Приказ ФСТЭК России № 117: новый этап защиты информации в госсекторе
Введение
1 марта 2026 года вступит в силу приказ ФСТЭК России № 117 от 11.04.2025, который регулирует кибербезопасность государственного сектора, а также дополняет и детализирует философию защиты информации. Документ заменит действующий с 2013 года приказ № 17.
Принятие нового приказа — это стратегический ответ на вызовы времени, переводящий кибербезопасность госсектора от формального соблюдения норм к построению живой, эффективной и измеримой системы безопасности. Это не просто обновление списка мер, а перезагрузка всего подхода к защите информации.
В статье рассказываем, почему появились новые требования к защите информационных систем (ИС), кого они коснутся и как подготовиться к их выполнению.
Почему новый приказ необходим
В отличие от предыдущего документа, приказ учитывает современные вызовы:
- Существенное развитие информационных технологий.
- Рост внимания регулятора к вопросам эксплуатации и организации систем защиты в ИС.
- Становление системных и зрелых подходов к обеспечению безопасности.
- Увеличение количества и интенсивности кибератак.
- Увеличение доли государственных услуг, предоставляемых в цифровом формате.
Актуальность изменений диктуется реальными вызовами: технологии и угрозы развиваются стремительно, а регулятор теперь требует не просто соблюдения стандартов, но и четко выстроенной системы действий. Защита информации не должна быть хаотичной — приказ формирует рамки для создания структурированных процессов. Кроме того, массовый переход государственных услуг в цифровую среду требует усиленной защиты этих сервисов.
Кого затронут обновленные требования
Произошло фундаментальное расширение области применения. Если приказ № 17 распространялся исключительно на государственные и муниципальные информационные системы (ГИС/МИС), то приказ № 117 обязателен для всех информационных систем, эксплуатируемых государственными органами, предприятиями и учреждениями, — независимо от назначения, архитектуры или критичности. Это устраняет разрыв в уровне защищенности внутри одной организации.
Сравнение сфер действия приказов
| Характеристика | Приказ ФСТЭК России № 17 (2013 г.) | Приказ ФСТЭК России № 117 (2025 г.) |
|---|---|---|
| Основной объект |
Государственные информационные системы (ГИС) |
Все ИС государственных органов, ГУП, госучреждений, а также муниципальные ИС |
| Косвенное влияние приказа |
Слабо регламентировалось |
|
Важный аспект — переходный период. Аттестаты соответствия, выданные до 1 марта 2026 года, продолжат действовать, но только при неизменности конфигурации ИС. Любое расширение функциональности, внедрение новых компонентов или изменение архитектуры потребует обязательной модернизации систем защиты в соответствии с новыми требованиями. Это делает актуальным заблаговременное планирование работ.
Ключевое изменение — новый подход к классу защищенности. В новом приказе пересмотрена методика определения класса защищенности, что может привести к его повышению для ряда действующих систем. В приказе № 17 масштаб системы (один из параметров для определения класса) рассчитывался по месту фактического размещения системы. А в приказе № 117 он определяется уровнем задач, которые выполняет информационная система. Классификация переносится с территориального признака на функциональный. Например, если ГИС раньше была отнесена к 3‑му классу из‑за размещения на уровне объекта, но фактически она обеспечивает задачи на уровне нескольких регионов или всей страны, это станет основанием для пересмотра ее масштаба и повышения класса защищенности.
Отдельно стоит отметить, что для информации с грифом «Для служебного пользования» (ДСП) уровень значимости автоматически устанавливается как максимальный (УЗ1), а класс защищенности становится К1.
Как меняется организация защиты информации
Происходит фундаментальный сдвиг от разрозненных мероприятий к выстраиванию целостной системы управления кибербезопасностью. В частности, новый приказ подразумевает:
- Процессный подход. Чтобы сделать безопасность измеряемой дисциплиной, управление защитой информации должно представлять непрерывный цикл из планирования, реализации, оценки состояния и постоянного совершенствования мер защиты.
- Стратегическая защита. Система управления кибербезопасностью должно обеспечивать непрерывность работы ИС.
- Необходимость формализации документов. Требуется разработка и актуализация комплекса организационно‑распорядительной документации (ОРД). Внутренние политики, стандарты, а также регламенты должны детально описывать процессы кибербезопасности, включая управление уязвимостями, доступом, инцидентами и взаимодействие с подрядчиками.
- Усиление кадровых требований. Приказ ФСТЭК России № 117 устанавливает, что не менее 30% сотрудников подразделения кибербезопасности должны иметь профильное образование (не обязательно высшее).
Приказ № 117 четко определяет, какие именно процессы и процедуры должны быть зафиксированы в ОРД. Также усиливаются требования к подрядчикам: они обязаны соблюдать политику безопасности заказчика, а все условия взаимодействия должны быть четко прописаны в договорах. Формализуется и структура управления кибербезопасностью, уточняются требования к ответственным подразделениям и лицам.
Приказ требует гораздо более системного и строгого подхода:
- Отчетность. Если выявленная уязвимость отсутствует в БДУ
ФСТЭК России, оператор обязан в течение 5 рабочих дней направить информацию о ней регулятору. - Сроки устранения:
- Критические уязвимости — не более 24 часов.
- Уязвимости высокого уровня — не более 7 календарных дней.
- Уязвимости среднего и низкого уровня — срок определяет оператор во внутренних нормативных документах (ВНД).
- Контроль обновлений. Обязательно планирование, тестирование на совместимость и проверка подлинности патчей перед их установкой.
Вводится новое ключевое понятие — строгая аутентификация (по ГОСТ Р 58833‑2020). Это аутентификация с применением только метода многофакторной взаимной аутентификации и использованием криптографических протоколов. Пример — аппаратный токен с УКЭП.
Строгая аутентификация обязательна в следующих случаях:
- Использование мобильных устройств для доступа к ИС.
- Удаленный доступ пользователей к ИС (например, подключение из другого города).
- Привилегированный доступ (допускается использование усиленной многофакторной аутентификации, если строгую реализовать технически невозможно).
Приказ устанавливает, что мониторинг должен выполняться в соответствии с ГОСТ Р 59547‑2021 и охватывать четыре ключевых направления:
- Анализ событий безопасности (от SIEM, EDR, NDR, NGFW, WAF и др.).
- Непрерывный контроль уязвимостей.
- Мониторинг функционирования средств защиты информации.
- Анализ изменений актуальных угроз.
Мониторинг должен быть непрерывным (включая дежурную смену 24/7), осуществляться квалифицированным персоналом и распространяться на всю инфраструктуру. Допускается использование доверенных технологий искусственного интеллекта (ИИ) для анализа событий. Обязательно непрерывное взаимодействие с ГосСОПКА. Мониторинг можно вести разными способами:
- своими силами;
- с привлечением подрядчиков;
- централизованно через единый SOC.
Приказ делает обязательным следование ГОСТ Р 56939-2024.
- При внутренней разработке: нужно обеспечить полный безопасный жизненный цикл (требования, моделирование угроз, статический/динамический анализ кода, тестирование на проникновение и т. д.).
- При работе с подрядчиком: приказ прямо не требует включать ГОСТ в ТЗ, но при аттестации орган по аттестации будет оценивать соответствие требованиям к безопасной разработке. Если подрядчик не соблюдет стандарт, это может помешать аттестации. Поэтому настоятельно рекомендуется включать ГОСТ Р 56939‑2024 в ТЗ.
Впервые в регулировании ФСТЭК России появились специальные требования к ИИ:
- Технологии ИИ, включенные в состав ИС, должны быть доверенными.
- Должны быть определены форматы взаимодействия: правила запросов/ответов для шаблонных операций и допустимая тематика — для свободной текстовой формы.
Новый приказ устанавливает следующий регламент отчетности:
- Показатель защищенности (КЗИ): рассчитывается и предоставляется во ФСТЭК России раз в 6 месяцев. Методика опубликована.
- Показатель зрелости (ПЗИ): оценивается и отправляется во ФСТЭК России раз в 2 года. Методика ожидается.
- Итоговый годовой отчет по результатам мониторинга.
- Отчет по результатам контроля уровня защищенности: предоставляется во ФСТЭК России раз в 3 года или в течение 5 рабочих дней после инцидента.
Набор мер в целом сохранил структуру, но большинство требований было актуализировано и уточнено. Также в перечень добавлены две новые обязательные меры: защита конечных устройств и IoT-устройств, которые ранее не фигурировали в приказе № 17. Ожидается, что детали реализации этих мер будут раскрыты в отдельных методических документах ФСТЭК России.
Как приказ решает частые проблемы операторов ИС
Новый приказ предлагает механизмы для решения проблем операторов, связанных с устаревшим, «формальным» подходом к безопасности.
| Проблема | Решение в соответствии с приказом |
|---|---|
| Статичность защиты |
Регулярно рассчитывать показатели защищенности (КЗИ) и зрелости (ПЗИ), чтобы направлять результаты во ФСТЭК России |
| Поверхностная оценка рисков от подрядчиков |
Обязательно включать в договоры требования по кибербезопасности и безопасной разработке, а также знакомить подрядчиков с политикой безопасности заказчика |
| Отсутствие защиты для новых технологий (IoT‑устройств, средств оркестрации контейнеров, облачных вычислений) |
Внедрять для технологий конкретные меры защиты, требующие внимания операторов |
| Неоперативное устранение уязвимостей |
Регламентировать управление уязвимостями, включая сроки сообщения о новых уязвимостях во ФСТЭК России (в течение 5 дней) и сроки их устранения (критические — до 24 часов) |
Как подготовиться к новым требованиям
Мы рекомендуем следовать дорожной карте адаптации, которая включает следующие этапы:
- Проведите инвентаризацию и аудит (GAP‑анализ). Выявите все информационные системы, подпадающие под действие приказа (теперь это все ИС, а не только ГИС), и оцените их состояние на соответствие новым требованиям.
- Назначьте ответственных и усильте команду. Закрепите полномочия за лицом, ответственным за организацию защиты информации. Оцените, насколько кадровый состав подразделения кибербезопасности соответствует новым квалификационным требованиям (профильное образование у 30% сотрудников).
- Актуализируйте ОРД заранее. Пересмотрите политики кибербезопасности, внутренние стандарты и регламенты, опираясь на четкий перечень процессов, указанных в приказе. Оцените и приведите в соответствие организационную структуру.
- Проанализируйте взаимодействие с подрядчиками. Проведите инвентаризацию договоров. Включите в договоры и технические задания требования по защите информации и разработке безопасного ПО (рекомендуется прямое указание на ГОСТ Р 56939‑2024).
- Оцените необходимость модернизации системы защиты. Проанализируйте, требуют ли новые условия (строгая аутентификация, мониторинг, защита IoT) внедрения новых технических решений (EDR, PAM, средства защиты для облаков и контейнеров). Планировать архитектурные изменения рекомендуем после публикации методических документов ФСТЭК России.
- Запланируйте и обеспечьте бюджет на все необходимые работы, учитывая расширенный круг подпадающих под требования систем.
- Проведите аттестационные испытания (для ГИС).
Для структурированной работы рекомендуем использовать чек‑лист, который позволит последовательно проверить соответствие всем требованиям.
Как упростить адаптацию к приказу № 117 с помощью автоматизации
Автоматизация процессов управления кибербезопасностью с помощью GRC‑платформы может стать ключевым помощником в этом переходе. В частности, вы сможете автоматизировать следующие трудоемкие задачи:
- проведение оценок показателей защищенности и зрелости;
- подготовка отчетов;
- управление активами и уязвимостями;
- моделирование угроз;
- формирование необходимого пакета ОРД.
Выполнение многих требований нового приказа — от инвентаризации активов до управления уязвимостями и формирования отчетности — сопряжено с большими объемами рутинной работы. Комплексная платформа BI.ZONE GRC позволяет автоматизировать эти процессы, существенно упрощая подготовку к вступлению приказа в силу и дальнейшее соответствие его требованиям.
Платформа представляет собой набор модулей, которые могут работать как совместно, так и независимо, покрывая ключевые направления, затронутые приказом № 117:
- Модуль Compliance Management — помогает автоматизировать выполнение требований по защите ГИС (а также ПДн и КИИ), формировать полный пакет ОРД, проводить моделирование угроз и оценку систем. Именно этот модуль позволяет системно подойти к выполнению процессных требований приказа.
- Модуль Asset Management — решает критически важную задачу учета IT‑активов, прямо указанную в приказе (постановление Правительства РФ № 900). Позволяет проводить инвентаризацию и классификацию активов на основе данных сканирований, управлять их жизненным циклом, контролировать покрытие средствами защиты информации (СЗИ) и формировать необходимую отчетность. Без точного учета активов построение адекватной защиты невозможно.
- Модуль Vulnerability Management — агрегирует данные об уязвимостях с различных сканеров в единую панель, автоматически оценивает их критичность с учетом контекста активов и позволяет контролировать соблюдение жестких сроков устранения (SLA), установленных приказом. Модуль уведомляет ответственных о приближающихся дедлайнах, что помогает избежать нарушений.
- Модуль Audit and Road Maps — предназначен для проведения внутренних аудитов, самооценок и, что особенно важно, автоматизированного расчета показателя защищенности (КЗИ) и показателя зрелости (ПЗИ) по методикам ФСТЭК России. На основе результатов оценки модуль помогает строить дорожные карты для устранения недостатков.
- Модуль Process Management — позволяет централизованно управлять организационными процессами кибербезопасности в рамках холдинговой структуры: назначать задачи, направлять документы на согласование, контролировать исполнение. Это инструмент для формализации ответственности и управления, требуемых приказом.
Таким образом, использование BI.ZONE GRC обеспечивает полную или частичную автоматизацию таких трудоемких задач, как подготовка и актуализация ОРД, управление уязвимостями с учетом SLA, инвентаризация активов, расчет обязательных показателей (КЗИ, ПЗИ), подготовка отчетов для регулятора и моделирование угроз. Это позволяет сосредоточить усилия команды безопасности на стратегических задачах, а не на рутинной административной работе.
Заключение
Приказ ФСТЭК России № 117 — это стратегический шаг, который переводит кибербезопасность государственного сектора на качественно новый уровень. Документ выводит защиту за рамки статичного выполнения списка мер: он призван помогать в создании динамичной, измеримой и непрерывно совершенствующейся системы, интегрированной в процессы управления организацией.
Начать готовиться к вступлению приказа в силу следует уже сейчас. Чем быстрее организация адаптирует внутренние процессы и документацию, тем проще ей будет обновить меры защиты в соответствии с требованиями.