Когда речь заходит о критической информационной инфраструктуре (КИИ), ошибиться нельзя. Федеральный закон № 187‑ФЗ и приказы ФСТЭК (особенно № 235 и № 239) требуют не только установить средства защиты, но и регулярно проверять, как они работают, фиксировать результаты и устранять проблемы. На значимых объектах внешние аудиторы могут временно заменить внутренние проверки, но это делается лишь по решению руководства и при наличии лицензий.
Внутренний контроль — это не скучная «бюрократия ради галочки», а непрерывный процесс. Он помогает понять: актуальны ли наши документы? Соответствуют ли настроенные фильтры реальной модели угроз? Станет ли наш объект причиной скандальных новостей после визита регулятора? Исследования и опыт ФСТЭК показывают, что большинство замечаний на проверках связаны не с отсутствием защитных средств, а с расхождением между бумажной документацией и реальной инфраструктурой. Именно поэтому тему внутреннего контроля нельзя игнорировать.
Шаг 1. Понять, что именно вы контролируете: перечень и категории
Невозможно защитить то, что вы не описали. Первым делом формируем перечень объектов КИИ и присваиваем им категории значимости. Это делается по постановлению Правительства № 127. Комиссия определяет критические процессы, находит системы, которые их обеспечивают, и оценивает последствия их отказа. По итогам объекту присваивают 1‑ю, 2‑ю или 3‑ю категорию (либо признают его незначимым).
Обратите внимание: решение комиссии должно быть оформлено в протоколе и утверждено руководителем — иначе категорирование могут признать недействительным. Правильная категория определяет набор мер по приказам ФСТЭК. Ошибётесь на этом этапе — получите лишние требования или пропустите важные.
Шаг 2. Сформировать внутренние правила — но так, чтобы ими было удобно пользоваться
После категорирования нужно придумать и закрепить регламенты. Здесь главное — не утонуть в бумагах. Лично я советую придерживаться структуры:
- Порядок внутреннего контроля. Кто будет проводить проверки, что именно проверяем, как часто и какие документы сопровождают каждую проверку. Во многих компаниях используют модель «трёх линий защиты»: исполнители (1‑я линия), специалисты по ИБ (2‑я) и независимый аудит/внутренний контроль (3‑я).
- График проверок. Плановые проверки проводятся, например, раз в квартал или раз в год. Внеплановые назначают при внедрении новых систем, после инцидентов или по предписанию регулятора. Важно помнить: внутренний контроль — обязательная процедура, его нельзя заменить только внешними проверками.
- Методика оценки. Это чек‑лист требований и критериев: актуальны ли модели угроз и нарушителей, корректно ли настроены идентификация/аутентификация, сегментация, журналирование, антивирус и IDS/IPS? Рекомендуется определить метрики (количество повторяющихся нарушений, скорость устранения) и следить за динамикой.
- Шаблоны отчётов. Готовые формы помогут быстрее оформлять результаты и снижать вероятность пропустить важный пункт.
Ещё один лайфхак: держите документы в цифровом виде, чтобы обновлять их стало проще, и используйте систему управления задачами (Jira, Trello) для контроля сроков.
Шаг 3. Провести проверки и не бояться результатов
Внутренние проверки делятся на плановые и внеплановые. Плановые проводятся по графику и включают:
- проверку организационных мер: актуальность моделей угроз и нарушителей, наличие утверждённых приказов, распределение обязанностей, обучение сотрудников;
- проверку технических мер: корректность настройки средств защиты, журналирования, сегментации, антивируса и IDS/IPS; актуальность обновлений. Эксперты «Инфобезопасности» напоминают, что регуляторы обязательно сравнивают наличие документов (перечень объектов, акты категорирования, модель угроз, техпроект защиты, политики) с реальным состоянием систем. Они проверяют идентификацию, разграничение прав, защиту носителей и журналирование, антивирусы, IDS/IPS, контроль целостности, сегментацию и шифрование, управление обновлениями.
Внеплановые проверки назначают при внедрении новых систем, после инцидентов, по требованию ФСТЭК или ФСБ. Их задача — быстро отреагировать на изменения и убедиться, что новые угрозы учтены.
Перед внешним аудитом полезно провести внутренний «генеральный просмотр». Эксперты советуют проверять все документы по приказам № 235 и № 239, обновить антивирусные базы, убедиться, что планы импортозамещения и назначение ответственных актуальны, а сотрудники прошли инструктаж. Это снизит риск формальных нарушений.
Шаг 4. Зафиксировать результаты и сделать выводы
По итогам проверки готовятся следующие документы:
- Акт внутреннего контроля — кто проверял, что смотрел, какие методы применяли.
- Перечень нарушений/отклонений — конкретные несоответствия с указанием пунктов приказов.
- Рекомендации и сроки — что сделать для устранения нарушений, какие компенсирующие меры принять.
- Ответственные — люди и подразделения, отвечающие за выполнение.
Эти материалы направляются в службу ИБ и руководству. Для примера: региональный приказ о внутреннем контроле требует, чтобы комиссия не только проверяла, но и оценивала эффективность организационных и технических мер, организовывала работы по обеспечению безопасности и контролировала состояние объекта.
Шаг 5. Не бросаем дело на полпути: мониторинг и автоматизация
После проверки начинается самое важное — устранение нарушений. Нужно контролировать, чтобы рекомендации были выполнены, и проводить повторные проверки проблемных участков. Регуляторы отмечают, что отсутствие регулярного контроля или «бумажные» меры — одна из самых частых ошибок.
Совет от практиков: автоматизируйте учёт нарушений и сроков их устранения (в Excel, Jira, сервисах ИБ). На конференциях по КИИ специалисты выделяют пять объектов контроля: документация, персонал, сами объекты КИИ, системы защиты и физическая безопасность, и рекомендуют автоматизировать анализ документов и централизовать хранение результатов.
Шаг 6. Как понять, что всё это работает: оцениваем эффективность
СЗИ может быть сертифицированной, но при этом настроенной неправильно. Вот критерии, на которые я обращаю внимание:
- Соответствие модели угроз. Меры защиты должны закрывать актуальные угрозы и учитывать характеристики «нарушителя». Часто проблемы возникают, когда настройки межсетевых экранов или IDS не соответствуют заявленной модели.
- Динамика инцидентов. Смотрите, уменьшается ли количество повторяющихся нарушений. Есть прогресс? Отлично. Нет? Значит, нужно менять подход.
- Тесты на устойчивость. Проводите пентесты, моделирование вторжений, аудит конфигураций. Важно, чтобы защита работала 24/7, а не только на бумаге.
- Готовность персонала. Сотрудники должны знать, как реагировать на инциденты, регулярно проходить обучение и участвовать в учениях. Регуляторы проверяют назначение ответственных, наличие дипломов или свидетельств о переподготовке, распределение обязанностей и программы обучения.
- Логи и реагирование. Проверьте, ведутся ли журналы событий, есть ли контроль целостности и кто их анализирует. Регуляторы требуют хранить журналы и акты внутреннего контроля.
Итоги: не бойтесь внутреннего контроля, делайте его понятным и полезным
Внутренний контроль — это часть культуры безопасности, а не бюрократический квест. Регулярные проверки помогают обнаружить слабые места, актуализировать документы и подстроить защиту под новые угрозы. Да, закон № 187‑ФЗ, приказы ФСТЭК и постановление № 127 формируют жёсткие рамки, но именно системный и живой подход позволяет выполнять требования, снижать риск инцидентов и спокойно проходить проверки.
Говоря простым языком: составляйте списки, обновляйте документы, задавайте неудобные вопросы, автоматизируйте рутину и вовлекайте команду. Тогда внутренний контроль перестанет быть страшилкой и превратится в инструмент, который помогает вам спать спокойнее.
Автор — Анастасия Филиппова, 25‑летняя специалистка по информационной безопасности.
