КИИ/152-ФЗ диагностика
Обследование показывает, какие требования применимы к вашим системам, где проходят границы объектов защиты и что делать в первую очередь. Две редакции с фиксированным сроком: 10 рабочих дней дистанционно или 15 дней с выездом на площадку.
Формат входа
Обследование отвечает на три вопроса, с которых начинается любой регуляторный проект: какие требования применимы именно к вашим системам, где проходят границы объектов защиты и что делать в первую очередь. Разбираем контур на месте и по документам, а не сверяем формальный чек-лист.
За 10–15 рабочих дней получаете картину текущего состояния и очерёдность работ. Категорирование объектов КИИ, аттестация и проектирование средств защиты — отдельные этапы, диагностика их не подменяет.
Что входит
Контур и границы
Какие системы попадают в периметр, какие данные в них обрабатываются, кто владелец каждой, как устроены интеграции и процессы вокруг них.
Применимые требования
Что из 152-ФЗ, режима ИСПДн, требований к объектам КИИ и государственным системам относится к вашему случаю, а что — нет, и какими документами это подтверждается.
Меры защиты
Состояние модели угроз, фактически применённые меры, состав СЗИ и СКЗИ, полнота журналов и порядок управления доступом.
Порядок работ
Что закрывается быстро и своими силами, что требует проекта и бюджета, какие документы нужно выпустить и в какой последовательности.
Редакции и лимиты объёма
Редакция выбирается до договора и определяет срок и формат работы.
| Параметр | Дистанционная — 10 рабочих дней | С выездом — 15 рабочих дней |
|---|---|---|
| Формат | интервью и работа с документами удалённо | то же плюс один выезд двух специалистов на один рабочий день |
| Выборочная проверка мер | по предоставленным настройкам и выгрузкам | до десяти согласованных единиц инфраструктуры: серверы, рабочие станции, сетевые устройства, средства защиты |
Общее для обеих редакций: одно юридическое лицо, одна площадка, до трёх заранее согласованных информационных систем; до восьми интервью; до 25 документов общим объёмом до 500 страниц; до десяти интеграций и межсетевых связей на уровне анализа схем. Черновик модели угроз готовится для одной приоритетной системы.
КИИ, ИСПДн и ГИС — разные режимы, которые могут пересекаться: наличие персональных данных не делает систему объектом КИИ, а применимость требований КИИ не выводится только из состава серверов. Полноценное обследование государственной системы выходит за рамки пакета и оценивается отдельно.
Что нужно от заказчика
- ответственные за ИБ, ИТ, персональные данные и профильные бизнес-процессы;
- список систем и обрабатываемых данных;
- существующие документы по КИИ, ПДн и защите систем — если они есть;
- схемы сети, состав СЗИ и СКЗИ, доступ к выбранным настройкам.
Если документов нет, заказчик обеспечивает возможность восстановить фактическую картину в интервью — отсутствие бумаг само по себе не мешает диагностике, но фиксируется как часть текущего состояния.
Что не входит
- полный цикл категорирования объектов КИИ и оформление решений комиссии;
- утверждённая итоговая модель угроз и аттестация;
- проектирование и внедрение средств защиты;
- полный комплект организационно-распорядительных документов;
- обследование всей организации на соблюдение 152-ФЗ;
- пентест и взаимодействие с регулятором от имени заказчика.
Когда работа завершена
- для каждой системы описаны границы, обрабатываемые данные и основания предварительной оценки применимости требований;
- выявленные несоответствия связаны с конкретными требованиями и свидетельствами;
- вопросы, требующие дополнительной проверки, отделены от подтверждённых выводов;
- переданы черновик модели угроз для одной системы и последовательный план дальнейших работ.
Вывод «текущий объём работ не требуется» или «сначала закрываем организационную часть» — полноценный результат: он избавляет от преждевременной закупки средств защиты.
Документы на выходе
| Артефакт | Зачем нужен |
|---|---|
| Карта систем и данных | Перечень систем в периметре с составом обрабатываемых данных, владельцами и связями — основа для категорирования и выбора мер |
| Перечень несоответствий | Где фактическое состояние расходится с применимыми требованиями, с указанием, чем это подтверждается |
| Черновик модели угроз | Актуальные для контура угрозы и нарушители, увязанные с уже применёнными мерами — заготовка для итогового документа |
| Дорожная карта устранения | Очерёдность работ: что закрыть организационно, что требует внедрения СЗИ, что выносится в отдельный проект |
В матрице применимости требований указывается дата актуальности нормативной базы, а протокол выборочной проверки мер фиксирует, что именно проверялось и на каких данных. Дорожная карта охватывает документы, категорирование или классификацию, проектирование и технические меры — в применимой части.
Если по итогам диагностики нужны технические меры, дорожная карта связывается с HLD/LLD, поставкой СЗИ/СКЗИ и внедрением СЗИ.
Для регулируемых контуров отдельно проверяется слой конечных устройств: рабочие станции, серверы, агенты защиты, локальные права, журналы и готовность к Endpoint Security.
Бюджет пакета
| Редакция | Бюджет пакета |
|---|---|
| Дистанционная, 10 рабочих дней | 750 тыс. – 1,5 млн ₽ без НДС |
| С выездом, 15 рабочих дней | 750 тыс. – 1,5 млн ₽ без НДС |
Точную фиксированную стоимость определяем после установочной встречи и проверки периметра; включённые работы, результаты и исключения закрепляем до старта; расширение объёма — только по согласованию.
Командировочные расходы при выездной редакции указываются отдельной фиксированной суммой.
Состав команды
- Архитектор ИБ — применимость требований, границы объектов защиты, модель угроз.
- Инженер СЗИ — состояние средств защиты, журналов, доступов и совместимость мер с инфраструктурой.
- Системный аналитик — состав систем и данных, владельцы, процессы, интеграции.
- Руководитель проекта — сбор материалов, интервью, согласование выводов и дорожной карты.
Когда после диагностики нужен пентест
Если диагностика КИИ/152-ФЗ показывает публичные личные кабинеты, API, VPN, веб-сервисы или спорные интеграции, следующим этапом может быть пентест. Он подтверждает, какие риски реально эксплуатируемы, и помогает связать требования с техническим планом устранения.
Частые вопросы
Диагностика заменяет полноценный проект?
Нет. Она помогает корректно определить границы и следующий этап.
Можно начать без готовых документов?
Да. Наличие или отсутствие документов фиксируется как часть текущего состояния.
Нужен выезд?
Зависит от контура. Часть обследования можно провести удаленно.
Публичные контуры в диагностике КИИ и 152-ФЗ
Для КИИ, ИСПДн и публичных сервисов с персональными данными важно отдельно проверить, что видно из интернета: личные кабинеты, API, VPN, домены, сертификаты, интеграции и тестовые среды. Поэтому диагностику КИИ/152-ФЗ можно связать с аудитом внешнего периметра и получить более точный roadmap технических мер.
После диагностики: лабораторная проверка мер
Диагностика КИИ/152-ФЗ определяет применимые требования и разрывы. Лаборатория ИБ помогает проверить, как выбранные СЗИ/СКЗИ, журналы, роли доступа, endpoint-защита, SIEM/SOAR или маскирование данных будут работать до промышленного внедрения.
Как фиксируем объём и срок
Условия ниже одинаковы для всех пакетов и переносятся в договор без изменений.
- Периметр — до договора. Проводим установочную встречу до 60 минут и согласуем паспорт периметра: системы, процессы, источники, участников и результаты.
- Отсчёт срока. Срок начинается после передачи согласованного комплекта исходных материалов, выдачи доступов и подтверждения графика интервью. Задержки со стороны заказчика переносят сроки на соответствующее время.
- Данные. Работаем в согласованном защищённом канале. Производственные данные не передаются во внешние AI-сервисы без письменного разрешения заказчика.
- Передача результата. Материалы отдаём в PDF и редактируемых форматах (DOCX, XLSX, PPTX или согласованных аналогах) и проводим одну защиту результатов до 90 минут.
- Приёмка. На рассмотрение результатов — пять рабочих дней. Включён один консолидированный раунд уточнений в пределах согласованного объёма; исправление ошибок и несоответствий договору этим раундом не ограничивается.
- Изменение объёма. Новые системы, источники и задачи включаются только по согласованному изменению объёма и стоимости.
- Формат работы. Базовый формат — удалённый, если для пакета явно не предусмотрен выезд.
Статусы и лицензии, на основании которых выполняются работы, собраны на странице «Лицензии и статусы».
Написать нам письмо
Напишите нам на info@restart.re или нажмите кнопку ниже. Для первого письма достаточно коротко описать контур, роль организации, текущие системы, ограничения и желаемый результат.
Написать нам письмоЗапросить формат
Согласуем объём, сроки и артефакт на выходе — и запустим за короткий срок.
