Категорирование КИИ: дедлайн приближается, а большинство субъектов ещё в процессе

ФСТЭК ещё раз напомнил: большинство субъектов КИИ обязаны завершить категорирование объектов в 2019 году. Для тех, кто подал перечень объектов до конца 2017-го, отсчёт давно идёт. Для тех, кто тянул с подачей, - тоже идёт, просто с другой точки отсчёта. В любом случае дедлайн реальный, и количество организаций, которые его не успеют, судя по тому, что мы видим у клиентов, немаленькое.

За последние два месяца мы помогли трём промышленным заказчикам закрыть категорирование - двум из химической отрасли, одному из энергетики. Не взяли бюджет и не ушли: реально дошли до подачи сведений в ФСТЭК и получения подтверждения. По итогу могу рассказать, что там происходит изнутри.

Почему категорирование затягивается

С виду алгоритм простой: определить объекты КИИ, собрать комиссию, оценить критерии значимости по Постановлению Правительства №127, назначить категорию (1, 2, 3 или «незначимый»), подать сведения в ФСТЭК. Но на практике в каждом пункте есть место для застревания.

Самое долгое - это не техническая часть и не бумага. Самое долгое - это корректное описание технологических процессов.

Приказ ФСТЭК №236 требует описывать, каким именно образом нарушение функционирования объекта КИИ может привести к социальным, экономическим, экологическим последствиям или последствиям для обороноспособности. Это нужно делать предметно, с конкретными цепочками. «Нарушение работы АСУ ТП может привести к остановке производства» - это не описание, это отписка. ФСТЭК такое не принимает, и правильно делает.

На каждом из трёх проектов именно этот этап занял большую часть времени. Технологи объясняют процесс на своём языке, безопасники пытаются перевести в язык регулятора, и между ними возникает классический translation gap. Никто не виноват - просто два профессиональных мира, которые редко разговаривают напрямую.

Что конкретно тормозило на каждом проекте

У химиков первой площадки основная сложность была в самом определении границ объекта. У них несколько технологических линий, каждая управляется своей АСУ ТП, плюс общая диспетчерская система и корпоративная сеть, которая их связывает. Где заканчивается один объект и начинается другой - вопрос не тривиальный, и от ответа зависит как категория, так и объём работ по защите.

Порешали через функциональный принцип: один объект - один технологический процесс, у которого есть самостоятельный цикл. Корпоративная сеть выделена как отдельный объект, который обеспечивает инфраструктуру. Логика эта - не наша фантазия, она следует из методического документа ФСТЭК, но его надо читать внимательно.

У второго химического заказчика была другая история: комиссия по категорированию была создана формально, её состав не включал технологов. Безопасники тянули всё сами, и описания процессов получались вымученными и неточными. Когда мы подключились, пришлось фактически перезапустить работу комиссии - привлечь главного технолога, начальников цехов, главного энергетика. Без них документ не имел смысла.

Энергетический заказчик уже имел собственный черновик перечня объектов и черновик актов категорирования. Но на проверке выяснилось, что обоснование категорий держалось на общих фразах. ФСТЭК при рассмотрении сведений задаёт вопросы - и хорошо, что мы прошли через эту итерацию заочно, пока документы были в режиме черновика, а не после подачи.

Как устроено взаимодействие с ФСТЭК на практике

Отдельная тема - само взаимодействие с регулятором при подаче и после. Формально процедура прозрачна: субъект подаёт сведения о результатах категорирования в течение 10 дней после утверждения, ФСТЭК рассматривает и либо включает объект в реестр, либо возвращает с замечаниями.

На практике возврат с замечаниями - не провал, а нормальная часть процесса. Регулятор смотрит на обоснование категории, и если оно недостаточно детальное, просит дополнить. Главное - этот цикл занимает время. У одного из наших заказчиков был один возврат с замечаниями, мы доработали обоснование, и после повторной подачи прошло без вопросов.

Замечание ФСТЭК по тому проекту было конкретным: в описании последствий нарушения работы объекта не было привязки к масштабу. Написали «значительный ущерб» без количественного контекста. ФСТЭК ожидает хотя бы порядок: сколько человек может пострадать, какая территория, какие сроки восстановления. Когда мы это добавили - с опорой на реальные технологические расчёты заказчика, а не с потолка - сведения приняли.

Что сейчас у большинства субъектов

По ощущению от рынка: в промышленности и энергетике часть субъектов ещё не завершила даже первичный перечень объектов. Не потому что саботируют - просто объём работы недооценили, ресурсы на категорирование выделили по остаточному принципу, и теперь гонятся за дедлайном.

Это создаёт предсказуемую картину: документы делаются второпях, описания процессов поверхностные, комиссии номинальные. Итог - возвраты от ФСТЭК, дополнительные итерации, потеря времени. Которого и так мало.

Если категорирование ещё не закрыто - стоит честно оценить, что именно затормозилось и что реально нужно для завершения. Не «сделать бумагу», а пройти процесс так, чтобы ФСТЭК его принял. Это разные задачи, и разрыв между ними хорошо виден на практике.

По аудиту и сопровождению процессов КИИ - можем помочь и с категорированием, и с последующим этапом разработки требований к защите значимых объектов.