Время, когда можно было один раз получить аттестат соответствия и забыть о регуляторе, официально прошло. ФСТЭК России переводит требования к защите информационных систем на рельсы непрерывного контроля изменений.

Регуляторный вектор изменился: защищенность обязана подтверждаться фактической способностью инфраструктуры сохранять уровень безопасности после любых обновлений, а не просто пакетом документов.

Новые правила создают серьезные инфраструктурные и операционные риски для финтеха, ритейла и Enterprise-сегмента, развивающих мобильные приложения, интеграции с внешними API и подрядные сервисы.

Три главных барьера контроля по новым требованиям ФСТЭК:

1. Риск мгновенной приостановки аттестата. Компании обязаны направлять отчет по результатам контроля во ФСТЭК в течение пяти рабочих дней после завершения проверок. Нарушение регламента или непредоставление документов становится автоматическим основанием для заморозки аттестата соответствия. Для бизнеса приостановка означает юридический запрет на эксплуатацию системы и мгновенную остановку платежей или клиентских сервисов.

2. Размытие ответственности в облачных ЦОД. Наличие аттестата у облачной площадки не означает автоматическую защиту размещенной на ней системы. Инфраструктура провайдера обязана соответствовать классу системы заказчика, но границы эксплуатации должны быть жестко разделены. Руководитель проекта обязан на уровне ТЗ зафиксировать: кто отвечает за резервное копирование, кто закрывает CVE-уязвимости и кто контролирует многофакторную аутентификацию администраторов.

3. Лавинообразные затраты на модернизацию. Любое обновление софта, интеграция ИИ-агентов или изменение прав доступа требует проведения дополнительных испытаний компонентов. Повышение класса защищенности системы влечет за собой полную повторную аттестацию. В бюджетах ИТ-проектов теперь должны быть превентивно предусмотрены постоянные ресурсы и выделенная команда на сопровождение процессов безопасности.

Мой вывод: архитектура ИТ-продукта теряет смысл, если первая техническая модернизация приводит к отзыву лицензии. Задача менеджера заключается в ревизии удаленного доступа подрядчиков, жестком контроле конфигураций и переходе от разовых тестов к непрерывному аудиту инфраструктурных изменений.

Коллеги, ваши ИТ-бюджеты уже учитывают затраты на непрерывное сопровождение защищенных систем после аттестации, или работаете по старой схеме разовых проверок?

#projectmanagement #sdlc #techleadership #управлениерисками #инфраструктура #кибербезопасность #фстэк #tco