Проверяем на практике, как ваша команда действует при инциденте: разыгрываем сценарий, фиксируем реальные действия и решения, находим места, где план расходится с жизнью, и даём конкретные доработки. Штабная отработка без воздействия на инфраструктуру или технические учения — на стенде и в согласованных границах.
Субъект критической информационной инфраструктуры, которому принадлежат значимые объекты КИИ, не реже одного раза в год организует и проводит тренировки по отработке мероприятий плана реагирования. Требование не новое: оно было установлено пунктом 10 Порядка, утверждённого приказом ФСБ России от 19.06.2019 № 282, и сохранено в пункте 10 действующего Порядка по приказу ФСБ России от 25.12.2025 № 547.
Учения строятся вокруг реальных сроков информирования:
Отработка сценария без воздействия на инфраструктуру. Участники получают вводные и принимают решения в реальном или согласованном модельном масштабе времени: кого оповещаем, кто уполномочен изолировать сегмент, что сообщаем регулятору и в какой срок, как действуем, если ответственный недоступен. Базовый формат для исполнения ежегодного требования и для первой проверки плана.
Отработка на стенде, в тестовом сегменте или в согласованных границах рабочей инфраструктуры: контролируемая имитация действий злоумышленника и реальная работа защитников. Проверяют обнаружение, эскалацию и технические действия по сдерживанию.
Техническая отработка с параллельным штабным контуром принятия решений: пока команда защиты работает, руководство, юристы и ответственные принимают решения по тем же вводным, отрабатываются коммуникации, регуляторные уведомления и восстановление. Ближе всего к реальному инциденту, требует наибольшей подготовки.
| Работа | Главный вопрос |
|---|---|
| Тестирование на проникновение | Какие уязвимости подтверждаются эксплуатацией в согласованных границах |
| Red Team | Сможет ли условный противник достичь согласованной цели и обнаружит ли его защита |
| Purple Team | Как совместно улучшить обнаружение и противодействие конкретным техникам |
| Киберучения | Как организация исполняет план реагирования: роли, решения, коммуникации, сроки, сдерживание, восстановление |
| Обучение персонала | Знают ли сотрудники правила и распознают ли типовые угрозы |
Наиболее критичными часто оказываются не технические пробелы.
Согласуются до проведения — иначе отчёт превращается в субъективный перечень наблюдений. Обычный набор:
Изучаем план реагирования, регламенты, схему инфраструктуры и состав участников. Совместно с вами определяем цели, формат, границы, критерии оценки и правила проведения.
Сценарий под вашу инфраструктуру и модель угроз — шифровальщик, компрометация учётной записи с продвижением, утечка, компрометация подрядчика, инцидент в технологическом сегменте. Предусматриваем развилки: сценарий развивается в зависимости от действий участников.
Вводные подаются в согласованном темпе. Ведущий фиксирует действия и решения, время их принятия и то, чем участники руководствовались. Реальные действия — только в согласованных границах.
После завершения, по горячим следам, с участниками: что сработало, где возникли задержки, какие решения принимались без полномочий, где план не дал ответа.
Хронология, оценка по согласованным критериям, перечень пробелов с приоритетами, проекты изменений в план реагирования и регламенты, рекомендации по обучению и по технической части.
По согласованию — чтобы проверить, что доработки работают.
Учения имеют смысл, когда за столом те, кто действительно принимает решения:
До начала фиксируются письменно:
| Задача | АйЭсТи | Заказчик |
|---|---|---|
| Изучение плана и инфраструктуры | Выполняем | Предоставляет материалы и доступ |
| Цели, объём и содержание тренировки | Предлагаем и обосновываем | Определяет и утверждает |
| Ответственные лица и состав участников | Формулируем требования к составу | Назначает, обеспечивает участие подразделений и руководства |
| Сценарий и вводные | Разрабатываем | Согласует |
| Границы и разрешения на действия | Предлагаем правила | Разрешает и утверждает |
| Проведение и модерация | Выполняем | Участвует |
| Фиксация решений и сроков | Выполняем | — |
| Отчёт и проекты доработок | Готовим | Принимает результаты, вносит и утверждает изменения в план |
Штабная тренировка для одной команды — от нескольких дней подготовки и одного рабочего дня проведения. Технические и комплексные — дольше: срок зависит от сценария, необходимости стенда и числа участников.
Субъектам КИИ, которым принадлежат значимые объекты, — не реже одного раза в год. Требование действует с 2019 года и сохранено в действующем порядке. Для организаций без значимых объектов обязанности нет.
Если тренировка нужна как исполнение обязательного требования — сначала план: отрабатывать нечего. Если требования к вам не применяются, можно начать с диагностического штабного сценария и на его основе разработать план.
Штабные проводятся открыто. В технических часть участников может не знать о происходящем — но только при письменном разрешении уполномоченного руководителя, утверждённых границах и информировании лиц, отвечающих за безопасность проведения.
Реальные действия выполняются только в согласованных границах, для критичных и технологических систем — как правило, не выполняются. Стоп-условия и кодовое слово фиксируются до начала.
Установленной универсальной формы нет. Оформляем комплект материалов, фиксирующих проведение и результаты тренировки; состав согласуем заранее с учётом применимых к вам требований.
Расскажите, что есть: разработан ли план реагирования, отрабатывался ли, есть ли значимые объекты КИИ, кто входит в команду, когда проводилась последняя тренировка. Предложим формат, сценарий и состав участников.