СОВ для КИИ и ГосСОПКА: требования ФСТЭК и выбор решения
Система обнаружения вторжений (СОВ) — это базовое средство защиты, без которого значимый объект критической информационной инфраструктуры (КИИ) почти не закрыть по требованиям регулятора. Для КИИ к СОВ предъявляют не «маркетинговые», а формальные требования: наличие в реестре сертифицированных СЗИ ФСТЭК, действующий сертификат под нужный профиль защиты, регулярное обновление решающих правил и способность отдавать данные об инцидентах в ГосСОПКА через НКЦКИ. **Если коротко:** выбор СОВ для КИИ — это не только про качество детектирования, но и про комплаенс. Сначала проверяется формальная пригодность (реестр СЗИ, сертификат, тип и класс под вашу категорию значимости), затем — техническая: охват сегментов, актуальность решающих правил, интеграция с процессами ГосСОПКА. Ниже — какие требования откуда берутся, как читать их на практике, чек-лист выбора и план подключения к ГосСОПКА. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге IDS, IPS, NDR и NTA](/rating/ids-ips-ndr-nta).
Сетевое обнаружение показывает то, что не видно агентам
IDS, IPS, NDR и NTA полезны там, где нужно анализировать трафик, аномалии и связи между сегментами.
Рейтинги подрядчиков по теме исследования
Если после чтения нужен короткий список исполнителей, начните с профильных рейтингов cyber-index.ru: в них видны компании, кейсы, интервью, категории экспертизы и доверительный индекс.
Как проверять выводы исследования
Используйте материал как основу для shortlist: сопоставьте выводы с профилями компаний, связанными рейтингами, кейсами, интервью клиентов и источниками. Если в статье есть список источников, начинайте проверку с него; если источников мало, дополнительно запросите у подрядчика методику, baseline и примеры работ.
Авторы и проверка материала
У каждого исследования есть персональные авторы, профиль экспертизы, дата публикации, список источников и редакционная проверка выводов.
author
Антон Смирнов
Старший редактор исследований ИБ-рынка
Ведет исследования по категориям ИБ, публичным источникам и критериям выбора поставщиков.
- 7 лет в SEO-аналитике и редакционных B2B-исследованиях
- Специализация: ИБ-категории, entity-based SEO и факторы E-E-A-T
author
Полина Лебедева
Исследователь рынка ИБ-поставщиков
Собирает и сравнивает данные по подрядчикам, услугам, публичным кейсам, ценовым диапазонам и рыночным сегментам.
- 5 лет в market research, digital-аналитике и конкурентных обзорах
- Специализация: ИБ-поставщики, сервисные категории, прайс-анализ и case review
Авторы закреплены по теме исследования и опираются на практические разборы страниц, кейсов, источников и рыночных выборок.
В профиле автора указаны зона экспертизы, роль в редакции, регалии и темы, за которые он отвечает.
Материалы связаны с методологией cyber-index.ru, внутренними рейтингами, карточками компаний и источниками.
Позиции не продаются, выводы отделены от рекламы, а проверяемые утверждения поддержаны источниками и датами обновления.
Что такое СОВ и почему для КИИ особые требования
Система обнаружения вторжений (СОВ, в англоязычной терминологии — IDS/IPS, а в современном варианте — NDR) анализирует сетевой или хостовый трафик и выявляет признаки атак: эксплуатацию уязвимостей, сканирование, аномалии, известные индикаторы компрометации. В обычной корпоративной сети СОВ — вопрос зрелости защиты. На объектах КИИ это вопрос соответствия закону.
Рамку задаёт Федеральный закон № 187-ФЗ «О безопасности КИИ» и подзаконные акты ФСТЭК России. Для значимых объектов КИИ обязательны организационные и технические меры защиты, а средства защиты должны быть, как правило, сертифицированными и присутствовать в государственном реестре сертифицированных СЗИ. СОВ входит в число типовых мер: обнаружение и предотвращение вторжений — отдельная подсистема в архитектуре безопасности значимого объекта. Отдельно действует требование подключения к государственной системе ГосСОПКА и взаимодействия с НКЦКИ по инцидентам.
СОВ для КИИ: что проверяют в первую очередь
Закон «О безопасности КИИ» + приказы ФСТЭК
reestr.fstec.ru — проверяемый первоисточник
Тип и профиль защиты под категорию значимости
Передача сведений об инцидентах
Откуда берутся требования: 187-ФЗ, приказы ФСТЭК, профили СОВ
Требования к СОВ для КИИ складываются из нескольких уровней, и важно не смешивать их:
- **187-ФЗ и категорирование.** Закон вводит понятие значимого объекта КИИ и категории значимости. От категории зависит набор обязательных мер защиты, а значит и то, какой именно класс/тип средства защиты допустим. - **Приказы ФСТЭК по защите значимых объектов КИИ.** Задают состав мер: в их числе — меры по обнаружению (предотвращению) вторжений. Это и есть нормативное основание для наличия СОВ. - **Требования к самим СОВ и профили защиты.** ФСТЭК исторически использует понятие профилей и типов СОВ (например, уровня сети и уровня узла) с разными классами защиты. Конкретный профиль/класс под ваш объект определяется по категории значимости и модели угроз — это не выбирается «на глаз». - **Реестр и сертификация.** Пригодность средства подтверждается действующим сертификатом ФСТЭК и наличием продукта в государственном реестре сертифицированных СЗИ.
> Не присваивайте классы и типы продуктам «по памяти». Конкретный профиль защиты СОВ под > ваш объект определяется категорией значимости и моделью угроз, а действующий статус > сертификата всегда сверяется в [реестре СЗИ ФСТЭК](https://reestr.fstec.ru/) — это и есть > проверяемый первоисточник.
Классы и типы СОВ общими словами
Чтобы говорить с интегратором и регулятором на одном языке, полезно различать СОВ по уровню применения и режиму работы — без привязки этих категорий к конкретным продуктам:
- **СОВ уровня сети.** Анализируют сетевой трафик в точках агрегации и на периметрах сегментов. Это привычный формат для распределённой инфраструктуры и ЦОД. - **СОВ уровня узла.** Контролируют события на конкретном хосте/сервере. Полезны там, где важен трафик «внутри» и поведение приложений, недоступное на сетевом уровне. - **Режим обнаружения и режим предотвращения.** Классическая СОВ (IDS) сигнализирует, а система предотвращения (IPS) умеет блокировать. На значимых объектах выбор режима — это баланс между безопасностью и риском ложного срабатывания на критичном трафике. - **Сигнатурные и поведенческие методы.** Сигнатуры и решающие правила ловят известное; поведенческая аналитика (характерная для NDR) — отклонения и неизвестные сценарии. Зрелое решение сочетает оба подхода.
Какой именно класс защиты и тип нужны вашему объекту — определяется нормативно, по категории значимости и модели угроз, а не по описанию из буклета вендора.
Требование → что обеспечить на практике
| Требование | Что это значит | Что обеспечить / проверить |
|---|---|---|
| Наличие в реестре СЗИ | Средство внесено в государственный реестр сертифицированных СЗИ | Сверить запись и актуальный статус на reestr.fstec.ru |
| Действующий сертификат ФСТЭК | Подтверждена пригодность под профиль защиты | Срок действия, тип СОВ, заявленный класс под вашу категорию |
| Обновление решающих правил | Сигнатуры и правила поддерживаются вендором | Регламент и частота обновлений, доступность в РФ |
| Интеграция с ГосСОПКА / НКЦКИ | Сведения об инцидентах передаются в систему | Форматы выгрузки, API/коннектор, регламент взаимодействия |
| Охват сегментов | Контролируются все значимые точки трафика | Карта сегментов, периметры, точки агрегации, «слепые зоны» |
| Эксплуатационная зрелость | Решение управляемо и поддерживаемо | Поддержка в РФ, обучение, отказоустойчивость сенсоров |
Значимость требований к СОВ для КИИ
Усреднённая редакционная оценка веса требований при отборе СОВ под значимый объект КИИ по открытым данным. Это не нормативный приоритет и не заменяет категорирование и модель угроз для вашего объекта.
Чек-лист выбора СОВ под КИИ
Подключение к ГосСОПКА: 6 шагов проекта
-
01
Категорирование объектов КИИ
Определите перечень объектов, категории значимости и модель угроз — это вход для всех дальнейших решений по СОВ.
-
02
Проектирование защиты
Спроектируйте подсистему обнаружения вторжений: типы СОВ, точки установки сенсоров, охват сегментов.
-
03
Выбор и проверка СОВ
Подберите средство, сверьте его в реестре СЗИ и по сертификату ФСТЭК под требуемый профиль защиты.
-
04
Внедрение и настройка
Разверните сенсоры, настройте решающие правила и регламент их обновления, обкатайте на реальном трафике.
-
05
Интеграция с НКЦКИ
Настройте передачу сведений об инцидентах в ГосСОПКА, отработайте форматы и регламент взаимодействия.
-
06
Эксплуатация и контроль
Запустите процессы реагирования, поддерживайте актуальность правил и статус сертификата, готовьтесь к ресертификации.
Как мы оцениваем поставщиков
cyber-index.ru не продаёт места в рейтинге. Поставщики сравниваются по проверяемым сигналам: подтверждённые внедрения и кейсы, отзывы и интервью клиентов, внешняя репутация, специализация, прозрачность и свежесть данных. Поэтому статью стоит читать в связке с [рейтингом IDS, IPS, NDR и NTA](/rating/ids-ips-ndr-nta): здесь — требования и критерии, там — сравнение конкретных компаний по подтверждённым фактам.
Следующий шаг
Разобрались с требованиями — переходите к сравнению поставщиков: **[рейтинг IDS, IPS, NDR и NTA →](/rating/ids-ips-ndr-nta)**. Полезно прочитать рядом: [чем отличаются IDS, IPS, NDR и NTA](/research/ids-ips-ndr-nta-otlichiya), [рейтинг российских NDR и NTA 2026](/research/reyting-rossiyskih-ndr-nta-2026) и [чем заменить Darktrace и Cisco Firepower](/research/zamena-darktrace-cisco-firepower-ndr).
Частые вопросы
Обязательна ли сертифицированная СОВ для значимого объекта КИИ?
Как правило, да: для значимых объектов КИИ средства защиты должны быть сертифицированными и присутствовать в государственном реестре сертифицированных СЗИ ФСТЭК. Конкретные требования зависят от категории значимости и модели угроз, поэтому профиль и класс СОВ определяются нормативно, а статус всегда сверяется в реестре СЗИ.
Как связаны СОВ и ГосСОПКА?
СОВ обнаруживает вторжения, а ГосСОПКА — государственная система, в которую субъект КИИ обязан передавать сведения о компьютерных инцидентах через НКЦКИ. СОВ становится одним из источников этих сведений, поэтому важна её интеграция с процессами и форматами взаимодействия с НКЦКИ.
СОВ, IDS, IPS и NDR — это одно и то же?
Это близкие, но не тождественные понятия. СОВ (IDS) обнаруживает атаки, IPS дополнительно умеет их блокировать, а NDR делает упор на поведенческую аналитику сетевого трафика. Подробнее о различиях — в статье IDS, IPS, NDR, NTA: чем отличаются.
Можно ли использовать зарубежную СОВ на объекте КИИ?
Для значимых объектов это, как минимум, требует сертифицированного средства из реестра СЗИ и учёта требований к доверенным средствам защиты; доступность обновлений и поддержки в РФ — отдельный практический риск. Поэтому на КИИ выбор обычно смещён в сторону отечественных сертифицированных решений.
Где сравнить конкретных поставщиков СОВ и NDR между собой?
В рейтинге IDS, IPS, NDR и NTA — там компании ранжированы по подтверждённым сигналам, а не по рекламе.
Источники и метод проверки
Система обнаружения вторжений (СОВ) — это базовое средство защиты, без которого значимый объект критической информационной инфраструктуры (КИИ) почти не закрыть по требованиям регулятора. Для КИИ к СОВ предъявляют не «маркетинговые», а формальные требования: наличие в реестре сертифицированных СЗИ ФСТЭК, действующий сертификат под нужный профиль защиты, регулярное обновление решающих правил и способность отдавать данные об инцидентах в ГосСОПКА через НКЦКИ. **Если коротко:** выбор СОВ для КИИ — это не только про качество детектирования, но и про комплаенс. Сначала проверяется формальная пригодность (реестр СЗИ, сертификат, тип и класс под вашу категорию значимости), затем — техническая: охват сегментов, актуальность решающих правил, интеграция с процессами ГосСОПКА. Ниже — какие требования откуда берутся, как читать их на практике, чек-лист выбора и план подключения к ГосСОПКА. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге IDS, IPS, NDR и NTA](/rating/ids-ips-ndr-nta).