Законопроект по безопасности КИИ. Всем срочно получать лицензию на гостайну

Из интересных наблюдений, которые у меня возникли еще в прошлый раз. Почему 8-й Центр реагирует на инциденты, а последствия устраняет от атак? Разве у инцидентов нет последствий? Но это классическая проблема терминологии, на которую я обращал внимание еще в рабочей группе СовБеза, которая готовила поправки в Доктрину ИБ. Также интересным мне показался факт, что ФСТЭК (а именно она станет ФОИВом в области безопасности КИИ) будет поставлять данные в ГосСОПКУ. Интересно какие? Из банка данных угроз и уязвимостей?

Из текущей версии законопроекта убрали два пункта:

• Про незамедлительное восстановление функционирование объекта КИИ (убрали слово "незамедлительное" и это правильно). И это правильно.
• Требование по оценке защищенности с помощью аккредитованных компаний, имеющих лицензию на работу с гостайной. Функция оценки защищенности осталась только у ФСБ, а сама эта информация отнесена к гостайне. Но... тут вновь у меня возникают терминологические вопросы. У ФСБ осталась функция оценки защищенности КИИ от атак или вообще любая оценка защищенности? Если первое, то пусть с ним. А вот если второе... Как тогда проводить аудиты объектов КИИ, сканировать их на уязвимости?.. 

Но, пожалуй, самое опасное в новом законопроект скрывается не в основном законопроекте, а в том, который вносит поправки в законодательные акты и, в частности, в законодательство по государственной тайне. Согласно предложениям информация о мерах по обеспечению безопасности объектов КИИ будет относиться к гостайне. И это будет полный пушной зверек. Когда производитель средств защиты продает средство защиты субъекту КИИ, он, хошь - не хошь, но становится обладателем информации о мерах по обеспечению ИБ. Когда интегратор внедряет систему защиты у субъекта КИИ, он также становится обладателем этой бесценной информации. Да и сам владелец КИИ является носителем этой информации, которую авторы решили отнести к гостайне. И что у нас получается? Любой кто захочет работать с субъектам КИИ будет обязан получать (если еще не получил) лицензию на гостайну. Да и сам субъект КИИ должен будет ее получить. А если посмотреть на список тех, кто попадает под понятие "объект КИИ", то картина и вовсе нерадужная становится. Вот такая засада ждет всех, кто захочет заняться этой темой. Многие ли захотят? Уж не знаю. Либо это недосмотр, либо сознательное сокращение числа игроков на этом рынке. Зато сведения в сведения в ГосСОПКЕ относятся к информации ограниченного доступа. Что это значит, пока непонятно. Никакой ответственности за ее разглашение не предусмотрено.

Чтоже касается ответственности, то третий законопроект в пакете, внесенном Правительством,  касается именно уголовного преследования за 5 составов преступления, среди которого наказание за разработку и распространение вредоносного кода для КИИ (почему нельзя включить это в ст.273?), а также наказание за неправомерный доступ к информации в КИИ. Но тема с нарушением функционирования КИИ почему-то обойдена вниманием, хотя обеспечение доступности и непрерывного функционирования технологического процесса в КИИ является приоритетной.