Объекты КИИ:
угрозы, меры, уязвимости

Что мы вспоминаем из дня I

Сегодняшний день опирается на риск-методологию и базовую нормативку КИИ из первого дня курса. Кратко напомним пять опорных точек.

Учебный день в одной таблице

Пять лекционных блоков, три кофе-брейка и обед. В блоке 4 — практическое задание по адаптации мер приказа № 239 к ООО «РегионТранс» категории 2.

Кому адресован день и как им пользоваться

Без модели угроз приказ № 239 — формальный чек-лист

Все требования по обеспечению безопасности ЗОКИИ (приказы ФСТЭК № 235 и № 239) построены вокруг ключевой связки. Модель угроз — не «бумажка для пакета документов», а производственный документ, из которого вытекают практические решения.

1. Перечень актуальных угроз для каждого объекта КИИ — основа всего пакета документов.
2. Перечень способов и сценариев их реализации — для проектирования контрмер.
3. Перечень классов нарушителей (Н1–Н4 по методике ФСТЭК).
4. Перечень критических процессов, на которые угрозы воздействуют.
5. Базис для адаптации мер приказа № 239 (блок 4) и для оценки уязвимостей (блок 5).

Актив → Угроза → Уязвимость → Последствие → Мера

Три понятия, которые на практике постоянно путают

Три свойства информации, нарушение которых составляет суть угроз

На объектах КИИ — A-I-C, а не C-I-A

На объектах КИИ (особенно АСУ ТП КВО) приоритет триады переставляется. Это базовый принцип, который должна учитывать модель угроз.

Государственный банк данных угроз

Базовый источник для любой модели угроз. Размещён на сайте ФСТЭК. Состоит из двух разделов — угрозы и уязвимости (последний используется в блоке 5).

Пять шагов отбора актуальных угроз

1. Полный перечень угроз из БДУ. Берётся весь список — несколько сотен записей.
2. Исключение нереализуемых. Угрозы виртуализации — если её нет; облака — если облака нет; беспроводных сетей — если Wi-Fi нет.
3. Источник актуален? Из оставшегося отбираются угрозы, источник которых актуален для нашей модели нарушителя (Н1+).
4. Объект воздействия присутствует? Из оставшегося — угрозы, объект воздействия которых есть в нашей системе.
5. Итог — актуальные угрозы. Полученный перечень становится основой для следующего шага — выбора способов и сценариев (блок 2).

Три категории источников

В моделях угроз для ИБ традиционно главное внимание уделяется антропогенным источникам — там и нарушитель, и мотивация, и подбор Н1–Н4.

Пять видов внутренних нарушителей

1. Пользователи — привилегированные и непривилегированные.
2. Лица, обеспечивающие функционирование систем и сетей — администрация, охрана, уборщики и т.п.
3. Лица, привлекаемые для установки, настройки, испытаний, пусконаладочных и иных видов работ — подрядчики, интеграторы.
4. Системные администраторы и администраторы безопасности.
5. Авторизованные пользователи систем и сетей.

Девять видов внешних нарушителей

Четыре уровня по методике ФСТЭК от 05.02.2021

Кто обычно какого уровня

Привязка ориентировочная — оценивается индивидуально для каждого объекта. Но для ЗОКИИ практически всегда актуальны Н3 (преступные группы) и в ряде случаев Н4 (для критичных отраслей).

Восемь типичных мотивов

Понимание мотивации помогает оценить вероятность угрозы для конкретного объекта.

К / Ц / Д

Шесть классов воздействия

Шесть каналов реализации

Три типичные цели

Двадцать категорий объектов

Полный перечень категорий из БДУ. Для каждой угрозы в банке указано, на какие категории она воздействует. Это основа исключения нерелевантных угроз (см. шаг 4 алгоритма).

Что нарушитель делает с ПЛК и с корпоративной ИС

По материалам ТБ-Форум 2025 (доклад В. Карантаева о доверенных ПАК). Сравнение типичных целей в АСУ ТП и в «обычных» корпоративных системах.

Где модель угроз внутри цикла ГОСТ 27005

Сегодняшний день — это расширение и детализация работы с угрозами в применении к объектам КИИ. Модель угроз — оформленный результат идентификации.

Работа с уязвимостями (блок 5) — это конкретизация ещё одного элемента «Идентификации» из дня I.

Приказ ФСТЭК № 236 — три пункта в сведениях во ФСТЭК

Модель угроз — не отдельный документ для шкафа, а основа официальной отчётности во ФСТЭК. Если модель плохая, ФСТЭК увидит это на проверке.

Семь грабель в моделировании

Проверка усвоения

1. В чём разница между «угрозой», «атакой» и «инцидентом» по нормативке РФ?
2. Где находится БДУ ФСТЭК и что в нём?
3. Что такое триада CIA и почему в АСУ ТП она преобразуется в AIC?
4. Перечислите 4 уровня возможностей нарушителей (Н1–Н4).
5. Назовите типовые виды внутренних и внешних нарушителей.
6. Каковы 6 типичных целей атак на объекты КИИ?
7. Где модель угроз встраивается в цикл риск-менеджмента из дня I?
8. Что должна содержать модель угроз с точки зрения приказа ФСТЭК № 236?

Методика ФСТЭК «Оценка угроз безопасности информации» от 05.02.2021

Девять разделов модели

Двенадцать шагов формирования перечня актуальных угроз

Отработан на десятках реальных моделей угроз. Применим к любому объекту защиты — от ИСПДн до ЗОКИИ.

Фундамент модели угроз

Минимальный состав описания. Чем подробнее, тем точнее модель угроз.

Технология не используется → угрозы исключаются

Пример из авторского алгоритма Пикова для модели угроз БПЛА. Если технологии в системе нет — связанные с ней угрозы автоматически уходят (с обязательным обоснованием).

Условия эксплуатации тоже снимают угрозы

1. Объект изолирован физически (нет внешних подключений) — исключаются угрозы через каналы связи.
2. В системе отсутствуют пользователи (полностью автоматизированный процесс) — исключаются угрозы социальной инженерии.
3. ПЭВМ без режима гибернации — исключаются связанные с ней угрозы.
4. Отсутствуют инструменты разработчика в эксплуатационной среде — исключаются угрозы их использования.

Образец таблицы видов нарушителей

Модель нарушителя — обязательное приложение к модели угроз. Для каждого вида: тип, уровень, мотивация, возможности.

Для ЗОКИИ практически всегда актуальны Н3 — и часто Н4

Для каждой оставшейся угрозы — три параметра

Пример (фрагмент из модели угроз для БПЛА)

По алгоритму Пикова, каждая угроза связывается с УБИ из БДУ, объектом воздействия и контрмерой из приказа № 239.

Как угроза превращается в атаку

«Способ» — это как угроза реализуется. Методика ФСТЭК особо подчёркивает: актуальная угроза описывается через способ и сценарий.

Семь этапов целевой атаки (Lockheed Martin)

Сценарий — последовательность шагов нарушителя. Для целей ФСТЭК — допустимая модель.

15 тактик нарушителя

Матрица тактик и техник MITRE ATT&CK v19.2. Применима для ИТ-систем и для АСУ ТП (ATT&CK for ICS). Для модели угроз ЗОКИИ полезно указать типовые техники, которые могут применить нарушители Н2–Н4. Состав матрицы сверяется по официальному permalink Enterprise v19.

От ИТ-компании к субъекту КИИ I категории

Учебный пример для разбора на занятии. Он иллюстрирует, что даже «обычная» IT-компания может оказаться субъектом КИИ I категории при правильной идентификации сферы деятельности.

Кейс прорабатывается на лекции пошагово: ОКВЭД → процессы → объекты → значимость → итог.

ОКВЭД и сферы деятельности

Основной вид деятельности — 62.01 «Разработка компьютерного программного обеспечения». Однако компания имеет ряд дополнительных видов, в т.ч. в сфере связи.

Шесть критических процессов

1. Управление работой компании.
2. Обеспечение возможности использования сервиса — регистрация, скачивание приложений, личный кабинет.
3. Обработка информации по заказам такси — заявки на поездки.
4. Разработка и поддержка ПО сервиса.
5. Администрирование сайта и сервиса.
6. Ведение финансового и налогового учёта.

Четыре объекта КИИ

Расчёт по экономической значимости — III категория

Расчёт по количеству абонентов — I категория

Яндекс.Такси оказывает услуги связи (по дополнительному ОКВЭД и через лицензии группы) — значит применяются критерии по количеству абонентов сети связи.

I категория значимости КИИ

Сведения по форме приказа № 236 (с изм. № 247 от 11.07.2025)

После направления — внесение в реестр ЗОКИИ (приказ ФСТЭК № 227, с изм. № 254 от 17.07.2025).

Семь поводов для пересмотра

Модель угроз — живой документ. Обновляется регулярно и при наступлении событий-триггеров.

1. Изменение инфраструктуры (новые компоненты, изменения архитектуры).
2. Изменение технологий (внедрение виртуализации, миграция в облако).
3. Появление новых типов атак (новые УБИ в БДУ).
4. Изменение бизнес-процессов.
5. Изменение нормативки.
6. После значимых инцидентов (своих или отраслевых).
7. Плановое обновление — не реже 1 раза в год.

Модель угроз — базовый документ всего пакета

Что чаще всего ловит ФСТЭК на проверках

Девять критериев готовности модели

• Описаны все компоненты объекта и используемые технологии.
• Защищаемые активы перечислены, классифицированы по К/Ц/Д.
• Модель нарушителя содержит таблицу «вид × тип × Н1–Н4 × мотивация × возможности».
• Для ЗОКИИ обоснованы уровни Н3/Н4 (либо обосновано их исключение).
• Полный перечень БДУ загружен; исключения обоснованы.
• Способы реализации и сценарии описаны (Cyber Kill Chain или MITRE ATT&CK).
• Возможные последствия — по К/Ц/Д и по бизнес-процессам.
• Итоговый перечень актуальных угроз связан с мерами приказа № 239.
• Модель согласована с моделью нарушителя; даты согласованы.

Проверка усвоения

1. Каков статус и область применения методики ФСТЭК от 05.02.2021?
2. Перечислите 9 разделов модели угроз.
3. Опишите 12 шагов алгоритма формирования перечня актуальных угроз.
4. Какие технологии в системе автоматически снимают значительную часть угроз из БДУ при их отсутствии?
5. Каковы 4 уровня возможностей нарушителей по методике ФСТЭК?
6. Что такое способ реализации угрозы и сценарий реализации?
7. Как модель угроз связана с актом категорирования и тех. проектом СОИБ?
8. Когда модель угроз обязательно обновляется?

Два связанных приказа

Шесть связанных документов

Дополнительно: методический документ ФСТЭК от 11.11.2025 — методика оценки показателя состояния защиты информации в ИС и обеспечения безопасности ЗОКИИ (заменил версию от 02.05.2024). Влияет на отчётность во ФСТЭК по результатам государственного контроля.

Что должна обеспечивать система безопасности ЗОКИИ

1. Предотвращение неправомерного доступа, уничтожения, модификации, блокирования, копирования, предоставления и распространения информации.
2. Недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и/или прекращено функционирование ЗОКИИ.
3. Восстановление функционирования ЗОКИИ.
4. Непрерывное взаимодействие с ГосСОПКА (новая редакция — приказ ФСБ № 548 от 25.12.2025).

Три компонента

Документация системы безопасности по приказу № 235

• Документы целей и задач обеспечения безопасности.
• Документы по категорированию: акт категорирования + сведения по форме приказа № 236.
• Модель угроз и модель нарушителя (см. блоки 1–2 сегодняшнего дня).
• Проектная документация на систему безопасности (тех. проект СОИБ).
• Эксплуатационная документация на СрЗИ.
• ОРД по реагированию на инциденты.
• ОРД по взаимодействию с ГосСОПКА.
• План реагирования на компьютерные инциденты.

90 дней с момента включения в реестр ЗОКИИ

18 групп мер защиты — первая половина

18 групп мер защиты — вторая половина

«+» — обязательно. Пустое поле — адаптация

Для каждой меры в приказе указано, в каких категориях значимости она входит в базовый набор. Категория 1 — самый широкий набор; категория 3 — самый компактный.

Применить базовый набор = взять все меры, отмеченные «+» для нашей категории, и считать их обязательными к реализации.

Шесть уровней доверия к СрЗИ

Все СрЗИ, применяемые на ЗОКИИ, должны иметь сертификат соответствия требованиям по безопасности и уровень доверия.

Аппаратная платформа — в реестре российской РЭП

Для получения оценки соответствия 5 уровню доверия и выше аппаратная платформа СрЗИ (процессоры, микроконтроллеры, элементы памяти, сетевые карты, графические адаптеры) должна быть включена в единый реестр российской радиоэлектронной продукции.

Де-факто это означает использование отечественных платформ для ЗОКИИ 1 и 2 категорий.

Требования к системам управления базами данных

Требования к средствам виртуализации

Если на ЗОКИИ используется виртуализация, средства виртуализации (гипервизоры) должны быть сертифицированы и эксплуатироваться в среде сертифицированной хостовой ОС (пункт 7 требований).

VMware vSphere / Hyper-V / KVM в чистом виде на ЗОКИИ не применимы — для использования нужна обвязка от сертифицированного российского поставщика.

Требования к средствам контейнеризации

Если на ЗОКИИ используются контейнеры (Docker, Kubernetes-подобные платформы), средства контейнеризации должны быть сертифицированы и эксплуатироваться в сертифицированной хостовой ОС (пункт 7 требований).

Три типа профилей

Российские ОС с сертификатом ФСТЭК

Перечень сертифицированных ОС регулярно обновляется на сайте ФСТЭК (раздел «Реестр сертифицированных средств защиты информации»).

Запрет на СрЗИ из недружественных стран

Субъектам КИИ запрещено использовать средства защиты информации, страны происхождения которых являются недружественными иностранными государствами.

Что можно и что нельзя на практике

Три критерия одновременно

Все три критерия — одновременно. Если хотя бы один не выполнен — ПАК не считается доверенным.

Снизу вверх — корень доверия → прикладное ПО

По материалам В.Г. Карантаева (НЭК.ТЕХ), ТБ-Форум 2025.

Связка с ПП-1236 (16.11.2015) и ПП-1912 (14.11.2023)

Реестр ПАК ведётся в рамках единого реестра российских программ для ЭВМ и БД (ПП-1236). Критерии включения ПАК в реестр частично совпадают с критериями отнесения к доверенным.

Базовая нормативка СКЗИ

При использовании СКЗИ на объектах КИИ применяются требования ФСБ, а не ФСТЭК. Это отдельная регуляторная дисциплина.

Четыре ГОСТа и три имени

Что обязательно указать

В составе тех. проекта СОИБ ЗОКИИ при использовании ЭП или иных типов шифрования должны быть указаны:

1. Криптопровайдеры и носители ключевой информации (токены).
2. Для защиты каких компонентов и для реализации каких мер ИБ они применяются.
3. Номера мер из приказа № 239: например, ИАФ.4 — защита аутентификационной информации; ОЦЛ.2 — целостность с использованием ЭП.

Два новых показателя — Кзи и Пзи

Опубликован 07.04.2026, планируемое вступление в силу — 01.09.2026. Вводит для ЗОКИИ два показателя: Кзи и Пзи.

Объективное закрепление перехода от «однажды аттестовали — забыли» к непрерывному самомониторингу защищённости — согласуется с приказом ФСТЭК № 117 для ГИС (с 01.03.2026).

Проверка усвоения

1. Чем отличаются приказы ФСТЭК № 235 и № 239?
2. Перечислите 18 групп мер защиты по приказу № 239.
3. Что такое уровни доверия СрЗИ? Какой уровень требуется для ЗОКИИ 1, 2, 3 категорий?
4. Что обязательно для аппаратной платформы СрЗИ 5+ уровня доверия?
5. Какие требования установлены к СУБД, средствам виртуализации, контейнеризации?
6. Какие три типа профилей защиты ОС утверждены ФСТЭК?
7. Что запрещает пункт 6 УП-250 и какие страны входят в перечень недружественных?
8. Какие три критерия должен соблюдать доверенный ПАК?
9. Что вводят показатели Кзи и Пзи (проект изменений 235/239)?

Трёхшаговый алгоритм

Применить = взять все меры с «+» для нашей категории

Источник базового набора — приложения к приказу № 239 (таблицы мер по 18 группам).

Три законных основания для исключения

1. В системе отсутствует объект или процесс, к которому мера относится. Пример: меры по защите беспроводных сетей не нужны, если Wi-Fi не используется.
2. Угроза, для нейтрализации которой предназначена мера, не актуальна по модели угроз. Пример: меры защиты от утечки по техническим каналам — если в КЗ нет иностранных делегаций.
3. Технически невозможна реализация (но в этом случае нужны компенсирующие меры — см. шаг 3).

Достижение того же эффекта другим способом

Если базовая мера исключена, но угроза остаётся актуальной — нужна компенсирующая мера.

Каждая угроза должна быть закрыта мерой

1. Для каждой актуальной угрозы (из модели угроз — блок 2) должна быть хотя бы одна мера, её нейтрализующая.
2. Связь «угроза → мера» документируется в техническом проекте СОИБ.
3. Меры приказа № 239 — это функции, а не «бумажки». Для каждой меры разрабатываются процедуры, фиксируются ответственные, проверяется эффективность.

Одиннадцать разделов

Восемь этапов от проекта до эксплуатации

Что можно передать и что нельзя

Полностью передать ИБ-функцию на аутсорсинг нельзя. Минимально — заместитель по ИБ и структурное подразделение в штатной численности субъекта КИИ.

ООО «РегионТранс», ЗОКИИ категории 2

Пять шагов

1. Шаг 1 — базовый набор. Возьмите 18 групп мер приказа № 239. Выпишите, какие меры обязательны для категории 2 — опираясь на приложения приказа № 239 (в учебных целях — на ваш экспертный взгляд по логике).
2. Шаг 2 — исключение. Обоснуйте, какие меры можно исключить из базового набора с учётом условий «РегионТранса». Минимум 5 примеров с обоснованием. Например: меры по защите от угроз облака (нет облака), меры по защите Wi-Fi (Wi-Fi не используется).
3. Шаг 3 — компенсирующие. Для двух исключённых или ослабленных мер предложите компенсирующие меры. Опишите, почему компенсирующая мера решает ту же задачу.
4. Шаг 4 — привязка к угрозам. Возьмите 5 наиболее актуальных угроз для этого объекта (из БДУ ФСТЭК) и привяжите к каждой минимум одну меру из приказа № 239 (по коду группы: ИАФ, УПД, АВЗ, СОВ и т.д.).
5. Шаг 5 — оформление. Оформите результат в виде таблицы (шаблон — на следующем слайде).

Структура итогового документа

Это пример заполнения. Ваша задача — заполнить 18 групп мер аналогично.

Регламент практики

Ориентиры (не готовое решение)

Семь грабель

Что должно быть до подачи во ФСТЭК

• Категория значимости подтверждена актом категорирования.
• Модель угроз согласована с моделью нарушителя; даты совпадают.
• Базовый набор мер для категории выписан полностью.
• Каждое исключение меры обосновано (минимум по одному из трёх оснований).
• Для каждой исключённой меры — либо компенсирующая, либо обоснование отсутствия угрозы.
• Все СрЗИ имеют сертификаты с указанием уровня доверия (не ниже категории + 3).
• Аппаратные платформы СрЗИ 5+ уровня — в реестре российской РЭП.
• Среды сертифицированы: СУБД на сертифицированной ОС, виртуализация — тоже.
• СрЗИ из недружественных стран не применяются как СрЗИ ЗОКИИ.
• Каждая мера связана с угрозой из модели; связь прослеживается в таблице.

Проверка усвоения

1. Опишите трёхшаговый алгоритм выбора мер по приказу № 239.
2. На каком основании можно исключить меру из базового набора?
3. Что такое компенсирующая мера и когда она применяется?
4. Какие требования предъявляются к аутсорсеру в области ИБ ЗОКИИ?
5. Что должен содержать технический проект СОИБ?
6. Какие минимальные требования к организационной структуре субъекта КИИ по УП-250?
7. Какие типовые ошибки совершают при выборе мер?

Уязвимость — свойство, угроза — потенциал

Уязвимость (по ГОСТ Р 50922—2006) — недостаток (слабость) объекта или его свойств, который может быть использован для реализации угроз безопасности информации.

Четыре места

Международный каталог типов слабостей

CWE систематизирует классы слабостей, которые могут приводить к уязвимостям. Ниже — примеры для веб-приложений и серверных систем.

Международная шкала оценки уязвимостей

На текущий момент актуальна CVSS v4.0 (с 2023 г.), также активно используется CVSS v3.1. В России CVSS используется для предварительной оценки, но не как обязательная — для ЗОКИИ и ГИС применяется методика ФСТЭК.

Четыре направления сбора

Новая методика критичности уязвимостей ПО/ПАК

Заменила версию от 28.10.2022. Расширила сферу применения и ввела два новых показателя.

Зависимость уровня критичности от пяти групп показателей

Новые vs старые (для сравнения)

V меняется — пересчитываем

Согласно методике 30.06.2025, пересчёт значения уровня критичности должен осуществляться на постоянной основе (по возможности — автоматизированными средствами). Поводы:

1. Выпуск разработчиком обновлений, устраняющих уязвимость.
2. Появление в открытом доступе средств эксплуатации (PoC).
3. Появление активной эксплуатации in-the-wild — атаки реально идут.
4. Изменение конфигурации защищаемой ИС — настройки, окружение.

Восемь этапов процесса VM

Методический документ устанавливает процесс VM как обязательную часть ИБ-функции в ГИС и на ЗОКИИ.

Чем сканировать на практике

Шесть этапов тестирования обновлений

Цель — исключить ситуации, когда обновление само становится источником инцидента (компрометация цепочки поставки в стиле SolarWinds, отказ совместимости).

SLA и пять ключевых метрик

VM не живёт в вакууме

Типовые ошибки VM и контрольные вопросы