+7 (4872) 77-00-59Конструктор по приказу ФСТЭК № 117. Разберите требования, подберите решения и соберите план действий для своей организации.
Требования регулируют некриптографическую защиту информации в ГИС, иных ИС госорганов, ГУП и государственных учреждений; для муниципальных ИС действуют, если законодательством не установлено иное. Пункт 12 содержит исключения.
Получающая информацию ограниченного доступа из ГИС система должна соответствовать установленным требованиям защиты. Обладатель, заказчик или оператор определяет состав передаваемой информации, цели защиты и уровень защищённости.
Для сведений, составляющих государственную тайну, применяется специальный режим технической защиты такой информации.
При обработке персональных данных одновременно применяются Требования №117 и требования постановления Правительства РФ №1119.
Для ИС, являющейся значимым объектом КИИ, одновременно действуют Требования №117 и нормативные акты, принятые на основании статьи 6 закона №187-ФЗ.
При использовании СКЗИ требования ФСБ к защите информации применяются совместно с Требованиями №117.
Размещение ИС на общей информационно-телекоммуникационной инфраструктуре допускается при защите этой инфраструктуры по Требованиям №117.
Защита обеспечивается при создании, модернизации, эксплуатации, обработке и хранении информации и выводе ИС из эксплуатации. Для ГИС применяется постановление №676; для иных ИС — раздел 5 ГОСТ Р 51583-2014.
Оператор определяет цели защиты и ожидаемые результаты с учётом возможного ущерба от нарушения конфиденциальности, целостности, доступности и работы ИС. При определении негативных последствий используется БДУ ФСТЭК.
Организационная система управления под руководством руководителя или ответственного лица должна включать планирование, реализацию, оценку состояния и совершенствование защиты.
Политика охватывает защищаемую информацию, все ИС и общую инфраструктуру; устанавливает цели, принципы, объекты защиты, роли, полномочия, взаимодействие и ответственность работников. Её утверждает руководитель или уполномоченное лицо.
Руководитель организует защиту сам или через ответственное лицо, создаёт либо определяет подразделение или назначает специалистов. Полномочия должны быть достаточны и закреплены в трудовых функциях и документах подразделения.
Специалисты должны иметь компетенции для порученных функций. Не менее 30% работников структурного подразделения защиты должны иметь профильное профессиональное образование или пройти профессиональную переподготовку по ИБ.
Защита организуется совместно с подразделениями, использующими и эксплуатирующими ИС. Их участие и меры при сопровождении, обслуживании и поставке комплектующих определяются внутренними стандартами и регламентами.
Подразделение ИБ применяет средства для выполнения своих функций: выявления угроз, вторжений, контроля защищённости, мониторинга, работы с уязвимостями и конфигурациями. Состав определяется внутренними стандартами и регламентами.
Для выполнения мероприятий можно привлекать организации с лицензией на техническую защиту конфиденциальной информации. Оператор определяет работы и используемые средства; его специалисты ИБ участвуют в приёмке.
Стандарты устанавливают требования к мерам и настройкам с учётом особенностей оператора и ИС. Пункт 14г перечисляет обязательные направления их содержания.
Регламенты описывают порядок выполнения мероприятий и процессов. Их состав должен охватить перечисленные в п.14д направления и особенности ИС.
Политика, стандарты и регламенты доводятся до пользователей и подрядчиков в относящейся к ним части. Обязанности подрядчиков закрепляются в документах, на основании которых им передаются данные или предоставляется доступ.
Специалисты ИБ обосновывают необходимые ресурсы через цели защиты и прогнозируемые негативные последствия их отсутствия. Руководство предусматривает выделение ресурсов в пределах имеющихся средств.
Планирование связывает опасные события, критичные компоненты, угрозы, меры, сроки и ресурсы. Меры должны противодействовать актуальным угрозам и обеспечивать цели защиты.
Состояние защиты оценивают по показателям защищённости и зрелости с применением методик ФСТЭК. На 25.10.2026 оба показателя рассчитывает оператор; редакция п.32, меняющая этот порядок, начнёт действовать 01.03.2027.
По решению руководителя или ответственного лица специалисты ИБ совместно с использующими и эксплуатирующими ИС подразделениями разрабатывают план улучшений со сроками и ответственными.
Пункт 34 задаёт перечень процессов: угрозы, конфигурации, уязвимости, обновления, обращение с информацией, доступ и устройства, мониторинг, разработка, физическая защита, непрерывность, обучение, подрядчики, DDoS, ИИ, меры защиты, контроль и взаимодействие с ГосСОПКА.
Угрозы определяются при создании и отслеживаются при эксплуатации. Модель угроз разрабатывается в случаях, установленных постановлением №676; для негосударственных ИС решение о её необходимости принимает руководитель или ответственное лицо.
Нужно предотвращать и обнаруживать несанкционированные изменения состава средств, настроек и конфигураций, а также выявлять причины изменений. Контроль опирается на учёт ИТ-активов и данные систем инвентаризации при их наличии.
Процесс включает выявление, оценку опасности, выбор методов и приоритетов устранения и контроль результата. Для уязвимостей, которые могут быть использованы нарушителем, допускается исключить возможность эксплуатации компенсирующими мерами.
Обновления проверяются на подлинность и целостность, тестируются до промышленного применения и устанавливаются после разрешения с безопасными настройками. Бесконтрольная установка запрещена.
Нужно исключить неправомерное распространение и доступ лиц, которым информация не предназначена. Определяются защищаемые сведения и места хранения; контролируются и регистрируются все факты доступа к средствам хранения.
Конечные устройства защищаются от доступа и воздействий через взаимодействующие с интернетом или доступные из него интерфейсы и порты. Нужны меры против НСД, мониторинг и анализ процессов и событий.
Служебный доступ с мобильных устройств требует защиты ИС, устройств и каналов, строгой или усиленной многофакторной аутентификации. Личные устройства допускаются при соответствии требованиям и возможности контроля оператором.
Служебный удалённый доступ осуществляется с защищённых средств оператора через расположенные в РФ сети связи, с защитой канала и строгой или усиленной MFA. Личные средства допускаются по согласованию с ИБ при специальных условиях.
Нужно исключить несанкционированные подключения, подмену устройств и доступ к беспроводным каналам. Служебные точки и сети изолируются от сетей для доступа в интернет и к общедоступной информации.
Привилегированный доступ ограничивается минимальными правами, строгой аутентификацией, а при технической невозможности — усиленной MFA. Роли системного администрирования, разработки/тестирования и администрирования безопасности не объединяются в одной записи или группе.
Нужно собирать, обрабатывать и анализировать события, выявлять угрозы и нарушения внутренних правил. Для локальных изолированных ИС предусмотрен контроль журналов вместо общего процесса мониторинга.
При самостоятельной разработке оператор реализует меры разделов 4 и 5 ГОСТ Р 56939-2024 против появления, для выявления и устранения уязвимостей. Для подрядной разработки включение этих требований в ТЗ предусмотрено по решению руководителя.
Доступ к оборудованию обработки и хранения предоставляется только тем, кому он нужен для работы; средства хранения размещаются в защищённых помещениях, зонах или корпусах. Съёмные носители выдаёт оператор и учитывает их использование.
Для функций, которым установлен непрерывный режим, обеспечивается восстановление в заданные интервалы. Средства выполнения этих функций разворачиваются в отказоустойчивой конфигурации.
Нужны достаточные резервные копии средств, конфигураций и информации для значимых функций. Информационные копии хранятся на разных типах носителей в местах, исключающих несанкционированный доступ; восстановление периодически проверяется.
Мероприятия включают информирование, лекции/семинары/игры, имитационные рассылки для оценки социальной инженерии и практические тренировки. Способы, периодичность и оценка знаний определяются регламентом.
Нужно защищать взаимодействие с подрядчиками, устанавливать требования к защите полученной ими информации и оценке зрелости. Копирование допускается только если предусмотрено документами доступа; разработка и тестирование в промышленной ИС запрещены.
Для интерфейсов и сервисов с постоянным доступом из интернета требуется защита от блокирования доступа вследствие атак отказа в обслуживании. Предусмотрены взаимодействие с ГосСОПКА и автоматизированное взаимодействие с ЦМУ ССОП.
Защищаются данные, модели, параметры и сервисы ИИ. Передача разработчику модели информации ограниченного доступа запрещена. Запросы и ответы контролируются по шаблонам или допустимым тематикам, выявляются недостоверные ответы и ограничивается их влияние.
Базовые меры выбираются по классу ИС, адаптируются к архитектуре и технологиям, проверяются против актуальных угроз и возможностей нарушителя, затем дополняются или усиливаются.
Установить идентичность субъектов и проверять её при доступе к ИС.
Разграничить разрешённые действия субъектов в отношении ресурсов ИС.
Обеспечить регистрацию событий безопасности как базовую меру защиты.
Защитить применяемые средства виртуализации и облачную инфраструктуру.
Реализовать защиту контейнерных технологий и управления ими при их использовании.
Обеспечить защиту используемых почтовых сервисов.
Реализовать меры защиты веб-компонентов и приложений ИС.
Защитить API и иные интерфейсы взаимодействия приложений.
Реализовать базовую группу мер для конечных устройств с учётом выбранного класса и технологий.
Реализовать базовую группу мер для используемых мобильных устройств.
Реализовать меры защиты применяемых IoT-компонентов.
Защитить точки беспроводного доступа и их управление.
Организовать антивирусную защиту в соответствии с выбранным набором мер.
Выявлять и предотвращать вторжения на сетевом уровне средствами выбранного набора мер.
Разделить сетевую среду и контролировать разрешённые межсетевые потоки.
Реализовать выбранные меры против компьютерных атак отказа в обслуживании.
Обеспечить защиту каналов передачи данных и разрешённых сетевых взаимодействий.
ГИС аттестуется до начала обработки или хранения информации в порядке приказа ФСТЭК №77. Необходимость аттестации иных ИС госорганов, ГУП и государственных учреждений определяет руководитель или ответственное лицо.
Проверяются возможности внешнего и внутреннего нарушителя: анализ уязвимостей с экспертной оценкой, поиск несанкционированных подключений, моделирование угроз и тренировки. Применяется один или совокупность методов по внутреннему регламенту.
Мероприятия и меры реализуются с использованием методических документов ФСТЭК. Краткая карточка приказа не заменяет их детальные требования и правила выбора.
Если отдельное мероприятие или мера не могут быть реализованы, разрабатываются и внедряются компенсирующие меры, нейтрализующие актуальные угрозы. Применение обосновывается при создании ИС; при аттестации подтверждается эффективность.
Меры реализуются на аппаратном, системном, прикладном и инфраструктурном уровнях. На аппаратном и системном уровнях используются встроенные средства; на прикладном и сетевом — встроенные и/или наложенные и сетевые средства.
Применяются сертифицированные СЗИ по эксплуатационным правилам разработчиков, с поддержкой безопасности на территории РФ, включая обновления для устранения уязвимостей и дефектов. Учитываются запреты п.6 Указа №250.
Характеристики сертифицированных СЗИ сопоставляются с классом защищённости ИС: для К1 — не ниже 4 класса защиты и уровня доверия, для К2 — не ниже 5, для К3 — 6 класс и уровень доверия.
Класс ИС определяется значимостью информации и масштабом. Значимость оценивается по ущербу от нарушения конфиденциальности, целостности и доступности; выбирается наибольший уровень по всем свойствам и видам информации. Для информации с пометкой «ДСП» устанавливается УЗ1.
Федеральный масштаб — задачи всей РФ или двух и более субъектов; региональный — одного субъекта; объектовый — в пределах объектов одного госоргана, муниципального образования или организации. Класс выбирается по таблице 2 приложения.
Класс ИС на общей инфраструктуре не может быть выше класса её инфраструктуры. Отдельным сегментам можно присвоить разные классы с реализацией соответствующих им мер.
Результаты оформляются утверждённым оператором актом: наименование ИС/сегментов, УЗ, масштаб и класс. Допускается единый акт на несколько сегментов одного оператора. При изменении масштаба или значимости класс пересматривается.
Приказ утверждает новые Требования, отменяет приказ №17 и перечисленные изменения к нему, действует с 01.03.2026. Аттестаты соответствия, выданные до вступления приказа в силу, считаются действительными.
Попробуйте другое слово, номер пункта или сбросьте фильтры.
Карточки объясняют требования и варианты их реализации. Состав мер определяется для конкретной системы. Отметки в плане — ваша предварительная оценка, а не результат аттестации.
Конструктор связывает требования приказа ФСТЭК России от 11.04.2025 № 117 с практическими действиями: организационными мерами, документами и средствами защиты информации. Для каждого решения указаны его роль и, при необходимости, условия применения.
Пункты 1–73 Требований, пункты 1–11 приложения о классификации и распорядительная часть приказа объединены в практические темы. Подпункты и нормативные основания приведены в карточках. Детальный набор мер по классу определяется отдельно с учётом модели угроз.
Состав средств защиты зависит от конкретной системы. Выполнение требования может включать организационные процедуры, настройку продуктов, документы и проверку результата. Наличие продукта само по себе не подтверждает выполнение требования.
В разделе «Мой план» доступны HTML, PDF через печать, таблица CSV и резервная копия JSON для переноса выбора в другой браузер. Выбранные решения сгруппированы по соответствующим требованиям.
Если нужна помощь в реализации плана, ООО «Лаборатория безопасности» проводит аудит информационной безопасности, помогает с защитой и аттестацией ГИС и сопровождением аттестованных систем. Работаем с заказчиками по всей России.
Навигация охватывает пункты 1–73 Требований, пункты 1–11 приложения о классификации и распорядительную часть приказа. Связанные пункты объединены в практические темы; подпункты указаны внутри карточек. Детальные наборы мер по классам выбираются отдельно по методическому документу с учётом модели угроз.
Разъяснения и предлагаемые рабочие формы подготовлены ООО «Лаборатория безопасности». Требования приказа, положения методических документов и практические рекомендации обозначаются отдельно.