Чек-лист: внутренний аудит ИБ перед плановой проверкой ФСТЭК субъекта КИИ

В 2025 году ФСТЭК выявила свыше 1 200 нарушений при проверках более 700 значимых объектов КИИ. В 2026 году количество контрольных мероприятий будет существенно увеличено. Данный чек-лист — инструмент системной самопроверки по четырём блокам: документация, организация и персонал, технические средства защиты, мониторинг и реагирование. Каждый пункт привязан к требованиям 187-ФЗ, Приказов ФСТЭК № 239 и № 235, учитывает новую методику расчёта КЗИ и типичные нарушения, фиксируемые инспекторами.

Блок 1 чек-листа: документарный аудит

Документарная проверка — первое, с чего начинает инспектор ФСТЭК. Отсутствие хотя бы одного обязательного документа автоматически квалифицируется как нарушение. По статистике 2025 года, 98% нарушений связаны с расхождением документов и фактического состояния объектов.

Критически важно: инспектор ФСТЭК сопоставляет акт категорирования с поданными сведениями. Любое расхождение — изменение состава объекта, смена ПО, добавление нового сегмента сети — которое не отражено в обновлённых сведениях, немедленно вызовет вопросы и с высокой вероятностью приведёт к составлению протокола по ст. 19.7.15 КоАП РФ.

Блок 2 чек-листа: организационные меры и персонал

Приказ ФСТЭК № 235 устанавливает требования к структуре и функционированию системы безопасности значимых объектов КИИ. Проверяющие оценивают не только наличие формальных приказов, но и реальное исполнение обязанностей.

Обратите внимание: ФСТЭК проверяет не только «наличие приказа», но и реальное исполнение. Если ответственный за безопасность КИИ назначен, но фактически совмещает эту роль с должностью системного администратора без выделенного времени на задачи ИБ — это будет квалифицировано как нарушение. Аналогично с обучением: разовый инструктаж при приёме на работу — не замена регулярных тренингов.

Отдельный акцент в 2026 году — контроль подрядчиков. ФСТЭК планирует ввести отдельные требования по информационной безопасности для организаций, имеющих доступ к значимым объектам КИИ на правах подрядчиков. Убедитесь, что в договорах с подрядчиками зафиксированы обязательства по соблюдению требований ИБ, ответственность за инциденты и порядок взаимодействия при компьютерных атаках. Если ваши подрядчики не имеют лицензий ФСТЭК, это также может стать предметом замечания.

Блок 3 чек-листа: технические средства защиты информации

Это самый объёмный блок проверки и наиболее «болезненный» для субъектов КИИ. Приказ ФСТЭК № 239 определяет 17 групп мер, и по каждой группе инспектор вправе запросить подтверждение реализации — как документарное, так и инструментальное.

Дополнительно убедитесь в следующем:

• Все СЗИ сертифицированы ФСТЭК — наличие действующих сертификатов соответствия. Использование несертифицированных средств — одно из наиболее частых нарушений.
• Отсутствуют СЗИ из «недружественных» стран — требование Указа Президента № 250 действует с 01.01.2025. С 2026 года за это начнут активно штрафовать.
• Мониторинг ведётся с изолированных рабочих мест — ФСТЭК фиксирует нарушения, когда мониторинг событий ИБ осуществляется с обычных корпоративных компьютеров.
• Сканирование уязвимостей проводится регулярно — рекомендуется использовать сертифицированные средства анализа защищённости. Результаты документируются.

Блок 4 чек-листа: мониторинг, реагирование и взаимодействие с ГосСОПКА

Этот блок проверки связан с приказами ФСБ России № 196, 281, 282, 367, а также с группами мер АУД и ИНЦ Приказа ФСТЭК № 239. По весу в новой методике расчёта КЗИ мониторинг и реагирование составляют 30% — вторая по значимости группа после защиты информационных систем.

Практическая рекомендация: проведите «учебную тревогу» за месяц до проверки. Смоделируйте инцидент, пройдите весь цикл реагирования от обнаружения до формирования отчёта для НКЦКИ. Это позволит выявить слабые места в процессе и подтвердить работоспособность регламентов. Документы, фиксирующие результаты тренировки, станут дополнительным аргументом при проверке.

Оценка эффективности СЗИ и расчёт КЗИ как финальная проверка

С 1 марта 2026 года расчёт коэффициента защищённости информации (КЗИ) становится обязательной полугодовой процедурой. Для целей внутреннего аудита рекомендуем провести предварительный расчёт КЗИ до проверки ФСТЭК — это даст объективную количественную картину состояния защиты.

Экспресс-оценка по четырём группам показателей

Механизм обнуления: если при тестировании на проникновение аудитор получает доступ через учётные записи — вся группа «Защита пользователей» (25%) обнуляется. Если доступ получен через уязвимости ПО — обнуляется группа «Защита ИС» (35%). Это означает, что КЗИ может упасть ниже 0,75 даже при идеально оформленных документах. Подробности формулы и расчёта — в нашей статье о методике ФСТЭК и коэффициенте КЗИ.

Инструментальный аудит: что проверить до прихода инспектора

• Сканирование уязвимостей — проведите полное сканирование всех значимых объектов сертифицированным средством. Зафиксируйте найденные уязвимости и составьте план устранения.
• Внутренний пентест — хотя формально не обязателен для расчёта КЗИ, результаты пентеста влияют на показатель через механизм обнуления. Лучше обнаружить проблемы самим, чем ждать, пока их найдёт ФСТЭК.
• Проверка конфигураций СЗИ — убедитесь, что настройки межсетевых экранов, IDS/IPS, антивирусных решений соответствуют утверждённой документации.
• Анализ журналов — выборочно проверьте журналы событий ИБ за последние 3–6 месяцев на наличие необработанных алертов.

Типичные нарушения: на чём «горят» субъекты КИИ при проверках

Анализ результатов проверок ФСТЭК в 2025 году и опыт взаимодействия с регулятором позволяет выделить ТОП-10 нарушений, которые встречаются чаще всего. Используйте этот список как дополнительный фильтр при самопроверке.

Отдельно стоит подчеркнуть: по данным ФСТЭК (Инфофорум 2026), только 36% организаций достигли минимального уровня защиты от злоумышленников с минимальными возможностями — годом ранее таких было лишь 13%. Эта статистика говорит о том, что большинству субъектов КИИ предстоит серьёзная работа, и начинать её нужно задолго до прихода инспектора.

Сводный чек-лист и рекомендации по тайм-лайну подготовки

Ниже — сводная таблица, объединяющая все блоки чек-листа с рекомендуемыми сроками выполнения. Используйте её как инструмент планирования подготовки к проверке.

Главный принцип: готовиться к проверке нужно не в панике за неделю, а системно — начиная минимум за 2 месяца. Первый месяц — документарный и организационный аудит, устранение критических разрывов. Второй месяц — технический аудит, сканирование, расчёт КЗИ, финальная подготовка.

Если по результатам самопроверки обнаружены существенные пробелы, не пытайтесь скрыть их от инспектора. Более продуктивная стратегия — подготовить план мероприятий по устранению недостатков с конкретными сроками. Наличие утверждённого плана демонстрирует осознанный подход к управлению рисками и может быть учтено при формулировании предписания. Подробнее о стратегии взаимодействия с регулятором — в нашем материале об ошибках коммуникации с ФСТЭК.

Для субъектов КИИ, которые только начинают процесс категорирования или попали во вторую волну категорирования 2026 года, рекомендуем параллельно запустить работу по пошаговому руководству — это позволит синхронизировать категорирование и подготовку к проверке в рамках единого проекта.

Итог

Внутренний аудит ИБ перед плановой проверкой ФСТЭК — это не факультативное упражнение, а критическая необходимость. В 2026 году регуляторное давление на субъектов КИИ достигло беспрецедентного уровня: число проверок растёт, штрафы ужесточаются, а новый Приказ № 117 переводит контроль в режим непрерывного мониторинга.

Представленный чек-лист охватывает четыре ключевых блока: документацию, организационные меры, технические средства защиты и процессы мониторинга/реагирования. Каждый пункт привязан к конкретной норме 187-ФЗ, Приказов ФСТЭК № 239, № 235 и приказов ФСБ. Дополнительно мы интегрировали в чек-лист оценку КЗИ по методике ФСТЭК 2025 года — это позволяет получить объективную количественную картину защищённости до прихода инспектора.

Начните подготовку прямо сейчас: распечатайте сводный чек-лист, назначьте ответственных за каждый блок, установите контрольные точки по тайм-лайну. Организации, которые проводят предварительную самопроверку, получают в разы меньше замечаний — а значит, избегают штрафов, предписаний и внеплановых проверок.

Нужна помощь с подготовкой к проверке ФСТЭК или проведением аудита ИБ объектов КИИ? Оставьте заявку — специалисты sertifikat.bz проведут бесплатную экспресс-оценку вашей ситуации и помогут устранить критические разрывы до начала проверки. Звоните: 8(800) 70-70-144.