Организация деятельности в сфере защиты информации, лицензируемой ФСТЭК России, требует строгого соблюдения нормативных требований․ Для субъектов хозяйствования, расположенных в Лахденпохском районе Республики Карелия, процедура проверок имеет свою территориальную специфику, хотя и регламентируется едиными федеральными правилами․ В данной статье мы подробно разберем основные вопросы, возникающие у руководителей и специалистов по информационной безопасности при подготовке к выездным и документарным проверкам․
Кто и на каком основании проводит проверки в Лахденпохском районе?
Важно понимать: ФСТЭК России не имеет отдельного территориального управления непосредственно в Лахденпохском районе или городе Сортавала․ Надзор за деятельностью лицензиатов и операторов критической информационной инфраструктуры (КИИ) на территории Республики Карелия осуществляет:
- Управление ФСТЭК России по Северо-Западному федеральному округу (г․ Санкт-Петербург) — через свои территориальные органы или выездные группы․
- В отдельных случаях — Главное управление ФСТЭК России по Санкт-Петербургу и Ленинградской области, если вопрос затрагивает граничные аспекты (район приграничный)․
Правовые основания:
- Федеральный закон от № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (ст․ 16, 17)․
- Федеральный закон от № 187-ФЗ «Об экспортном контроле» (для участников ВЭК)․
- Постановление Правительства РФ от № 103 «Об утверждении Положения о Федеральной службе по техническому и экспортному контролю»․
- Приказ ФСТЭК России от № 236 «Об утверждении Порядка проведения федерального государственного надзора (надзора) за соблюдением лицензиатами условий лицензий․․․»․
Виды проверок: что ждать организации в 2024–2026 годах?
Согласно ст․ 21 Федерального закона № 294-ФЗ «О защите прав субъектов МСП․․․» и приказам ФСТЭК, выделяют:
Плановые проверки
Вносятся в план проверок Управления ФСТЭК по СЗФО на календарный год․ Важно: С 2021 года введен мораторий на плановые проверки МСП (с редкими исключениями для КИИ и лицензиатов ВЭК)․ Однако для объектов КИИ (категории 1–3) и лицензиатов по защите гостайны/ГСВТ плановые проверки сохраняются․
Внеплановые проверки
Инициируются по основаниям (ст․ 22 Закона № 294-ФЗ):
- Обращения граждан/организаций (жалобы на утечки, нарушение лицензии)․
- Информация из СМИ/интернета об инцидентах ИБ․
- Результаты предыдущих проверок (контроль устранения нарушений)․
- Поручения Президента/Правительства/Генпрокуратуры․
- События, создающие угрозу безопасности (кибератаки на инфраструктуру района)․
Документарные проверки
Проводится без выезда на объект․ Основание — анализ представленных отчетов (ежегодный отчет лицензиата, отчет о КИИ, уведомления об инцидентах)․ Срок — до 30 рабочих дней․
Профилактические посещения
Не являются проверкой в строгом смысле (не влекут штрафов)․ Цель — консультирование, разъяснение новинок законодательства (например, Приказа № 117 или № 239)․ Для Лахденпохского района это актуально из-за удаленности от регионального центра․
Типичные вопросы и блоки проверки (Чек-лист инспектора)
Основываясь на практике Управления ФСТЭК по СЗФО и типичных нарушениях, выявленных в 2017–2023 гг․ (по данным отчетов ФСТЭК и сообщества Инфобезопасность/Хабр), проверка строится вокруг 4-х ключевых блоков:
Блок А: Организационные меры и документация (Модель угроз, Политики, Приказы)
| Типичный вопрос инспектора | Что проверяют на практике | Частые нарушения в районах |
|---|---|---|
| Есть ли актуальная Модель угроз (МУ) и Модель нарушителя (МН)? | Соответствие Приказу ФСТЭК 239 (для ГИС) или 21/17 (для КИИ/ПДн)․ Дата утверждения, подпись руководителя․ | МУ устарела (не обновлялась 3+ года), не учитывает специфику удаленного доступа/филиалов в Лахденпохье․ |
| Согласована ли МУ с ФСБ (если требуется)? | Наличие письма ФСБ о согласовании (для КИИ, ГИС, гостайны)․ | Отсутствие согласования или истекший срок действия согласования․ |
| Полный ли пакет нормативной документации ИБ? | Политика ИБ, Регламенты (управления инцидентами, доступом, ЖЦ СЗИ), Приказы о назначении ответственных, комиссий․ | Документы «для галочки» — скачаны из интернета, не адаптированы под реальные бизнес-процессы организации․ |
| Проводится ли обучение персонала? | Журналы инструктажей, программы обучения, протоколы проверки знаний (раз в год минимум)․ | Нет журналов, обучение формальное (только подпись в листе), не обучены новые сотрудники/админы․ |
Блок Б: Техническая защита информации (СЗИ, КСЗ, Сетевые экраны)
Ссылка на практику: «Их интересовали технические вопросы и сетевой экран» (Хабр, 2023)․
- Сертифицированные СЗИ: Соответствуют ли установленные СЗИ (антивирусы, МЭ, СКЗИ, СДВИ) классу защищенности объекта (КЗ 1–4)? Есть ли сертификаты ФСТЭК/ФСБ в действующем реестре?
- Комплексная система защиты (КСЗ): Соответствует ли состав СЗИ проекту КСЗ, согласованному при лицензировании/аттестации?
- Настройка МЭ/IDS/IPS: Проверяются правила блокировки, логирование, защита от DDoS․ Критично: актуальность сигнатур и правил обновления․
- Учет и контроль доступа: Работает ли ИАС (Идентификация, Аутентификация, Авторизация)? Парольная политика, MFA для привилегированных учеток․
- Защита от НСД (Несанкционированного доступа): Наличие СЗИ НСД (класс А/Б/В/Г/Д) в сегментах с ПДн/Гостайной/КИИ․
Блок В: Персонал и лицензирование деятельности
Актуально по данным ФСТЭК за 2026 г․: «Разбираем, что проверяет ФСТЭК по персоналу и обучению: требования к образованию, стаж, документы об обучении»․
- Наличие лицензии ФСТЭК на вид деятельности (защита ГИС, КИИ, ПДн, ГСВТ, разработка СЗИ)․ Действует ли она? Не истек ли срок?
- Кадровое обеспечение: Соответствует ли штатное расписание лицензионным требованиям (кол-во ИБ-специалистов, образование, стаж, прохождение обучения по программам доп․ проф․ образования не реже 1 раза в 5 лет)․
- Ответственный за ИБ: Назначен ли приказом? Имеет ли допуск (если гостайна)? Проходил ли обучение за последние 12 месяцев?
Блок Г: Экспортный контроль (ВЭК) — если применимо
Для предприятий Лахденпохского района, работающих с двойным назначением (лесопереработка, судостроение, минеральные воды, IT-экспорт):
- Наличие лицензии на ВЭК․
- Ведение реестра контрактов, контроль энд-пользователей․
- Наличие программы ВЭК, ответственного за ВЭК, обучения персонала․
Приказ ФСТЭК № 117 (от ) — новый вектор проверок
С вступлением в силу Приказа № 117 (вместо Приказа № 21) фокус проверок сместился с «наличия бумаг» на эффективность процессов․
Ключевые изменения, о которых спросят инспекторы:
- КЗИ (Критерии защищенности информации): «КЗИ отвечает на вопрос: защищены ли мы прямо сейчас от типовых угроз»․ Инспекторы будут проверять актуальность расчета КЗИ для каждого контура․
- ПЗИ (Показатели зрелости процессов ИБ): «ПЗИ отвечает на вопрос: насколько зрелы наши процессы ИБ в целом»․ Готовьтесь показать метрики: время реакции на инцидент, % покрытия активов СЗИ, результаты пентестов/Red Teaming․
- Непрерывный мониторинг: Требование к автоматизированному сбору событий (SIEM/SOC)․ Для районных организаций — вопрос аренды SOC (MSSP) или настройки корреляции на собственном SIEM․
- Учет инцидентов: Обязательное уведомление ФСТЭК (и ФСБ/ГосСОПКА для КИИ) в установленные сроки (24 часа для КИИ)․ Проверяется журнал инцидентов и корневой анализ (RCA);
Специфика Лахденпохского района: Риски и нюансы
- Приграничный статус: Усиленный контроль за защитой гостайны и сведений, составляющих гостайну (если есть объекты МО, Пограничного управления ФСБ, критические объекты энергетики/транспорта)․ Проверки могут быть совместными (ФСТЭК + ФСБ)․
- Инфраструктура связи: Нестабильность каналов связи в удаленных поселениях (Хийтола, Куйтола, Яакимаваара) влияет на работу удаленных СЗИ, обновление антивирусов, передачу логов в SIEM․ Инспекторы могут зафиксировать это как нарушение требований к доступности/целостности․
- Кадровый голод: Дефицит квалифицированных ИБ-специалистов на месте․ Часто функции ИБ совмещает сисадмин без профильного образования/обучения․ Это топ-1 нарушение по Карелии․
- Использование «облачных» СЗИ: Аренда МЭ, антивируса, SIEM у провайдеров (МТС, Ростелеком, Solar, Kaspersky)․ Проверяется: есть ли у провайдера лицензия ФСТЭК/ФСБ? Где физически хранятся логи и ключи? (Требование локализации данных — 152-ФЗ)․
Алгоритм подготовки к проверке (Пошаговый план)
Этап 1: Аудит готовности (за 2–3 месяца до плановой / сразу при получении уведомления о внеплановой)
- Провести внутренний аудит по чек-листу Приказа № 236 (Проверочный лист ФСТЭК/МЧС)․
- Проверить актуальность Модели угроз (п․ 15 Приказа № 117) и расчет КЗИ/ПЗИ;
- Сверить реестр СЗИ с Реестром сертифицированных СЗИ ФСТЭК/ФСБ на дату проверки․
- Проверить наличие и сроки действия лицензий, сертификатов, согласований ФСБ․
Этап 2: Работа с персоналом (непрерывно)
- Организовать внеплановое обучение ответственного за ИБ и админов СЗИ (если прошло > 1 года)․
- Провести инструктаж по действиям при выезде инспекторов (кто встречает, куда сажают, какие документы выдавать, какие, нет)․
- Подготовить пакет документов для передачи по требованию (копии лицензий, МУ, отчеты об аттестации, журналы инцидентов за год)․
Этап 3: Техническая готовность (за 1–2 недели)
- Обновить сигнатуры АВ, правила МЭ/IDS, ОС на серверах СЗИ․
- Проверить целостность логов за последние 6–12 месяцев (наличие, полнота, защита от подделки)․
- Протестировать восстановление из бэкапа (контрольный запуск)․
- Заблокировать неиспользуемые учетные записи, сменить компрометированные пароли․
Этап 4: Во время проверки
- Составить акт осмотра пометий/серверных (если требуют доступ)․
- Выдавать документы только под распись в журнале учета выданных документов/копий․
- Не препятствовать доступу к информации, относящейся к предмету проверки (ст․ 17 Закона № 149-ФЗ)․
- Фиксировать все замечания устно и просить зафиксировать их в протоколе/акте․
Типичные штрафы и последствия (КоАП РФ)
Нарушения, выявляемые ФСТЭК, влекут административную ответственность (ст․ 13․12․4, 19․5, 19․7 КоАП РФ):
| Нарушение | Статья КоАП РФ | Штраф для юрлиц | Штраф для должлиц | Деятельность без лицензии ФСТЭК (защита ГИС/КИИ/ПДн) | 13․12․4 ч․ 1 | 150 000 – 300 000 руб․ | 10 000 – 30 000 руб․ | Нарушение условий лицензии (состав СЗИ, персонал, МУ) | 13․12․4 ч․ 2 | 100 000 – 200 000 руб․ | 5 000 – 10 000 руб․ | Непредставление информации/отчетов ФСТЭК | 19․5 ч․ 1 | 20 000 – 50 000 руб․ | 3 000 – 5 000 руб․ | Препятствование проверке | 19․5 ч․ 4 | 50 000 – 100 000 руб․ | 10 000 – 20 000 руб․ | Нарушение правил ВЭК | 19․7 ч․ 1-3 | до 1 000 000 руб․ или доход | до 50 000 руб․ |
|---|
Дополнительные меры: Приостановка лицензии (до 90 дней), изъятие объектов, обязательство устранить нарушения․ Для КИИ — включение в реестр недобросовестных поставщиков/исполнителей․
Контакты и ресурсы для организаций Лахденпохского района
Рекомендуется иметь под рукой контакты надзорного органа для уточнения планов проверок, получения разъяснений или сообщения об инцидентах:
- Управление ФСТЭК России по Северо-Западному федеральному округу:
- Адрес: 190000, г․ Санкт-Петербург, наб․ реки Мойки, д․ 37 (или актуальный адрес на сайте fstec․gov․ru)․
- Телефон справочной/приемной: +7 (812) -12-XX-XX (уточняйте на официальном сайте раздел «Контакты»)․
- Эл․ почта для обращений: szfo@fstec․gov․ru (общий ящик управления)․
- Официальный сайт ФСТЭК России: fstec․gov․ru (Разделы: «Реестры», «Нормативная база», «План проверок», «Электронный приемная»)․
- Портал ГосСОПКА (для КИИ): gossopka․ru — для уведомлений об инцидентах и получения рекомендаций․
- Министерство цифрового развития Республики Карелия: г․ Петрозаводск — для региональной координации (если организация входит в структуру госсектора региона)․
FAQ: Ответы на самые частые вопросы руководителей
- Вопрос: Нас нет в плане проверок на год․ Значит, проверки не будет?
- Нет․ Внеплановые проверки и документарные проверки могут быть проведены в любой момент по основаниям ст․ 22 Закона № 294-ФЗ (жалоба, инцидент, поручение)․ Профилактические визиты также не требуют включения в план․
- Вопрос: Инспекторы требуют доступ к серверной/консоли управления СЗИ․ Можно отказать?
- Отказать нельзя, если это предусмотрено программой проверки и у инспекторов есть полномочия (служебное удостоверение + приказ на проверку)․ Однако доступ должен предоставляться в присутствии вашего админа/ответственного за ИБ и по возможности — в режиме «только чтение» (просмотр конфигов, логов), без ввода команд изменения конфигурации инспектором․
- Вопрос: Мы арендуем защиту у МСП (MSSP)․ Отвечаем ли мы за ошибки провайдера?
- Да․ Оператор ИС (вы) несет ответственность за защиту информации; Договор с MSSP должен содержать SLA, ответственность за инциденты, право аудита провайдера․ На проверке вы показываете договор, отчеты провайдера, акты сверки логов․
- Вопрос: Что такое «Проверочный лист (список контрольных вопросов)» из интернета? Это официальный документ?
- Да, ФСТЭК (вместе с МЧС для своих сфер) утверждает проверочные списки для каждого вида надзора․ Они публикуются на сайте ФСТЭК в карточке вида надзора․ Готовьтесь именно по этому списку — инспекторы не имеют права выходить за его рамки (ч․ 4 ст․ 10 Закона № 294-ФЗ)․
- Вопрос: Нашли нарушение․ Что делать?
- Не подписывайте протокол/акт с пометкой «согласен», если не согласны, пишите «не согласен, мотивы изложу в письменном обжаловании»․
2․ В течение 10 рабочих дней подавайте обжалование старшему инспектору/руководителю Управления ФСТЭК по СЗФО (административный порядок) или в суд․
3․ Параллельно устраняйте нарушение (если оно объективно) и направляйте уведомление об устранении в ФСТЭК — это смягчающий обстоятельство при назначении штрафа․
Проверки ФСТЭК в Лахденпохском районе, как и во всей РФ, становятся более технологичными и ориентированными на результат (Приказ № 117, КЗИ/ПЗИ)․ Формальное наличие «папки с документами» перестало быть защитой․ Ключевые факторы успешной проверки для районной организации сегодня, это:
- Актуальная Модель угроз, учитывающая локальные риски (приграничье, нестабильная связь, аутсорсинг ИБ)․
- Компетентный персонал (хотя бы один профильный специалист с документами об обучении)․
- Работающие, а не «галочные» СЗИ (логи пишутся, алерты обрабатываются, бэкапы восстанавливаются)․
- Процесс управления инцидентами с фиксацией, расследованием и уведомлением регуляторов․
Системная подготовка на протяжении года (внеплановые внутренние аудиты, обучение, тестирование КСЗ) стоит дешевле, чем устранение последствий штрафов, приостановки лицензии или репутационных потерь после серьезного инцидента․ Используйте данную статью как чек-лист для самооценки готовности вашей организации к визиту инспекторов Управления ФСТЭК по СЗФО․
Статья подготовлена на основе действующего на законодательства (149-ФЗ, 187-ФЗ, 152-ФЗ, Приказы ФСТЭК № 117, № 236, № 239, № 21/17, Закон № 294-ФЗ, КоАП РФ) и практики применения Управлением ФСТЭК России по СЗФО․ Данная информация носит справочный характер․ Для решения конкретных правовых вопросов рекомендуется обратиться к специализированному юристу по информационному праву․