Аня и немного про ИБ

🔥 Что делать, если в штате нет специалиста ИТ или ИБ для включения в комиссию по категорированию КИИ?

Генеральный директор осознал , что предприятие субъект КИИ (ну не без моей помощи, например, как эксперта Отраслевого центра компетенций по ИБ в промышленности Минпромторга России😉) Вы — руководитель или ответственный за КИИ, а в штате нет ни одного айтишника, не говоря уже о специалисте по ИБ с "корочкой".
А комиссия по категорированию сама себя не создаст — сроки поджимают, ФСТЭК пишет письмо, требования п. 11 ПП № 127 все еще существуют .
👇 Рассказываю, как решить эту задачу законно и без оплаты и СМС приёма людей в штат.
⚡️ Короткий ответ: принимать специалиста в штат НЕ ОБЯЗАТЕЛЬНО.
Закон прямо предусматривает возможность привлечения внешних экспертов. И это не «серая схема», а полностью легальный механизм, которым пользуются множество субъектов КИИ. Сама видела))
📜 Нормативная база
Пункт 11 и 11(1) Правил категорирования (ПП РФ от 08.02.2018 № 127) гласит, что в состав комиссии включаются:
✅ руководитель субъекта КИИ (обязательно);
✅ работники субъекта КИИ, являющиеся специалистами в требуемых областях;
✅ иные лица, не указанные в пункте 11 настоящих Правил (по решению руководителя).

🛠 Три пути оформить привлечение внешнего специалиста
Путь 1. Договор с юрлицом (рекомендую ⭐️)
Заключаете договор на оказание услуг с организацией. Внешний специалист выступает как «представитель организации-исполнителя». Это 100% соответствует букве закона и не вызывает вопросов у ФСТЭК России или прокуратуры. Риск: если что-то больше, чем категорирование - организации-подрядчику нужна лицензия по ТЗКИ ФСТЭК России.
Путь 2. Договор ГПХ с физлицом (или самозанятым)
На практике чаще многие так и делают. Но есть нюанс: в п. 11 ПП № 127 сказано «работники субъекта», а физлицо формально не состоит в трудовых отношениях с субъектом КИИ. При проверке регулятор может придраться. Используйте с осторожностью.
Путь 3. Трудовой договор по внешнему совместительству (компромисс)
Если хотите максимально обезопасить себя, но не готовы брать человека на полный день — оформите его на часть ставки (по ТК РФ - не более 0,5) с чёткой должностной инструкцией по функциям КИИ. Для осуществления работ по категорированию также требуется наличие специализированного образования (диплом по специальности с кодом 10.05 или о профессиональной переподготовке). Риск: регулятор может оспорить фактические объемы работы с номинальной ставкой.

📋 Пошаговый алгоритм включения в комиссию
Шаг 1. Заключите договор на услуги по категорированию КИИ (с юрлицом/физлицом).
Шаг 2. Разработайте или актуализируйте Положение о комиссии. Пропишите в нём, что наряду с работниками в состав могут входить представители сторонних организаций, привлекаемые по решению руководителя.
Шаг 3. Издайте (актуализируйте) приказ о создании комиссии. В списке членов укажите внешнего специалиста с формулировкой:

«Иванов И.И., ведущий специалист ООО "...." (представитель организации на основании Договора № 123 от 01.01.2026)».

⚠️ ВАЖНО! Ответственность никуда не денется
Ответственность за организацию и проведение категорирования, а также за актуальность и достоверность сведений, направляемых во ФСТЭК России, несёт руководитель субъекта КИИ.
Даже если всю фактическую работу (анализ систем, заполнение форм, написание актов) выполнит сторонний эксперт, юридическая и административная ответственность за ошибки, сроки или непредоставление сведений останется на руководителе организации.
💡 Совет: финальную проверку и подписание всех документов (особенно Акта категорирования) всегда держите под личным контролем.
📌 Резюме:
Внешний специалист в комиссии по категорированию — это законно, удобно и распространено. Главное — правильно оформить отношения и не забывать, кто несёт финальную ответственность перед регулятором.

#КИИ #187-ФЗ #категорирование #ИБ #лучшие_практики

Что важнее в ИБ: результат или красивый документ?

Что-то наболело у меня... Прямо скажу, даже выбесило.

В каждом проекте по информационной безопасности живёт один и тот же конфликт. Сталкиваюсь с ним в разных формах, но постоянно. Если что - я в команде тех, кто пропускает окончания у слов и теряет слова в предложениях😜

Как это выглядит:
одни говорят: «Главное — выявить риски и дать решение», другие: «Документ должен быть идеален, иначе мы все умрем...».

Кто же из них больший молодец? Давайте разбираться. Спойлер: ответ сложнее, чем кажется.

В чём суть спора? Одна часть команды фокусируется на содержании:
— реальные риски для бизнеса;
— применимые меры;
— основа для управленческих решений.

Другая — на форме:
— разметка, стили, терминология;
— структура разделов;
— визуальная «правильность» и шаблоны.

И здесь важно признать: в ИБ форма имеет значение. Но форма не должна подменять содержание.

Документ может быть идеально выровнен, содержать безупречные таблицы и красивые диаграммы.
Но если после его прочтения реальный потребитель результата (собственник бизнеса, руководитель, владелец бюджета) не понимает:
— какие риски угрожают бизнесу (или непосредственно ему, кстати..);
— что может остановить производство или сорвать отгрузку;
— какие решения нужно принять;
— сколько стоят бездействие и меры;
— кто за что отвечает и в какие сроки;

…значит, подготовленный отчет не выполнил свою задачу.
Даже если он безупречен визуально (ну такое себе, очень субъективно).

Почему команды начинают спорить🤔 Часто — не из-за непрофессионализма (да не, все дилетанты, кроме меня, ага😂), а из-за разных стратегий действия.

🔹 Ориентированные на результат💪
Задают вопросы:
— Какую проблему бизнеса мы решаем?
— Какое решение должно быть принято?
— Что изменится у заказчика?
Они готовы использовать любую форму, но как инструмент.
⛳Тонкое место: могут недооценить важность единообразия и навигации.

🔹 Ориентированные на правила и контроль ✍️
Им важны порядок, точность, стандарты и предсказуемость.
Они замечают противоречия, ошибки в нумерации и двусмысленности.
И это действительно важно — особенно в регулируемой сфере.
⛳Тонкое место: начать воспринимать соответствие форме как главный критерий качества.

🔹 Ориентированные на одобрение 👏
Стратегия: «сделаем так, чтобы понравилось заказчику».
За этим стоит страх замечаний и желание избежать конфликтов. Проблема — команда начинает угадывать вкусы вместо того, чтобы прояснить ожидания.

☝️Форма — это "мостик" между экспертизой и решением. Хорошее оформление нужно не ради эстетики.
Оно нужно, чтобы:
— руководитель увидел критические риски и приоритеты;
— специалисты перешли к действиям;
— юристы понимали нормативные основания;
— выводы можно было проверить и воспроизвести (ну и повторить);
— не было ложных трактовок.

Но если интерфейс красивый, а решения из него не следуют — это не качественный результат.
Это качественно оформленная неопределённость.

🚀Что зафиксировать в начале проекта, чтобы предвосхитить конфликт в команде:
❓Кто потребитель результата. Не только контактное лицо, а тот, кто принимает решение: собственник, гендиректор, совет директоров.
❓Какое решение должен поддержать документ. Бюджет, дорожная карта, принятие риска, смена архитектуры, подготовка к проверке.
❓Как выглядит стандарт оформления. Если заказчик не дал шаблон — фиксируем свой: ГОСТ, стиль, терминология, уровень детализации. Не забываем про методологию (но это уже совсем другая история...😉)

Правильная последовательность:
Цель → Содержание → Форма.

Итак:
✏️"Ценность ИБ появляется там, где экспертный вывод превращается в понятное, обоснованное и исполнимое управленческое решение"

Доброе утро, коллеги😊
Сегодня отличный день, чтобы разобрать ваши вопросы в комментариях📩

Под этим постом вы можете задать любой волнующий вопрос по тематике информационной безопасности (КИИ, ПДн и проч.): от практического до философского. На философский могу ответить не сразу😉

Чем конкретнее вопрос — тем полезнее будет ответ для всех.
Жду ваши вопросы!

Работа проделана большая, но...Начнем снова!🪏

Если ваше предприятие (конечно же из Сводного реестра предприятий ОПК😊) категорировало объекты КИИ ранее — поздравляю, вы вовремя закрыли важный этап. Но именно это и создает иллюзию завершенности, которая в текущем моменте оказалась опаснее, чем отсутствие категорирования вообще.
Почему? Потому что законодатели не просто дополнили правила — они сменили саму логику оценки. А старые результаты теперь работают против вас (помним про актуальность сведений как состав административного правонарушения по КоАП ст. 19.7.15).

Новая система координат

Ранее процесс категорирования строился на анализе критических процессов и было, по сути, самооценкой предприятия. Новые НПА эту логику перевернули.
📌Во-первых, Распоряжение Правительства РФ № 360-р ввело единый типовой перечень объектов КИИ. Если ваша ИС, АСУ, ИТКС в него не попали — это не повод выдохнуть, а повод готовить обоснование, почему он вообще подлежит категорированию.
📌Во-вторых, Постановление № 796 ввело отраслевые особенности именно для предприятий из сферы оборонной промышленности (да, напоминаю, вы все еще в Сводном реестре предприятий ОПК😉). Отныне значимость объекта КИИ определяется не абстрактными последствиями, а прямой стоимостью компонентов объекта КИИ🤨 (разберем эту ситуацию чуть позже здесь...).

Показатель 13

Самое чувствительное изменение — новые формулы расчета показателя 13 (снижение объемов и увеличение времени по ГОЗ). Вместо приблизительных оценок точные данные:
⚡Максимальная скорость выпуска продукции (Bmax) — не планируемая, а физически возможная по паспорту оборудования.
⚡Время устранения инцидента (Tинц) — не желаемое, а реальное по регламентам (планам восстановления деятельности).
⚡Объем недопоставки (Vинц) — с учетом наличия или отсутствия альтернативных способов выполнения работ

Ну и, конечно, не стоит забывать: с 11 ноября 2025 года действует Методика оценки показателя защищенности КЗИ, оценка которого проводится не реже одного раза в 6 месяцев для каждого значимого объекта КИИ.

📄В приложении к посту - алгоритм действий работника, ответственного за обеспечение безопасности КИИ на предприятии, необходимых при изменении НПА.

Если остались вопросы по внедрению требований КИИ, аудиту ИБ или в частности категорированию? Пишите - обсудим ситуацию в рамках консультации.

🔐 ИБ-аутсорсинг: почему передача функций ≠ передача ответственности

Тема аутсорсинга в ИБ часто продаётся как «....с больной головы на здоровую», но на практике превращается в делегирование рисков без контроля. Главный диссонанс в ожиданиях:
🔹 Заказчик ждёт: проактивной защиты и экспертности
🔹 Подрядчик делает: ровно то, что прописано в соглашении

Если в договоре нет регламентов эскалации, прав на аудит и механизмов экстренного вмешательства — при инциденте вы останетесь с «отчётностью», а не с решением. Мы с вами все помним: ответвенность в ИБ по общему правилу в законодательстве РФ не делегируется (!) Ответственность перед ФСБ, ФСТЭК остаётся на субъекте КИИ.
Аутсорсинг ИБ — это не снятие ответственности, а делегирование полномочий с обязательным документальным подтверждением контроля.

Делюсь структурированным подходом, как выстраивать работу с подрядчиками, чтобы не стать заложником контракта — особенно если есть объекты КИИ. ✅ Чек-лист управляемого аутсорсинга (по фазам):
🔹 Предконтракт: RFI/RFP (об этом чуть позже и поподробнее расскажу), бенчмаркинг, проверка разрешений и лицензий, соответствие ГОСТ Р ИСО/МЭК 27036.
🔹 Контракт: SLA + SOW, NDA, чёткие KPI/KRI, право на независимый аудит, условие одностороннего расторжения
🔹 Операционная деятельность: интеграция процессов, логирование доступа, совместный регламент инцидентов, мониторинг выполнения SLA
🔹 Завершение/переход: план преемственности, выгрузка всех артефактов и логов, фиксация результатов аудита

🎯 Ну, и напоследок, «неудобные» вопросы аутсорсеру, которые сэкономят ваши нервы и (деньги, конечно😁). Не стесняйтесь задавать их до подписания договора:
1️⃣ «Чьи логи, дампы и артефакты атак по договору — вам или нам?»
2️⃣ «Изолируете ли вы сервер без моего разрешения при активной компрометации?»
3️⃣ «Используете ли наши данные (в т.ч. анонимизированные) для обучения ваших ИИ/продуктов?»
4️⃣ «Кто в приоритете, если у вас одновременно сработает 10 инцидентов у клиентов?»
5️⃣ «Предоставите ли регулятору отчёт о нарушении, даже если я попрошу этого не делать?»

💡 Резюме: ИБ-аутсорсинг работает только по принципу «доверие с доказательствами». Без встроенных механизмов контроля, аудита и чёткого распределения зон ответственности вы получаете дополнительные неуправляемые риски.

#КИИ #ИБ #аутсорсинг #187ФЗ #SLA #управлениерисками #консалтинг

Тенденция «подрядчики не стремятся выполнять ИБ» будет усиливаться до тех пор, пока рынок сохраняет две вещи:
🎯 Тендерную систему (поощряют ложь и безответсвенность).
🎯 Отсутствие длинных контрактов с разделенной ответственностью (стимулирует имитацию деятельнсоти в ИБ).

✅ Имея большой опыт вконсалтинге ИБ, а также находясь долгое время на стороне заказчика, скажу: пока в договоре нет распределения выгоды , а есть только разделение рисков, подрядчик будет вашим оппонентом, а не партнером.

Это не изменится никогда.

Начните с малого — перестаньте требовать выполнения под "галочку". Начните спрашивать: «А как ты, подрядчик, обеспечишь непрерывность моих процессов?» — и дайте ему за это нормальные деньги и время. Рынок перестроится, вот увидите.

📊 Часть 2. Что делать? Методы и подходы изменения рынка
Я не приверженец стратегии "закручивания гаек", наказания, преследования и прочие экзекуции над партнерами)). Моя практика (более 18 лет в ИБ) показывает, что бесполезно давить, штрафовать и учить. Надо менять системную роль подрядчика — из «исполнителя требований» в «субъекта совместной ответственности».

Вот 4 рабочих подхода, которые, по моему мнению, решили бы проблему с подрядчиками.
🔹 Метод 1. Переход от «требований» к «сценариям защиты»
Вместо ТЗ из 500 пунктов («установи антивирус, отключи RDP, веди журнал…») — дайте подрядчику верхнеуровневые бизнес-сценарии: «Мы защищаем панель управления доменной печью. Вот её критичный путь. Разработайте меры ИБ, которые не позволят злоумышленнику дойти до этого пути в наших условиях эксплуатации. Деньги, сроки, ответственность — ваши предложения».
Почему работает: Подрядчик вынужден переключиться из режима «галочки» в режим «решения». У него появляется пространство для профессиональной гордости. Глубинная причина: люди (и компании) стремятся следовать требованиям, которые они создали сами или в которых видят смысл.
🔹 Метод 2. Модель «ИБ на подряде с отложенным бонусом»
Стандартный контракт: 90% оплаты по закрытию актов, 10% — гарантийное удержание на 3 месяца. Это провоцирует халтуру. Что работает: Выносим оценку ИБ на горизонт 12–18 месяцев после сдачи. Пример внедрения:
40% оплаты подрядчику сразу, 30% — после успешного пентеста и закрытия критичных уязвимостей (делает независимая команда, оплачивает заказчик). 30% — через 12 месяцев, если не было инцидентов, связанных с его системой. Результат: Подрядчик начал учиться у заказчика, внедрять мониторинг, проводить внутренние расследования. Почему? Появился долгий горизонт прибыли, появился страх симметричной ответственности. Конечно, это про нормальное планирование и управление проектами у Подрядчика, про долгосрочный бизнес, но это про качество в ИБ и про защищенность критичных ресурсов.
🔹 Метод 3. Создание «Белых пулов подрядчиков» с репутационным капиталом
Рынок сейчас анонимен. Плохой подрядчик исчезает, появляется с новой вывеской. Нужно создать систему, где статус ИБ-подрядчика становится нематериальным активом. Все старо как мир: Заказчики объединяются в отраслевой клуб (не ассоциацию с членскими взносами, а закрытый пул) и ведут рейтинг по строгим критериям: количество успешных отражений атак, скорость реакции на уязвимости, отсутствие штрафов.
Топ-5 подрядчиков получают доступ к преференциальным контрактам (без тендера, прямая цена, аванс 50%).
Глубинная причина: социальное доказательство и статус работают сильнее любых штрафов. Подрядчики начнут бороться за место в топе, потому что потеря доступа к пулу = смерть бизнеса.
🔹 Метод 4. Консультирвоание в ИБ-комплаенсе для подрядчиков (вместо проверок)
Промышленные заказчики тратят 80% времени на аудит подрядчика «после факта». Бесполезно. Нужно перейти в проактивное сопровождение. До начала работ — сессия с руководителем подрядчика и его ИБ-специалистом. Разбираем не требования, а страхи и заблуждения: «Что для вас самое бессмысленное в нашем регламенте?». Пересматриваем регламент под реальность (убираем ритуальные пункты, оставляем критическое). Заказчик при этом обязуется не штрафовать за первые инциденты (кроме критичных), если подрядчик их раскрывает сам. Подрядчик обязуется обучать своих исполнителей. Результат: снижение сопротивления на 70%. Подрядчики перестают врать, начинают звонить и советоваться.

🔐 Патология рынка услуг как она есть: заставить подрядчиков соблюдать требования по ИБ и не сойти с ума

Давайте разложим глубинные причины, а затем — что с этим делать.

Часть 1. Глубинные причины: почему подрядчики не стремятся делать "нормально" — это нормально?
С точки зрения бизнес-психологии, подрядчик ведет себя абсолютно рационально. Его мотивация подчиняется защитному механизму избегания убытков, а не стремлению к качеству.
1. Эффект «Чужие правила — чужая совесть»
Промышленное предприятие (особенно госкомпания или крупный частник) внедряет требования ИБ как ритуал. Подрядчик это считывает. Если заказчик сам не верит в свои требования (политики скопированы, регламенты не работают, ответственные — «свадебные генералы»), подрядчик моментально переходит в режим морального освобоэждения от угрызений. Он не нарушает настоящие правила — он обходит бумажки.
2. Рыночная деформация: тендерная система как селекция на «гибкость»
В условиях тендерных закупок побеждает не тот, кто умеет делать качественное ИБ, а тот, кто умеет обещать его по минимальной цене. Глубинная причина: заказчик требует доказательство соответствия (сертификаты, лицензии, галочки), а не доказательство безопасности. Подрядчики быстро выучили: проще купить «корочку», чем реально защищать. Рынок искуственно взращивает нарциссических имитаторов, а не тревожных перфекционистов.
3. Конфликт горизонта планирвоания
Подрядчик живет в горизонте «проект — оплата — закрытие актов» (3–6 месяцев). ИБ требует горизонта «эксплуатация — инцидент — корерктирующие мероприятия» (2–5 лет). Промышленное предприятие хочет, чтобы подрядчик инвестировал в чужое будущее, которое ему не принадлежит. Это дефект отношений: вы не можете требовать долгосрочного поведения от участника процесса, которого нанимаете на короткий контракт. Это не злой умысел, это факт.

Если захотите познакомиться поближе и узнать чуть больше личного - интервью. Как у настоящей звезды)) Спасибо Ольге Поздняк @pozdnyakolga за такой уникальный опыт. Проект #разговорыНЕпроИБ