Средства защиты КИИ: какие СЗИ нужны значимому объекту

Приказ ФСТЭК № 239 не называет конкретных продуктов. Он перечисляет меры защиты, а чем их выполнить, решает сам субъект КИИ. Поэтому средства защиты КИИ подбирают в три шага: категория значимого объекта → обязательные для неё меры → сертифицированные СЗИ нужного класса под каждую меру. Ниже все три шага с таблицами, а в конце — что из этого есть в каталоге Migsoft. Если ещё не ясно, есть ли у организации значимые объекты, начните со статьи о законе 187-ФЗ и категорировании.

Какие меры защиты требует приказ ФСТЭК № 239

Технические меры защиты значимого объекта выполняются средствами защиты информации (СЗИ), в том числе встроенными в операционные системы, прикладное ПО и оборудование, — встроенные приказ велит применять в первую очередь (п. 27). После изменений, внесённых приказом ФСТЭК № 159 от 28.08.2024, пункт 22 перечисляет 18 групп мер:

• идентификация и аутентификация, управление доступом, ограничение программной среды, защита машинных носителей;
• аудит безопасности, антивирусная защита, предотвращение вторжений (компьютерных атак);
• обеспечение целостности и доступности, защита технических средств, защита самой системы и её компонентов;
• планирование, управление конфигурацией и обновлениями, реагирование на инциденты, действия в нештатных ситуациях, обучение персонала;
• новая группа — защита от атак, направленных на отказ в обслуживании (DDoS).

Для объектов, у которых есть сервисы, доступные из интернета, тот же приказ № 159 добавил отдельный список (п. 22.2): инвентаризация интерфейсов, адресов и доменов, «матрица коммуникаций» с интернетом, средства фильтрации на сетевом и прикладном уровнях, двукратный запас пропускной способности каналов и хранение сведений о DDoS-атаках три года. Средства фильтрации должны находиться в России (п. 26.3).

Конкретный набор мер для объекта собирается так: базовый набор по категории из приложения к приказу, затем адаптация под модель угроз и дополнение мерами из других требований — например, если объект одновременно ГИС или обрабатывает персональные данные (п. 23). Меру, которую выполнить нельзя, заменяют компенсирующей с обоснованием (п. 26).

Меры защиты КИИ по категориям: чем 1-я отличается от 3-й

Большинство мер одинаковы для всех трёх категорий. Это антивирусная защита, в том числе почты (АВЗ.1, АВЗ.2), анализ уязвимостей (АУД.2), регистрация событий и мониторинг (АУД.4, АУД.7), реагирование на инциденты (ИНЦ), защита периметра и каналов связи (ЗИС.2, ЗИС.19), защита от DoS- и DDoS-атак (ЗИС.34), контроль съёмных носителей (ЗНИ.5, ЗНИ.7) и резервное копирование (ОДТ.4). Различия собраны в таблице:

На практике это значит: для третьей категории система обнаружения вторжений и доверенная загрузка в базовый набор не входят, со второй они обязательны, а первая добавляет второй антивирус другого производителя и анализ сетевого трафика.

Нужен ли сертификат ФСТЭК на средства защиты КИИ

Приказ № 239 (п. 28) допускает три формы оценки соответствия СЗИ: обязательную сертификацию, испытания или приёмку. Сертифицированные средства применяют там, где этого требует закон или где так решил сам субъект. В остальных случаях субъект проводит испытания или приёмку средства сам или с организацией, у которой есть лицензия на деятельность по защите информации.

Для части организаций выбора на деле нет:

• госорганы и заказчики по 223-ФЗ (кроме организаций с муниципальным участием): по постановлению Правительства № 1478 ПО на их значимых объектах должно быть в реестре российского ПО (или евразийского), а ПО для защиты объектов — иметь сертификат ФСТЭК и (или) ФСБ;
• все юрлица — субъекты КИИ: указ Президента № 250 с 1 января 2025 года запрещает использовать СЗИ из недружественных государств и от производителей под их юрисдикцией.

Запреты на иностранное ПО и оборудование разобраны в отдельных статьях: указ № 166 — иностранное ПО на значимых объектах, указ № 250 — иностранные СЗИ, постановление № 1912 — переход на доверенные ПАК до 2030 года.

К любому средству на значимом объекте приказ предъявляет ещё три условия (п. 31): гарантийная или техническая поддержка; никакого удалённого управления и обновления посторонними лицами и никакой передачи данных разработчику без контроля субъекта; для 1-й и 2-й категорий — размещение средств хранения и обработки информации в России.

Класс защиты и уровень доверия под категорию объекта

Если СЗИ сертифицировано, его класс и уровень доверия должны соответствовать категории объекта (п. 29):

Шкала обратная: самый высокий класс и уровень доверия — первый, самый низкий — шестой. Поэтому средство 4-го класса и 4-го уровня доверия подходит для объекта любой категории — так сертифицированы почти все СЗИ из таблиц ниже. Для 1-й категории есть ещё одно условие: при создании или модернизации объекта граничные маршрутизаторы с выходом в интернет выбирают сертифицированными в части функций безопасности, а если это технически невозможно — их функции безопасности проверяют при приёмке с обоснованием в проекте (п. 29.1).

Класс и тип записаны в сертификате шифром профиля защиты: «ИТ.МЭ.Д4.ПЗ» — межсетевой экран типа «Д» 4-го класса, «ИТ.САВЗ.Б4.ПЗ» — антивирус типа «Б» 4-го класса. Тип важен не меньше класса. Межсетевые экраны делятся на экраны уровня сети («А»), логических границ сети («Б»), узла («В»), веб-сервера («Г») и промышленной сети («Д»). Антивирусы — на средства централизованного управления («А»), для серверов («Б»), рабочих мест («В») и автономных АРМ («Г»). Как читать сертификат целиком, разобрано в гайде по сертификатам ФСТЭК и ФСБ.

Какие средства защиты закрывают меры приказа

По каждому классу средств у нас есть подробный разбор: межсетевые экраны и NGFW, управление уязвимостями по методике ФСТЭК, российские SIEM, EDR и чем он отличается от антивируса, СЗИ от НСД и классы СКЗИ для каналов связи.

Средства защиты КИИ от Positive Technologies

У Positive Technologies есть сертифицированные средства для анализа уязвимостей, мониторинга событий, сетевой защиты, обнаружения атак и антивирусной защиты. Номера и сроки сверены с госреестром ФСТЭК на 26 сентября 2026 года:

Три уточнения к таблице. PT ISIM Positive Technologies прямо позиционирует для выполнения приказа № 239 и взаимодействия с центрами ГосСОПКА. На странице MaxPatrol EPP вендор указывает меру АВЗ.5 для объектов 1-й категории. В сертификате № 4980 антивирусные профили записаны за исполнением MaxPatrol EDR — у EPP с ним общий агент, а формуляр для аттестации объекта запрашивается у Positive Technologies; то же для PT Email Gateway и PT Email Security, на которые, по данным вендора, распространяется сертификат № 4604.

Сетевую защиту и мониторинг собирают под конкретную инфраструктуру — число узлов, каналов и источников событий:

Другие сертифицированные средства в каталоге

Все средства из таблицы сертифицированы по 4-му уровню доверия или выше, профили защиты, где они указаны, — 4-го класса (у «Соболя» — 2-го), средства вычислительной техники — 5-го класса, как и требует приказ. Для антивирусной защиты в каталоге есть сертифицированные поставки Kaspersky и Dr.Web — номера сертификатов и профили разобраны в статьях о сертифицированных версиях Kaspersky и сертифицированном Dr.Web. Каналы связи защищают криптошлюзы с сертификатом ФСБ, например КриптоПро NGate.

С 1 марта 2027 года: показатель защищённости Кзи

Приказ ФСТЭК № 220 от 16.07.2026 добавляет в требования к системам безопасности значимых объектов (приказ № 235) регулярную самооценку. С 1 марта 2027 года субъект КИИ не реже раза в полгода считает показатель защищённости Кзи и в течение пяти рабочих дней отправляет результат во ФСТЭК. Раз в три года считается ещё и показатель уровня зрелости — в том числе у подрядчиков, которым дают доступ к значимому объекту, причём до этого доступа.

Методика расчёта Кзи (методический документ ФСТЭК от 11.11.2025) устроена жёстко: мера либо выполнена полностью, либо засчитывается как ноль, а норматив — Кзи = 1, то есть выполнено всё. Самые тяжёлые группы показателей — «защита информационных систем» (вес 0,35) и «мониторинг и реагирование» (0,30), и почти каждый их пункт проверяется через конкретное средство защиты:

Если эти средства уже стоят и настроены, к первому расчёту Кзи большая часть технических пунктов будет закрыта.

Как подобрать средства защиты для значимого объекта

1. Возьмите категорию из акта категорирования и выпишите базовый набор мер из приложения к приказу № 239.
2. Адаптируйте набор по модели угроз и дополните мерами из других требований, если объект одновременно ГИС, обрабатывает персональные данные или использует криптографию.
3. Проверьте, какие меры закрывают встроенные средства операционных систем и оборудования: приказ велит начинать с них.
4. На остальное подберите СЗИ: класс и уровень доверия по категории, тип по месту установки, действующий сертификат и срок техподдержки — по госреестру ФСТЭК.
5. Госорганам и заказчикам по 223-ФЗ дополнительно нужна запись каждого продукта в реестре российского ПО.
6. Сверьте состав со списком показателей Кзи: с марта 2027 года по нему придётся отчитываться во ФСТЭК.

Анализ уязвимостей (АУД.2) обязателен для всех категорий и напрямую входит в Кзи, поэтому с него проще всего начать. Базовая лицензия сертифицированного сканера XSpider PRO:

Рекомендуем в статье Программное обеспечение XSpider PRO. Лицензия Pentest на 4 IP, срок действия лицензии, включая обновления, 1 (один) год.

PT-XSP-P4

26 366 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

В корзину В корзине Подробнее →

Migsoft подберёт сертифицированные СЗИ под категорию объекта и набор мер, выставит счёт и подготовит документы для юрлица.

Частые вопросы