Когда актуально

Особенно актуально, если:

• канал взаимодействия с НКЦКИ уже настроен, но не хватает ресурса на постоянную квалификацию инцидентов и соблюдение сроков информирования;
• сроки подготовки карточек для передачи в НКЦКИ (3 часа для значимых объектов КИИ, 24 часа для иных объектов и для операторов систем по приказу №297) регулярно оказываются под угрозой из-за нехватки дежурной команды;
• получаемые от ГосСОПКА индикаторы компрометации и бюллетени не используются во внутренних процессах обнаружения системно;
• нормативные требования к техническим средствам, порядку информирования и обмену данными периодически обновляются, и нет ресурса отслеживать это и актуализировать документы;
• нужна помощь при проверках или запросах со стороны регулятора по вопросам взаимодействия с ГосСОПКА.

Для руководителя коротко. Задача этой услуги — снять с вашей команды постоянную операционную нагрузку по соблюдению нормативных сроков и процедур взаимодействия с ГосСОПКА, сохранив при этом ответственность и решения по существу за вашей организацией.

С чего начинаем

Канал с НКЦКИ ещё не настроен? Это отдельная услуга — «Подключение к ГосСОПКА»; сопровождение имеет смысл после того, как канал и документы готовы.

Не знаете, какой объём сопровождения нужен — постоянное операционное сопровождение или точечная экспертная помощь? Обсуждаем это отдельно: от разбора отдельных сложных инцидентов до постоянной дежурной квалификации и подготовки сведений.

Опасаетесь потерять контроль над тем, что уходит в НКЦКИ от имени вашей организации? Распределение функций и права согласования фиксируются в регламенте взаимодействия и договоре — по умолчанию решения по существу остаются за ответственным представителем организации, если иное не согласовано отдельно.

Что важно учитывать. Сопровождение снижает операционную нагрузку и риск нарушения сроков, но не передаёт сопровождающей команде установленные законодательством обязанности и ответственность самой организации — регламент взаимодействия и личный кабинет остаются оформленными на неё.

Как это соотносится с соседними услугами

Несколько услуг относятся к взаимодействию с ГосСОПКА и обнаружению угроз, но решают разные задачи.

Разница по существу: подключение — разовый проект по организации канала; сопровождение — постоянный процесс использования этого канала; SIEM/SOAR и SOC — источники и процессы обнаружения, которые дают материал для карточек инцидентов, но не заменяют само взаимодействие с регулятором.

Форматы работы

Приём инцидентов от источников обнаружения. SIEM/SOAR, SOC, внутренние системы заказчика или иные источники, поставляющие информацию о потенциальных инцидентах.

Квалификация инцидентов. Определение, подпадает ли событие под критерии компьютерного инцидента, подлежащего информированию НКЦКИ, и по какому основанию и в какой срок.

Подготовка сведений и обеспечение их передачи в НКЦКИ. Формирование карточки в установленном формате и её передача в пределах согласованной модели взаимодействия: при прямом взаимодействии заказчика — с участием его ответственных представителей, при работе через центр ГосСОПКА — в пределах направления деятельности и зоны ответственности центра.

Приём и обработка индикаторов компрометации. Получаем информацию, оцениваем её применимость к инфраструктуре заказчика и в согласованном объёме передаём релевантные индикаторы в используемые системы обнаружения и защиты.

Актуализация документов и технических средств. Пересмотр регламента взаимодействия и, при наличии, технических средств ГосСОПКА при изменении нормативных требований.

Поддержка при проверках. Помощь в подготовке материалов и ответах на запросы регулятора по вопросам взаимодействия с ГосСОПКА.

Из чего складывается сопровождение

Дежурная квалификация событий. Определение, относится ли событие к компьютерному инциденту, подлежащему информированию НКЦКИ, — на основе данных, поступающих от источников обнаружения заказчика.

Подготовка сведений и обеспечение их передачи в установленные сроки. Формирование сведений об инциденте и обеспечение их передачи с учётом применимых сроков — 3 часа для значимого объекта КИИ, 24 часа для иного объекта КИИ или для операторов систем, подпадающих под приказ №297, — в пределах согласованной модели взаимодействия: при прямом взаимодействии заказчика с участием его ответственных представителей, при работе через центр ГосСОПКА — в пределах направления деятельности и зоны ответственности центра. Там, где выбранная модель требует соблюдения 3-часового срока независимо от времени возникновения инцидента, предусматривается круглосуточный приём и эскалация событий.

Обмен индикаторами и бюллетенями. Приём от ГосСОПКА информации об индикаторах компрометации, сигнатурах атак и методах предупреждения, оценка её применимости к инфраструктуре заказчика и передача релевантных индикаторов в согласованном объёме в используемые системы обнаружения и защиты.

Актуализация документов и технических средств. Отслеживание изменений нормативной базы и обновление регламента взаимодействия и, при необходимости, технических средств ГосСОПКА.

Поддержка при взаимодействии с регулятором. Помощь в подготовке материалов, ответах на запросы и, где это согласовано, участие в коммуникации с НКЦКИ или иными уполномоченными органами по вопросам, отнесённым к зоне ответственности сопровождающей команды.

Эти элементы не заменяют друг друга: без своевременной квалификации не с чем работать дальше; без соблюдения сроков передачи теряется смысл квалификации; без обработки получаемой информации и использования релевантных индикаторов защитная ценность двустороннего взаимодействия с ГосСОПКА снижается.

Важно понимать границы этого механизма: сопровождение опирается на данные, которые поступают от источников обнаружения заказчика, — оно не заменяет сами эти источники (SIEM/SOAR, SOC, иные системы) и не может квалифицировать то, что вообще не было обнаружено. Распределение функций по квалификации, подготовке и передаче сведений зависит от выбранной модели взаимодействия и фиксируется в регламенте и договоре: при прямом взаимодействии эти функции выполняют ответственные представители организации при поддержке сопровождающей команды, а при привлечении центра ГосСОПКА часть функций может выполняться центром в пределах его направления деятельности и согласованной зоны ответственности. Обязанности самой организации при этом не исчезают.

Как мы выстраиваем сопровождение

Проверяем готовность канала и документов. Убеждаемся, что подключение к ГосСОПКА организовано и работает, прежде чем брать на себя постоянные функции.

Согласуем регламент квалификации. Критерии отнесения событий к компьютерным инцидентам, применимые сроки и порядок эскалации к ответственным представителям заказчика.

Настраиваем приём событий от источников обнаружения. Интеграцию с SIEM/SOAR, SOC или иными системами заказчика, поставляющими информацию об инцидентах.

Тестируем процесс на практике. Отрабатываем подготовку и передачу карточек на реальных или смоделированных инцидентах, прежде чем переходить в постоянный режим.

Настраиваем приём и обработку индикаторов. Оценку применимости и передачу релевантных данных, полученных от ГосСОПКА, в системы обнаружения заказчика.

Переводим в постоянный режим. С регулярным пересмотром регламента и актуализацией при изменении нормативных требований.

Что вы получаете

• Дежурную квалификацию событий, подготовку сведений об инцидентах и обеспечение их передачи в НКЦКИ в установленные сроки в пределах согласованной модели взаимодействия
• Настроенный процесс приёма и обработки индикаторов компрометации и бюллетеней от ГосСОПКА с оценкой их применимости
• Актуализируемые документы и, при наличии, технические средства ГосСОПКА
• При включении в проект соответствующего компонента — поддержку при взаимодействии с регулятором
• Регламент эскалации и распределения ответственности между сопровождающей командой и вашей организацией

Особенности и ограничения

• Сопровождение опирается на данные от источников обнаружения заказчика — оно не заменяет сами эти источники и не может выявить то, что вообще не было обнаружено.
• Сопровождение не передаёт сопровождающей команде установленные законодательством обязанности и ответственность самой организации — регламент взаимодействия и личный кабинет остаются оформленными на организацию.
• Применимые сроки информирования различаются по категории объекта и нормативному режиму — не для всех инцидентов действует один и тот же срок.
• Глубина участия в квалификации инцидентов и решения по существу распределяются в регламенте — по умолчанию решения, выходящие за пределы согласованной зоны ответственности, требуют участия представителя заказчика.
• Нормативные требования к срокам, техническим средствам и порядку взаимодействия периодически обновляются — сопровождение включает отслеживание этих изменений, но не может гарантировать неизменность требований.

Эскалация при критичном инциденте

Порядок согласуется на установочной сессии и фиксируется в договоре:

• назначенные представители заказчика, ответственные за окончательную квалификацию критичных инцидентов и решения, выходящие за пределы согласованной зоны ответственности сопровождающей команды;
• целевое время уведомления заказчика о выявленном инциденте, подлежащем информированию НКЦКИ, с запасом до истечения применимого нормативного срока;
• порядок действий, если ответственный представитель заказчика недоступен в пределах нормативного срока;
• порядок эскалации при инцидентах, затрагивающих системы за пределами согласованного объёма мониторинга.

Границы ответственности фиксируем заранее. Квалификация типовых инцидентов, подготовка сведений и обеспечение их передачи в НКЦКИ в пределах согласованной модели взаимодействия, а также приём и обработка индикаторов компрометации входят в услугу в согласованном объёме. Итоговые решения по нетиповым и критичным инцидентам, а также меры на затронутых системах за пределами взаимодействия с НКЦКИ принимает ответственный представитель организации, если иное отдельно не согласовано.

Метрики

Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.

• доля инцидентов, для которых карточка передана в НКЦКИ в пределах применимого нормативного срока;
• время от зафиксированного момента обнаружения компьютерного инцидента до его квалификации и направления сведений в НКЦКИ; отдельно контролируется задержка передачи события от источника обнаружения сопровождающей команде;
• доля полученных индикаторов и бюллетеней, обработанных в согласованный срок; отдельно — доля признанных применимыми индикаторов, переданных в соответствующие внутренние средства и процессы;
• своевременность актуализации регламента и технических средств при изменении нормативных требований.

Чего мы не используем как показатель эффективности. Общее число переданных в НКЦКИ карточек инцидентов само по себе: оно отражает объём инцидентной активности и охват источников обнаружения, а не качество и своевременность самого взаимодействия.

Конфиденциальность

Сопровождение подразумевает постоянный доступ к сведениям об инцидентах, инфраструктуре и внутренних процессах обнаружения заказчика — чувствительной информации, которая при этом частично передаётся третьей стороне (ГосСОПКА) в силу нормативных требований. Порядок фиксируется до начала работ: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды, согласованное место обработки и хранения материалов. Сроки хранения и порядок удаления материалов фиксируются с учётом выбранной модели оказания услуги и применимых обязательных требований: материалы, для которых законодательством или требованиями к центру ГосСОПКА установлен обязательный срок хранения, сохраняются не менее такого срока; остальные данные возвращаются или уничтожаются в согласованном порядке.

Регуляторный контекст

Обязанность взаимодействия с ГосСОПКА носит непрерывный характер, а не ограничивается разовым подключением. Для субъектов КИИ, которым принадлежат значимые объекты, это прямо следует из режима непрерывного взаимодействия, установленного приказом ФСБ России №548 от 25.12.2025 (в силе с 30 января 2026 года). Для операторов государственных информационных систем и иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений аналогичная обязанность с 1 сентября 2026 года установлена приказом ФСБ России №297 от 06.08.2026 во исполнение части 7 статьи 16 закона №149-ФЗ в редакции Федерального закона №568-ФЗ.

Сроки информирования НКЦКИ о компьютерном инциденте определяет приказ ФСБ России №547 от 25.12.2025: не позднее 3 часов с момента обнаружения — для значимого объекта КИИ, не позднее 24 часов — для иного объекта КИИ; для операторов систем, подпадающих под приказ №297, действует отдельный срок в 24 часа. Перечень и порядок представления информации в ГосСОПКА определяет приказ ФСБ России №367 от 24.07.2018. Порядок обмена информацией о компьютерных атаках и инцидентах между субъектами КИИ и с указанными иностранными или международными организациями определяет приказ ФСБ России №546 от 25.12.2025.

Если в рамках сопровождения используются технические средства ГосСОПКА, требования к ним и порядок их установки и эксплуатации устанавливают приказы ФСБ России №554 и №553 от 26.12.2025. Необходимость и состав таких средств определяются применимым нормативным режимом и архитектурой системы заказчика, а не самим фактом оказания услуги сопровождения.

Для центров ГосСОПКА с 31 мая 2026 года действует процедура аккредитации по приказу ФСБ России №161 от 22.04.2026, аттестат действует на срок до пяти лет. Приложение №2 к приказу №161 распространяет на аккредитованный центр по соответствующим направлениям деятельности те же сроки направления сведений в НКЦКИ, что установлены приказом №547 (3 часа для значимого объекта КИИ, 24 часа для иного объекта), и предусматривает круглосуточный режим работы для центра по соответствующим направлениям деятельности, а также хранение информации о компьютерных инцидентах и связанных с ними событиях не менее трёх лет со дня их обнаружения. Одновременно для организаций, подпадающих под действующий переходный режим, до 13 декабря 2027 года допускается осуществление соответствующих мероприятий на основании соглашений о сотрудничестве (взаимодействии) с ФСБ России (НКЦКИ). Применимость переходного режима, конкретных требований к режиму работы и срокам хранения необходимо определять для конкретного центра и модели оказания услуги. Распределение функций по квалификации, подготовке и передаче сведений фиксируется в регламенте взаимодействия и договорной модели: при прямом взаимодействии действия выполняют ответственные представители организации при поддержке сопровождающей команды, при привлечении центра ГосСОПКА часть функций может выполняться центром в пределах его направления деятельности и согласованной зоны ответственности — обязанности и ответственность самой организации при этом не исчезают.

Если инцидент связан с неправомерной или случайной передачей, предоставлением, распространением либо доступом к персональным данным с нарушением прав субъектов, дополнительно действуют сроки по 152-ФЗ: первичное уведомление Роскомнадзора в течение 24 часов, результаты внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21). Материалы работ могут использоваться как документы, подтверждающие принятые меры по организации взаимодействия с ГосСОПКА. Подтверждением полного соответствия нормативным требованиям сам по себе факт сопровождения не является — соответствие определяется совокупностью выполняемых организацией обязанностей.

Порядок работы, сроки, стоимость и приёмка

Как начинается работа: бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → проверка готовности канала взаимодействия с НКЦКИ и документов → договор и NDA → согласование регламента квалификации и эскалации → настройка приёма событий от источников обнаружения заказчика → тестирование процесса на практике → переход в постоянный режим сопровождения.

Объём услуги определяется числом и типом объектов (при наличии категорированных объектов КИИ), применимым нормативным режимом и сроками информирования, количеством и разнообразием источников обнаружения, из которых поступают события, а также глубиной участия сопровождающей команды в квалификации инцидентов. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации.

Ориентировочные сроки запуска: проверка готовности и согласование регламента — 2–3 недели; настройка приёма событий и тестирование — 2–4 недели, в зависимости от числа и разнообразия источников. Далее услуга оказывается на постоянной основе.

График сопровождения определяется применимыми сроками информирования и распределением функций. Если на сопровождающую команду возлагается выполнение процесса, для которого требуется соблюдение 3-часового срока независимо от времени возникновения инцидента, предусматривается круглосуточный приём и эскалация событий.

Стоимость зависит от применимого нормативного режима и сроков информирования, объёма и разнообразия источников событий, глубины участия в квалификации инцидентов и графика дежурства (в рабочие часы или круглосуточно). Фиксируется до начала работ.

Почему IST

• В сфере информационной безопасности с 2011 года
• Более 80 специалистов; офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве
• Лицензии ФСТЭК и ФСБ
• Отслеживаем изменения нормативной базы и своевременно сообщаем, какие изменения требуются в регламенте, процессах и технических средствах; предусмотренные договором изменения выполняем в согласованном порядке
• Не подменяем ответственность заказчика — распределение решений фиксируется в регламенте, а не размывается по умолчанию
• Полный цикл: от подключения к ГосСОПКА и его сопровождения до источников обнаружения (NDR, SIEM/SOAR) и проактивного мониторинга (SOC)

Частые вопросы

Чем сопровождение отличается от подключения к ГосСОПКА? Подключение — разовый проект по организации взаимодействия: определение обязанностей, документы, настройка канала и тестирование процесса, а при необходимости — подбор и настройка технических средств. Сопровождение — постоянный процесс использования уже настроенного канала: квалификация инцидентов, соблюдение сроков информирования, обработка полученных индикаторов.

Можно ли начать сопровождение, если канал настраивали не вы? Да, если канал взаимодействия с НКЦКИ уже организован — самостоятельно заказчиком, другим подрядчиком или нами, — сопровождение можно подключить отдельно после проверки готовности канала и документов.

Кто в итоге отвечает перед регулятором — вы или мы? Установленные законодательством обязанности остаются за организацией — субъектом КИИ, оператором информационной системы или иным обязанным лицом в зависимости от применимого режима. Регламент взаимодействия и личный кабинет оформлены на неё; сопровождающая команда выполняет согласованный объём функций, но не принимает на себя нормативную ответственность заказчика.

Успеете ли вы уложиться в 3 часа для значимого объекта КИИ? Срок в 3 часа исчисляется с момента обнаружения компьютерного инцидента, а не с момента, когда информация дошла до сопровождающей команды. Поэтому до запуска услуги мы проверяем цепочку обнаружение → передача события → квалификация → эскалация → направление сведений в НКЦКИ и согласуем внутренние SLA с запасом относительно нормативного срока. Возможность принять на себя конкретный SLA зависит от режима дежурства, источников событий и выбранной модели взаимодействия.

Нужны ли нам отдельно источники обнаружения, если мы подключим сопровождение? Да. Сопровождение работает с событиями, которые поступают от ваших источников обнаружения (SIEM/SOAR, SOC, иные системы), — оно не заменяет сами эти источники.