5.1. ИТ-компания может сама стать субъектом КИИ

ИТ-компания не освобождается от требований только потому, что формально занимается разработкой, хостингом или интеграцией. Риск статуса субъекта КИИ возникает, если компания:

• владеет или на законном основании эксплуатирует ЦОД, облачную инфраструктуру, сети или системы, обеспечивающие значимые объекты;
• обеспечивает взаимодействие объектов КИИ;
• предоставляет виртуальные ресурсы для размещения значимых объектов;
• фактически управляет промышленной, медицинской, банковской или иной отраслевой системой;
• является владельцем программно-аппаратной инфраструктуры, от которой зависит функционирование объекта заказчика.

В распоряжении № 360-р ЦОД и инфраструктурные системы прямо включены в типовые объекты различных отраслей.

5.2. Аутсорсинг не снимает ответственность с владельца объекта

Передача системы облачному провайдеру, интегратору, сервисной компании, разработчику или оператору ЦОД не исключает обязанностей субъекта КИИ. Одновременно подрядчик может нести:

• договорную ответственность;
• административную ответственность как юридическое лицо или должностное лицо;
• уголовную ответственность конкретных сотрудников;
• ответственность за незаконный доступ;
• ответственность за нарушение правил эксплуатации.

5.3. Необходимо формализовать доступ подрядчиков

Для каждого подрядчика рекомендуется закрепить:

• перечень разрешённых систем;
• именованные учётные записи;
• временные интервалы доступа;
• использование защищённых каналов;
• запрет общих учётных записей;
• журналирование действий;
• порядок аварийного доступа;
• согласование обновлений;
• порядок сохранения журналов и следов инцидента;
• обязанность немедленно сообщать об инциденте;
• сроки устранения критических уязвимостей;
• порядок завершения и отзыва доступа.

5.4. Нужна инвентаризация не только ПО, но и зависимостей

Следует учитывать:

• операционные системы;
• СУБД;
• гипервизоры;
• библиотеки и фреймворки;
• контейнерные образы;
• средства удалённого администрирования;
• системы обновления;
• внешние репозитории;
• облачные API;
• иностранные сервисы авторизации;
• иностранные центры управления лицензиями;
• телеметрию, отправляемую за рубеж;
• встроенное ПО оборудования.