ФСТЭК уточняет методику категорирования АСУ ТП: пересматриваем категории объектов КИИ у клиента

В октябре ФСТЭК выпустил уточнения к методике определения категорий значимости объектов КИИ - в части, касающейся объектов ОТ и АСУ ТП. Изменения не громкие, методика не переписана с нуля, но несколько ключевых параметров расчёта значимости скорректировали так, что у части объектов категория поплыла. Мы как раз сопровождали аудит объектов КИИ на промышленном предприятии - и попали в эту историю в рабочем режиме, не в теоретическом.

Что уточнили в методике

Методика категорирования объектов КИИ построена на оценке последствий инцидентов по нескольким направлениям: социальные последствия, экономические, экологические, последствия для обороны и безопасности государства. Каждое направление имеет свои показатели и пороговые значения, и именно пороги - главный предмет уточнений.

Для объектов ОТ и АСУ ТП изменения затронули несколько моментов.

Уточнение критериев «нарушения функционирования». Раньше граница между «нарушением» и «критическим нарушением» технологического процесса трактовалась достаточно широко. Теперь методика чётче разграничивает плановые остановки, внеплановые остановки и остановки, влекущие необратимые последствия для производственного цикла. Для АСУ ТП непрерывного производства (химия, металлургия, энергетика) эта граница критична: одна и та же авария может попасть в разные категории в зависимости от трактовки.

Пересмотр временных горизонтов для экономических последствий. Методика раньше рассматривала экономический ущерб на горизонте, который допускал определённую интерпретацию при расчёте. В уточнённой версии горизонт зафиксирован конкретнее, что влияет на то, какие косвенные потери попадают в расчёт, а какие - нет.

Детализация для распределённых объектов. Для АСУ ТП с несколькими географически разнесёнными площадками методика теперь чётче указывает, как оценивать объект: как единый или как совокупность отдельных, и в каких случаях применяется тот или иной подход. Этот момент раньше оставлял значительное пространство для интерпретации - и, честно говоря, использовался в разные стороны.

Что это значит на практике

У нашего клиента - промышленное предприятие с несколькими площадками и АСУ ТП на каждой. Объекты категорированы, часть из них получила третью категорию значимости. По результату первичного анализа уточнённой методики картина оказалась интереснее, чем ожидалось.

Два объекта, ранее проходившие по третьей категории, при пересчёте по уточнённым критериям тянут на вторую. Причины разные.

Первый объект - история с временным горизонтом экономических последствий. При старой трактовке часть косвенных потерь от остановки производства выпадала за рамки расчётного периода и не учитывалась. По уточнённой методике - попадает, итоговая сумма выходит за порог второй категории.

Второй объект - вопрос распределённости. Площадки учитывались раньше как самостоятельные, теперь по совокупности критериев их нужно рассматривать вместе. Совокупный расчёт социальных последствий от одновременной остановки нескольких площадок - другая история, чем по каждой в отдельности.

Есть и обратная ситуация: один объект, который обсуждался как потенциально второй категории, после пересчёта остался в третьей - потому что уточнение критериев «нарушения функционирования» исключило из расчёта последствия, которые раньше включались с большой натяжкой.

Что теперь придётся делать

Пересмотр категорий - это не просто бумажная работа. Для объектов, которые поднимаются с третьей на вторую категорию, меняются требования к защите: другой набор мер по приказу ФСТЭК № 239, другие требования к сертификации СЗИ, другие требования к организационным мерам. Про изменения в самом 239-м приказе мы писали отдельно - см. пост про уточнение требований ФСТЭК № 239 в июле 2025, там достаточно конкретики.

Для клиента это означает:

• Переработку модели угроз и нарушителя под новую категорию. Не с нуля, но с пересмотром актуальных угроз и их критичности.
• Анализ достаточности текущих мер защиты. Что из уже внедрённого покрывает требования для второй категории, что - нет. Обычно это не катастрофа, но несколько позиций стабильно выпадает: требования к сегментации сети ОТ, к системе обнаружения вторжений в промышленном сегменте, к порядку реагирования.
• Обновление документации и повторное согласование. Это самый трудоёмкий этап - не технически, а организационно.

Хорошая новость: у клиента нет аттестованных объектов, которые нужно немедленно переаттестовывать. Пересмотр категорий прошёл до аттестации, так что лишних итераций удалось избежать. Если бы ситуация была обратной - работы стало бы значительно больше.

Сегментация ОТ: где чаще всего проседает

Раз уж разбираем последствия изменений - стоит отдельно сказать про сегментацию. Это тот аспект защиты АСУ ТП, где разрыв между «документально заявлено» и «реально работает» остаётся максимальным.

На типичном промышленном предприятии сегментация ОТ существует на бумаге в виде схем и регламентов. На практике обычно обнаруживается несколько «удобных» отверстий: общий Active Directory между корпоративным и технологическим сегментами, сервисные ноутбуки технологов, которые ходят и туда, и туда, SCADA с RDP-доступом «для оперативного управления». Всё это - стандартный набор, который видим на каждом втором проекте.

Для объекта второй категории значимости каждый из этих пунктов - не просто замечание, а несоответствие, которое нужно закрыть документально и технически. Это и есть содержательная работа после пересмотра категории.

Где мы сейчас

Работа по клиенту продолжается: финализируем пересчёт по уточнённой методике, готовим обновлённые акты категорирования. Параллельно - gap-анализ по требованиям для объектов новой категории, чтобы понять объём доработки систем защиты. Это займёт ещё несколько недель.

Если коротко - изменения в методике небольшие, но требуют пересчёта для тех, у кого объекты ОТ/АСУ ТП были на границе категорий. Лучше сделать это сейчас, чем обнаружить несоответствие при плановой проверке регулятора.