Какие требования к безопасности КИИ помогает выполнять Security Capsule SIEM
Для субъектов КИИ требования разделены между ФСТЭК России (меры защиты значимых объектов и методический документ от 12.04.2026) и ФСБ России (информирование и взаимодействие с ГосСОПКА — приказы № 547 и № 548, обмен информацией — приказ № 546, получение сведений о средствах и способах атак — приказ № 539, вступившие в силу в 2026 году). SC SIEM закрывает мониторинговую часть первых и техническую часть вторых.
Сертификат соответствия ФСТЭК России № 4735 от 01.11.2023 · Требования доверия (4), ТУ · реестровая запись Минцифры России № 1139
Нормативная база актуализирована по состоянию на 07.09.2026.
Приказ ФСТЭК России № 239 от 25.12.2017
Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации.
Методический документ ФСТЭК России от 12.04.2026
«Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» — в части мероприятий и мер, связанных с мониторингом информационной безопасности.
Федеральный закон № 187-ФЗ от 26.07.2017
«О безопасности критической информационной инфраструктуры Российской Федерации»: информирование о компьютерных инцидентах и содействие в обнаружении компьютерных атак (ст. 9 ч. 2 п. 1–2); в случае установки средств обнаружения, предупреждения и ликвидации последствий компьютерных атак — выполнение порядка и технических условий их установки и эксплуатации, а также сохранность таких средств (ст. 9 ч. 2 п. 3; порядок утверждён приказом ФСБ России № 553 от 26.12.2025); реагирование на компьютерные инциденты и принятие мер по ликвидации последствий компьютерных атак (ст. 9 ч. 3 п. 3).
Приказы ФСБ России № 547, № 546, № 548, № 539, № 553
Порядок информирования ФСБ России о компьютерных атаках и инцидентах (№ 547, в силе с 30.01.2026), обмен информацией между субъектами КИИ и с уполномоченными органами иностранных государств и международными организациями (№ 546), непрерывное взаимодействие с ГосСОПКА (№ 548, в силе с 30.01.2026), получение сведений о средствах и способах атак (№ 539), порядок и технические условия установки и эксплуатации средств обнаружения, предупреждения и ликвидации последствий компьютерных атак (№ 553).
Приказ ФСБ России № 367 от 24.07.2018 · приказ ФСТЭК России № 235 от 21.12.2017
Перечень и порядок представления информации в ГосСОПКА; требования к созданию систем безопасности значимых объектов КИИ.
33 позиций
Реализует — 4
Поддерживает выполнение — 19
Частично — 8
Организационная мера — 2
Приказ ФСТЭК России № 239 от 25.12.2017
14 из 14Состав мер по обеспечению безопасности значимого объекта соответствующей категории значимости, при реализации которых применяется SC SIEM.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| АУД.1Инвентаризация информационных ресурсов | Инвентаризация информационных ресурсов значимого объекта. | SC SIEM обеспечивает автоматическое обнаружение активов путём опроса подключённых источников, обработку кандидатов и перенос в основной список, обогащение сведениями об идентификаторах и установленном программном обеспечении, группы активов и статистику. Ведение и актуализация перечня информационных ресурсов — обязанность субъекта КИИ. | Активы, Консоль | Поддерживает выполнение |
| АУД.4Регистрация событий безопасности | Регистрация событий безопасности, подлежащих регистрации в значимом объекте. | SC SIEM реализует централизованный сбор, нормализацию и запись событий от подключённых источников, агентский и безагентский сбор, настраиваемый состав регистрируемых данных. | Сборщик, Коррелятор, Хранение | Реализует |
| АУД.6Защита информации о событиях безопасности | Защита информации о событиях безопасности от несанкционированного доступа и модификации. | SC SIEM обеспечивает разграничение доступа средствами собственной ролевой модели, размещение баз данных на выделенных серверах с ограничением сетевого доступа, резервное копирование и фиксацию действий пользователей в журнале действий. | Хранение, Консоль, Журнал действий | Поддерживает выполнение |
| АУД.7Мониторинг безопасности | Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них. | SC SIEM обеспечивает онлайн-мониторинг событий и инцидентов, индикатор активности, статистику по площадкам, потоковую корреляцию и оценку корректности настроек применяемых средств защиты по потоку их событий. Организация процесса мониторинга — за субъектом КИИ. | Консоль, Коррелятор | Поддерживает выполнение |
| АУД.8Реагирование на сбои при регистрации событий безопасности | Реагирование на сбои при регистрации событий безопасности, в том числе на отказы механизмов сбора и переполнение хранилища. | SC SIEM отображает состояние сервисов и подключений, статистику баз данных событий и инцидентов, сообщения об ошибках подключения и синхронизации правил. Порядок реагирования определяется субъектом КИИ. | Консоль, Коррелятор | Поддерживает выполнение |
| ИАФ.1Идентификация и аутентификация пользователей и инициируемых ими процессов | Идентификация и аутентификация пользователей и инициируемых ими процессов. | SC SIEM обеспечивает уникальные учётные записи, парольную и двухфакторную аутентификацию, блокировку по числу неверных попыток и по неактивности — в части пользователей и компонентов самой SC SIEM. Механизмы идентификации и аутентификации значимого объекта обеспечиваются его собственными средствами защиты. | Консоль, Пользователи | Частично |
| ИАФ.2Идентификация и аутентификация устройств | Идентификация и аутентификация устройств. | SC SIEM идентифицирует подключённые источники событий и площадки, обеспечивает взаимную аутентификацию собственных модулей по токенам и TLS-сертификатам — в части пользователей и компонентов самой SC SIEM. | Сборщик, Сервис конфигурации | Частично |
| ИАФ.4Управление средствами аутентификации | Управление средствами аутентификации. | SC SIEM обеспечивает управление паролями и двухфакторной аутентификацией, блокировку и разблокировку учётных записей, управление токенами и сертификатами взаимодействия модулей — в части пользователей и компонентов самой SC SIEM. | Консоль, Пользователи | Частично |
| УПД.1Управление учётными записями пользователей | Управление учётными записями пользователей значимого объекта. | SC SIEM обеспечивает создание, редактирование, блокирование и удаление учётных записей и групп — в части пользователей и компонентов самой SC SIEM, а также мониторинг событий управления учётными записями в защищаемой инфраструктуре через контроль Active Directory. | Консоль, Пользователи, Контроль AD | Частично |
| УПД.2Реализация модели управления доступом | Реализация модели управления доступом. | SC SIEM реализует ролевую модель с правами на разделы и виджеты и группы пользователей — в части пользователей и компонентов самой SC SIEM. Разграничение доступа в значимом объекте обеспечивается его собственными механизмами. | Консоль, Роли | Частично |
| ИНЦ.1Выявление компьютерных инцидентов | Выявление компьютерных инцидентов, в том числе в результате анализа событий безопасности. | SC SIEM реализует потоковую корреляцию событий от разнородных источников, выявление инцидентов по правилам корреляции, обнаружение индикаторов компрометации (IoC, IoCs Finder) и сопоставление с техниками MITRE ATT&CK. | Коррелятор, IoCs Finder | Реализует |
| ИНЦ.2Информирование о компьютерных инцидентах | Информирование о компьютерных инцидентах ответственных лиц и уполномоченных органов. | SC SIEM обеспечивает уведомления по email и Telegram с настройкой интервала, порога критичности и лимита сообщений, передачу инцидентов во внешние системы через webhook, а также подготовку и отправку уведомлений в НКЦКИ. Юридически значимое информирование уполномоченных органов осуществляется субъектом КИИ. | Модуль оповещений, ГосСОПКА | Поддерживает выполнение |
| ИНЦ.3Анализ компьютерных инцидентов | Анализ компьютерных инцидентов, в том числе определение источников и причин их возникновения, а также оценка последствий. | SC SIEM формирует техническую и доказательную базу для анализа: карточка инцидента с исходными событиями, связанными узлами и учётными записями, timeline расследования, обогащение данными Threat Intelligence, ИИ-поддержка анализа и ИИ-расследование, ретроспективный анализ архивных событий. | Консоль, Threat Intelligence, Модуль ИИ, Ретроспективный анализ | Поддерживает выполнение |
| ИНЦ.6Хранение и защита информации о компьютерных инцидентах | Хранение и защита информации о компьютерных инцидентах. | SC SIEM обеспечивает хранение событий и инцидентов в течение установленного срока в соответствии с настроенной политикой хранения и доступной ёмкостью хранилища, разграничение доступа средствами ролевой модели, резервное копирование и фиксацию обращений в журнале действий. | Хранение, Консоль, Журнал действий | Поддерживает выполнение |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.
Методический документ ФСТЭК России от 12.04.2026
8 из 8Мероприятия и меры «Состава и содержания мероприятий и мер по защите информации, содержащейся в информационных системах», непосредственно связанные с функциональностью SIEM. Приведены только релевантные позиции.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| МБОбеспечение мониторинга информационной безопасности | Организация и осуществление мониторинга информационной безопасности: сбор, обработка и анализ данных о событиях безопасности, сопоставление событий с характеристиками угроз, контроль и анализ действий пользователей, выявление нарушений и своевременное информирование ответственных лиц. | SC SIEM обеспечивает централизованный сбор событий от подключённых источников, нормализацию, потоковую корреляцию, онлайн-мониторинг и уведомления ответственных лиц. Организация процесса мониторинга и регламенты определяются субъектом КИИ. | Сборщик, Коррелятор, Консоль, Модуль оповещений | Поддерживает выполнение |
| РСБ.1Определение событий безопасности и данных о них, подлежащих регистрации | Централизованное получение и обработка событий безопасности от определённых оператором источников, включая средства защиты информации, серверы, автоматизированные рабочие места и телекоммуникационное оборудование. | SC SIEM реализует технический механизм приёма и обработки событий: список источников, приём по syslog, агентский и безагентский сбор, разбор и нормализация. Перечень регистрируемых событий определяет субъект КИИ. | Сборщик, Коррелятор | Поддерживает выполнение |
| РСБ.2Анализ событий безопасности и реагирование на них | Автоматизированный анализ и корреляция событий из различных источников, выявление признаков компьютерных атак и инцидентов, использование результатов анализа уязвимостей, формирование уведомлений и поддержка процессов реагирования. | SC SIEM реализует потоковую корреляцию, выявление инцидентов, обнаружение индикаторов компрометации и обогащение данными Threat Intelligence, управление жизненным циклом инцидента. Реагирование выполняется силами и процессами организации. | Коррелятор, IoCs Finder, Threat Intelligence | Поддерживает выполнение |
| РСБ.4Требования к сбору, хранению и защите данных о событиях безопасности | Централизованный автоматизированный сбор, запись и хранение событий безопасности, объединение сведений от различных источников в едином хранилище, разграничение доступа к сведениям и их использование при расследовании инцидентов. | SC SIEM реализует централизованный сбор и запись событий в единое хранилище, долговременное хранение в соответствии с настроенной политикой хранения и доступной ёмкостью, разграничение доступа средствами ролевой модели и оперативный поиск по накопленным событиям. | Хранение, Консоль, Поисковый слой | Реализует |
| ЗКУ.4Мониторинг процессов и состояния устройства | Сбор и анализ событий о запуске процессов, выполнении команд, сетевых соединениях, операциях с файлами, попытках аутентификации, удалённом доступе и изменениях конфигурации конечных устройств. | SC SIEM обеспечивает сбор и корреляцию событий контроля процессов, сетевых соединений и операций с файлами на узлах Windows (аудит Windows, Sysmon) и Unix-подобных систем (auditd). Полнота покрытия определяется составом агентов и настройками аудита в источниках. | Сборщик, агенты конечных узлов | Частично |
| Контроль ПУЗКонтроль действий пользователей, включая привилегированные учётные записи | Сбор, хранение, поиск, анализ и корреляция событий доступа и административных действий, включая действия с использованием привилегированных учётных записей. | SC SIEM обеспечивает контроль изменений в Active Directory и Group Policy, корреляцию событий входа, повышения привилегий и изменения полномочий, поиск и ретроспективный анализ. Действия пользователей самой SC SIEM фиксируются в журнале действий. | Контроль AD, Коррелятор, Журнал действий | Поддерживает выполнение |
| ПериметрАнализ событий устройств, взаимодействующих с сетью «Интернет» | Регистрация и анализ событий безопасности компонентов информационной системы, взаимодействующих с информационно-телекоммуникационной сетью «Интернет». | SC SIEM обеспечивает приём и корреляцию событий телекоммуникационного оборудования, межсетевых экранов и средств защиты периметра, сопоставление сетевых реквизитов с индикаторами компрометации и данными Threat Intelligence, ретроспективный поиск по внешним адресам и доменам. Состав подключённых источников определяется субъектом КИИ. | Сборщик, Коррелятор, IoCs Finder, Threat Intelligence | Поддерживает выполнение |
| РасследованиеРасследование компьютерных инцидентов и формирование отчётности | Проведение расследования компьютерных инцидентов, ретроспективный анализ событий безопасности и формирование отчётности по результатам мониторинга. | SC SIEM реализует ретроспективный анализ архивных событий, карточку события и карточку инцидента с timeline расследования, а также формирует отчётность: виджеты, печать и сохранение в PDF, экспорт в JSON, передача через webhook. | Ретроспективный анализ, Консоль, Отчёты | Реализует |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.
187-ФЗ, приказы ФСБ России и взаимодействие с ГосСОПКА
9 из 9Обязанности субъекта КИИ по информированию, обмену информацией и непрерывному взаимодействию с ГосСОПКА, в технической реализации которых применяется SC SIEM.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| 187-ФЗ, ст. 9, ч. 2, п. 1–2Информирование о компьютерных инцидентах и содействие в обнаружении компьютерных атак | Незамедлительно информировать о компьютерных инцидентах в порядке, установленном федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования ГосСОПКА; оказывать содействие должностным лицам указанного органа в обнаружении, предупреждении и ликвидации последствий компьютерных атак, установлении причин и условий возникновения компьютерных инцидентов. | SC SIEM обеспечивает выявление и регистрацию компьютерных инцидентов, сбор связанных событий, подготовку и отправку уведомлений в НКЦКИ по электронной почте и через API, обмен сообщениями с НКЦКИ из карточки инцидента. Исполнение обязанностей субъекта КИИ, включая сроки и полноту информирования, обеспечивается организацией. | ГосСОПКА, Коррелятор, Консоль | Поддерживает выполнение |
| 187-ФЗ, ст. 9, ч. 2, п. 3 · приказ ФСБ России № 553 от 26.12.2025Порядок и технические условия установки и эксплуатации средств обнаружения, предупреждения и ликвидации последствий компьютерных атак | В случае установки на объектах КИИ средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, включая средства поиска признаков компьютерных атак, обеспечивать выполнение порядка и технических условий их установки и эксплуатации, а также сохранность таких средств. | SC SIEM может использовать данные таких средств и выполнять функции централизованного мониторинга, корреляции и анализа поступающих от них событий. Выполнение требований к установке, эксплуатации и сохранности средств, на которые распространяется приказ № 553, обеспечивается субъектом КИИ. | Коррелятор, Консоль | Частично |
| 187-ФЗ, ст. 9, ч. 3, п. 3Реагирование на компьютерные инциденты и принятие мер по ликвидации последствий компьютерных атак | Субъект критической информационной инфраструктуры, которому принадлежат на праве собственности, аренды или ином законном основании значимые объекты критической информационной инфраструктуры, обязан реагировать на компьютерные инциденты в установленном порядке и принимать меры по ликвидации последствий компьютерных атак, проведённых в отношении значимых объектов КИИ. | SC SIEM предоставляет технические средства выявления компьютерных атак и инцидентов, ведения карточки инцидента, управления его жизненным циклом и формирования доказательной базы для последующих мер. Состав сил и средств реагирования определяется субъектом КИИ. | Коррелятор, Консоль, ГосСОПКА | Поддерживает выполнение |
| Приказ ФСБ России № 367 от 24.07.2018Перечень информации, представляемой в ГосСОПКА, и порядок её представления | Представление в ГосСОПКА установленного перечня информации о компьютерном инциденте. | Карточка уведомления SC SIEM содержит требуемые группы сведений: категория и тип события ИБ, дата и время выявления, сведения о контролируемом информационном ресурсе и субъекте КИИ, технические данные об информационном ресурсе, технические данные об источниках вредоносной активности (IPv4/IPv6, домен, URI, email, ASN, хеш-суммы модулей ВПО, описание используемых уязвимостей), сведения о средстве и способе выявления инцидента и записи журналов СЗИ. Часть полей заполняется автоматически по данным корреляции, часть — оператором. | ГосСОПКА | Поддерживает выполнение |
| Приказ ФСБ России № 547 от 25.12.2025Порядок информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них и принятия мер по ликвидации последствий компьютерных атак (вступил в силу 30.01.2026) | Установленный порядок информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них и принятия мер по ликвидации последствий компьютерных атак. | SC SIEM обеспечивает выявление инцидентов по правилам корреляции, их регистрацию и ведение карточки инцидента, сбор связанных событий и формирование timeline расследования, подготовку информации для направления в НКЦКИ и отправку уведомления по электронной почте или через API с получением регистрационного номера. Соблюдение установленного порядка и сроков информирования обеспечивается субъектом КИИ. | Коррелятор, Консоль, ГосСОПКА | Поддерживает выполнение |
| Приказ ФСБ России № 546 от 25.12.2025Порядок обмена информацией о компьютерных атаках и компьютерных инцидентах | Установленный порядок обмена информацией о компьютерных атаках и компьютерных инцидентах между субъектами КИИ, а также между субъектами КИИ и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими реагирование на компьютерные инциденты. | SC SIEM формирует и хранит сведения о компьютерных инцидентах, поддерживает экспорт данных и передачу информации во внешние системы через предусмотренные механизмы интеграции. Конкретный порядок и канал обмена информацией в соответствии с приказом № 546 организуются субъектом КИИ. Основной канал взаимодействия с ГосСОПКА и НКЦКИ регулируется приказами № 547 и № 548. | Хранение, Консоль, механизмы интеграции | Частично |
| Приказ ФСБ России № 539 от 23.12.2025Порядок получения субъектами КИИ информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения | Установленный порядок получения субъектами КИИ информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения. | После получения субъектом КИИ сведений в установленном приказом № 539 порядке SC SIEM может использовать соответствующие индикаторы и сведения об угрозах в мониторинге, корреляции, IoC-поиске и расследовании при наличии представления данных в поддерживаемом формате. Получение официальной информации по процедуре приказа № 539 обеспечивает субъект КИИ. | IoCs Finder, Threat Intelligence, Ретроспективный анализ | Поддерживает выполнение |
| Приказ ФСБ России № 548 от 25.12.2025Порядок осуществления непрерывного взаимодействия субъектов КИИ с ГосСОПКА (вступил в силу 30.01.2026) | Установленный порядок осуществления непрерывного взаимодействия субъектов КИИ с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. | SC SIEM содержит функциональность взаимодействия с ГосСОПКА/НКЦКИ и может использоваться как технический компонент процессов мониторинга, регистрации и передачи информации о компьютерных инцидентах. Непрерывное взаимодействие субъекта КИИ с ГосСОПКА является комплексной обязанностью организации и не обеспечивается одной только установкой SIEM. | ГосСОПКА, Коррелятор, Консоль | Поддерживает выполнение |
| Приказ ФСТЭК России № 235 от 21.12.2017Требования к созданию систем безопасности значимых объектов КИИ | Наличие в системе безопасности значимого объекта сил и средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. | SC SIEM может применяться как техническое средство мониторинга информационной безопасности в составе системы безопасности значимого объекта и (или) центра ГосСОПКА: сбор и корреляция событий, выявление и регистрация инцидентов, хранение сведений о них, взаимодействие с НКЦКИ. Создание системы безопасности, назначение сил и разработка документации — обязанность субъекта КИИ. | SC SIEM в целом | Организационная мера |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.
Дополнительные организационные требования — при применимости
1 из 1Требования этой группы не относятся к специализированной нормативной базе SIEM и не являются требованиями только к КИИ. Применяются к организациям, подпадающим под сферу действия соответствующего акта.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| Указ Президента РФ № 250 от 01.05.2022Организация мониторинга и обнаружения компьютерных атак | Возложение полномочий по обеспечению информационной безопасности на ответственных лиц, организация мониторинга и обнаружения компьютерных атак и реагирования на компьютерные инциденты. Применяется к организациям, подпадающим под сферу действия Указа № 250. | SC SIEM предоставляет технические средства мониторинга информационной безопасности в режиме реального времени, выявления инцидентов, назначения ответственных на инцидент и контроля их действий, а также отчётности для руководства. Организационное выполнение требований Указа обеспечивается организацией. | Консоль, Коррелятор, Отчёты | Организационная мера |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.
Дополнительные требования при обработке персональных данных
1 из 1Требование применяется к операторам персональных данных и не является универсальным требованием ко всем объектам КИИ.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| Приказ ФСБ России № 77 от 13.02.2023Взаимодействие с ГосСОПКА при компьютерных инцидентах, повлёкших неправомерную передачу персональных данных | Применяется к операторам персональных данных при компьютерных инцидентах, повлёкших неправомерную передачу (предоставление, распространение, доступ) персональных данных. Устанавливает порядок взаимодействия операторов с ГосСОПКА, включая информирование ФСБ России о таких инцидентах. | SC SIEM обеспечивает регистрацию инцидента, сбор связанных событий и технических сведений о затронутом информационном ресурсе и источниках вредоносной активности, а также подготовку и отправку уведомления в НКЦКИ. Определение того, повлёк ли инцидент неправомерную передачу персональных данных, и направление уведомления осуществляются оператором. | ГосСОПКА, Коррелятор, Консоль | Поддерживает выполнение |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.