Пункт 4.2 приложения 3 к ПТКЗИ: замена и модернизация активов после окончания эксплуатации

Смысл требования

Пункт 4.2 приложения 3 к ПТКЗИ – практический разбор требования «жизненный цикл активов». Пункт 4.2 направлен на управление жизненным циклом активов информационной системы и средств защиты информации. Его смысл состоит в том, что владелец ИС не должен эксплуатировать технические и защитные компоненты бесконечно, без оценки срока их допустимого применения, технического состояния, поддержки производителя, возможности обновления и соответствия требованиям защиты информации.

На практике требование касается не только физически устаревшего оборудования. В зону внимания попадают серверы, рабочие станции, сетевое оборудование, гипервизоры, системное программное обеспечение, прикладные компоненты, средства защиты информации, средства криптографической защиты, системы резервного копирования, журнальные платформы и иные элементы, от которых зависит функционирование ИС и СЗИ. Если компонент больше не поддерживается, не обновляется, не обслуживается, не имеет актуального эксплуатационного статуса или вышел за установленный срок применения, владелец ИС должен принять управленческое решение: заменить, модернизировать, вывести из эксплуатации либо обоснованно сохранить его до контролируемого переходного периода.

Формулировка требования

Приложение 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утверждённому приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 20 февраля 2020 г. № 66, в редакции приказа от 10 декабря 2024 г. № 259, с учётом изменений, внесённых приказом от 27 мая 2026 г. № 98 (далее – Приложение 3 к ПТКЗИ), раздел «Требования по защите системы защиты информации информационной системы», пункт 4.2: «обеспечение замены или модернизации активов информационной системы, средств защиты информации после истечения установленного для них срока эксплуатации, за исключением случаев, влекущих прекращение функционирования этих активов и средств».

Обязательность применения

По таблице приложения 3 требование пункта 4.2 является обязательным для всех классов типовых ИС: 4-ин, 4-спец, 4-бг, 4-юл, 4-дсп, 3-ин, 3-спец, 3-бг, 3-юл, 3-дсп. Рекомендательного режима применения для данного требования не предусмотрено.

Это означает, что владелец ИС должен управлять сроками эксплуатации активов и СЗИ независимо от масштаба системы. Разница состоит только в глубине реализации. Для небольшой ИС достаточно инвентарного перечня, указания сроков эксплуатации и плана замены. Для крупной инфраструктуры требуется полноценный процесс управления жизненным циклом: инвентаризация, контроль сроков поддержки, планирование бюджета, оценка рисков, модернизация, вывод из эксплуатации и документальное оформление исключений.

Что означает срок эксплуатации

Официальная формулировка использует понятие установленного срока эксплуатации. Его необходимо определять по документации изготовителя, условиям применения, внутренним решениям владельца, ограничениям сертификата соответствия или экспертного заключения и другим документированным основаниям. Окончание гарантии или поддержки не всегда автоматически равно окончанию установленного срока эксплуатации, но является существенным фактором риска.

• Оборудование. Учитываются назначенный срок службы, техническое состояние, наличие запасных частей, совместимость и способность безопасно выполнять функцию.
• Системное и прикладное ПО. Учитываются поддерживаемая версия, возможность получения исправлений, совместимость с инфраструктурой и СЗИ.
• Средства защиты информации. Дополнительно оцениваются ограничения применения, актуальность версии, сопровождение, совместимость и статус подтверждения соответствия.
• Договоры сопровождения. Их окончание само по себе не всегда прекращает эксплуатацию, но должно учитываться при оценке возможности обновления и устранения неисправностей.
• Фактическое состояние. Актив может потребовать досрочной модернизации, если его состояние или ограничения уже не позволяют выполнять требования защиты.

Следовательно, пункт 4.2 требует управлять жизненным циклом на основании проверяемых сведений, а не заменять всё оборудование по одной календарной дате.

Исключение из требования и его пределы

Формулировка пункта 4.2 содержит исключение для случаев, влекущих прекращение функционирования соответствующих активов и средств. Положение не раскрывает детальный порядок применения этой оговорки, поэтому трактовать её как бессрочное разрешение на эксплуатацию устаревшего компонента нельзя.

Практически владелец должен документировать, почему замена или модернизация в конкретный момент приводит к прекращению функционирования, какие последствия возникают, какие риски остаются и какие временные меры снижают их. Решение должно иметь срок пересмотра и план дальнейших действий.

Если обязательное требование предполагается не включать в ТЗ либо заменить компенсирующими мерами, применяется отдельный механизм пункта 12 Положения: отсутствие соответствующего актива или технологии либо согласование с ОАЦ обоснованных компенсирующих мер. Само наличие эксплуатационной сложности не заменяет этот порядок.

Что следует подтвердить при проверке

При проверке пункта 4.2 оценивается не только факт наличия оборудования или актуальных версий ПО. Проверяющий смотрит, управляет ли владелец ИС сроками эксплуатации активов и СЗИ, знает ли он состав таких активов, фиксирует ли даты ввода, сроки службы, статус поддержки и решения по замене или модернизации.

• ведётся ли перечень активов ИС и СЗИ с указанием дат ввода в эксплуатацию, версий, моделей, статуса поддержки и ответственных лиц;
• определены ли установленные сроки эксплуатации или критерии окончания допустимого использования активов и средств защиты;
• есть ли план замены, модернизации или вывода из эксплуатации компонентов, срок эксплуатации которых истёк или подходит к завершению;
• проводится ли контроль окончания поддержки оборудования, ОС, СУБД, гипервизоров, приложений, СЗИ и иных значимых компонентов;
• оформлены ли исключения, если немедленная замена или модернизация невозможна без прекращения функционирования активов или средств;
• определены ли компенсирующие меры для активов, которые продолжают эксплуатироваться после истечения срока эксплуатации;
• можно ли подтвердить выполнение требования документами: инвентарными перечнями, актами ввода, планами модернизации, договорами сопровождения, служебными записками, актами оценки рисков, решениями комиссии.

Наиболее слабая реализация – когда владелец ИС знает о старом оборудовании или неподдерживаемом ПО только “по памяти”, но не имеет инвентарного перечня, сроков эксплуатации, плана замены и документально оформленных исключений. В такой ситуации невозможно доказать управляемость жизненного цикла активов.

Варианты реализации

Организационный вариант.

Владелец ИС утверждает порядок управления жизненным циклом активов и СЗИ, ведёт перечень компонентов, фиксирует сроки эксплуатации и периодически принимает решения о замене, модернизации или выводе из эксплуатации. Такой подход обязателен как управленческая основа. Для небольшой ИС он может быть достаточным, если перечень активов актуален, сроки контролируются, а решения оформляются документально.

Организационно-технический вариант.

Инвентаризация и контроль жизненного цикла поддерживаются техническими средствами: CMDB, системами инвентаризации, средствами управления активами, сканерами, системами мониторинга и отчётами по версиям ПО. Документы определяют порядок, а технические средства дают фактические данные для принятия решений. Для большинства организаций это наиболее рациональный вариант.

Комбинированный вариант с управлением исключениями.

Для сложной ИС необходимо не только вести активы и сроки эксплуатации, но и отдельно управлять исключениями. Если компонент нельзя заменить без остановки ИС, оформляется решение о временном продолжении эксплуатации, указываются причины, риски, компенсирующие меры, срок действия исключения и план модернизации. Такой подход наиболее устойчив при проверке, поскольку показывает не игнорирование проблемы, а управляемое обращение с риском.

Что целесообразно закрепить в ТЗ, ЛПА и ОРД

В ТЗ нужно закрепить требование к контролю установленного срока эксплуатации активов и СЗИ. В ЛПА и ОРД следует определить источники сведений о сроках, порядок принятия решений, сроки планирования и форму документирования исключений.

Для пункта 4.2 внутренние документы должны описывать не только обязанность менять устаревшее оборудование. Необходимо установить управляемый процесс: как определяется срок эксплуатации, кто контролирует его истечение, как принимается решение о замене или модернизации, как оформляются исключения и кто отвечает за выполнение плана.

• перечень категорий активов и СЗИ, по которым контролируется срок эксплуатации;
• порядок фиксации даты ввода в эксплуатацию, версии, модели, статуса поддержки и ответственного владельца;
• источники данных о сроке эксплуатации: документация производителя, договоры сопровождения, внутренние решения, паспорт оборудования, формуляр СЗИ, сведения о поддержке ПО;
• периодичность пересмотра перечня активов и срока их допустимой эксплуатации;
• порядок подготовки плана замены, модернизации или вывода из эксплуатации;
• порядок оформления случаев, когда замена или модернизация может привести к прекращению функционирования активов или средств;
• перечень возможных компенсирующих мер для временно сохраняемых устаревших компонентов;
• порядок контроля выполнения плана модернизации;
• ответственных лиц за инвентаризацию, оценку сроков, подготовку решений и выполнение мероприятий.

Для СЗИ отдельно целесообразно учитывать статус версии, сопровождения, обновлений, применимости сертификата или экспертного заключения, а также совместимость с защищаемой информационной системой. Нельзя рассматривать средство защиты как бессрочно пригодное только потому, что оно продолжает запускаться.

Возможность технической реализации и инструменты

Технические средства здесь нужны прежде всего для учёта состояния и планирования, а не для автоматической замены активов.

• Реестр активов или CMDB. Содержит модель, версию, дату ввода, установленный срок эксплуатации, статус поддержки, ответственного и плановое решение.
• Управление уязвимостями и обновлениями. Показывает, может ли актив получать исправления и остаётся ли его эксплуатация приемлемой.
• Мониторинг технического состояния. Помогает выявлять деградацию, отказы, нехватку ресурсов и другие признаки необходимости модернизации.
• Планирование изменений. Заявки, проекты модернизации и планы перехода фиксируют сроки, зависимости, тестирование и возврат к исходному состоянию.
• Контроль конфигураций и резервное копирование. Снижают риск прекращения функционирования во время замены или модернизации.

Главное доказательство – не название системы учёта, а связанная цепочка: актив → установленный срок → решение → план → фактический результат.

Типичные ошибки при реализации

• отсутствует актуальный перечень активов ИС и СЗИ с датами ввода и сроками эксплуатации;
• контролируется только физическое оборудование, но не учитываются ОС, СУБД, гипервизоры, приложения и СЗИ;
• окончание поддержки производителя не рассматривается как риск для защищённости ИС;
• устаревшие компоненты продолжают использоваться без плана модернизации и без оформленного исключения;
• замена откладывается из-за риска остановки системы, но это никак не документируется;
• не определены компенсирующие меры для компонентов, которые временно нельзя заменить;
• нет связи между инвентаризацией, бюджетным планированием и планом модернизации;
• СЗИ используется в версии, которая больше не поддерживается или не соответствует текущей среде эксплуатации;
• при изменении архитектуры срок эксплуатации и применимость старых средств защиты не пересматриваются;
• решения о продолжении эксплуатации принимаются устно и не фиксируются в документах.

Вывод

Пункт 4.2 следует рассматривать как требование к управлению жизненным циклом активов ИС и СЗИ. Его нельзя свести к разовой замене старого оборудования или к общему намерению “обновлять по возможности”. Владелец ИС должен знать состав активов, сроки их эксплуатации, статус поддержки, риски продолжения использования и план дальнейших действий.

Для небольшой ИС достаточно актуального реестра, контроля сроков и документированного плана замены. Для сложной инфраструктуры необходим более зрелый процесс: автоматизированная инвентаризация, контроль версий и поддержки, план модернизации, управление исключениями и компенсирующие меры для компонентов, которые нельзя заменить без остановки системы. Требование считается исполненным тогда, когда владелец ИС способен доказать, что устаревшие активы и СЗИ не остаются в эксплуатации бесконтрольно, а управляются через понятный и документально оформленный процесс.

Связанные материалы

• Контроль работоспособности и настроек активов
• Реквизиты доступа, установленные по умолчанию
• Контроль состава активов ИС и СЗИ

Нормативная основа

• Приказ ОАЦ № 66 в редакции приказа № 259 от 10.12.2024 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 – приложение 3, пункт 4.2; пункты 12–14 о выборе и документировании мер защиты; пункт 23 о модернизации СЗИ. Официальный текст