Категорирование – первый и самый ответственный шаг в работе с критической информационной инфраструктурой по 187-ФЗ. От него зависит весь дальнейший объём защиты: какие меры внедрять, какие сроки соблюдать, какие проверки проходить. Ошибка на этом этапе тянется годами и всплывает на проверке ФСТЭК уже как нарушение. Разберём, где субъекты КИИ ошибаются чаще всего и как этого не допустить.

Перечень объектов: занижают или забывают

Главная ошибка – неполный перечень объектов КИИ. Комиссия включает в него очевидные АСУ ТП и биллинг, но пропускает вспомогательные системы: каталоги, шины данных, системы мониторинга, среды разработки с доступом в продакшн. Если процесс относится к одной из сфер из статьи 2 187-ФЗ (энергетика, финансы, связь, транспорт, здравоохранение, госуслуги и далее), все обслуживающие его информационные системы и сети – кандидаты на категорирование.

Вторая частая беда – затягивание сроков. После утверждения перечня у вас есть один год на категорирование объектов. На практике комиссию собирают за месяц до дедлайна, и решения принимаются на бегу. Соберите комиссию приказом заранее, закрепите ответственных от ИБ, ИТ и профильных подразделений, зафиксируйте регламент работы.

Показатели значимости: считают «на глаз»

Категория присваивается по показателям из Постановления Правительства № 127 – социальным, политическим, экономическим, экологическим, по обороне и безопасности государства. Здесь две зеркальные ошибки.

Первая – завышение. Комиссия из перестраховки ставит первую категорию там, где по расчётам выходит третья или объект вообще незначим. Результат – избыточные требования по приказу ФСТЭК № 239 и лишние затраты на средства защиты, которые никто не закладывал в бюджет.

Вторая – занижение или формальная оценка без расчётов. Пишут «ущерб незначителен» без моделирования сценария аварии или атаки. ФСТЭК такие выводы оспаривает и возвращает материалы на доработку. Считайте каждый показатель отдельно, с обоснованием: сколько людей пострадает, какой ущерб бюджету, как долго восстанавливается процесс. Берётся максимальное значение по всем показателям – оно и определяет категорию.

При оценке учитывайте реальную архитектуру, а не схему пятилетней давности. Если вы заменили зарубежную платформу – например, перешли с SAP на отечественную ERP или развернули LLM в собственном контуре, – это новый объект со своими связями и своим уровнем значимости. Старые акты категорирования к нему не относятся.

Документы и сроки направления во ФСТЭК

Сведения о результатах категорирования направляются во ФСТЭК по утверждённой форме в течение десяти рабочих дней после принятия решения. Типовые ошибки – неполный комплект, расхождения между актом и формой, отсутствие данных об угрозах и связях с другими объектами. Регулятор проверяет корректность и в течение тридцати дней может вернуть материалы.

Отдельно держите в фокусе пересмотр категории: его проводят не реже раза в пять лет и при любых изменениях, влияющих на показатели, – модернизации, смене процессов, появлении новых угроз. Здесь помогает не разовая инвентаризация, а постоянный сбор событий с инфраструктуры. Внедрённый SIEM на российском стеке даёт фактическую картину связей и нагрузки, на которую можно опереться при переоценке.

Вывод

Категорирование – не бумажная формальность, а инженерная задача с расчётами и обоснованиями. Полный перечень, честная оценка показателей, аккуратные документы и регулярный пересмотр снимают большинство претензий регулятора. Если внутренней экспертизы не хватает, сопровождение по информационной безопасности закроет весь цикл – от инвентаризации объектов до подготовки сведений во ФСТЭК.