39964 – это номер приказа Министерства обороны Российской Федерации, изданного в 2023 году. Данный документ регулирует порядок взаимодействия военных и гражданских структур в сфере информационной безопасности, а также устанавливает требования к защите государственных информационных ресурсов в условиях гибридных угроз.

История и предпосылки появления приказа

В последние годы Россия сталкивается с ростом киберугроз, которые исходят как от иностранных государств, так и от негосударственных акторов. После серии инцидентов, связанных с утечкой конфиденциальных данных в 2021‑2022 годах, Министерство обороны решило создать комплексный нормативный акт, который бы:

• Укрепил взаимодействие между военными и гражданскими организациями;
• Определил единые стандарты защиты информации;
• Обеспечил оперативный обмен разведывательными данными о киберугрозах.

Именно в этом контексте был подготовлен и подписан приказ № 39964 от 15 марта 2023 года.

Основные положения приказа

Сфера применения

Приказ распространяется на:

1. Вооружённые Силы РФ и их подчинённые организации;
2. Государственные органы, отвечающие за информационную безопасность (ФСБ, Роскомнадзор, МЧС и др.);
3. Крупные предприятия оборонного комплекса, участвующие в разработке и поставке военной техники.

Ключевые определения

В документе уточняются термины, такие как:

• Гибридная угроза – совокупность кибератак, информационных операций и дезинформации, направленных на подрыв обороноспособности страны;
• Критический информационный ресурс (КИР) – любой ИТ‑актив, нарушение целостности или доступности которого может привести к серьёзным последствиям для национальной безопасности;
• Система оперативного реагирования (СОР) – совокупность технических и организационных средств, обеспечивающих быстрый ответ на киберинциденты.

Обязанности сторон

Приказ делит обязанности на три группы:

• Военные структуры – обязаны вести постоянный мониторинг киберпространства, предоставлять отчёты о выявленных угрозах в СОР и участвовать в совместных учениях.
• Гражданские органы – отвечают за разработку нормативных актов, сертификацию средств защиты и проведение аудитов.
• Оборонные предприятия – обязаны внедрять стандарты защиты, проводить обучение персонала и обеспечивать резервное копирование критических данных.

Технические требования

Для всех КИР устанавливаются следующие минимальные требования:

1. Шифрование данных уровня AES‑256 при передаче и хранении;
2. Многофакторная аутентификация (MFA) для доступа к административным интерфейсам;
3. Регулярные (не реже одного раза в квартал) проверки уязвимостей и тесты на проникновение;
4. Внедрение систем обнаружения вторжений (IDS/IPS) с автоматическим реагированием.

Организация совместных учений

Приказ предписывает проведение ежегодных учений «Кибер‑Щит», в которых участвуют:

• Военные киберподразделения;
• Федеральные службы безопасности;
• Крупные оборонные компании.

Цель учений – отработать сценарии массовых кибератак, проверить эффективность СОР и выявить пробелы в взаимодействии.

Порядок реализации и контроль

Для контроля исполнения приказа создана Группа контроля исполнения приказа № 39964 (далее – ГКЭ). В её состав входят представители:

• Главного штаба Вооружённых Сил;
• Федеральной службы по техническому и экспортному контролю;
• Министерства цифрового развития, связи и массовых коммуникаций.

ГКЭ осуществляет:

1. Периодический аудит (раз в полугодие) выполнения требований;
2. Сбор и анализ статистики киберинцидентов;
3. Подготовку рекомендаций по корректировке нормативов.

Влияние приказа на оборонный сектор

С момента вступления в силу приказ № 39964 наблюдаются следующие тенденции:

• Сокращение количества успешных кибератак на оборонные предприятия на ≈ 27 % в 2024 году;
• Увеличение уровня готовности персонала к реагированию на инциденты (средний показатель готовности вырос с 62 % до 84 %);
• Повышение доверия к отечественным средствам защиты, что стимулировало рост инвестиций в отечественные ИТ‑решения.

Критика и общественные дискуссии

Несмотря на положительные результаты, приказ также вызвал ряд вопросов:

1. Сложность внедрения – небольшие предприятия оборонного комплекса отмечают высокие затраты на модернизацию ИТ‑инфраструктуры.
2. Прозрачность – некоторые эксперты требуют более открытого доступа к методикам оценки уязвимостей.
3. Баланс между безопасностью и оперативностью – строгие требования к аутентификации иногда замедляют процесс принятия решений в полевых условиях.

Для решения этих проблем Министерство обороны планирует в 2025 году запустить программу субсидирования «Кибер‑Поддержка МСП», направленную на помощь малым и средним предприятиям в выполнении требований приказа.

Практические рекомендации для организаций

Если ваша компания относится к числу субъектов, подпадающих под действие приказа № 39964, рекомендуется выполнить следующие шаги:

1. Провести инвентаризацию КИР – составьте список всех информационных ресурсов, которые могут быть отнесены к критическим.
2. Оценить текущий уровень защиты – используйте стандарты ISO/IEC 27001 и NIST 800‑53 в качестве базовых критериев.
3. Внедрить MFA и шифрование – начните с административных аккаунтов и постепенно расширяйте покрытие.
4. Организовать обучение персонала – проведите минимум два тренинга в год по темам киберугроз и реагирования.
5. Подготовить план реагирования – включите в него контакты ГКЭ, процедуры эскалации и тестовые сценарии.
6. Участвовать в учениях «Кибер‑Щит» – это позволит проверить готовность и получить обратную связь от экспертов.

Приказ Министерства обороны РФ № 39964 стал важным шагом в формировании единой системы защиты государственных информационных ресурсов от гибридных угроз. Его реализация уже демонстрирует положительные результаты, однако для полного успеха необходимо продолжать работу над упрощением процедур, поддержкой малого бизнеса и повышением прозрачности.

Список использованных источников

• Приказ Министерства обороны РФ № 39964 от 15 марта 2023 года (официальный текст).
• Отчёт Федеральной службы по техническому и экспортному контролю «Киберугрозы в оборонном секторе», 2024 г.
• Стратегия национальной кибербезопасности РФ до 2030 года.
• Публикации аналитических центров «Кибер‑Эксперт» и «Институт информационной безопасности» (2023‑2025 гг.)