Приказ ФСТЭК № 235: требования к системе безопасности значимого объекта КИИ

Приказ ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования» определяет, как субъект КИИ должен организовать защиту значимого объекта: кто за неё отвечает, какими документами она оформлена и как поддерживается в рабочем состоянии. Приказ зарегистрирован в Минюсте России 22.02.2018 под № 50118 и опубликован на publication.pravo.gov.ru.

Предмет регулирования — не конкретные технические меры защиты, а организационная конструкция: приказ обязывает субъекта КИИ создать систему безопасности значимого объекта, чтобы обеспечить его устойчивое функционирование при проведении в отношении него компьютерных атак. Какие именно меры защиты применять — задача другого документа, приказа ФСТЭК № 239 (раздел «235 vs 239» ниже).

Действующая редакция — с изменениями приказа ФСТЭК № 69 от 20.04.2023 (действует с 04.07.2023). Это уже третий по счёту текст документа: после исходной редакции 2017 года в приказ № 235 вносилась правка приказом № 64 от 27.03.2019, а затем приказом № 69 (подробности — в разделе «Актуальные изменения»).

Требования приказа № 235 обязательны для субъектов КИИ, которым принадлежит значимый объект КИИ, — то есть объект, которому присвоена категория значимости (I, II или III) и который включён в реестр значимых объектов КИИ. Кто такой субъект КИИ и чем объект КИИ отличается от значимого объекта, разобрано отдельно: что такое КИИ и субъект КИИ.

Сама обязанность защищать значимые объекты вытекает из 187-ФЗ — приказ № 235 конкретизирует её применительно к системе безопасности.

Пока категория не присвоена и объект не включён в реестр, требования № 235 к нему формально не применяются. Но обязанность провести категорирование возникает раньше — как только организация работает в одной из сфер 187-ФЗ и её системы подпадают под критерии значимости. Порядок и сроки этой процедуры — в разборе категорирование объектов КИИ.

В отличие от приказа № 239, где состав мер защиты зависит от присвоенной категории, требования № 235 к силам и документации системы безопасности одинаковы для объектов всех трёх категорий значимости — категория влияет на то, чем именно защищать объект, но не на то, нужна ли вообще организованная система безопасности.

Требования приказа строятся вокруг нескольких блоков — силы, средства, документация и обучение, плюс отдельно взаимодействие с НКЦКИ и поддержание системы в рабочем состоянии.

Приказ прямо называет не все документы из этого набора — обязательными по тексту являются модели угроз и годовой план мероприятий, остальное сложилось как практика внедрения. На проектах субъекты КИИ обычно собирают такой комплект:

• политика/концепция информационной безопасности значимых объектов КИИ;
• положение о системе безопасности значимых объектов;
• модели угроз безопасности информации для значимых объектов;
• регламент реагирования на компьютерные инциденты;
• регламент взаимодействия с ГосСОПКА/НКЦКИ;
• годовой план мероприятий по обеспечению безопасности, утверждаемый руководителем субъекта КИИ;
• должностные регламенты и инструкции для работников подразделения безопасности;
• акты ежегодного контроля состояния безопасности значимого объекта.

Оба приказа обязательны для одного и того же значимого объекта КИИ, но отвечают на разные вопросы: № 235 — «как построена защита», № 239 — «чем конкретно защищаться». Спутать их легко: ФСТЭК выпустила оба приказа в декабре 2017 года почти одновременно, и оба посвящены значимым объектам КИИ.

↔ таблицу можно прокрутить вбок

1. Назначить ответственных. Создать структурное подразделение или назначить работников, ответственных за безопасность значимого объекта, приказом руководителя субъекта КИИ.
2. Разработать документацию. Политика и положение о системе безопасности, модели угроз, регламенты реагирования и взаимодействия с ГосСОПКА, годовой план мероприятий.
3. Подобрать и внедрить СЗИ, прошедшие оценку соответствия. Состав и класс средств защиты зависит от категории значимости объекта — их определяет приказ № 239, а не № 235.
4. Наладить взаимодействие с НКЦКИ. Регламент информирования об инцидентах, получение и реализация рекомендаций ГосСОПКА.
5. Обучить персонал. Обучение ответственных лиц и регулярный инструктаж эксплуатирующего персонала.
6. Проводить ежегодный контроль. Проверка состояния системы безопасности комиссией или внешним аудитом с оформлением акта и доработкой по итогам года.

Связка «категория значимости → класс СЗИ» — распространённая в отраслевых обзорах формулировка: объектам I категории обычно нужны СЗИ не ниже 4 класса, II категории — не ниже 5 класса, III категории — не ниже 6 класса. оценка — эту связку стоит сверять с текстом действующих НПА о классах СЗИ под конкретный проект, а не принимать как окончательную цифру.

Для средств обеспечения безопасности, которые приказ № 235 требует иметь в составе системы, на практике минимум нужен такой набор:

Приказ № 235 менялся дважды с момента выхода в 2017 году:

Ключевая идея проекта — перевести требования безопасности значимых объектов из внутренней процедуры субъекта КИИ в формализованный регулярный режим контроля с обязательной отчётностью перед ФСТЭК:

• Кзи (показатель защищённости значимого объекта КИИ) — расчёт не реже одного раза в 6 месяцев; методика расчёта утверждена ФСТЭК России 11.11.2025;
• Пзи (уровень зрелости мер безопасности) — расчёт не реже одного раза в 2 года; методика расчёта, по данным обзоров, пока не утверждена;
• при недостижении нормируемых значений — уведомление руководителя субъекта КИИ в течение 3 календарных дней, уведомление ФСТЭК России — в течение 5 рабочих дней после расчёта;
• для приказа № 239 в проекте — обязанность разрабатывать дополнительные организационные и технические меры при наличии ограничений от разработчиков СЗИ, со ссылкой на Указ Президента РФ № 250.