Эта статья предназначена для руководителей и специалистов по информационной безопасности в государственных информационных системах, руководителей организаций госсектора, системных администраторов и ИТ-архитекторов.
С 1 марта 2026 года для государственных информационных систем (ГИС), а также иных информационных систем органов власти, унитарных предприятий и государственных учреждений, вступил в силу приказ ФСТЭК России № 117 от 11.04.2025 «Об утверждении Требований о защите информации». Этот документ кардинально изменил подход к обеспечению информационной безопасности в госсекторе, поэтому разберем его нововведения и способы выполнения требований.
Приказ ФСТЭК № 117: от формальностей к реальной безопасности
Приказ ФСТЭК № 117 — это основополагающий нормативный акт, заменивший документ под номером № 17, действовавший более 10 лет.
Если Приказ № 17 был построен вокруг фиксированных перечней мер, привязанных к классам защищенности, то новый норматив утверждает риск‑ориентированный подход и постоянный цикл управления.
Ключевые изменения:
| Изменение | Суть |
|---|---|
| Расширение сферы действия | Под действие приказа № 117 подпадают не только классические государственные информационные системы, но и любые ИС госорганов, унитарных предприятий, госучреждений, а также системы подрядчиков и партнёров, взаимодействующих с ГИС. |
| Переход к процессному подходу | Защита информации превращается в непрерывный управленческий цикл по модели PDCA («Планируй – Делай – Проверяй – Улучшай»). |
| Мониторинг и управление уязвимостями | Замена «разовой» аттестации непрерывным контролем. Критические уязвимости нужно устранять за 24 часа, а высокого уровня – в течение 7 дней. |
| Приоритет архитектуры | В фокусе проверки находится не просто перечень средств защиты, а то, как именно они встроены в архитектуру системы и как управляются. |
Отличие от приказа ФСБ № 117
Стоит отметить, что существует два документа с одинаковым номером, но разного содержания: приказ ФСТЭК № 117 («организационные и технические меры») и приказ ФСБ № 117 («криптографические средства защиты информации»).
Основные требования приказа № 117
По своей структуре нормативный акт содержит более 60 требований и предписывает:
Новые организационные меры
Организации обязаны разработать и утвердить целый пакет внутренних документов, включая Политику защиты информации, стандарты и регламенты, которые будут распространяться на все информационные системы компании.
Кадровые требования: Обеспечить наличие штатных ИБ‑подразделений или выделенных специалистов, причём не менее 30% сотрудников служб защиты информации обязаны иметь профильное образование или пройти переподготовку.
Работа с подрядчиками: Закрепить выполнение требований ИБ заказчика в договорах с подрядными организациями.
Перечень технических мер защиты
Документ однозначно перечисляет 17 ключевых базовых мер, которые необходимо обеспечить для соответствия. Среди них — идентификация и аутентификация, управление доступом, защита конечных устройств и виртуализации, обнаружение и предотвращение вторжений на сетевом уровне, резистентность к DDoS-атакам.
Для выполнения многих из этих требований потребуется применять сертифицированные ФСТЭК России средства защиты информации.
ИТ‑решения для исполнения требований приказа № 117
Комплексное выполнение требований приказа немыслимо без внедрения современных и надёжных технологических решений.
Инфраструктурная основа
Операционная система общего назначения, сертифицированная, реализующей встроенными средствами значительную часть требований приказа № 117, касающуюся мандатного контроля доступа, чистоты и целостности системы.
Инфраструктура открытых ключей (PKI). Для устранения «точек отказа» и организации надёжной системы идентификации требуется переход на российский доверенный центр сертификации, который будет выпускать цифровые сертификаты для всех устройств, программ и пользователей, выстраивая цепочку доверия.
Комплексы защиты информации
NGFW (межсетевой экран нового поколения). В новом приказе роль сетевого уровня значительно возрастает: устройство NGFW позволяет не только сегментировать сеть и блокировать угрозы, но и является обязательным инструментом разграничения доступа и мониторинга для соответствия приказу № 117.
Инструменты мониторинга, анализа и учёта
SIEM‑системы (Security Information and Event Management). Приказ № 117 требует непрерывного мониторинга событий ИБ (п. 28–35). SIEM‑решения автоматизируют регистрацию событий и корреляцию данных с различных устройств и приложений, обеспечивая построение отчётов и показателей защищённости.
PAM (управление привилегированным доступом). Управление учётными записями администраторов впервые выделено в самостоятельное мероприятие. Использование PAM‑решений даёт инструменты для строгого контроля сессий и подмены паролей.
DLP (Data Loss Prevention). Необходимость защиты от утечек конфиденциальных данных (п. 41), в том числе технической разведки, предъявляет высокие требования к классам защиты и делает DLP‑системы обязательным элементом ИБ.
EDR решения для проективной защиты всех узлов сети.
Пошаговый план внедрения требований приказа № 117
Чтобы эффективно подготовиться и избежать штрафов, следуйте этому плану:
Этап 1: Аудит и инвентаризация. Проведите инвентаризацию всех информационных систем (включая «1С», СЭД, кадровые системы) и выявите системы, обрабатывающие информацию ограниченного доступа.
Этап 2: Планирование и организационная структура. Назначьте ответственных за защиту информации и разработайте пакет внутренних документов (Политика, модель угроз, план перехода).
Этап 3: Внедрение технических мер. Основываясь на модели угроз, выберите сертифицированные средства защиты информации — от ОС на рабочих станциях до изолированной среды с отдельными системами.
Этап 4: Эксплуатация и мониторинг. Аттестуйте объекты информатизации и наладьте непрерывный мониторинг событий, подключив SIEM‑систему и службу реагирования на инциденты.
Этап 5: Постоянное совершенствование. Регулярно пересматривайте модель угроз и обновляйте правила корреляции не реже одного раза в 6 месяцев с оповещением руководства и ФСТЭК.
Главное о приказе ФСТЭК № 117
Соблюдение требований приказа ФСТЭК № 117 является обязательным для организаций госсектора, а также компаний, взаимодействующих с государственными информационными системами и госорганами. Невыполнение или нарушение сроков карается административной ответственностью по статье 13.12 КоАП РФ.
Короткий чек‑лист руководителя:
- Назначены ответственные за ИБ.
- Проведена полная инвентаризация всех ИС.
- Утверждены внутренние документы (Политика ИБ, модель угроз, стандарты).
- Внедрены средства защиты информации (NGFW, DCAP, SIEM, PAM, DLP).
- Обеспечен контроль подрядчиков и удалённого доступа.
- Ведётся непрерывный мониторинг и устранение уязвимостей (24 часа / 7 дней).
В условиях постоянных киберугроз следование новым стандартам безопасности — это не просто формальное соответствие законам, а залог защиты данных граждан и непрерывности работы всей инфраструктуры.
За консультациями по решениям обращайтесь к нам.
Получить консультацию
