Итоги 2023 по КИИ: кто не завершил категорирование и что делать в H1 2024

Начало года - хорошее время для инвентаризации не только инфраструктуры, но и документов. Мы прошлись по клиентам, с которыми работаем в рамках аудита, и посчитали, у скольких значимых объектов КИИ к концу 2023 года лежит утверждённый акт категорирования со всеми подписями - и у скольких этот акт завис на промежуточном этапе.

Картина вышла предсказуемо неприятной.

Что значит «завершённое» категорирование

Формально объект считается категорированным, когда акт подписан комиссией, утверждён руководителем организации и сведения отправлены в ФСТЭК. Это три отдельных события, и между ними могут пройти месяцы.

Большинство клиентов, с которыми мы разговаривали в декабре и январе, находятся где-то в промежутке. Комиссия работала, перечень составлен, модель угроз есть - но либо не подписан акт, либо подписан, но не отправлен, либо отправлен и вернулся с замечаниями. «У нас всё почти готово» - это примерно треть разговоров. Ещё треть - «мы отправили, ждём ответа». И совсем небольшая часть - «акт принят, мы в реестре».

Если коротко: утверждённый акт, который можно показать регулятору, - это не большинство, а меньшинство из числа тех, кто обязан был пройти через процедуру.

Почему не успели

Причины у всех разные, но несколько повторяются настолько часто, что уже перестали удивлять.

Комиссия есть, но нет данных от технологов. Категорирование требует понимания того, какие процессы критичны и что произойдёт при нарушении их работы. Это не вопрос к юристам или безопасникам - это вопрос к людям, которые понимают производство или технологический процесс. Во многих организациях эти люди заняты, не понимают, зачем их привлекают, или дают ответы на уровне «ну, плохо будет». Из такого материала акт категорирования не складывается.

Модель угроз по методике 2021 года переписывалась несколько раз. Документ, написанный по старому шаблону, ФСТЭК возвращает. Документ, написанный по новой методике, но без привязки к конкретной инфраструктуре - тоже возвращает. Переписывать модель угроз, когда комиссия уже сформирована и акт почти готов, неприятно и долго.

Согласование внутри организации. Акт категорирования часто проходит через юридическую службу, службу ИБ, технического директора и руководителя - каждый смотрит в свой момент, каждый может вернуть на доработку. В крупных организациях этот цикл занимает два-три месяца, и если он стартовал в октябре, то к декабрю шансов мало.

Что делает ФСТЭК

Регулятор по итогам 2023 года заметно изменил тон. Формулировки в коммуникациях стали жёстче: организациям, которые обязаны были пройти категорирование, но не прошли, обозначают конкретные сроки для завершения. Проверочные мероприятия, судя по тому, что слышим от клиентов и коллег, перестали быть формальными - проверяющие смотрят не только на наличие документов, но и на их содержание.

Несколько клиентов в конце 2023 получили замечания не по форме, а по существу: критические процессы описаны размыто, обоснование категории не вытекает из анализа последствий. Это значит, что период, когда «бумага есть - и ладно», закончился.

Приоритеты на H1 2024

Мы разобрали ситуацию по клиентам и для каждого обозначили, что нужно сделать в первом полугодии. Порядок примерно такой.

Сначала - закрыть незавершённое категорирование. Это не обсуждается. Если акт не утверждён или вернулся с замечаниями, до конца первого квартала нужно иметь подписанный документ и подтверждение от ФСТЭК. Дальше тянуть - значит входить во второй дедлайн по импортозамещению с незакрытой базой.

Параллельно - разобраться с объектами, которые не попали в первичный перечень. У нескольких клиентов в ходе прошлогодней работы обнаружились системы, которые формально подпадают под действие 187-ФЗ, но в перечень не вошли - либо потому что забыли, либо потому что не поняли, как квалифицировать. Это нужно либо обосновать документально (почему не КИИ), либо включить и категорировать. Серая зона хуже любого из этих вариантов.

По импортозамещению - реалистичная матрица статусов. В декабре писали про то, как ОС и СУБД закрываются, а прикладное ПО и АСУ ТП стоят. Картина не изменилась за две недели. Задача H1 - по каждому объекту иметь честный документ: что закрыто, что в работе, что не имеет аналога с обоснованием. ФСТЭК, судя по сигналам, принимает честную картину лучше, чем оптимистичные планы с датами, которые не выполняются.

Где мы сейчас

Январь начался с нескольких звонков от клиентов, которые молчали весь декабрь - праздники закончились, реальность наступила. Это ожидаемо. Реактивные запросы неизбежны, и мы к ним готовы, но приоритет отдаём тем, кто готов работать системно, а не тушить один пожар за другим.

Если говорить честно: у нас самих нет иллюзий, что к июлю все клиенты будут в идеальном состоянии по всем слоям. Категорирование - это реально сложная процедура, которая требует времени и данных. Но разница между «в процессе с понятным планом» и «непонятно где» - принципиальная, и именно её мы хотим устранить в первом полугодии.