В ТЗ от Минцифры отсутствует полноценная методология

1 мая президент РФ подписал указ № 250, направленный на обеспечение ИБ ряда ключевых компаний. 7 июня Минцифры опубликовало список из 58 ключевых организаций, которым необходимо провести оценку уровня состояния защищённости своих информационных систем.

Причём, срок был поставлен жёсткий – сделать это было необходимо к 1 июля. 3 июня было опубликовано техническое задание на выполнение работ по оценке уровня защищенности информационной инфраструктуры.

По словам заместителя генерального директора ОАО «Азимут» Ильи Волобуева, в данном техническом задании отсутствует полноценная методология и оценка уровня защищенности. «Мы обращались к лидерам рынка ИБ и общались по этому вопросу. Делали запросы по методологии, но, к сожалению, никто не смог полноценно сформулировать это, все ждут ответа от регулятора в лице Минцифры, – сказал он, выступая с докладом о государственном регулировании в сфере ИБ на примере выполнения указа №250 в ходе секции «Обеспечение технологического суверенитета и информационной безопасности РФ».

«Также в типовом задании непонятно, необходимо ли проводить оценку защищённости внутренней сети данных компаний, – отмечает Волобуев. – Если такая необходимость существует, то как это возможно сделать за 23 календарных дня (с учётом публикации 7 июня – прим. ред.). При текущих вводных для качественного выполнения работ для одной небольшой компании необходимо примерно 40-50 рабочих дней в зависимости от количества задействованных экспертов в данном процессе со стороны исполнителя».