Приказ ФСТЭК № 239: меры защиты значимых объектов КИИ

Приказ ФСТЭК России № 239 устанавливает требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры — то есть уже прошедших категорирование и включённых в реестр значимых объектов КИИ. Он отвечает на вопрос «чем защищать», а не «как организована защита» — это отдельная зона приказа ФСТЭК № 235. По решению субъекта КИИ приказ № 239 можно применять и добровольно — к объектам, не отнесённым к значимым.

Полное название — приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации». Зарегистрирован в Минюсте России 26 марта 2018 г. под № 50524, опубликован на официальном интернет-портале правовой информации.

Издан во исполнение п. 4 ч. 3 ст. 6 187-ФЗ — той же нормы, по которой выпущен приказ № 235. Точная дата вступления в силу отдельно в тексте приказа не выделена; по общему правилу для ведомственных актов, прошедших регистрацию в Минюсте, это происходит через 10 дней после официального опубликования оценка.

С момента выхода в приказ вносили правки четыре раза, и по масштабу это разные изменения — от точечных уточнений до нового раздела:

ФСТЭК выпустила три приказа о значимых объектах КИИ почти одновременно, в декабре 2017 года, и на первый взгляд их легко перепутать — все три ссылаются на одну и ту же статью 187-ФЗ. На деле они регулируют разные предметы и работают вместе, а не вместо друг друга.

↔ таблицу можно прокрутить вбок

Последовательность применения такая: субъект КИИ проходит категорирование и направляет его результаты во ФСТЭК по форме приказа № 236 → строит систему безопасности значимого объекта по приказу № 235 → применяет к самому объекту конкретные меры защиты по приказу № 239. Категория значимости, полученная на первом шаге, — входной параметр для приказа № 239: она определяет базовый набор мер, требуемый класс СЗИ и ряд отдельных требований (сертифицированные граничные маршрутизаторы, обязательная локализация хранения — раздел «Требования к СЗИ» ниже).

Если значимый объект одновременно является государственной информационной системой, требования № 239 применяются с учётом требований к защите информации в ГИС — сейчас это приказ ФСТЭК № 17 от 11.02.2013, но с 1 марта 2026 года он заменён приказом ФСТЭК № 117 от 11.04.2025. Для значимых объектов, являющихся одновременно ГИС, связка «239 + 17» на практике переходит в «239 + 117» — сам текст приказа № 239 на момент подготовки материала ещё ссылается на приказ № 17, и это терминологическая нестыковка переходного периода, а не ошибка норм.

Если объект — информационная система персональных данных, требования № 239 применяются с учётом ПП РФ № 1119 о защите ПДн.

Приказ прямо перечисляет пять стадий, которые субъект КИИ проходит при создании (модернизации), эксплуатации и выводе из эксплуатации значимого объекта. Результаты каждой стадии подлежат документированию — состав и формы документов субъект КИИ определяет сам.

Реагирование на компьютерные инциденты по приказу № 239 привязано к порядку, установленному п. 6 ч. 4 ст. 6 187-ФЗ, — то есть напрямую завязано на взаимодействие с ГосСОПКА. Это тот же контур, что и в приказе № 235, только там регулируется организация взаимодействия, а здесь — конкретные действия на этапе эксплуатации объекта.

Ядро приказа — приложение «Состав мер по обеспечению безопасности», где каждая из 17 групп мер расписана построчно (например, у группы ИАФ — от ИАФ.0 до ИАФ.7, у УПД — от УПД.0 до УПД.14) с отметкой, для какой категории значимости мера обязательна. Общее число позиций в приложении в разных отраслевых разборах оценивают в районе полутора сотен, но точный постраничный подсчёт по всему приложению для этого материала не проводился — эту цифру не стоит цитировать как проверенный факт оценка, не проверено.

↔ таблицу можно прокрутить вбок

Набор мер для конкретного объекта собирается не «списком целиком», а поэтапно (п. 23 приказа):

1. Базовый набор. Определяется по присвоенной категории значимости — по таблице приложения. Чем выше категория (I — самая высокая), тем шире набор обязательных мер.
2. Адаптация. Из базового набора можно исключить меры, не связанные с применяемыми в объекте технологиями. Каждой угрозе из модели угроз должна соответствовать мера, блокирующая или нейтрализующая её; если базового набора не хватает — он расширяется мерами из приложения.
3. Дополнение. Адаптированный набор дополняется мерами из других НПА в области защиты информации — если объект дополнительно подпадает под требования к защите гостайны, персональных данных или криптографии.

Если реализовать отдельную меру нельзя — например, она мешает штатной работе объекта — субъект КИИ разрабатывает компенсирующую меру, которая блокирует ту же угрозу другим способом. Применение компенсирующей меры нужно обосновать при разработке и подтвердить её достаточность на приёмочных испытаниях; в этом качестве могут учитываться и меры промышленной, функциональной или физической безопасности объекта.

Раздел IV приказа (п. 27–32), добавленный правкой 2020 года, отдельно устанавливает требования к программным и программно-аппаратным средствам защиты. Применяемые СЗИ должны пройти оценку соответствия — в форме обязательной сертификации, испытаний или приёмки; сертифицированные средства применяются, когда это прямо установлено законодательством, либо по решению самого субъекта КИИ. В приоритете — средства защиты, встроенные в программное обеспечение или программно-аппаратные средства объекта.

↔ таблицу можно прокрутить вбок

Это дословная норма п. 29 приказа: классы защиты и уровни доверия дальше конкретизируются отдельными нормативными актами ФСТЭК России. К этому же разделу относятся ещё три требования, которые касаются не самих СЗИ, а условий их применения:

С 5 ноября 2024 года (правка приказом № 159) для значимых объектов и ГИС, у которых есть интерфейсы или сервисы с постоянным доступом из интернета, действуют дополнительные требования по защите от DDoS-атак: выявление таких интерфейсов и сервисов, определение используемых публичных адресов и доменных имён, обеспечение их доступности после фильтрации трафика — через хостинг-провайдера с защитой от DDoS либо через собственные средства мониторинга и фильтрации, которые должны находиться на территории РФ.

Точную нумерацию новых пунктов приказа в этой части мы не проверяли по первоисточнику редакции от 28.08.2024 — содержание подтверждено двумя независимыми отраслевыми источниками, но не самим текстом приказа оценка.

Для практики выбора СЗИ это означает: класс и уровень доверия — только отправная точка, реальный набор мер закрывается разными классами средств защиты. Примерная раскладка по каталогу SecRadar:

Приказ прямо называет документы, которые появляются на каждой стадии жизненного цикла значимого объекта. Это не рекомендованный список, а то, что напрямую следует из текста Требований:

• Модель угроз безопасности информации значимого объекта — можно разрабатывать одну на несколько объектов с одинаковой архитектурой и целью или на типовые угрозы;
• Техническое задание на создание значимого объекта и/или частное ТЗ на подсистему безопасности;
• Проектная документация на значимый объект и подсистему безопасности;
• Рабочая (эксплуатационная) документация — архитектура подсистемы безопасности, параметры настройки СЗИ, правила безопасной эксплуатации;
• Организационно-распорядительные документы по безопасности значимого объекта — правила и процедуры реализации мер, политики безопасности;
• Программы и методики испытаний — предварительных, опытной эксплуатации, приёмочных;
• Акт приёмки значимого объекта в эксплуатацию (или аттестат соответствия, если объект — государственная информационная система);
• Протокол испытаний СЗИ — для средств, оцениваемых в форме испытаний или приёмки, а не встроенных в системное или прикладное ПО.

В отраслевой практике к этому списку обычно добавляют положение или политику информационной безопасности значимых объектов, план мероприятий, журналы учёта событий безопасности и инструкции пользователей и администраторов — но это сложившаяся практика внедрения, а не исчерпывающий перечень названий, прямо указанный в тексте приказа № 239 оценка.