Почему ФСТЭК возвращает акты по категорированию КИИ и как обосновать значимость

ФСТЭК России возвращает акты категорирования объектов критической информационной инфраструктуры (КИИ) чаще всего из-за отсутствия логической связи между бизнес-процессами предприятия и выбранными ИТ-системами. Основная причина замечаний регулятора заключается в неполном или некорректном обосновании показателей значимости, когда компания не учитывает каскадные зависимости и не моделирует различные сценарии сбоев. Чтобы сведения были приняты с первого раза, необходимо доказать, как именно нарушение работы конкретного сервера или сети влияет на социальную, экономическую или экологическую безопасность региона.

Разобраться в тонкостях взаимодействия с регулятором поможет «Астелс» – консалтинговая группа, которая с 2012 года помогает бизнесу по всей России с разрешительной документацией, сертификацией систем менеджмента и категорированием объектов КИИ.

Ошибка в фундаменте: почему ИТ-инвентаризация не заменяет категорирование

Многие организации совершают системную ошибку, поручая категорирование исключительно ИТ-отделу. Технические специалисты обычно начинают работу с инвентаризации «железа» и софта, формируя избыточные списки серверов, коммутаторов и баз данных. Однако методология 187-ФЗ требует обратного порядка: сначала необходимо определить критические процессы компании и только потом выявлять системы, которые их обеспечивают. Критическим считается процесс, сбой в котором несет угрозу обороне, экономике или жизни людей. Если идти по пути простой инвентаризации, в перечень КИИ часто попадает лишнее – например, бухгалтерия, не связанная с производством – или выпадают важные технологические сети (АСУ ТП), не стоящие на балансе ИТ-департамента. Эксперты «Астелс» предупреждают, что избыточность перечня сигнализирует ФСТЭК об ошибке так же явно, как и неполнота: если средняя компания с двумя площадками заявляет более 15–20 объектов, регулятор с высокой вероятностью потребует пересмотра обоснований.

Красные флаги для регулятора: на чем «засыпаются» компании

При анализе сведений ФСТЭК проверяет не только наличие документов, но и управленческую логику комиссии. Регулятор вправе запросить протоколы заседаний, чтобы подтвердить участие в работе главных технологов или специалистов по промбезопасности, а не только ИТ-руководителей. К типичным поводам для возврата относятся формальный подход к признанию объектов «незначимыми» без расчетов по каждому из показателей, использование шаблонных формулировок из Банка данных угроз без привязки к архитектуре объекта и нарушение сроков подачи: на направление перечня отводится 5 рабочих дней, актов – 10 дней после их утверждения. Кроме того, с 2026 года действует реестр типовых объектов КИИ. Если система присутствует в списке, но не прошла категорирование, это станет прямым основанием для замечаний.

Матрица 14 показателей: как не занизить категорию значимости

Итоговая категория значимости объекта (1, 2 или 3) устанавливается по наивысшему значению среди всех критериев. Нельзя усреднять цифры или выбирать наиболее вероятные показатели: если хотя бы один из 14 параметров соответствует первой категории, она присваивается всему объекту. Эксперты «Астелс» при подготовке сведений детально обосновывают даже нулевые значения. Это критически важно, так как простая отметка «не применимо» без ссылки на отсутствие вредных веществ или международных обязательств является частой причиной возврата документов на доработку.

Сценарии атак и зависимости: выход за рамки простого отказа

Регулятор часто указывает на поверхностное моделирование последствий сбоев. Организации склонны рассматривать только сценарий полного отключения системы, хотя частичное нарушение функций бывает опаснее. Например, скрытое изменение дозировки реагентов на химпроизводстве при сохранении видимости нормальной работы АСУ ТП может привести к аварии, которую не заметят оперативно. Для корректного категорирования нужно проработать как минимум 3–5 сценариев сбоев длительностью от 10 минут до нескольких суток. Также необходимо учитывать каскадные зависимости: если атака на сервер «А» вызывает остановку цеха «Б», то значимость сервера должна оцениваться по тяжести последствий в цехе. Поддержка экспертов «Астелс» помогает выявить такие скрытые связи, которые незаметны при внутреннем аудите, но очевидны для проверяющих.

Контрольный список перед отправкой сведений во ФСТЭК

Прежде чем направлять сведения регулятору, убедитесь, что ваш пакет документов соответствует следующим критериям:

• Состав комиссии утвержден приказом и включает технологов или профильных инженеров.
• Перечень объектов КИИ соотнесен с критическими процессами организации.
• Расчет произведен по всем 14 показателям значимости согласно ПП РФ №127.
• Каждое значение, включая нулевое, имеет документальное или логическое обоснование.
• Модель угроз для значимых объектов актуализирована под текущую архитектуру сети.
• Сведения оформлены строго по форме приказа ФСТЭК №236.

Консалтинговая группа «Астелс» берет на себя разработку этих документов и сопровождает переписку с регулятором до внесения сведений в реестр. Если у ФСТЭК возникнут уточняющие вопросы, эксперты подготовят аргументированные ответы.

О компании «Астелс»

Группа «Астелс» работает на рынке разрешительной документации с 2012 года. Компания располагает штатом экспертов по КИИ, пожарной безопасности и ИСО, что позволяет глубоко прорабатывать техническую и юридическую части проектов. За время работы выполнено более 1500 проектов в 85 субъектах России. «Астелс» имеет три собственные системы добровольной сертификации, зарегистрированные в Росстандарте: «АСТЕЛС», «Quality of Services» и «Энергия». Компания работает по всей стране, в том числе дистанционно и с выездом на площадки. Условия сотрудничества прозрачны: стоимость и сроки фиксируются в договоре, а сопровождение продолжается до получения финального документа или регистрации сведений регулятором.

Частые вопросы

Можно ли делегировать категорирование внешней компании полностью?

Полностью делегировать процедуру нельзя: по постановлению №127 категорирование проводит комиссия самого субъекта КИИ. Внешние эксперты «Астелс» выступают консультантами – они проводят аудит, выполняют расчеты и готовят проекты документов, но утверждает их руководство вашей организации.

Что делать, если ФСТЭК уже прислал замечания к акту?

Нужно проанализировать суть претензий. Обычно регулятор просит уточнить обоснование показателей или изменить границы объекта КИИ. В таких случаях мы помогаем провести повторное заседание комиссии, внести правки и направить сведения заново с пояснительным письмом.

Нужно ли категорировать офисные компьютеры бухгалтерии?

Обычно нет, если они не управляют критическими процессами в реальном времени. Однако с 2026 года ERP-системы входят в типовой перечень, поэтому статус таких систем необходимо проверять на соответствие отраслевым критериям.

Как часто нужно пересматривать результаты категорирования?

Категория пересматривается не реже одного раза в 5 лет. Также внеплановый пересмотр обязателен при существенных изменениях в архитектуре ИТ-систем или смене критических процессов компании. Пропуск сроков является нарушением 187-ФЗ.