Новая методика ФСТЭК усиливает акцент на управляемости удаленного доступа
ФСТЭК России утвердила методику оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры. Одним из отдельных направлений оценки в документе стала защита удаленного доступа. По мнению экспертов Termidesk, новый подход повышает значение не только отдельных средств защиты, но и управляемости всего процесса предоставления сотрудникам удаленного доступа к корпоративным ресурсам. Методика была утверждена ФСТЭК России 7 августа 2026 года. Она применяется для оценки зрелости деятельности в области защиты информации и обеспечения безопасности значимых объектов КИИ в тех случаях, когда соответствующие требования установлены нормативными документами ФСТЭК. Документ может использоваться операторами информационных систем и значимых объектов КИИ, подрядными организациями, заказчиками соответствующих работ и услуг, а также самой ФСТЭК России. Всего методика предусматривает оценку по 21 направлению. Помимо защиты удаленного доступа, среди них и контроль конфигураций информационных систем, управление уязвимостями и обновлениями, защита конечных и мобильных устройств, защита привилегированного доступа, мониторинг информационной безопасности, непрерывность функционирования, защита от DDoS-атак и контроль уровня защищенности. Для каждого применимого направления организация определяет текущий и целевой уровни зрелости. Методика предусматривает нулевое состояние и четыре уровня зрелости: начальный, системный, контролируемый и верифицируемый. На более высоких уровнях оценивается уже не только выполнение установленных требований, но и системность управления, периодический контроль и, на максимальном уровне, независимая проверка эффективности реализуемых мер. Такой подход особенно важен для удаленного доступа. По мере роста числа распределенных рабочих мест задача ИТ- и ИБ-служб заключается уже не только в предоставлении сотруднику технической возможности подключиться к корпоративной системе. Необходимо управлять жизненным циклом доступа: применять единые политики, контролировать конфигурацию рабочих сред, своевременно устанавливать обновления, ограничивать права пользователей и иметь возможность подтверждать фактическое выполнение установленных процедур. «Важный момент новой методики заключается в том, что защита удаленного доступа рассматривается как самостоятельное направление зрелости. Это хорошо отражает изменения, которые произошли в корпоративной инфраструктуре за последние годы. Самого факта наличия защищенного канала недостаточно: необходимо понимать, кто получает доступ, к каким ресурсам, из какого рабочего окружения, какие политики к нему применяются и насколько воспроизводим этот процесс для сотен или тысяч пользователей». Сергей Халяпин, директор по развитию новых рынков и технологических альянсов Termidesk Одним из подходов к повышению управляемости удаленных рабочих мест может быть их централизация с использованием инфраструктуры виртуальных рабочих столов. В такой архитектуре корпоративная рабочая среда исполняется в контролируемой инфраструктуре, а пользователь получает к ней удаленный доступ. Это позволяет централизованно управлять рабочими средами, приложениями и их конфигурациями, а также распространять изменения и политики на группы пользователей. При этом использование VDI само по себе не означает выполнение требований ФСТЭК и не заменяет специализированные средства информационной безопасности. Конкретный набор организационных и технических мер определяется требованиями к защищаемой информационной системе и ее архитектурой. VDI в данном случае выступает одним из инфраструктурных инструментов, который может повысить централизованность и управляемость цифровых рабочих мест. «Для ИТ-службы принципиальная разница заключается в масштабе управления. Когда рабочие среды распределены между большим количеством физических устройств, необходимо контролировать состояние каждого из них и учитывать множество различных конфигураций. Централизованная модель позволяет сократить вариативность рабочих сред и быстрее распространять изменения. С точки зрения зрелости процесса это особенно важно: процедура должна не просто существовать на бумаге, а…
Источник: computerra.ru — www.computerra.ru/356564/novaya-metodika-fstek-usilivaet-aktsent-na-upravlyaemosti-udalennogo-dostupa/
