ГосСОПКА: первые предписания ФСБ и реальное подключение субъектов КИИ 1-й категории

В ноябре прошлого года мы писали, что технической конкретики по подключению к ГосСОПКА пока нет - организационный контур понятен, а вот как именно передавать события, по какому каналу и в каком формате, оставалось туманным. Тогда это было теоретическим вопросом. Сейчас он стал вполне практическим: два клиента из числа субъектов КИИ первой категории получили от ФСБ предписания с конкретным требованием - подключиться и передавать данные об инцидентах.

Первая реакция заказчиков была одинаковой: «А как именно?» Это хороший вопрос.

Что за предписания и от кого

ФСБ действует через НКЦКИ - Национальный координационный центр по компьютерным инцидентам. Предписания пришли не в виде штрафов или предупреждений, а как требование о подключении к корпоративному сегменту ГосСОПКА или о подключении к технической инфраструктуре самой системы через агента. Формат зависит от того, есть ли у организации собственный SOC или она работает через корпоративный CERT.

Оба клиента у нас - субъекты первой категории: один в энергетике, другой в транспортной инфраструктуре. Для первой категории требования самые жёсткие: не просто уведомление об инцидентах в произвольной форме, а реальный технический канал с возможностью передачи информации в ГосСОПКА в автоматизированном режиме.

Что значит «технический регламент подключения»

Это то, чего в публичных документах почти нет. Есть 187-ФЗ, есть Приказ №235 ФСТЭК, есть методические документы ФСБ - но конкретная инструкция «сделай шаг 1, шаг 2, шаг 3» не существует в виде публичного документа. Всё выясняется в рабочем порядке с ФСБ.

Что нам удалось собрать и отработать на первых двух проектах:

• Заявка на подключение. Подаётся в НКЦКИ, содержит сведения об организации, перечень значимых объектов, которые планируется подключить, и технические характеристики предполагаемой точки подключения. Форма не произвольная - есть шаблон, который выдаётся по запросу.
• Выбор схемы подключения. Субъект может подключиться как участник через агента - специализированное программное средство, которое собирает события с источников и передаёт их в ГосСОПКА по защищённому каналу. Либо, если у организации есть собственный корпоративный SOC, возможна интеграция на уровне центров ГосСОПКА. Для наших клиентов актуален первый вариант.
• Согласование агента. Это оказался самый нетривиальный момент. Агент передачи данных должен быть согласован с ФСБ - не любое программное средство подойдёт. На текущий момент есть несколько технических решений, которые прошли такое согласование или находятся в процессе. На этапе выбора важно заранее уточнять статус у производителя и не полагаться на маркетинговые формулировки «совместим с ГосСОПКА».
• Защищённый канал. Передача данных идёт по каналу связи с криптозащитой на сертифицированных СКЗИ. Это не VPN в привычном понимании - нужны средства, сертифицированные ФСБ по классу не ниже КС1. Типичный выбор - КриптоПро или аналоги.

Что реально передаётся

Один из первых вопросов заказчиков: мы обязаны лить в ГосСОПКА все события или только инциденты? Ответ: инциденты, как они определены в регламенте организации и в контексте 187-ФЗ. Это не означает поток сырых логов с межсетевых экранов. Это означает структурированные записи о компьютерных инцидентах - с временными метками, описанием, затронутыми объектами, принятыми мерами.

На практике это возвращает нас к задаче, которую мы начали делать ещё осенью: нормальная классификация событий в SIEM, корреляционные правила, реестр инцидентов. Без этого фундамента технически подключиться можно, но что будет передаваться - непонятно.

У одного из клиентов SIEM была MaxPatrol, у второго - самописная сборка на основе ELK. В первом случае экспорт инцидентов в нужном формате настроился относительно быстро. Во втором пришлось писать конвертер под формат, который принимает агент.

Что застопорило и где шли согласования

Основное время ушло не на техническую конфигурацию, а на согласовательную часть с ФСБ. Не потому что регулятор создаёт препятствия - напротив, взаимодействие вполне рабочее. Просто процедура новая, опыта мало с обеих сторон, и часть вопросов решается прецедентно. Например, точное описание перечня источников событий, которые будут подключены к агенту, согласовывалось несколько итераций.

Параллельно шла работа по документации: регламент взаимодействия с ГосСОПКА, порядок уведомления, ответственные лица. Это требование Приказа №235 ФСТЭК - СОБ должна включать не только техническую составляющую, но и организационную.

Где сейчас

Один клиент уже в режиме тестовой передачи данных - агент настроен, канал работает, НКЦКИ подтвердил получение тестовых уведомлений. Второй - на финальном этапе согласования документации. Полноценный боевой режим у обоих планируется в феврале-марте.

Главный вывод для субъектов КИИ первой категории, которые ещё не занялись этим: предписания уже пошли, и процедура согласования занимает время. Подключение - это не один день и не одна встреча с регулятором. Организационная часть и выстраивание процессов работы с инцидентами должны быть готовы до начала технической интеграции, иначе подключение становится просто трубой без содержимого.

По технической части интеграции с ГосСОПКА - готовы делиться накопленным опытом.