Разработка ОРД по Приказу ФСТЭК России № 117

Разработка организационно-распорядительной документации (ОРД) по Приказу ФСТЭК России № 117 — услуга по подготовке и актуализации документов, регламентирующих защиту информации в государственных информационных системах и других информационных системах, на которые распространяются требования приказа.

Приказ ФСТЭК России от 11 апреля 2025 года № 117 устанавливает требования по защите информации в государственных информационных системах, а также иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Приказ применяется с 1 марта 2026 года.

Что такое ОРД по Приказу ФСТЭК № 117

Организационно-распорядительная документация по защите информации представляет собой комплект документов, который устанавливает правила организации защиты информационных систем и порядок выполнения соответствующих мероприятий.

Приказ ФСТЭК России № 117 предусматривает определение области действия документов, объектов защиты и категорий участников, а также требований и порядков, связанных с обеспечением безопасности информационных систем.

Кому нужна разработка ОРД

Услуга предназначена для организаций, на информационные системы которых распространяются требования Приказа ФСТЭК России № 117.

• государственных органов;
• государственных учреждений;
• государственных унитарных предприятий;
• операторов государственных информационных систем;
• организаций, сопровождающих и обслуживающих информационные системы государственных заказчиков;
• подрядных организаций, получающих доступ к защищаемой информации и информационным системам.

При подготовке ОРД учитываются конкретная информационная система, ее назначение, состав пользователей, инфраструктура, обрабатываемая информация, внешние взаимодействия и применяемые средства защиты.

Что регулирует ОРД по ФСТЭК № 117

В документации могут регламентироваться различные процессы защиты информации, предусмотренные требованиями Приказа № 117.

• идентификация и аутентификация пользователей;
• модели и правила управления доступом;
• управление учетными записями;
• управление привилегированным доступом;
• предоставление удаленного доступа;
• предоставление доступа работникам сторонних организаций;
• контроль доступа к сети Интернет;
• защита конечных и мобильных устройств;
• управление уязвимостями и обновлениями;
• физическая защита информационных систем;
• обращение с информацией ограниченного доступа;
• разработка безопасного программного обеспечения;
• резервное копирование и обеспечение непрерывности функционирования;
• мониторинг и анализ событий безопасности;
• контроль уровня защищенности информации;
• требования к программному обеспечению;
• типовые конфигурации и настройки средств защиты;
• порядок восстановления функционирования информационной системы.

Какие документы разрабатываются

Конкретный состав ОРД определяется по результатам анализа информационной системы и требований, применимых к организации.

В состав работ может входить подготовка документов, устанавливающих:

• политику и общие требования по защите информации;
• порядок управления доступом;
• правила управления учетными и привилегированными записями;
• порядок удаленного доступа;
• порядок предоставления доступа подрядчикам;
• правила использования информационных систем;
• требования к защите рабочих станций и мобильных устройств;
• порядок управления уязвимостями и обновлениями;
• правила резервного копирования и восстановления;
• порядок регистрации и анализа событий безопасности;
• порядок контроля уровня защищенности;
• порядок взаимодействия сотрудников при возникновении инцидентов;
• другие документы в соответствии со спецификой информационной системы.

Разработка ОРД с учетом конкретной инфраструктуры

Мы не предлагаем универсальный комплект документов без учета особенностей организации. Для подготовки ОРД анализируются сведения о защищаемой информации, субъектах и объектах доступа, информационных системах, сервисах и инфраструктуре.

В анкете для подготовки документации по Приказу № 117 предусмотрен сбор информации о защищаемой информации, субъектах и объектах доступа, интернет-сервисах, значимых функциях ИС, программных и программно-аппаратных средствах, сетях и подсетях, а также специалистах, участвующих в защите информации.

Также учитываются типы информационных систем, количество пользователей, системы хранения данных, виртуальные машины, веб-приложения, контейнерные среды и внешние информационные системы.

Что необходимо для разработки ОРД

Для начала работ собирается информация об организации и защищаемых информационных системах.

• полное наименование организации;
• сведения об информационных системах;
• перечень защищаемой информации;
• перечень пользователей и объектов доступа;
• состав ИТ-инфраструктуры;
• сведения о серверах и рабочих местах;
• сведения об используемых средствах защиты;
• информация о сетевом взаимодействии;
• данные о внешних информационных системах и сервисах;
• имеющаяся документация по защите информации.

Анкета для подготовки ОРД по Приказу № 117 также предусматривает сведения о веб-приложениях, контейнерных средах, API, виртуальных машинах и внешних информационных системах.

Этапы разработки ОРД

1. Сбор исходной информации

Получаем сведения об организации, информационных системах, пользователях, инфраструктуре, обрабатываемой информации и действующих мерах защиты.

2. Анализ информационной системы

Изучаем состав и особенности информационной системы, существующие процессы защиты информации и имеющуюся организационно-распорядительную документацию.

3. Определение состава документов

Формируем перечень документов, необходимых для организации защиты информации с учетом применимых требований и особенностей конкретной информационной системы.

4. Разработка и актуализация ОРД

Разрабатываем новые документы или актуализируем существующие документы с учетом требований Приказа ФСТЭК России № 117.

5. Согласование документации

Проводим необходимые согласования с ответственными сотрудниками и подразделениями заказчика.

6. Передача готового комплекта

Передаем заказчику подготовленный комплект документов и рекомендации по их применению в организации.

ОРД и подрядные организации

Приказ № 117 предусматривает требования к взаимодействию оператора информационной системы с подрядными организациями.

В документах необходимо определить требования к защите информации, которой получают доступ работники сторонних организаций, а также порядок и условия предоставления доступа к информационной системе.

Это особенно важно для организаций, которые используют услуги внешних разработчиков, системных администраторов, технической поддержки и других подрядчиков.

ОРД для ГИС

Для государственных информационных систем подготовка документации требует учета особенностей конкретной ГИС: ее назначения, обрабатываемой информации, пользователей, территориального размещения, серверной инфраструктуры, внешних информационных систем и применяемых средств защиты.

Опросный лист для ГИС предусматривает сбор информации о назначении системы, ее задачах, веб-ресурсах, категориях обрабатываемой информации, пользователях, классе защищенности, уровне защищенности персональных данных, внешних взаимодействиях, ЦОД, серверах, администраторах и рабочих местах.

Актуализация существующей документации

Если в организации уже разработан комплект ОРД, не всегда требуется создавать документацию заново.

Специалисты «Робот икс» могут провести анализ действующих документов и определить, какие положения необходимо изменить, дополнить или разработать заново с учетом требований Приказа ФСТЭК России № 117.

Связь ОРД с техническими мерами защиты

Организационные документы должны соответствовать фактической архитектуре и используемым средствам защиты информационной системы.

В зависимости от системы и применяемых мер защиты могут использоваться решения для управления доступом, регистрации событий безопасности, защиты конечных устройств, антивирусной защиты, сетевой защиты, защиты веб-технологий, защиты каналов передачи данных, SIEM и других направлений.

Приказ № 117 выделяет комплекс базовых мер защиты, включая идентификацию и аутентификацию, управление доступом, регистрацию событий безопасности, защиту виртуализации и облачных вычислений, защиту контейнерных сред, электронной почты, веб-технологий, конечных и мобильных устройств, а также сетевую защиту.

Что получает заказчик

• анализ действующей документации;
• определение необходимого состава ОРД;
• разработку новых документов;
• актуализацию существующих документов;
• учет особенностей конкретной информационной системы;
• учет состава пользователей и подразделений;
• учет используемых средств защиты;
• документы по взаимодействию с подрядными организациями;
• готовый комплект организационно-распорядительной документации;
• рекомендации по дальнейшему применению документов.

Почему важно разрабатывать ОРД под конкретную систему

ОРД должна отражать реальные процессы организации и фактическую архитектуру информационной системы. Универсальный шаблон может не учитывать используемые технологии, категории пользователей, внешние взаимодействия, порядок доступа и существующие средства защиты.

Поэтому перед разработкой документов необходимо собрать исходные сведения об информационной системе и ее инфраструктуре.

Стоимость разработки ОРД

Стоимость рассчитывается индивидуально.

На стоимость влияют:

• количество информационных систем;
• сложность и архитектура инфраструктуры;
• количество пользователей;
• состав обрабатываемой информации;
• количество объектов и сервисов;
• наличие филиалов;
• количество действующих документов;
• необходимость актуализации существующей документации;
• необходимость разработки полного комплекта ОРД;
• необходимость дополнительных мероприятий по защите информации.

Часто задаваемые вопросы

Что такое ОРД?

ОРД — организационно-распорядительная документация, которая устанавливает правила, требования и порядок выполнения мероприятий по защите информации в организации.

Для кого предназначена услуга?

Услуга предназначена для государственных органов, государственных учреждений, ГУП, операторов ГИС и других организаций, на информационные системы которых распространяются требования Приказа ФСТЭК России № 117.

Можно ли актуализировать уже существующие документы?

Да. При наличии действующего комплекта ОРД можно провести его анализ и определить документы и положения, которые требуют актуализации.

Нужно ли разрабатывать все документы с нуля?

Не обязательно. Состав работ определяется после анализа существующей документации и особенностей информационной системы.

Можно ли заказать ОРД только для одной ГИС?

Да. Работы могут выполняться в отношении конкретной информационной системы с учетом ее назначения, инфраструктуры, пользователей и обрабатываемой информации.

Учитываются ли подрядчики?

Да. При разработке документов учитываются требования к предоставлению доступа работникам сторонних организаций и обязанности подрядчиков по соблюдению установленных требований защиты информации.