Минэкономразвития "разгромило" новый закон о защите ИТ-систем

Минэкономразвития "разгромило" новый закон о защите ИТ-систем

Минэкономразвития опубликовало свое заключение на проект закона о внесении изменений в 149-ФЗ "Об информации, информационных технологиях и о защите информации". Последний был принят в 2006 г. и регулирует отношения, возникающие при применении информационных технологий, обеспечении защиты информации, а также при осуществлении права на поиск, передачу, производство и распространение информации.

Разработала проект изменений Федеральная служба по техническому и экспортному контролю (ФСТЭК). Авторы документа указывают, что он направлен на решение проблем, связанных с недостаточным уровнем защиты информации в государственных ИТ-системах и системах критически важных объектов.

ФСТЭК предлагает внести несколько основных изменений в закон о защите информации. Во-первых, ввести в нем такие понятия как "угроза безопасности информации" и "уязвимость информационной системы". Также изменения накладывают обязательства на заказчиков и операторов государственных ИТ-систем принимать конкретные меры по защите информации в ходе их создания, эксплуатации и модернизации. Третьим пунктом является дополнение закона отдельной статьей, в которой прописаны обязанности и требования по обеспечению ИБ критически важных объектов.

Что касается "угрозы безопасности информации" и "уязвимости информационной системы", их определения отличаются от определений аналогичных терминов, установленных в пунктах 2.6.1 и 2.6.4 ГОСТ 50922-2006 "Защита информации. Основные термины и определения" и другими нормативными правовыми актами, отмечают чиновники Минэкономразвития. Таким образом, предлагаемая норма способна на практике привести к их неоднозначному толкованию.

Требования по защите государственных ИТ-систем к их заказчикам и операторам в Минэкономразвития сочли недостаточно определенными. Кроме того, согласно 149-ФЗ к государственным относятся и муниципальные ИТ-системы, из-за чего, в случае принятия проекта закона, в сферу его регулирования попадет значительное количество муниципальных ИТ-систем. ФСТЭК не предоставил информации, "обосновывающей целесообразность установления новых требований в отношении всех существующих в России муниципальных информационных систем", говорится в заключении Минэкономразвития.

В пояснительной записке ФСТЭК к проекту говорится, что его принятие не потребует дополнительных расходов из федерального бюджета и не повлечет финансовых обязательств государства. Однако чиновники Минэкономразвития уверены, что новые требования по защите ИТ-систем потребуют выделения дополнительного финансирования из федерального и муниципальных бюджетов.

Во ФСТЭК подсчитали, что ориентировочная стоимость построения системы защиты информации в информационных системах критически важных объектов может составить, в зависимости от отрасли экономики, от 500 тыс. до 7 млн. руб. Аналогичный порядок затрат может потребоваться и для муниципальных ИТ-систем, поясняют в Минэкономразвития.

Что касается ИБ критически важных объектов, в сферу действия предполагаемого регулирования попадает 4,4 тыс. объектов, большая часть из которых находится в ведении субъектов предпринимательской деятельности, подсчитали в ФСТЭК. В Минэкономразвития уверены, что при таком количестве объектов необходимость установления существенных требований к их ИТ-системам требует соответствующего исследования и обоснования.

Кроме того, учитывая затраты на обеспечение защиты ИТ-систем в разных отраслях, приведенные ФСТЭК (см. таблицу), принятие закона в отношении всех объектов критической инфраструктуры Минэкономразвития считает нецелесообразным. Например, в химической, металлообрабатывающей промышленности и общем машиностроении ущерб, на предотвращение которого направлены нормы проекта закона, значительно ниже оценочных затрат на выполнение устанавливаемых им требований.

Проект закона содержит положения, вводящие избыточные административные и иные ограничения и обязанности для субъектов предпринимательской и иной деятельности или способствующие их введению, а также способствующие возникновению необоснованных расходов субъектов предпринимательской и бюджетов России всех уровней – таков вердикт Минэкономразвития.

В Минэкономразвития отмечают, что проект не в полной мере соответствует политике Совета безопасности в области защиты систем управления критически важной инфраструктурой. Ее, напомним, Совбез представил в июле 2012 г. Согласно этому документу, координатором деятельности федеральных органов исполнительной власти в данной области является ФСБ.

Из проекта ФСТЭК следует, что правовое регулирование по вопросам защиты государственных ИТ-систем и критически важных объектов будут осуществлять три федеральных органа исполнительной власти. "Представляется, что предлагаемое регулирование может носить неопределенный характер, поскольку в нем принимают участие несколько федеральных органов исполнительной власти, что на практике может способствовать установлению противоречивых и избыточных требований", - заключают в Минэкономразвития.

В Минэкономразвития заявили CNews, что ФСТЭК предстоит доработать проект закона с учетом вынесенного заключения. Если же с какими-то его моментами там будут не согласны, в подобных случаях обычно проводятся совместные с Минэкономразвития согласительные совещания, на которых стороны пытаются выработать общую позицию, добавляют в ведомстве.

Источник:
CNews.ru