Termidesk: новые требования ФСТЭК усиливают контроль доступа подрядчиков к объектам КИИ

С 1 марта 2027 года для подрядчиков, получающих доступ к значимым объектам критической информационной инфраструктуры, начнут действовать дополнительные требования к оценке зрелости процессов безопасности. В Termidesk считают, что это повышает значение управляемого удалённого доступа: внешний специалист должен получать только необходимые для работы ресурсы.

Что меняет приказ ФСТЭК

Приказ ФСТЭК России от 16 июля 2026 года №220 дополняет требования к созданию и работе систем безопасности значимых объектов КИИ. Документ зарегистрирован Минюстом 7 сентября.

Для подрядной организации расчёт и оценка показателя уровня зрелости должны проводиться до получения доступа к значимому объекту КИИ, затем — не реже одного раза в три года. Это отдельный показатель: оценивать текущее состояние защищённости самих значимых объектов субъектам КИИ предстоит не реже одного раза в шесть месяцев.

Доступ к рабочей среде вместо всей сети

По мнению Сергея Халяпина, директора по развитию новых рынков и технологических альянсов Termidesk, одной учётной записи и защищённого канала для организации работы подрядчика недостаточно. Заказчику нужно понимать, какие права выданы специалисту, к каким системам он подключается и как контролируются его действия.

Одним из способов ограничить такой доступ компания называет выделенную виртуальную рабочую среду. В ней можно предоставить конкретные приложения и данные, отделив личный компьютер подрядчика от внутреннего рабочего контура.

Для разных групп специалистов можно создавать отдельные среды и наборы доступных ресурсов. После завершения работ доступ прекращается централизованно. При этом права необходимо контролировать на протяжении всего сотрудничества: фиксировать основания их выдачи и своевременно менять или отзывать разрешения.

VDI не заменяет меры защиты

Termidesk подчёркивает, что использование виртуальных рабочих мест само по себе не подтверждает соответствие требованиям ФСТЭК. Регулятор не предписывает конкретную технологию удалённого доступа, а необходимые меры зависят от архитектуры системы, категории значимости объекта КИИ и применимых требований.

Рекомендации по применению VDI отражают позицию компании. Оценка зрелости и выполнение остальных требований безопасности остаются отдельными задачами.