Новые требования в области кибербезопасности, предусмотренные приказом Оперативно-аналитического центра при Президенте Республики Беларусь № 130, начали действовать в Беларуси с 1 июля, пишет БЕЛТА.

Как сообщали ранее в Национальном центре кибербезопасности, изменения носят не революционный, а планомерный эволюционный характер. Они подготовлены с учетом практики применения законодательства в области кибербезопасности, накопленного с 2023 года опыта функционирования центров кибербезопасности, а также многочисленных предложений государственных органов и иных организаций, участвующих в национальной системе.

Требования распространяются не только на специализированные центры, но и объекты информационной инфраструктуры всех организаций страны. Специализированные правила не распространяются только на физических лиц, включая индивидуальных предпринимателей.

Это обусловлено тем, что даже компрометация рядового объекта превращает его в инструмент атаки на объекты, относящиеся к национальной информационной инфраструктуре, — банки, энергосети, транспортные узлы, системы государственного управления. Именно поэтому базовая кибербезопасность всех организаций, чьи системы имеют выход в интернет, — это элемент коллективной обороноспособности национального киберпространства.

По новым правилам киберинциденты делятся на три уровня (ранее — два). Такой подход сформирован по принципу определения критичности, исходя из масштаба последствий. Один и тот же по технической природе киберинцидент в небольшой организации, не оказывающий существенного негативного воздействия, и у владельца критически важной инфраструктуры не могут признаваться киберинцидентами одного уровня. Так, к высокому уровню отнесены инциденты, способные повлечь нарушение функционирования критически важных объектов информатизации на срок более трех часов; нарушение конфиденциальности биометрических, генетических персональных данных либо данных более 100 тыс. физических лиц; распространение недостоверной общественно значимой информации.

С 19 июня уже действует административная ответственность за киберинциденты высокого уровня.

Исключен избыточный документооборот с ОАЦ. Центры кибербезопасности теперь не обязаны направлять регулятору регламенты обеспечения кибербезопасности и планы мероприятий по реагированию на киберинциденты. Регламенты и планы могут быть запрошены ОАЦ при наличии необходимости — в ходе реагирования на киберинциденты или при проведении контрольных мероприятий.

Одновременно с этим для обеспечения системного мониторинга состояния кибербезопасности в стране введена отчетность дважды в год (за первое полугодие — до 5 июля, за год — до 5 января).

Введены новые кадровые требования: центры кибербезопасности, оказывающие услуги другим организациям, обязаны иметь в штате специалистов по анализу вредоносного программного обеспечения и по оценке эффективности защищенности.

Наиболее значимые в плане содержательного наполнения изменения затронули порядки проведения аудита кибербезопасности и оценки эффективности защищенности объектов информационной инфраструктуры от кибератак.

Существенные изменения, направленные на повышение эффективности и стандартизацию действий при ликвидации последствий кибератак, также претерпело положение о порядке функционирования национальной команды реагирования на киберинциденты и команд реагирования центров кибербезопасности.