План реагирования на компьютерные инциденты — образец 2026
Образец плана реагирования на компьютерные инциденты для значимых объектов КИИ по приказу ФСБ № 547: условия запуска, роли, этапы и сроки, сценарии, тренировки. DOCX + PDF.
Коротко. План реагирования на компьютерные инциденты и ликвидации последствий компьютерных атак нужен владельцам значимых объектов КИИ. Он разрабатывается по приказу ФСБ № 547 в течение 90 дней после включения объекта в реестр значимых, утверждается руководителем, а его копия направляется в НКЦКИ не позднее 7 календарных дней со дня утверждения. План определяет, кто, что и в какие сроки делает при инциденте.
Структура документа
- Общие положения: связь с порядком информирования НКЦКИ и журналом учёта инцидентов, участие сотрудников ФСБ
- Технические характеристики и состав значимых объектов
- События (условия), при наступлении которых начинается реализация плана
- Подразделения и должностные лица, участвующие в реагировании, — роли и функции
- Мероприятия по реагированию и сроки: обнаружение, информирование НКЦКИ, локализация, сбор сведений, анализ, восстановление, результаты, разбор
- Типовые сценарии: шифровальщик, компрометация учётной записи, DDoS, инцидент у подрядчика, подмена или утечка
- Тренировки и актуализация плана
Состав всех уровней — на странице комплекта документов субъекта КИИ.
Сроки по плану
План разрабатывается в течение 90 дней после включения объекта в реестр значимых объектов КИИ и утверждается руководителем субъекта. Копия утверждённого плана направляется в НКЦКИ не позднее 7 календарных дней со дня утверждения.
Когда запускается план
Шаблон перечисляет события, при которых начинается реагирование: срабатывание средств защиты, которое не устранено автоматически; нарушение работы значимого объекта по неустановленной причине или из-за воздействия на ПО; признаки несанкционированного доступа и нарушения целостности; сведения от НКЦКИ, центра ГосСОПКА, поставщиков и подрядчиков; сообщения работников и пользователей о подозрительных событиях.
Этапы и сроки реагирования
| Этап | Срок |
|---|---|
| Обнаружение и регистрация в журнале, оповещение руководителя реагирования | немедленно, не более 30 минут |
| Информирование НКЦКИ | не позднее 3 часов для значимого объекта, 24 часов для атаки или иного объекта |
| Локализация, сбор и сохранение сведений, анализ | сроки задаёт организация с учётом допустимого простоя |
| Ликвидация последствий и восстановление | по плану, с учётом допустимого времени простоя |
| Сведения в НКЦКИ о результатах реагирования | не позднее 48 часов после завершения мероприятий |
| Разбор: заключение, корректирующие меры, актуализация модели угроз и плана | после закрытия инцидента |
Роли
Руководитель реагирования принимает решения об отключении объектов и привлечении сторонних сил. Ответственный за информирование направляет сведения в НКЦКИ и ведёт журнал. Группа реагирования локализует инцидент и сохраняет сведения, ИТ изолирует и восстанавливает компоненты, владелец процесса оценивает последствия и переводит работу в резервный режим. Сторонние организации — центр ГосСОПКА, подрядчик по ИБ, поставщики — помогают по договору.
Частые ошибки
- Нет круглосуточных контактов. Три часа на уведомление НКЦКИ начинают течь ночью так же, как днём.
- Доказательства уничтожены при восстановлении. Журналы, образы и трафик нужно сохранить до очистки систем.
- План не проверялся. Без ежегодной тренировки ошибки находятся во время настоящего инцидента.
- Копия не отправлена в НКЦКИ. Срок — 7 календарных дней после утверждения и после каждой актуализации.
Частые вопросы
Кому обязателен план реагирования?
Субъектам КИИ, которым принадлежат значимые объекты. Для субъектов без значимых объектов достаточно порядка информирования НКЦКИ и журнала учёта инцидентов.
Нужно ли согласовывать план с ФСБ?
Если планом предусматривается участие сотрудников ФСБ в реагировании, проект плана до утверждения направляется на согласование. Если не предусматривается — план утверждается руководителем, а копия направляется в НКЦКИ.
Как часто проводить тренировки?
В шаблоне — не реже одного раза в год с оформлением акта или отчёта о результатах; график закладывается в план мероприятий по обеспечению безопасности.
Когда обновлять план?
При изменении состава или характеристик значимых объектов, ответственных лиц и контактов, по итогам тренировок и реальных инцидентов. Копия актуализированного плана направляется в НКЦКИ так же, как первоначального.