Указ №250 на практике: как выстроить функцию ИБ - своё подразделение, MSSP или аккредитация

Указ вступил в силу 1 мая. К концу прошлой недели пошли первые звонки уже не с вопросом «что это такое», а с вопросом «помогите сделать». Это другой разговор - более предметный и местами неудобный.

Мы разбирали организационную сторону в предыдущем посте про Указ №250. Сейчас - про то, как это выглядит в реальных проектах первой волны.

Три пути, которые описывает указ

Указ допускает несколько способов закрыть требование по созданию функции ИБ:

• Создать собственное структурное подразделение - отдел, управление или хотя бы группу ИБ в штате.
• Привлечь аккредитованную организацию - то есть компанию, аккредитованную в установленном порядке для оказания услуг в области ИБ.
• Комбинация: зам по ИБ в штате, часть функций - на аутсорсе.

Третий вариант нигде прямо не прописан как «комбо», но на практике именно он чаще всего оказывается единственно реалистичным для среднего предприятия.

Что происходит в первых проектах

Типичная картина клиента, который пришёл на этой неделе: субъект КИИ, 500-2000 сотрудников, один-два специалиста ИБ в IT-отделе, приказ о назначении зама либо уже подписан наспех, либо всё ещё на согласовании. Задача сформулирована как «помогите нам соответствовать указу».

Первым делом разбираемся, что есть сейчас. Стандартный разрыв выглядит примерно так:

• Назначение зама - часто уже есть бумага, но зам не понимает, что он теперь должен делать, и реальных полномочий у него нет.
• Подразделение ИБ - либо отсутствует как юридическая единица, либо есть «по факту» два человека без оформленного положения.
• Взаимодействие с ФСБ/ФСТЭК - большинство субъектов КИИ имеют какие-то контакты по линии НКЦКИ или через ГОССОПКУ, но это не оформлено как регулярный процесс.
• Документация - политика ИБ есть, но написана три года назад под другие требования.

Минимально достаточная структура

Мы сейчас формируем для себя рабочий минимум, который закрывает букву указа и при этом не требует от клиента набрать пять новых людей за месяц.

Первое - документы уровня руководства. Приказ о назначении зама с конкретными полномочиями. Не «организует», а «утверждает политику ИБ», «принимает решения о бюджете ИБ», «подписывает акты реагирования на инциденты». Зам должен быть реально встроен в управление, иначе это не зам, а декорация.

Второе - положение о подразделении ИБ. Даже если подразделение - это один человек. Положение описывает функции, зону ответственности, подчинение. Без него назначение зама висит в воздухе: непонятно, чем руководит.

Третье - регламент взаимодействия с ФСБ/ФСТЭК. Это может быть одностраничный документ, но он должен быть. Кто является точкой контакта, по каким каналам, в какие сроки - при инциденте, при плановом взаимодействии, при запросе документов.

Четвёртое - договор с MSSP или аккредитованной организацией, если собственная экспертиза не покрывает всех требований. Это не слабость - это нормальная практика. Аккредитованная организация берёт на себя часть функций, которые сложно закрыть штатом: мониторинг, реагирование на инциденты, технические аудиты. Важно понимать, что договор не снимает с зама ответственность - он снимает с него часть операционной нагрузки.

Про аккредитацию и MSSP

Здесь у клиентов возникает закономерный вопрос: а кто эти аккредитованные организации, и как их выбирать?

Список организаций с соответствующими лицензиями ФСТЭК и ФСБ существует - он публичный. Но «лицензия есть» и «компания реально умеет работать по вашему профилю» - это разные вещи. Промышленное предприятие с КИИ на АСУ ТП и банк с финансовой инфраструктурой имеют очень разные профили рисков, и не каждый MSSP одинаково хорошо работает в обоих контекстах.

На что смотрим при выборе: опыт именно в вашей отрасли, наличие SOC с опытом работы по 187-ФЗ, готовность подписать SLA с конкретными временами реакции на инциденты, и - немаловажно - внятный процесс передачи информации в НКЦКИ, потому что это теперь часть ваших обязательств.

Что мы делаем в рамках аудита

Выходим с клиентом на gap-анализ относительно требований указа: что есть, чего нет, что есть только на бумаге. Результат - приоритизированный список закрываемых разрывов с оценкой трудоёмкости.

Дальше - в зависимости от ситуации. Кому-то нужна помощь с документами и оргструктурой. Кому-то - подбор и проверка MSSP. Кому-то - выстраивание процессов «под ключ» на первые месяцы, пока штат не набран. Универсального рецепта нет - сильно зависит от зрелости имеющейся команды и от профиля КИИ.

Одно наблюдение из первой волны: клиенты, у которых уже был нормальный ФСТЭК-аудит и документация в порядке, закрывают организационный блок за две-три недели. Клиенты, у которых документация была «для галочки» - тратят на это полтора-два месяца. Разрыв ощутимый.