Проверка устройств информатизации (УИИ) – важный элемент контроля за соблюдением требований ФСТЭК и ФСБ России в сфере защиты информации. В Новодвинске, где большинство предприятий работают в оборонно-промышленном комплексе, подготовка к такой проверке требует особого внимания к документам, техническим средствам и персоналу. Ниже представлен подробный пошаговый план, который поможет пройти проверку без осложнений;

Понимание правовой основы

• Федеральный закон № 152‑ФЗ «О персональных данных» и ФЗ № 149‑ФЗ «Об информации, информационных технологиях и о защите информации».
• Требования ФСТЭК России (постановления № 111, № 115) и ФСБ России (приказы № 1‑2‑1/2020 и др.).
• Региональные нормативные акты Новодвинска, регламентирующие порядок проведения проверок в оборонных предприятиях.

Знание этих нормативных актов позволит заранее понять, какие документы и технические параметры будут проверяться.

Формирование команды проекта

1. Назначить ответственного за подготовку – обычно это руководитель отдела информационной безопасности (ИБ).
2. Сформировать рабочую группу из специалистов:
   • Администратор сети;
   • Системный администратор;
   • Специалист по защите информации (УИБ);
   • Юрист, отвечающий за нормативно-правовую часть.
3. Определить контактное лицо для взаимодействия с проверяющими органами.

Аудит текущего состояния УИИ

Перед проверкой необходимо провести внутренний аудит, который включает:

• Составление реестра всех УИИ (серверы, рабочие станции, сетевое оборудование, периферия).
• Проверку наличия технического паспорта на каждый объект (в соответствии с практикой Департамента аттестационных работ ГК ЦИБИТ).
• Анализ журнала событий (SIEM) за последние 12 месяцев.
• Оценку соответствия программного обеспечения требованиям ФСТЭК (использование сертифицированных продуктов).

Подготовка документации

Документарная часть – одна из самых проверяемых. Ниже перечень обязательных документов (по образцу Департамента аттестационных работ):

1. Технический паспорт УИИ (включая запись о ежегодных и внеплановых проверках).
2. Аттестационный протокол и заключение по результатам предыдущей аттестации.
3. Аттестат соответствия (если уже получен).
4. Локальные нормативные акты:
   • Политика защиты информации;
   • Положение о классификации информации;
   • Инструкция по работе с УИИ;
   • План реагирования на инциденты.
5. Журналы учета доступа (логин‑лог‑аут, изменения прав);
6. Отчёты о проведённых тестах на уязвимости и их устранении.
7. Документы по обучению персонала (протоколы тренингов, списки участников).
8. Планы и результаты внутренних проверок (пожарная безопасность, охрана труда – если они относятся к объекту).

Все документы должны быть оформлены в соответствии с ГОСТ 19 и подписаны уполномоченными лицами.

Техническая подготовка

Проверка конфигураций

• Убедиться, что пароли и ключи соответствуют требованиям (длина, сложность, периодичность смены);
• Отключить все неиспользуемые сервисы и порты на серверах и сетевых устройствах.
• Обновить операционные системы и прикладные программы до последних патчей.
• Проверить наличие антивирусных решений и их актуальность.

Защита каналов передачи данных

• Настроить шифрование (TLS, IPSec) для всех внешних и внутренних каналов.
• Проверить корректность работы межсетевых экранов и систем предотвращения вторжений (IPS).

Резервное копирование и восстановление

• Обновить политику резервного копирования (частота, хранение, проверка целостности).
• Провести тестовое восстановление данных за последний месяц.

Подготовка персонала

1. Провести инструктаж для всех сотрудников, работающих с УИИ, о порядке поведения во время проверки (что говорить, какие документы показывать).
2. Организовать тренинг по вопросам безопасности (пример: «Как отвечать на запросы проверяющих»).
3. Убедиться, что каждый сотрудник ознакомлен с политикой конфиденциальности и подписал акт о её получении.

План проведения проверки

Составьте собственный рабочий план на день проверки, включающий:

• Время встречи с проверяющими;
• Последовательность показа помещений и оборудования.
• Ответственных за предоставление каждой группы документов.
• Контактные данные для экстренной связи.

Проведение «пробного» аудита

За 1–2 недели до официальной проверки проведите внутренний «пробный» аудит, используя тот же чек‑лист, который используют проверяющие. Это поможет выявить пробелы и устранить их заранее.

День проверки

1. Приветствие проверяющих, представление ответственного лица.
2. Предоставление реестра УИИ и технических паспортов.
3. Показ журналов событий, протоколов аттестации, планов реагирования.
4. Ответы на вопросы проверяющих – опирайтесь только на официальные документы.
5. Запись всех замечаний в протокол (при необходимости уточняйте детали).

После проверки: работа с результатами

• Составьте акт о результатах проверки (если он не предоставлен).
• Разработайте план корректирующих действий в срок, указанный в протоколе (обычно 30 дней).
• Обновите технические паспорта и реестр УИИ с учётом выявленных несоответствий.
• Проведите повторный внутренний аудит после выполнения корректирующих мер.

Долгосрочное сопровождение

Для минимизации риска повторных замечаний рекомендуется заключить договор на сопровождение с профильной компанией (например, Департамент аттестационных работ ГК ЦИБИТ), который будет:

• Проводить ежегодные и внеплановые проверки.
• Обновлять документы в соответствии с изменениями законодательства.
• Осуществлять техническую поддержку и аудит уязвимостей.

Подготовка к проверке УИИ в Новодвинске – это комплексный процесс, включающий правовую, документарную и техническую подготовку, а также работу с персоналом. Следуя приведённому пошаговому плану, вы сможете:

• Сократить время проверки;
• Избежать штрафов и административных санкций;
• Подтвердить соответствие требованиям ФСТЭК и ФСБ;
• Повысить общий уровень информационной безопасности вашего предприятия.

Помните, что регулярный контроль и обновление – залог стабильной работы УИИ и уверенности в том, что ваш объект информатизации всегда находится в полном соответствии с нормативными требованиями.