Кратко

  • 24 мая 2026 года совет директоров LACNIC единогласно утвердил рамки информационной безопасности версии DIR-POL-019.01.
  • В протоколе сказано, что после утверждения внешние специалисты измерят текущую зрелость, а затем будет определён целевой уровень. Это последовательность управленческих действий, а не опубликованный результат аудита.

Сначала можно утвердить линейку, а затем проводить измерение. Именно такой порядок записан в протоколе заседания LACNIC от 24 мая 2026 года. Институциональные рамки должны защищать реестр, связанную с ним информацию и критически важные для миссии LACNIC сервисы, поддерживая доверие участников и сообщества. Внедрение и оценка описаны как постепенный путь к устойчивой, формализованной и постоянно совершенствуемой системе управления.

Ключевой порядок появляется в обсуждении. После утверждения рамок советом внешние эксперты должны были измерить текущий уровень зрелости; только после этого LACNIC смог бы определить уровень, к которому намерен стремиться. Следующая страница фиксирует единогласное принятие DIR-POL-019.01.

В этом порядке нет обязательного противоречия. Совет вправе заранее утвердить язык, область и полномочия будущей оценки. Но каждое состояние должно сохранять отдельный смысл. Утверждение рамок не означает внедрение мер. Измеренная отправная точка не является одобренной целью. Цель не равна выполненному плану разрывов. Закрытие части разрывов не означает принятие всех остаточных рисков. И ни один из этих этапов автоматически не становится сертификацией.

Что именно подтверждает открытый документ

Протокол позволяет проверить дату, орган, единогласие, номер версии и заявленный следующий шаг с внешними экспертами. В нём нет текста DIR-POL-019.01, метода и шкалы оценки, имени оценщика, границ систем, исходного результата, целевого значения, срока или владельцев разрывов.

Это ограничение рассмотренных открытых материалов, а не вывод об отсутствии внутренних данных. Те же материалы не позволяют утверждать, завершилась ли внешняя оценка к моменту публикации статьи, была ли уже выбрана цель или имеет либо не имеет LACNIC сертификат ISO/IEC 27001.

В стратегии LACNIC на 2026–2029 годы информационная безопасность названа внутренней способностью обеспечивать целостность и устойчивость процессов и систем. Описание LACNIC CSIRT проводит другую границу: его целевая аудитория — участники LACNIC, но у команды нет полномочий управлять системами сообщества, кроме собственных внутренних систем LACNIC. В майском протоколе обсуждается, как использовать возможности CSIRT во внутренней работе.

Поэтому область входит в результат измерения. Реестр, критические сервисы, внутренние приложения, услуги участникам и реагирование для сообщества связаны, но не обязаны составлять одну совокупность. Если систему включить в периметр или исключить из него, итоговая зрелость может измениться без изменения мер защиты.

Контроли CIS, система ISO и сертификат

Протокол кратко передаёт различие: CIS не сертифицирует, а ISO допускает сертификацию. Официальные материалы позволяют сформулировать его точнее.

CIS Critical Security Controls — это приоритетный набор практик. Implementation Groups помогают выбрать последовательность внедрения с учётом ресурсов и рисков. CIS Controls Assessment Specification задаёт показатели того, внедрена ли мера и насколько хорошо она работает. Эти инструменты способны поддержать воспроизводимую исходную оценку, но сами не выдают сертификат организации.

ISO/IEC 27001:2022 устанавливает требования к системе менеджмента информационной безопасности. ISO отдельно указывает, что организация может применять стандарт без сертификации. Сертификация органом по оценке соответствия является отдельным и добровольным этапом.

Поэтому использование контролей CIS, измерение зрелости, эксплуатация СУИБ по ISO и действующий сертификат на конкретную область — разные утверждения. Ни одно из них не означает абсолютную защищённость.

Редакционное предложение: квитанция перехода

Вместо изолированной оценки полезнее выпускать для каждого перехода версионную квитанцию. Это предложение статьи, а не заявленное обязательство LACNIC.

Переход Минимальные поля квитанции
Утверждение Название и версия рамок, дата, орган решения, разрешённая область
Исходная оценка Дата среза, внешний оценщик, независимость, метод и версия, включённые системы, шкала и доказательства
Цель Утверждённый уровень, орган, срок и обоснование приоритетов
План разрывов Невыполненный контроль, владелец, этап, зависимость, исключение и компенсирующая мера
Остаточный риск Оставшийся риск, принимающее лицо, срок и условие пересмотра
Повторное измерение Следующая дата и изменения метода или области, влияющие на сопоставимость
Сертификация, если заявляется Стандарт, сертификат, область, оценочный орган и срок действия

Версия — не канцелярская деталь. Могут измениться контроли CIS, группа внедрения, шкала или перечень активов. Тогда две одинаковые цифры будут означать разное. Вместе с результатом нужно хранить правило, по которому он получен.

DIR-POL-019.01 даёт датированную точку полномочий. Внешняя исходная оценка дала бы точку наблюдения. Цель выражала бы выбор риска и ресурсов. План распределял бы работу, принятие остаточного риска — ответственность, а любое заявление о сертификации требовало бы отдельного подтверждения.

Источники