.PNG)
1Что такое ЗОКИИ
ЗОКИИ — это защита объектов критической информационной инфраструктуры (КИИ). Термин появился в российском праве с принятием Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» в 2017 году. Закон обязывает владельцев объектов КИИ обеспечить их защиту от компьютерных атак и обменяться информацией об инцидентах с ГосСОПКА.
ЗОКИИ касается банков, энергетики, транспорта, здравоохранения, телекоммуникаций, оборонной промышленности и государственных органов. Если ваша организация работает в одной из 13 отраслей КИИ — вы обязаны выполнять требования 187-ФЗ.
2Кто попадает под действие 187-ФЗ
Закон распространяется на субъекты КИИ — организации, которым принадлежат информационные системы в критических отраслях. Перечень отраслей:
| Отрасль | Примеры организаций |
|---|---|
| Здравоохранение | Больницы, поликлиники, медицинские лаборатории |
| Наука | НИИ, университеты с государственным финансированием |
| Транспорт | Аэропорты, РЖД, судоходные компании, логистика |
| Связь | Операторы связи, провайдеры интернета, телерадиовещание |
| Энергетика | Электростанции, энергосети, нефтяные и газовые компании |
| Банки и финансы | Банки, страховые компании, биржи, платёжные системы |
| ТЭК (топливно-энергетический комплекс) | Нефтепереработка, газопроводы, угольные предприятия |
| Атомная энергетика | Росатом, атомные электростанции |
| Оборонная промышленность | Предприятия ОПК, госкорпорации |
| Ракетно-космическая | Роскосмос и подведомственные предприятия |
| Горнодобывающая | Крупные добывающие предприятия |
| Металлургия | Металлургические комбинаты |
| Химическая промышленность | Химические предприятия, производство удобрений |
Важно: самопроверка
3Категории значимости объектов КИИ
Не все объекты КИИ одинаково критичны. Приказ ФСТЭК № 236 устанавливает три категории значимости в зависимости от потенциального ущерба от атаки:
| Категория | Масштаб возможного ущерба | Требования к защите |
|---|---|---|
| 1-я (высшая) | Федеральный: угроза жизни людей, ЧС федерального масштаба | Максимальные требования приказа № 239, отдельный персонал по ИБ |
| 2-я | Региональный: нарушение работы органов власти субъекта РФ, региональная ЧС | Расширенный набор мер безопасности, регулярная проверка |
| 3-я | Объектовый: ущерб отдельному предприятию или муниципалитету | Базовый набор мер, мониторинг инцидентов |
| Без категории | Объект КИИ, но последствия несущественны при атаке | 187-ФЗ распространяется, требования минимальные |
4Что нужно сделать: пошаговый план ЗОКИИ
Шаг 1: Категорирование объектов КИИ
Создать комиссию по категорированию, перечислить все ИС/АСУ/ИТС, оценить последствия атак, присвоить категорию. Срок — 1 год с момента вступления в реестр субъектов.
Шаг 2: Уведомление ФСТЭК
После категорирования направить в ФСТЭК сведения об объектах КИИ и их категориях. Форма и порядок — приказ ФСТЭК № 236.
Шаг 3: Разработка системы безопасности
Разработать модель угроз и нарушителя, создать ОРД (политики, регламенты), запроектировать систему безопасности в соответствии с приказом № 239.
Шаг 4: Внедрение технических мер
Установить сертифицированные СЗИ ФСТЭК, настроить мониторинг, сегментировать сеть, внедрить резервное копирование, организовать контроль доступа.
Шаг 5: Подключение к ГосСОПКА
Заключить договор с ФСБ на передачу данных об инцидентах. Создать или подключить корпоративный центр обнаружения (КЦОА или внешний SOC).
Шаг 6: Обеспечение непрерывного мониторинга
Организовать мониторинг событий ИБ 24/7, реагирование на инциденты, ежегодный контроль безопасности, обучение персонала.
5Ответственность за нарушение 187-ФЗ
Требования 187-ФЗ подкреплены уголовной и административной ответственностью. В 2022–2025 годах правоприменение значительно усилилось:
| Нарушение | Ответственность | Статья |
|---|---|---|
| Неправомерный доступ к объекту КИИ | До 6 лет лишения свободы | Ст. 274.1 УК РФ |
| Нарушение правил эксплуатации, повлёкшее ущерб | До 6 лет (до 10 лет при тяжких последствиях) | Ст. 274.1 УК РФ |
| Нарушение требований к безопасности КИИ | Штраф до 500 000 руб., дисквалификация | КоАП РФ (готовится законопроект) |
| Непредоставление информации об инциденте | Административная, возможно уголовная | Ст. 274.1 УК РФ |
Тренд 2024–2025
В 3 раза выросло число атак на КИИ России
По данным НКЦКИ за 2024 год. Промышленность, энергетика и транспорт — в топе целей. Соответствие 187-ФЗ стало реальной необходимостью, а не бумажной формальностью
6ЗОКИИ с КРЕДО-С: от категорирования до мониторинга
КРЕДО-С — лицензиат ФСТЭК и ФСБ. Мы сопровождаем клиентов на всех этапах ЗОКИИ: проводим категорирование, разрабатываем модель угроз и ОРД, проектируем и внедряем системы безопасности, подключаем к ГосСОПКА через наш корпоративный SOC и обеспечиваем мониторинг 24/7.
15+
Объектов КИИ
под защитой КРЕДО-С
24/7
Мониторинг
и передача данных в ГосСОПКА
ФСТЭК
Лицензиат
на ТЗКИ и ТЗИ ГТ
под ключ
Категорирование
и разработка ОРД
Эта статья подготовлена командой КРЕДО-С — эксперта по информационной безопасности с 1993 года. Используйте наш калькулятор стоимости SOC, пройдите бесплатный экспресс-аудит ИБ или проверьте размер штрафов за нарушения ИБ.
Кирилл Терещенко
Специалист по информационной безопасности
С 2020 года специализируется на аттестации ГИС и категорировании объектов КИИ. Аттестовал ГИС федеральных министерств РФ. Экспертиза: ЗОКИИ, 187-ФЗ, приказы ФСТЭК № 17, 21, 239.