструкцию.

Сроки

В тексте указа - 1 мая 2022 как дата вступления в силу. Это означает, что организации формально обязаны выполнить требование к этому дню. Сканы гуляют с четверга - значит, реального времени на подготовку примерно неделя.

Честно скажем: неделя - это нереалистично для полноценного решения. Скорее всего, большинство организаций сейчас зафиксируют какое-то промежуточное назначение приказом, а потом будут приводить его в порядок. Это не идеально, но это рабочий подход: главное - наличие документально подтверждённого назначения к дате.

Что это значит для аудита

Мы уже видели, как апрельское уточнение ФСТЭК по срокам импортозамещения добавило работы по документированию. Указ №250 добавляет другой пласт: организационный.

Аудит ИБ теперь не может игнорировать вопрос «а кто в организации несёт ответственность за ИБ на уровне руководства». Это станет частью проверочных листов при любой инспекции - и, вероятно, частью самодеклараций, которые организации будут представлять в ФСБ и ФСТЭК.

Для клиентов, с которыми мы сейчас работаем по программам импортозамещения на объектах КИИ: это ещё один документационный блок, который нужно закрыть параллельно с техническими задачами. Приказ о назначении, положение о подразделении ИБ (или обновление существующего), матрица полномочий - всё это нужно привести в соответствие с новыми требованиями.

Где мы сейчас

Ждём официальной публикации, чтобы работать с точным текстом, а не со сканом. Официальный текст может отличаться в деталях - в регуляторных документах детали часто и имеют значение.

Клиентам, которые звонят с вопросом «что делать прямо сейчас»: начинайте с приказа о назначении ответственного зама - это то, что можно сделать немедленно и что закроет формальное требование к дате вступления в силу. Остальное - структура подразделения, положение, полномочия - можно доработать в течение ближайших недель. Главное, чтобы назначение было реальным, а не формальной строчкой в приказе без реальных полномочий.