Аудит КИИ по Указу № 604: Как не потерять контроль над предприятием и разрушить главный миф о «некатегорированном» КИИ
Эпоха, когда нарушения правил кибербезопасности обходились предприятиям лишь формальными проверками и небольшими штрафами, официально завершилась.
24 августа 2026 года вступил в силу Указ Президента РФ № 604 «О мерах по обеспечению безопасности объектов критической инфраструктуры Российской Федерации». Этот документ кардинально меняет правила игры: государство впервые на законодательном уровне напрямую связало киберустойчивость с гарантией непрерывности производственных и бизнес-процессов.
Однако многие руководители до сих пор пребывают в заблуждении, которое может перейти на временное управление Федерального агентства по управлению государственным имуществом.
Опасная иллюзия: «Мы не проводили категорирование — значит, КИИ у нас нет и к нам не придут»
Наиболее распространенная и критическая ошибка топ-менеджмента и собственников — считать, что законодательство о КИИ касается только тех, кто добровольно подал сведения в ФСТЭК и присвоил категорию значимости или принято решение об отсутствии необходимости присваивания одной из категории значимости.
Зачастую организации ошибочно полагают: «Мы не подавали списки объектов КИИ, не проводили категорирование и не числимся в реестрах. Значит, для регуляторов мы „невидимки“, требований к нам нет и проверять нас не за что».
Как дело обстоит на самом деле по 187-ФЗ и Указу № 604:
1. Принадлежность определяется сферой, а не бумажкой. Если ваша организация работает в сфере промышленности, ТЭК, энергетики, транспорта, связи, здравоохранения, финансов или оборонки и использует ИТ-системы — вы автоматически являетесь субъектом КИИ.
2. Категорирование — это обязанность, а не право. Отказ от проведения категорирования не освобождает от ответственности, а сам по себе является прямым нарушением 187-ФЗ.
3. «Невидимость» исчезает при первой атаке. Если из-за шифровальщика или сбоя встанет производство, позиция «мы ничего не категорировали» станет отягчающим обстоятельством. Ответственность (вплоть до уголовной по ст. 274.1 УК РФ для первых лиц) наступит моментально, а регуляторы придут с внеплановой проверкой.
Попытка «спрятать голову в песок» и игнорировать категорирование — это самый быстрый способ лишиться контроля над компанией при первом же инциденте.
Главный риск Указа № 604: Внешнее управление вместо штрафов
Раньше основным риском при игнорировании требований ИБ были административные штрафы. Руководители нередко закладывали эти суммы в бюджет и откладывали модернизацию ИТ-контура «на потом».
Указ № 604 поднимает ставки до максимума:
Ключевой нормативный риск:
Если предприятие допускает критический сбой, игнорирует предписания по безопасности или не способно оперативно восстановить технологический процесс после кибератаки, государство вправе ввести временное внешнее управление активом.
Зачем нужен аудит КИИ и что он выявляет?
Большинство успешных атак и аварий происходят не из-за отсутствия антивирусов, а из-за системных архитектурных слабых мест. Практика показывает, что на 8 из 10 предприятий существуют уязвимости, о которых руководство даже не догадывается:
1. Связка технологической и офисной сетей: Вредоносное ПО попадает через фишинговое письмо на компьютер бухгалтера или HR и беспрепятственно проникает в управленческий контур станков, контроллеров.
2. Иллюзия «отсутствия КИИ»: Системы не инвентаризированы, регламенты не описаны, категорирование не проведено, а риски ответственности руководства полностью игнорируются, создавая прямую угрозу бизнеса.
3. Отсутствие катастрофоустойчивого бэкапа: Отказ от изолированных и географически удаленных копий приводит к тому, что при нештатной ситуации восстановление инфраструктуры занимает недели или становится физически невозможным.
4. Отсутствие резервирования: Выход из строя одного ключевого коммутатора или сервера «убивает» весь технологический контур и управление производством на неопределенный срок.
5. «Бумажный» комплаенс: Документы были куплены или сделаны для галочки, а реальные средства защиты информации (СЗИ) по требованиям регулирующих органов.
Аудит КИИ от «ФД-Телеком» — это не просто проверка бумаг, а комплексная техническая и организационная диагностика: от выявления скрытых объектов КИИ и проверки регламентов организационно-распорядительной документации до оценки физической защищенности серверов, отказоустойчивости сетей и готовности предприятия к проверкам регуляторов.
Как «ФД-Телеком» обеспечивает непрерывность инфраструктуры?
Наша задача — построить защищенную и юридически чистую архитектуру, которая выдержит кибератаку любой сложности, обеспечит соответствие Указу № 604 и предотвратит простую остановку производства.
1. Вычислительные кластеры и серверная инфраструктура
• Принцип отказоустойчивости (High Availability): Построение отказоустойчивых кластеров и резервирование ключевых узлов (N+1). При сбое сервера или коммутатора система автоматически переключает нагрузку на дублирующее оборудование.
2. Сетевой контур и защита периметра
• Внедрение NGFW (Next-Generation Firewall): Шлюзы безопасности нового поколения с глубоким анализом промышленных и офисных протоколов.
• Изоляция технологических сегментов: Физическое и логическое разделение сетей от корпоративного офисного трафика для блокировки распространения атак.
3. Информационная безопасность (ИБ) и Организационный комплаенс
• Административно-организационный контур: Разработка и актуализация полного пакета регламентов, приказа о назначении ответственных, политик разграничения доступа и инструкций по реагированию на инциденты.
• Технический ИБ-стек: Защита от DDoS-атак, предотвращения утечек данных и мониторинг событий безопасности.
• Катастрофоустойчивое резервное копирование: Создание изолированных (Air-Gapped) хранилищ бэкапов с минимальным временем восстановления (RPO).
• Соответствие 187-ФЗ и Указу № 604: Полный цикл категорирования объектов КИИ и внедрение средств защиты информации (СЗИ) в строгом соответствии с приказами ФСТЭК России и/или ФСБ России.
Пошаговый план проведения аудита КИИ под Указ № 604
Работа строится по понятному алгоритму из 4 этапов:
1. Экспресс-обследование и аудит категорирования: Выявление всех реальных и потенциальных объектов КИИ, оценка текущего юридического и технического статуса предприятия.
2. Анализ уязвимостей и организационных мер: Проверка актуальности приказов и регламентов, инструментальное сканирование сети, проверка изоляции, тестирование систем бэкапирования.
3. Разработка дорожной карты (Roadmap): Формирование отчета с матрицей рисков (включая персональные риски руководства), рекомендациями по устранению слабых мест и сметой поэтапной модернизации.
4. Внедрение: Поставка оборудования, разработка организационной документации, пусконаладочные работы для СЗИ и сдача объекта в соответствие с Указом № 604 и 187-ФЗ.
Не ждите проверки или атаки — сохраните контроль над бизнесом
Проведение своевременного аудита КИИ позволяет руководству зафиксировать реальный уровень защищенности, закрыть юридические риски, сохранить полный операционный контроль над предприятием и непрерывность всех технологических процессов.
Необходимо провести аудит критической инфраструктуры (КИИ) на соответствие Указу № 604 и 187-ФЗ?
Эксперты и инженеры ФД-Телеком проведут комплексное обследование ваших систем, определят контур КИИ, подготовят дорожную карту и внедрят отказоустойчивые решения.