Топ-5 нарушений ФСТЭК при выездных проверках КИИ: итоги Q1 2025

ФСТЭК закончил первый квартал проверок значимых объектов КИИ и выдал порцию предписаний. Часть материалов попадает в открытый доступ - через официальный сайт регулятора, через публикации самих субъектов КИИ в рамках раскрытия информации, через утечки в профессиональных каналах. Мы собрали то, что удалось найти, и сложили картину: пять нарушений встречаются так часто, что уже не выглядят случайными.

Хорошая новость: большинство из них закрывается не многолетней программой трансформации, а нормальным спринтом с чёткими задачами. Плохая новость: их не закрыли до проверки.

Нарушение 1. Модель угроз написана под старый БДУ

ФСТЭК обновил Банк данных угроз в 2024 году. Модели угроз, составленные до обновления и с тех пор не актуализированные, инспектора признают устаревшими - даже если сам документ по форме соответствует требованиям приказа 239.

Типичная картина: акт категорирования датирован 2022 годом, модель угроз - тем же периодом. С тех пор в инфраструктуре появились новые сегменты, добавились виртуализация и контейнеры, а модель так и лежит нетронутой. Формально работа была сделана - фактически документ описывает другой объект.

Что закрыть за спринт: провести gap-анализ текущей модели против актуального БДУ, зафиксировать перечень новых угроз, вынести на утверждение актуализированную версию. Это не переписывание с нуля - это delta-обновление, если базовый документ структурно нормальный.

Нарушение 2. Состав СЗИ в документах расходится с реальностью

Один из самых предсказуемых пунктов - и при этом один из самых частых. Инспектор запрашивает реестр средств защиты и сертификаты, потом идёт на объект и смотрит, что стоит. Разрывы обнаруживаются постоянно.

Сценарии разные: вендор выпустил обновление, администратор поставил, а сертификат на новую версию ещё не оформлен; объект модернизировали, добавили СЗИ, но в реестр не внесли; СЗИ с истёкшим сроком действия сертификата продолжает использоваться. Инспектор фиксирует несоответствие как нарушение - независимо от того, насколько оно «техническое».

Что закрыть за спринт: полная инвентаризация фактически установленных СЗИ с версиями, сверка с реестром сертификатов ФСТЭК, фиксация расхождений и план устранения. Для несертифицированных версий - либо откат, либо ускоренное получение сертификата.

Нарушение 3. ГосСОПКА подключена, но не работает

Формально соглашение с НКЦКИ заключено, коннектор настроен, галочка стоит. На деле уведомления не отправлялись месяцами, тест-репорты не прогонялись, и никто не проверял, доходит ли что-то до адресата. Инспектор смотрит на историю переданных уведомлений - и видит пустоту или технические ошибки с прошлого года.

Мы ещё в январе писали о том, что ГосСОПКА - один из первых пунктов вопросника инспектора. Потом в марте разбирали обновление API НКЦКИ - у части организаций после обновления коннекторы молча сломались. Судя по предписаниям Q1, многие так и не проверили.

Что закрыть за спринт: прогнать тест-нотификацию, убедиться в получении подтверждения, проверить формат полей под актуальный API, восстановить историю инцидентов с разумным обоснованием отсутствия уведомлений (если инцидентов реально не было - это должно быть задокументировано).

Нарушение 4. Ответственный за КИИ без актуального удостоверения

Требование к квалификации ответственного за безопасность значимых объектов КИИ закреплено в приказе 235. Повышение квалификации по тематике КИИ - обязательно, периодичность тоже регламентирована. Казалось бы, административная формальность.

Инспектор спрашивает удостоверение - и выясняется, что сотрудник прошёл обучение в 2021 году, а срок действия истёк. Или что ответственный сменился, новый сотрудник назначен приказом, но обучение ещё не прошёл. Предписание выдаётся быстро и формулируется жёстко.

Что закрыть за спринт: проверить актуальность удостоверений всех лиц, указанных в приказах как ответственных за КИИ; записать на ближайший курс тех, у кого истекает или уже истёк срок. Лицензированных учебных центров достаточно, очередей нет.

Нарушение 5. Организационная документация не актуализирована

Регламент реагирования на инциденты с именем уволившегося два года назад руководителя в шапке. План обеспечения непрерывности, в котором перечислены системы, давно выведенные из эксплуатации. Приказ об ответственном за КИИ с фамилией человека, который сменил должность.

Инспектор не просто смотрит на наличие документа - он проверяет дату, подписи, соответствие текущему состоянию. Формально это те же находки, что и несоответствие СЗИ: документация описывает объект, которого уже нет.

Что закрыть за спринт: ревизия всех организационно-распорядительных документов по КИИ с проверкой дат и актуальности указанных лиц и систем. Документы с устаревшими данными - на переиздание. Это работа с реестром, а не с содержанием.

Что это говорит о системе

Ни одно из пяти нарушений не требует закупки нового оборудования или многомесячного проекта. Все они - следствие того, что документация и реальное состояние объекта перестали быть синхронизированы после первичного категорирования. Объект живёт своей жизнью, документы лежат своей.

Мы видели это у большинства клиентов, с которыми работали по аудиту состояния КИИ перед проверками. Разрыв между бумагой и реальностью - почти универсальная проблема. Проблема решаемая, но только если её зафиксировать до того, как пришёл инспектор, а не когда предписание уже на руках.

Q2 у ФСТЭК по плану не короче Q1. Если организация в списке на вторую половину года - времени на синхронизацию ещё достаточно.