Экспресс-аудит кибербезопасности и регуляторных рисков

Категорирование КИИ: предварительная подготовка

Гайд помогает подготовиться к предварительной оценке признаков КИИ: отрасль, важные процессы, информационные системы, комиссия, документы и дальнейшая работа со специалистом.

Сайт показывает смысловые блоки, вопросы и маршруты даже при отключённом JavaScript. Интерактивный опросник, расчёт risk score и отправка заявки включаются в полной версии.

Начать проверку Быстрые ответы Sitemap

КИИ 187-ФЗ

Категорирование КИИ: предварительная подготовка

Материал помогает подготовиться к разговору со специалистом по КИИ: отрасль, процессы, системы, комиссия, документы и первичная оценка признаков.

1. Проверить отрасль и важные процессы

В первую очередь смотрят, работает ли организация в сфере медицины, транспорта, связи, энергетики, промышленности, финансов, госсектора или других чувствительных направлений.

Затем описывают процессы, от которых зависит непрерывность важных услуг: производство, управление оборудованием, оказание услуг, расчёты, диспетчеризация, хранение и обмен критичной информацией.

2. Собрать перечень систем

Нужно понимать, какие информационные системы, АСУ ТП, базы данных, сетевые сегменты и внешние сервисы участвуют в критичных процессах.

Для предварительной оценки полезны схемы, владельцы систем, описание пользователей, подрядчиков, каналов доступа и зависимостей от облачных или внешних сервисов.

3. Подготовить управленческие документы

Если признаки КИИ вероятны, обычно требуется организовать комиссию, провести оценку значимости, подготовить документы и определить дальнейшие меры защиты.

Окончательные выводы нельзя делать только онлайн. Нужен анализ документов, систем, процессов и фактической роли организации.

Интерактивный аудит

Вопросы экспресс-аудита видны без JavaScript

Если JavaScript отключён, пользователь всё равно видит структуру опросника, направления проверки и список данных, которые потребуются для gap-report. Интерактивный расчёт risk score включается в обычной версии сайта.

1. Компания

Профиль бизнеса нужен, чтобы не смешивать разные регуляторные сценарии.

Ваша отрасль
Размер компании
Регион работы
Ваша роль

2. Персональные данные

Проверяем 152-ФЗ, Роскомнадзор, локализацию баз и контур подрядчиков.

Собираете ли вы данные клиентов через сайт?
Есть ли CRM, 1С, call center, личный кабинет, мобильное приложение?
Обрабатываете ли вы данные сотрудников?
Есть ли специальные категории данных: медицинские, биометрия, данные детей, финансовые данные?
Подавали ли уведомление в Роскомнадзор?
Есть ли политика обработки ПДн на сайте?
Где физически хранятся базы данных?
Есть ли подрядчики, которые получают доступ к данным?

3. Утечки и инциденты

Смотрим, есть ли практический порядок действий, если что-то пошло не так.

Есть ли процедура реагирования на утечку?
Назначен ли ответственный за взаимодействие с Роскомнадзором?
Есть ли журнал инцидентов?
Есть ли план уведомления в течение 24/72 часов?
Были ли инциденты за последние 12 месяцев?
Проводилось ли расследование инцидентов?

4. КИИ и регулируемые отрасли

Предварительно определяем, нужен ли разговор о 187-ФЗ и ФСТЭК.

Работает ли компания в медицине, транспорте, связи, энергетике, промышленности, финансах или госсекторе?
Есть ли автоматизированные системы управления производством или критичными процессами?
Есть ли информационные системы, от которых зависит непрерывность важных услуг?
Проводилась ли предварительная оценка признаков КИИ?
Создана ли комиссия по категорированию?
Есть ли документы по модели угроз и мерам защиты?

5. Техническая безопасность

Оцениваем базовую киберустойчивость без доступа к вашим системам.

Используется ли MFA?
Есть ли резервные копии?
Проверялось ли восстановление из резервных копий?
Есть ли EDR/антивирус на рабочих станциях и серверах?
Проводился ли пентест за последние 12 месяцев?
Проводится ли сканирование уязвимостей?
Есть ли журналирование событий?
Есть ли SOC/MDR или внешний мониторинг?
Проходят ли сотрудники обучение по фишингу и социальной инженерии?

6. Зарубежные клиенты

Отдельно проверяем западные требования для экспортных и B2B-команд.

Есть ли клиенты или пользователи из ЕС?
Требуют ли клиенты ISO 27001, SOC 2 или security questionnaire?
Используются ли AI-системы для HR, скоринга, медицины, финансов, биометрии или принятия решений?
Нужна ли оценка GDPR/NIS2/DORA/AI Act?

Доверие и ограничения

Безопасная самооценка без лишних обещаний

Методология основана на открытых требованиях регуляторов и лучших практиках ИБ.
Результат не является юридическим заключением.
Мы не запрашиваем пароли, конфиденциальные документы или чувствительные данные.
Для точного заключения требуется полноценный аудит.

Не официальный сервис регулятора

Сайт не выдаёт себя за государственный ресурс и не обещает прохождение проверки.

Методология объяснима

Вопросы сгруппированы по понятным блокам: данные, инциденты, КИИ, техническая ИБ и зарубежные клиенты.

Минимизация данных

Для заявки собираются только контактные поля и комментарий, нужные для обратной связи.

КиберНорма не является государственным органом. Информация носит справочный характер и не заменяет юридическую консультацию или полноценный аудит информационной безопасности.

FAQ

Короткие ответы

Это юридическое заключение?

Нет. Это предварительная самооценка, которая помогает понять возможные зоны риска и подготовиться к разговору со специалистом.

Вы храните конфиденциальные данные?

Опросник не требует загрузки баз данных, паролей, документов ДСП или иной чувствительной информации.

Кому подойдёт проверка?

Компаниям, которые обрабатывают персональные данные, используют сайт/CRM, работают в регулируемых отраслях, проходят тендеры или хотят снизить риск инцидентов.

Можно ли проверить КИИ онлайн?

Онлайн можно провести только предварительную самооценку признаков. Окончательные выводы требуют анализа документов, систем и процессов.

Что происходит после заявки?

Вы получаете краткий gap-report и можете запросить консультацию профильного эксперта.