Квалификационные требования к специалистам по информационной безопасности (Указ №250, КИИ)

Единого обязательного «диплома по информационной безопасности», который требовался бы каждому, кто отвечает за защиту информации, в законодательстве нет. Требования к квалификации сотрудников по ИБИнформационная безопасность — Состояние защищённости информации и поддерживающей инфраструктуры от угроз. разбросаны по нескольким документам и зависят от роли работника и режима, в котором работает организация. Для обычного оператора ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. жёстких требований к образованию ответственного почти нет, а для субъектов КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. и организаций из Указа Президента №250 они есть и вполне конкретны. Разберём, кому какое образование и обучение нужно и при чём здесь согласованные с ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. программы переподготовки.

Откуда берутся требования к квалификации

Требования к квалификации работников по защите информации задаются сразу несколькими источниками, и они адресованы разным категориям:

• Профессиональные стандарты Минтруда — описывают трудовые функции специалистов по ИБ и требования к их образованию и опыту. Это ориентир для штатного расписания и должностных инструкций.
• Лицензионные требования ФСТЭК и ФСБФедеральная служба безопасности — Регулятор криптографической защиты информации и взаимодействия с ГосСОПКА. — обязательны для организаций, которые оказывают услуги по технической защите информации или работают со средствами криптозащиты: у лицензиата должны быть штатные специалисты с профильным образованием и стажем.
• Требования к силам обеспечения безопасности значимых объектов КИИ — приказ ФСТЭК от 21.12.2017 №235 для субъектов критической информационной инфраструктуры.
• Указ Президента №250 и типовое положение (постановление Правительства №1272) — для широкого круга государственных органов и организаций, а также субъектов КИИ: назначить заместителя руководителя по ИБ и создать подразделение по ИБ с квалифицированными работниками.

Поэтому правильный вопрос не «какой диплом нужен специалисту по ИБ вообще», а «какая роль у работника и под какой режим попадает организация».

Указ №250: кому он адресован

Указ Президента РФ от 1 мая 2022 года №250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» обязывает руководителей перечисленных в нём органов и организаций:

• возложить на одного из заместителей руководителя полномочия по обеспечению ИБ, включая обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирование на инциденты;
• создать структурное подразделение по обеспечению ИБ либо возложить эти функции на существующее подразделение;
• привлекать к мероприятиям по оценке защищённости только организации, имеющие лицензии ФСТЭК и (или) ФСБ;
• с 1 января 2025 года не использовать средства защиты информации из недружественных государств.

Действие Указа распространяется на федеральные и региональные органы власти, государственные фонды, госкорпорации, стратегические и системообразующие организации и — что важно для бизнеса — на субъектов критической информационной инфраструктуры. Если ваша организация является субъектом КИИ (как это проверить — в статье «Субъект КИИ: касается ли это вас»), требования Указа №250 и связанные с ним квалификационные требования к сотрудникам по ИБ вас касаются.

Заместитель руководителя по ИБ: какое образование нужно

Полномочия, права и квалификацию заместителя руководителя по ИБ конкретизирует типовое положение, утверждённое постановлением Правительства РФ от 15 июля 2022 года №1272. По нему на эту должность назначается лицо, которое имеет:

• высшее образование (не ниже специалитета или магистратуры) по направлению подготовки в области информационной безопасности, либо
• высшее образование по другому направлению и прошедшее профессиональную переподготовку по направлению «Информационная безопасность».

Отдельная периодичность повышения квалификации для заместителя руководителя типовым положением прямо не установлена, однако поддержание квалификации в области информационной безопасности рекомендуется. При этом назначить ответственным заместителя без профильного образования и без переподготовки нельзя — это прямое несоответствие типовому положению.

Подразделение по ИБ и силы безопасности значимых объектов КИИ

Для субъектов КИИ требования к работникам, обеспечивающим безопасность, детальнее всего описаны в приказе ФСТЭК России от 21 декабря 2017 года №235 (в редакции приказа №69 от 20 апреля 2023 года). Он вводит понятие «силы обеспечения безопасности значимых объектов» и предъявляет к ним такие требования (пункт 12):

• Руководитель подразделения по безопасности — высшее образование по направлению «Информационная безопасность» либо иное высшее образование с профессиональной переподготовкой по этому направлению; стаж работы в сфере ИБ не менее 3 лет.
• Штатные работники подразделения по безопасности — профессиональное образование в области ИБ либо высшее образование по иному направлению с прохождением обучения по программе повышения квалификации по направлению «Информационная безопасность».
• Повышение квалификации по направлению ИБ — не реже одного раза в 3 года.

Работники со средним профессиональным образованием в области ИБ могут выполнять отдельные функции по обеспечению безопасности значимых объектов в соответствии с полученной специальностью. Кроме того, приказ №235 ограничивает совмещение: на работников, обеспечивающих безопасность, не должны возлагаться функции, мешающие решению задач защиты. Создавать отдельное подразделение обязательно не всегда — для небольших субъектов КИИ функции можно возложить на отдельных работников.

Переподготовка и повышение квалификации — в чём разница

В требованиях постоянно встречаются два вида дополнительного профессионального образования, и их важно не путать:

• Профессиональная переподготовка даёт право вести новый вид деятельности — по существу, профильное образование для тех, у кого высшее по другому направлению. По порядку организации дополнительного профессионального образования (приказ Минобрнауки России №499) минимальный объём программы переподготовки — 250 часов; лицензионные требования ФСТЭК по технической защите информации ориентируются на не менее 360 часов, а реальные согласованные с ФСТЭК программы переподготовки по ИБ рассчитаны на больший объём — порядка 504 часов.
• Повышение квалификации обновляет знания в рамках уже имеющейся квалификации. Минимальный объём такой программы — 16 часов, а согласованные с ФСТЭК курсы для ИБ — это, как правило, от 72 до 216 часов. Именно повышение квалификации нужно проходить периодически (для сил безопасности значимых объектов КИИ — не реже одного раза в 3 года).

Проще говоря: если у работника нет профильного диплома по ИБ, недостаточно сходить на короткий курс — нужна именно переподготовка. А поддерживать квалификацию потом помогают курсы повышения квалификации.

Реестр программ, согласованных с ФСТЭК

Не любой диплом о переподготовке «по информационной безопасности» одинаково ценен. Для задач защиты информации значимы программы, согласованные с ФСТЭК России. ФСТЭК ведёт и публикует на своём сайте «Перечень организаций, осуществляющих образовательную деятельность, имеющих дополнительные профессиональные программы в области информационной безопасности, согласованные с Федеральной службой по техническому и экспортному контролю» — это и есть реестр учебных центров и их программ. В перечне по каждой организации указаны конкретные программы, срок освоения в часах и форма обучения.

Среди согласованных программ, например:

• профессиональная переподготовка «Информационная безопасность. Техническая защита конфиденциальной информации» — 504 часа;
• профессиональная переподготовка «Информационная безопасность. Обеспечение безопасности значимых объектов критической информационной инфраструктуры» — 504 часа (профильная программа для субъектов КИИ);
• повышение квалификации специалистов, работающих в области обеспечения безопасности значимых объектов КИИ, — 216 часов;
• повышение квалификации «Обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных» — 72 часа.

Практический вывод: выбирая, где переподготовить или повысить квалификацию специалиста по ИБ, проверьте, есть ли учебный центр и его программа в перечне на сайте ФСТЭК России. Диплом организации из перечня снимает вопросы и при лицензировании, и при проверке соответствия требованиям к силам безопасности КИИ. Программы по линии криптографической защиты (СКЗИСредство криптографической защиты информации — Шифровальное (криптографическое) средство; применение и учёт регулируют приказы ФСБ.) аналогично согласует ФСБ России.

Требования к специалистам лицензиата ФСТЭК и ФСБ

Отдельный блок требований действует для организаций, которые оказывают услуги по защите информации на лицензионной основе. Для лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации у юридического лица должны быть в штате по основному месту работы руководитель или уполномоченное руководить такими работами лицо, а также не менее двух инженерно-технических работников: для них установлены требования к высшему образованию, профессиональной переподготовке по «Информационной безопасности» при непрофильном образовании (не менее 360 аудиторных часов) и стажу работы в области проводимых работ; такие работники также проходят повышение квалификации по лицензируемому виду деятельности не реже одного раза в 5 лет. Для лицензии ФСБ России на работы со средствами криптографической защиты (СКЗИ) действуют свои требования к образованию, переподготовке и стажу работников. Именно поэтому квалификация подрядчика подтверждается наличием у него действующей лицензии — проверить её можно по реестрам лицензий ФСТЭК и ФСБ.

Профстандарты как ориентир

Базовые требования к образованию и опыту специалистов по ИБ задают профессиональные стандарты Минтруда. Среди них — «Специалист по защите информации в автоматизированных системах», «Специалист по технической защите информации», «Специалист по безопасности компьютерных систем и сетей», «Специалист по противодействию иностранным техническим разведкам» и другие. По каждой трудовой функции профстандарт указывает требуемый уровень образования и, при необходимости, опыт. Профстандарты удобно использовать как основу для должностных инструкций и для понимания, какой именно специалист нужен под конкретные задачи.

Что делать небольшой организации

Большинство небольших компаний под Указ №250 не подпадают: он адресован конкретному кругу органов и организаций и субъектам КИИ. Если вы обычный оператор ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). и не являетесь субъектом КИИ, жёстких требований именно к диплому вашего ответственного за организацию обработки ПДн (статья 22.1 152-ФЗ) закон не предъявляет — это организационная роль, которую может выполнять и руководитель. Как распределить роли в небольшой организации — в статье «Как распределить обязанности по ИБ».

Где квалификация всё же важна даже для малого бизнеса: когда вы привлекаете подрядчика для технической защиты информации или работ со СКЗИ. У такого лицензиата ФСТЭК или ФСБ должны быть штатные специалисты с профильным образованием и стажем — это и есть гарантия, что работу выполнят квалифицированно. Поэтому для оператора квалификационные требования чаще закрываются не своим штатом, а выбором лицензированного исполнителя.

Частые вопросы

Нужен ли обязательный диплом по ИБ, чтобы отвечать за информационную безопасность? Единого обязательного диплома для всех нет. Всё зависит от роли и режима: для ответственного за организацию обработки ПДн (статья 22.1 152-ФЗ) требований к образованию закон не устанавливает, а для заместителя руководителя по ИБ по Указу №250 и работников сил безопасности значимых объектов КИИ — устанавливает.

Обязательна ли профессиональная переподготовка по ИБ? Если у работника высшее образование по другому направлению, а роль требует профильной квалификации (заместитель руководителя по ИБ, руководитель подразделения по безопасности ЗОКИИ), то профильное образование заменяется профессиональной переподготовкой по направлению «Информационная безопасность». Короткого курса повышения квалификации для этого недостаточно.

Какое образование нужно заместителю руководителя по ИБ по Указу №250? По типовому положению (постановление Правительства №1272) — высшее образование (не ниже специалитета или магистратуры) по направлению в области информационной безопасности либо иное высшее образование с профессиональной переподготовкой по этому направлению.

Что значит «программа, согласованная с ФСТЭК»? Это программа дополнительного профессионального образования по ИБ из перечня организаций, согласованного с ФСТЭК России и опубликованного на её сайте. Диплом по такой программе снимает вопросы при лицензировании и при проверке соответствия требованиям к силам безопасности КИИ.

Как часто нужно повышать квалификацию? Для сил обеспечения безопасности значимых объектов КИИ — не реже одного раза в три года (приказ ФСТЭК №235). Для заместителя руководителя по ИБ по Указу №250 отдельная периодичность повышения квалификации постановлением Правительства №1272 не установлена; если он одновременно входит в силы обеспечения безопасности ЗОКИИ, применяется требование приказа ФСТЭК №235.

Главное

Единого обязательного «диплома по ИБ» для всех нет — требования зависят от роли и режима. Для субъектов КИИ и организаций из Указа Президента №250 они конкретны: заместитель руководителя по ИБ и работники подразделения по безопасности должны иметь профильное высшее образование по информационной безопасности либо профессиональную переподготовку по этому направлению, а повышать квалификацию нужно периодически — для сил безопасности значимых объектов КИИ не реже одного раза в 3 года. Переподготовка (от 360 часов, на практике порядка 504) и повышение квалификации (от 72 часов) должны идти по программам из перечня организаций, согласованного с ФСТЭК России. Для обычного оператора ПДн жёстких требований к образованию ответственного нет, но квалификация важна при выборе лицензированного подрядчика по защите информации. Образцы документов под Указ №250 — должностная инструкция заместителя руководителя по ИБ и положение о подразделении по ИБ.