Категорирование объектов КИИ по 187-ФЗ: расчёт показателей и заполнение акта на реальном примере

Большинство проблем с защитой КИИ начинаются не с файрволов и не с антивирусов. Они начинаются с бумаги. Неверно посчитанные пороговые значения, пропущенные критерии, наименование объекта в акте не совпадает с перечнем на одно слово — и ФСТЭК возвращает документы. Дальше — пересчёт, повторная отправка, потерянное время. Ниже — пошаговый разбор категорирования объектов КИИ по 187-ФЗ на конкретном примере АСУ ТП теплоснабжения: от формирования комиссии до заполненного акта и отправки сведений во ФСТЭК. Без привлечения внешнего консультанта, потому что разобраться в процессе самому — реально.

Субъект КИИ и объект КИИ: кто обязан категорировать

Прежде чем считать показатели, нужно понять, попадает ли организация под действие Федерального закона от 26.07.2017 №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Если коротко — закон определяет, кто обязан защищать свои информационные системы по повышенным требованиям и отчитываться перед ФСТЭК.

Субъект КИИ (критической информационной инфраструктуры) — юридическое лицо, ИП или госорган, которому принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТС) или автоматизированные системы управления (АСУ), работающие в одной из 13 отраслей по статье 2 закона:

• здравоохранение, наука, транспорт, связь, энергетика
• банковская сфера и финансовый рынок
• топливно-энергетический комплекс
• атомная энергия
• оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность

Если ОКВЭД организации включает хотя бы одну из этих сфер — она субъект КИИ и обязана провести категорирование. Делегировать работу подрядчику можно, но ответственность за результат остаётся на субъекте.

Объекты КИИ — конкретные ИС, ИТС и АСУ, принадлежащие субъекту. Не всё IT-хозяйство предприятия, а те системы, которые обеспечивают управленческие, технологические, производственные или финансово-экономические процессы в рамках деятельности субъекта.

Значимый объект КИИ (ЗОКИИ) — объект, которому по итогам категорирования присвоена одна из трёх категорий значимости: первая (наивысшая), вторая или третья. Если ни один порог не достигнут, объект получает статус «без категории значимости». Но обязанность пройти процедуру и направить сведения во ФСТЭК от этого никуда не девается.

Комиссия по категорированию и перечень объектов КИИ

Кого включить в комиссию

Категорирование начинается с приказа руководителя организации. Постановление Правительства РФ №127 от 08.02.2018 (далее — ПП-127) — основной подзаконный акт, который определяет порядок категорирования и содержит таблицу показателей критериев значимости с пороговыми значениями для каждой из трёх категорий. Оно устанавливает минимальный состав комиссии:

• руководитель организации или его заместитель — председатель
• сотрудники подразделений ИТ и информационной безопасности
• работники, ответственные за задачи ГО и ЧС (гражданская оборона и чрезвычайные ситуации — это про планы эвакуации, взаимодействие с МЧС и оценку последствий аварий)
• сотрудники подразделений, эксплуатирующих объекты: для АСУ ТП (автоматизированная система управления технологическим процессом) — технологи, инженеры КИПиА (контрольно-измерительные приборы и автоматика)
• при необходимости — юристы и экономисты

Типичная ошибка: забыть включить ответственного за ГО и ЧС. ФСТЭК проверяет состав комиссии по приказу, и отсутствие этого человека — формальная, но реальная причина возврата документов. Если в штате нет выделенной должности, обязанности по ГО и ЧС можно возложить на сотрудника приказом. Главное — чтобы он фигурировал в составе комиссии.

Как определить границы объектов

Комиссия составляет перечень объектов КИИ — список ИС, ИТС и АСУ, подлежащих категорированию. Основная сложность здесь — правильно определить границы каждого объекта. Слишком широко — получите завышенную категорию. Слишком узко — ФСТЭК заподозрит искусственное дробление.

Практические рекомендации:

• Не объединяйте разные системы в один объект искусственно. У каждой АСУ ТП свои границы, свой набор угроз, свой расчёт показателей.
• Не дробите единую систему на микрокомпоненты. SCADA-сервер (программный комплекс мониторинга и управления), рабочие станции оператора и ПЛК (программируемые логические контроллеры — устройства, которые непосредственно управляют оборудованием: насосами, задвижками, теплообменниками) одной АСУ ТП — это один объект.
• Границы объекта определяются по технологическому процессу: если АСУ управляет водоподготовкой и теплоснабжением как единым контуром — один объект. Два независимых контура с раздельным управлением — два объекта.

Утверждённый перечень объектов КИИ направляется во ФСТЭК в течение 10 рабочих дней. После этого на проведение категорирования отводится один год.

Показатели критериев значимости КИИ по постановлению 127

ПП-127 устанавливает пять групп критериев значимости. Для каждого критерия в приложении к постановлению есть таблица показателей с пороговыми значениями, соответствующими трём категориям. Разберём каждую группу — без этого при оценке конкретного объекта легко пропустить критерий и получить возврат.

1. Социальная значимость. Оценивается возможный ущерб жизни и здоровью людей (количество пострадавших), нарушение работы объектов жизнеобеспечения (водоснабжение, теплоснабжение, электроснабжение — масштаб по территории), прекращение работы транспортной инфраструктуры и сетей связи, время недоступности государственных услуг. Для предприятий энергетики и ЖКХ это, как правило, основной критерий.

2. Политическая значимость. Нарушение работы государственных органов, ущерб интересам РФ в вопросах внутренней и внешней политики. Актуально для государственных информационных систем (ГИС) и систем, обеспечивающих деятельность органов власти.

3. Экономическая значимость. Прямой и косвенный ущерб бюджетам РФ, снижение дохода субъекта КИИ. Пороговые значения привязаны к процентам от дохода субъекта или к абсолютным суммам ущерба бюджету. Конкретные цифры зафиксированы в таблице ПП-127.

4. Экологическая значимость. Уровень воздействия на окружающую среду — от локального до федерального масштаба. Критичен для химической промышленности, ТЭК и предприятий с опасными производственными объектами.

5. Значимость для обороны страны, безопасности государства и правопорядка. Нарушение работы объектов Вооружённых Сил, правоохранительных органов и систем обеспечения правопорядка.

Принцип расчёта: комиссия оценивает наихудший, но реалистичный сценарий компьютерного инцидента, приводящего к нарушению конфиденциальности, целостности или доступности информации в объекте. Категория определяется по наивысшему показателю: если по социальному критерию объект попадает в третью категорию, а по экономическому — во вторую, итоговая категория будет второй. Это принцип «максимума» — запомните его, он часто становится источником ошибок.

Расчёт категории значимости объекта КИИ на реальном примере

Разберём расчёт на обезличенном примере, типичном для предприятий энергетической отрасли. Методология та же, что применяется при реальном категорировании.

Исходные данные: АСУ ТП теплоснабжения

Оценка социальной значимости

Показатель «Причинение ущерба жизни и здоровью людей».

Наихудший реалистичный сценарий: компьютерная атака выводит из строя АСУ ТП в разгар отопительного сезона при температуре наружного воздуха ниже –20 °C. Теплоснабжение района прекращается. При отсутствии отопления свыше 24 часов возможны последствия для здоровья уязвимых категорий — пожилых людей, детей, маломобильных граждан.

Оценка комиссии: прямой угрозы жизни массовому количеству людей при реалистичном сценарии нет. Аварийные службы, резервные источники и эвакуация позволяют локализовать последствия. Потенциальный ущерб здоровью — единицы человек (обморожения, обострения хронических заболеваний). По оценке комиссии, это соответствует диапазону третьей категории (точные пороги — в актуальной редакции таблицы приложения к ПП-127).

Обратите внимание: «реалистичный» — ключевое слово. Фантазировать про ядерную зиму и массовую гибель не нужно. Но и писать «ущерб отсутствует» для теплоснабжения в –20 °C — тоже не выйдет. ФСТЭК такое вернёт.

Показатель «Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения».

Теплоснабжение — объект обеспечения жизнедеятельности. Нарушение затрагивает территорию одного муниципального образования (жилой район города). По оценке комиссии, масштаб последствий соответствует третьей категории значимости (пороговые значения — в актуальной редакции таблицы ПП-127).

Этот показатель — основной для данного объекта.

Оценка экономической и экологической значимости

Экономическая значимость. Прямой ущерб при остановке теплоснабжения: стоимость аварийно-восстановительных работ, потери от недоотпуска тепловой энергии, компенсации потребителям. Для предприятия с годовым доходом около 500 млн рублей прямые потери при инциденте продолжительностью 2–3 суток оцениваются в 5–15 млн рублей. Комиссия сопоставляет это значение с пороговыми значениями таблицы ПП-127 и определяет, что порог третьей категории по экономическому критерию не достигнут (пороги сверяйте по актуальной редакции приложения к ПП-127).

Обоснование «почему не достигнут порог» фиксируется в акте. Формулировка «ущерб равен нулю» без расчёта — одна из самых частых причин возврата документов ФСТЭК. Регулятор хочет видеть цифры и логику, а не отписку.

Экологическая значимость. АСУ ТП теплоснабжения не управляет процессами, при нарушении которых возможен значимый экологический ущерб: нет хранения опасных веществ, нет сбросов в водоёмы, нет выбросов в атмосферу сверх ПДК. В акте фиксируется: «Показатель не применим к данному объекту. Обоснование: технологический процесс теплоснабжения не связан с воздействием на окружающую среду, опасные производственные объекты в контуре АСУ ТП отсутствуют».

Политическая значимость и значимость для обороны — не применимы для муниципального теплоснабжающего предприятия. Фиксируется аналогично, с указанием обоснования.

Определение итоговой категории

Итог: категория присваивается по наивысшему показателю (тот самый принцип «максимума»). Социальный критерий даёт III категорию — объект получает третью категорию значимости и становится значимым объектом КИИ. После включения в реестр ФСТЭК на него распространяются требования по обеспечению безопасности ЗОКИИ: обязанность разработать модель угроз объекта КИИ и внедрить конкретные организационные и технические меры защиты по соответствующим приказам ФСТЭК.

Как заполнить акт категорирования объекта КИИ: образец с пояснениями

Акт категорирования — основной документ, фиксирующий результаты работы комиссии. Готовится на каждый объект КИИ и подписывается всеми членами комиссии. Параллельно заполняется форма сведений о результатах категорирования (форма 236) для отправки регулятору.

Жёсткого шаблона акта нет, но практика проверок ФСТЭК сформировала устоявшуюся структуру. Ниже — обязательные разделы с комментариями о том, где регулятор обычно находит замечания.

Раздел 1. Сведения о субъекте КИИ. Полное наименование, ИНН, ОГРН. Основание отнесения к субъектам КИИ с указанием конкретного ОКВЭД.

Частая ошибка: сфера деятельности в акте не соответствует фактическому ОКВЭД. Если у предприятия несколько видов деятельности — указывается тот, в рамках которого работает конкретный объект.

Раздел 2. Сведения об объекте КИИ. Наименование объекта (должно дословно совпадать с перечнем объектов, направленным во ФСТЭК ранее). Тип: ИС, ИТС или АСУ. Назначение и выполняемые функции. Описание границ — состав программных и аппаратных средств. Критические процессы, которые обеспечивает объект.

Частая ошибка: наименование объекта в акте расходится с наименованием в перечне. Формальная причина возврата — проверяйте точное совпадение формулировок перед отправкой. Буквально посимвольно.

Раздел 3. Оценка показателей критериев значимости. Для каждого из пяти критериев указывается: — применимость критерия к объекту (применим или не применим — с обоснованием) — описание наихудшего реалистичного сценария — расчёт количественного показателя — сопоставление с пороговыми значениями ПП-127 — вывод по критерию: присвоенная категория или «порог не достигнут»

Частая ошибка: формулировка «ущерб отсутствует» без пояснения. ФСТЭК ожидает развёрнутое обоснование. Вместо «экологический ущерб = 0» пишите: «Технологический процесс теплоснабжения не включает операции с опасными веществами (перечень веществ, используемых в процессе: вода, антикоррозийные присадки класса опасности 4), сброс в водные объекты не осуществляется, воздействие на атмосферный воздух при штатном и аварийном режиме не превышает ПДК (ссылка на раздел проектной документации)». Да, длинно. Но именно это хочет видеть регулятор.

Раздел 4. Результат категорирования. Присвоенная категория значимости — или решение «без категории» с развёрнутым обоснованием по каждому из пяти критериев. Ссылка на конкретные показатели и пороговые значения ПП-127.

Раздел 5. Подписи членов комиссии. ФИО, должность, подпись каждого члена комиссии. Дата составления.

Отправка сведений во ФСТЭК и типичные причины возврата

Порядок и сроки

По 187-ФЗ и ПП-127 субъект КИИ направляет сведения о результатах категорирования в ФСТЭК в установленный срок со дня принятия решения комиссией (конкретные сроки сверяйте с актуальной редакцией закона и подзаконных актов). Сведения оформляются по форме 236 и направляются в письменном виде.

ФСТЭК проверяет: соблюдение порядка категорирования, правильность присвоения категории, полноту сведений. Результат проверки:

• Замечаний нет → объект с присвоенной категорией включается в реестр значимых объектов КИИ, субъект уведомляется в десятидневный срок.
• Объект признан незначимым → субъект уведомляется о результатах проверки в порядке, установленном ст. 7 187-ФЗ.
• Выявлены нарушения → сведения возвращаются с мотивированным обоснованием. Субъект обязан устранить замечания и повторно направить документы в десятидневный срок.

Почему ФСТЭК возвращает документы

На практике основные причины возврата:

1. Несостыковка наименований. Название объекта в форме 236 не совпадает с перечнем объектов КИИ, направленным ранее. Решение: перед отправкой сверять формулировки дословно. Это занимает пять минут и экономит месяц.

2. Отсутствие обоснования статуса «без категории». Комиссия написала «категория не присвоена», но не объяснила по каждому из пяти критериев, почему порог не достигнут. ФСТЭК требует развёрнутый расчёт даже для тех критериев, по которым показатель неприменим.

3. Неполный состав комиссии. Нет представителя ГО и ЧС, отсутствует специалист по ИБ или не включён представитель эксплуатирующего подразделения. Соответствие состава требованиям ПП-127 проверяется по приказу о создании комиссии.

4. Занижение масштаба последствий. Комиссия оценивает масштаб нарушения жизнеобеспечения как «локальный», хотя объект обслуживает территорию муниципального образования. ФСТЭК может запросить обоснование расчётов и потребовать пересмотр категории в сторону повышения.

5. Искусственное дробление объектов. Единая АСУ ТП разделена на несколько «объектов», чтобы занизить масштаб последствий для каждого. Обратная ситуация — объединение технологически независимых систем в один объект. Оба варианта вызывают вопросы при проверке.

Чеклист категорирования КИИ без консультанта

Контрольный список для самостоятельного проведения категорирования — каждый пункт соответствует конкретному действию, которое должно быть выполнено и задокументировано.

1. Подтвердить статус субъекта КИИ: проверить ОКВЭД организации на соответствие 13 отраслям, указанным в статье 2 187-ФЗ.
2. Издать приказ о создании комиссии по категорированию с персональным составом и полномочиями.
3. Проверить состав комиссии: руководитель (заместитель), ИТ, ИБ, ГО и ЧС, представители эксплуатирующих подразделений.
4. Провести инвентаризацию ИС, ИТС и АСУ. Зафиксировать границы каждого объекта по технологическому процессу.
5. Определить критические процессы организации. Связать каждый объект с конкретными процессами.
6. Сформировать, утвердить и направить перечень объектов КИИ во ФСТЭК (срок — 10 рабочих дней с момента утверждения).
7. Для каждого объекта оценить все пять групп критериев значимости по таблице ПП-127. Зафиксировать наихудший реалистичный сценарий и расчёт.
8. Для неприменимых критериев подготовить письменное обоснование неприменимости с указанием фактических обстоятельств.
9. Для критериев, по которым порог не достигнут, подготовить расчёт и обоснование — не «ущерб = 0», а развёрнутое пояснение с цифрами.
10. Определить итоговую категорию по наивысшему показателю. Если ни один порог не достигнут — «без категории» с обоснованием по каждому критерию.
11. Оформить акт категорирования. Сверить наименования объектов в акте и в перечне — расхождение даже в одном слове приводит к возврату.
12. Подписать акт всеми членами комиссии.
13. Заполнить форму 236 (сведения о результатах категорирования).
14. Направить сведения во ФСТЭК в течение 10 дней с момента подписания акта.
15. При получении возврата — устранить замечания и повторно направить в десятидневный срок.
16. После включения объекта в реестр ЗОКИИ — приступить к реализации требований безопасности ЗОКИИ по соответствующим приказам ФСТЭК: разработка модели угроз, внедрение организационных и технических мер защиты.

На бумаге процесс выглядит линейно, на практике превращается в несколько итераций с регулятором. Многие организации идут по пути наименьшего сопротивления — нанимают подрядчика, который массово штампует акты «без категории» по всем объектам. Дешевле и быстрее, чем считать показатели по каждому критерию с развёрнутым обоснованием.

ФСТЭК до недавнего времени физически не успевал проверять каждый акт детально, но ситуация меняется: ожидается ужесточение контроля за категорированием и усиление роли отраслевых ведомств. Для тех, кто сейчас занижает категорию или «теряет» объекты из перечня, это означает переделку с нуля — уже под давлением конкретных сроков и штрафных санкций.

Один раз пройти процесс честно, посчитать показатели и зафиксировать границы объектов — дешевле, чем дважды переделывать после предписания. Тем, кто только заходит в ИБ-комплаенс и хочет не собирать знания по кускам — IB Basics даёт эту базу за два месяца.