С 1 марта 2026 года действует приказ ФСТЭК России от 11.04.2025 № 117 (далее — приказ № 117), который заменил приказ ФСТЭК России от 11.02.2013 № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» (далее — приказ № 17) и обновил требования к защите информации в государственных информационных системах (далее — ГИС) и других информационных системах государственных организаций. 

Приказ №117 меняет подход к обеспечению безопасности информации. Защита рассматривается не только как набор технических мер, реализованных при создании информационной системы, но и как непрерывная деятельность: от выявления угроз и управления уязвимостями до мониторинга событий безопасности, контроля защищённости и оценки эффективности принимаемых мер. 

Разберём, на какие организации распространяется приказ № 117, что изменилось по сравнению с прежним регулированием и как организовать выполнение требований на практике. 

Приказ № 117 устанавливает требования к защите информации некриптографическими методами в следующих информационных системах:
● государственных информационных системах;
● иных информационных системах государственных органов;
● информационных системах государственных унитарных предприятий;
● информационных системах государственных учреждений. 

В муниципальных информационных системах требования применяются, если иное не установлено законодательством Российской Федерации. 

Таким образом, необходимо учитывать не только системы, официально имеющие статус ГИС. Требования затрагивают также информационные системы государственных учреждений и других организаций, перечисленных в приказе. 

Для специалиста ИБ первый этап – определить границы применения приказа. Необходимо установить, какие информационные системы находятся в эксплуатации, кто является их оператором, какая информация в них обрабатывается и какие дополнительные нормативные требования применимы. 

Важно также учитывать общую инфраструктуру: серверы виртуализации, сети, средства администрирования и другие компоненты, от которых зависит работа защищаемых информационных систем.

Приказ № 17 преимущественно регламентировал обеспечение защиты информации в ГИС с учётом класса защищённости, актуальных угроз и состава организационных и технических мер. 

Приказ № 117 сохраняет необходимость определения класса защищённости и выбора защитных мер, но значительно подробнее регулирует организацию деятельности по защите информации на уровне оператора. 

Теперь особое внимание уделяется процессам, которые должны выполняться в ходе эксплуатации информационных систем, а не только при создании системы защиты. 

Это не означает, что перечисленные направления полностью отсутствовали в прежнем регулировании. Часть из них уже реализовывалась операторами на основании других нормативных документов и внутренних процедур. Отличие приказа № 117 заключается в более подробном закреплении таких процессов в обязательных требованиях.

Например, недостаточно установить средство анализа уязвимостей. Необходимо определить порядок проведения проверок, оценки результатов, устранения обнаруженных недостатков и контроля выполненных действий. 

Аналогичный подход применяется к обновлениям, резервному копированию, регистрации событий безопасности и управлению доступом. 

Это не означает, что перечисленные направления полностью отсутствовали в прежнем регулировании. Часть из них уже реализовывалась операторами на основании других нормативных документов и внутренних процедур. Отличие приказа № 117 заключается в более подробном закреплении таких процессов в обязательных требованиях.

Например, недостаточно установить средство анализа уязвимостей. Необходимо определить порядок проведения проверок, оценки результатов, устранения обнаруженных недостатков и контроля выполненных действий. 

Аналогичный подход применяется к обновлениям, резервному копированию, регистрации событий безопасности и управлению доступом. 

Для практической реализации приказа № 117 необходимо использовать методический документ ФСТЭК России «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах», утверждённый 12 апреля 2026 года. 

Документ определяет общие подходы, состав и содержание мероприятий и мер по защите информации. Он применяется при организации деятельности по защите информации, создании и эксплуатации информационных систем, оценке эффективности защиты и проведении аттестации. 

При этом необходимо различать два понятия.
Мероприятия (процессы) по защите информации – организованная деятельность оператора, направленная на выявление угроз, предупреждение нарушений и поддержание необходимого уровня безопасности. Например, управление уязвимостями включает их обнаружение, оценку, устранение и проверку результатов. 

Меры по защите информации – организационные и технические решения, непосредственно обеспечивающие защиту информационных систем и содержащейся в них информации. К ним относятся идентификация и аутентификация, управление доступом, регистрация событий безопасности, антивирусная защита, межсетевое экранирование и другие меры. 

Методический документ содержит 19 тематических подразделов мероприятий и 17 направлений технических мер, детализируя цели, требования к реализации и документированию. 

Один из основных блоков приказа № 117 посвящён организации деятельности по защите информации и управлению этой деятельностью. 

Оператор должен определить цели защиты, сформировать организационную систему управления, назначить ответственных лиц и обеспечить проведение необходимых мероприятий. 

Важное значение приобретает документирование требований и процессов. 

Политика защиты информации
Политика определяет общие принципы организации защиты информации. В ней необходимо закрепить область действия, цели и задачи защиты, перечень объектов защиты, распределение полномочий и ответственность участников. 

Политика должна учитывать информационные системы оператора и общую информационно-телекоммуникационную инфраструктуру, если системы функционируют на её базе. 

Внутренние стандарты
Стандарты устанавливают требования к настройкам, технологиям и способам обеспечения защиты информации.
Они могут определять допустимые конфигурации операционных систем, правила применения программного обеспечения, требования к аутентификации, сетевому взаимодействию, удалённому доступу и резервному копированию. 

Внутренние регламенты
Регламенты определяют порядок выполнения конкретных действий: кто их выполняет, при каких условиях, как контролируется результат и какие сведения документируются. 

К числу регламентируемых направлений относятся:
● управление учётными записями и привилегированным доступом;
● управление уязвимостями и обновлениями;
● контроль конфигураций;
● предоставление удалённого доступа;
● подключение и работа подрядчиков;
● мониторинг информационной безопасности;
● восстановление функционирования информационных систем;
● контроль уровня защищённости информации. 

Необязательно оформлять каждое направление отдельным документом, если применимые требования позволяют объединить взаимосвязанные процедуры. Важно, чтобы необходимые правила были установлены, согласованы между собой и применялись на практике. 

Для небольшого государственного учреждения особенно важно избежать ситуации, когда документы существуют отдельно от реальных процессов. Если один специалист совмещает обязанности системного администратора и ответственного за ИБ, необходимо определить его полномочия, порядок контроля действий и возможность привлечения подрядчиков для выполнения специализированных работ. 

Приказ № 117 предусматривает реализацию базовых мер защиты с учётом класса защищённости информационной системы, её архитектуры, используемых технологий и актуальных угроз. 

Согласно пункту 62 приказа № 117, реализация мер защиты включает выбор базовых мер для соответствующего класса защищённости, их адаптацию к особенностям информационной системы и последующую верификацию с учётом актуальных угроз и возможностей нарушителей. 

Содержание отдельных мер раскрыто в разделе IV Методического документа от 12.04.2026. 

Рассмотрим основные направления. 

Идентификация, аутентификация и управление доступом
Необходимо обеспечить идентификацию пользователей, применение установленных механизмов аутентификации и предоставление доступа в соответствии с их полномочиями. 

Особого контроля требуют привилегированные учётные записи, поскольку их компрометация может предоставить нарушителю возможность изменять конфигурацию информационной системы, управлять средствами защиты и получать доступ к защищаемой информации. 

В рамках реализации мер необходимо обеспечить управление жизненным циклом учётных записей, ограничение полномочий и регистрацию значимых действий пользователей и администраторов. 

Для удалённого доступа при выполнении служебных обязанностей приказ № 117 предусматривает защиту каналов передачи данных и применение строгой или усиленной многофакторной аутентификации. 

Регистрация событий безопасности
Регистрация событий необходима для обнаружения нарушений, анализа действий пользователей и восстановления последовательности событий при расследовании инцидентов. 

Недостаточно просто включить ведение журналов. Следует определить состав регистрируемых событий, порядок их хранения, защиты, анализа и реагирования на выявленные отклонения. 

В зависимости от масштаба инфраструктуры для этих задач могут применяться встроенные механизмы операционных систем, специализированные средства сбора журналов и системы мониторинга информационной безопасности. 

Защита конечных устройств
Конечные устройства могут стать точкой первоначального проникновения нарушителя в инфраструктуру. Особое значение имеет защита рабочих станций и серверов, взаимодействующих с сетью Интернет. 

Необходимо обеспечить контроль доступа, применение антивирусной защиты и других необходимых мер, мониторинг процессов и событий, а также управление конфигурациями и обновлениями. 

Состав конкретных средств определяется применимыми требованиями и актуальными угрозами, а не только фактом подключения устройства к сети. 

Управление уязвимостями и обновлениями
Выявление уязвимостей должно быть частью регулярной эксплуатации информационной системы. 

Процесс включает определение объектов проверки, получение сведений об уязвимостях, анализ возможности их эксплуатации, приоритезацию, принятие мер и проверку результатов. 

Управление обновлениями связано с этим процессом, но не сводится к автоматической установке всех выпущенных исправлений. Необходимо оценивать применимость обновлений, их влияние на работоспособность информационной системы и совместимость со средствами защиты. 

Для систем с ограничениями на установку обновлений должны приниматься решения о допустимых способах устранения или снижения рисков. 

Защита сетевого взаимодействия
К сетевым мерам относятся сегментация, межсетевое экранирование, обнаружение и предотвращение вторжений, защита каналов передачи данных и сетевого взаимодействия. 

При их выборе необходимо учитывать архитектуру системы, маршруты обмена информацией, границы доверенных сегментов, способы администрирования и взаимодействия с внешними системами. 

Отдельного анализа требует подключение информационной системы к ГИС через защищённый канал. Защита транспортного соединения не заменяет необходимость обеспечения безопасности самого автоматизированного рабочего места, если на него распространяются соответствующие требования. 

Защита виртуализации, контейнеров и веб-технологий
Приказ № 117 предусматривает меры защиты виртуальных сред, контейнерных технологий, электронной почты, веб-приложений и программных интерфейсов взаимодействия. 

Меры применяются с учётом фактически используемых технологий и особенностей информационной системы. 

Например, при использовании виртуализации необходимо учитывать защиту гипервизора, административных интерфейсов, виртуальных машин и взаимодействия компонентов. Для веб-приложений и API требуется учитывать характерные для них угрозы, включая нарушения управления доступом и эксплуатацию программных уязвимостей.

Управление уязвимостями, подрядчиками и непрерывностью работы
Некоторые направления приказа требуют отдельных процессов, выходящих за пределы настройки

Взаимодействие с подрядчиками. Организации должны определять условия предоставления доступа к информационным системам, передачи информации и контроля выполняемых работ. Внутренние регламенты должны учитывать полномочия работников подрядчика и порядок их взаимодействия с инфраструктурой оператора.

В практической работе целесообразно использовать персональные учётные записи, ограничивать предоставляемые права, фиксировать разрешённые подключения и своевременно прекращать доступ после завершения работ. Конкретный порядок должен быть установлен организацией с учётом применимых требований.

Непрерывность функционирования. Резервное копирование необходимо рассматривать совместно с возможностью восстановления информационной системы. Наличие резервной копии само по себе не подтверждает, что данные и сервисы можно восстановить в требуемом объёме.

Следует определить объекты резервирования, условия хранения копий, порядок восстановления и способы проверки его работоспособности.

Повышение осведомлённости пользователей. Приказ рассматривает подготовку пользователей как самостоятельное мероприятие. Обучение должно учитывать реальные действия сотрудников, характер обрабатываемой информации, используемые информационные системы и возможные угрозы. 

Приказ № 117 предусматривает оценку состояния защиты информации с использованием двух показателей. 

Показатель защищённости (Кзи) характеризует текущее состояние защиты информации от базового уровня угроз безопасности информации. 

Показатель уровня зрелости (Узи) характеризует достаточность и эффективность организации мероприятий по защите информации. 

Эти показатели решают разные задачи. Первый позволяет оценивать состояние защищённости, второй – качество организации деятельности по защите информации. 

Для оценки уровня зрелости ФСТЭК России 7 августа 2026 года утвердила отдельную методику – «Методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации». 

Она предусматривает оценку направлений деятельности по защите информации, анализ полноты реализации требований и формирование результатов оценки 

По состоянию на октябрь 2026 года пункт 32 приказа № 117 предусматривает:
● расчёт и оценку Кзи оператором не реже одного раза в шесть месяцев;
● расчёт и оценку показателя зрелости Узи не реже одного раза в два года. 

С 1 марта 2027 года вступит в силу новая редакция пункта 32 приказа № 117, внесённая приказом ФСТЭК России от 08.05.2026 № 137. 

С этой даты расчёт и оценка Узи должны будут проводиться подрядной организацией до получения доступа к информационным системам, содержащейся в них информации и (или) передачи ей информации, а затем не реже одного раза в два года. Результаты оценки должны направляться во ФСТЭК России в установленные сроки. 

Для подготовки к этим изменениям организациям следует заранее определить состав оцениваемых систем и процессов, проверить полноту документации и устранить выявленные недостатки. 

Важно не смешивать расчёт показателей Кзи и Узи с контролем уровня защищённости информационных систем. Это самостоятельные процедуры с разными целями, порядком проведения и периодичностью.

Приказ № 117 отдельно предусматривает контроль уровня защищённости информации.

В соответствии с пунктами 66–67 он проводится с применением одного или нескольких методов:
● выявления уязвимостей с последующей экспертной оценкой возможности их использования;
● выявления несанкционированных подключений устройств;
● тестирования путём моделирования реализации актуальных угроз;
● тренировок по отработке действий работников в условиях реализации угроз. 

Контроль должен проводиться не реже одного раза в три года либо после компьютерного инцидента, произошедшего у оператора. 

Конкретные методы и периодичность определяются внутренним регламентом с соблюдением установленных требований. 

По результатам контроля составляется отчёт. Он должен быть представлен руководителю или ответственному лицу в течение трёх рабочих дней и направлен во ФСТЭК России в течение пяти рабочих дней с даты завершения контроля. 

Для специалиста ИБ важно разграничить текущие технические проверки, управление уязвимостями и предусмотренный приказом контроль уровня защищённости. Они могут использовать похожие инструменты, но выполняются в 

Пункт 3 приказа прямо устанавливает, что аттестаты на государственные и иные информационные системы, выданные до вступления приказа в силу, считаются действительными. 

При этом необходимо продолжать выполнять применимые требования по защите информации и контролировать изменения информационной системы. 

Если изменяется состав оборудования, программного обеспечения, архитектура, условия эксплуатации или другие существенные характеристики, необходимо оценить влияние изменений на состояние защиты и выполнение требований. 

Для государственных информационных систем аттестация проводится до начала обработки и хранения информации. Это требование установлено пунктом 65 приказа № 117, а порядок проведения аттестации определён приказом ФСТЭК России от 29.04.2021 № 77. 

Для иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений решение о необходимости аттестации принимается руководителем оператора или ответственным лицом. 

Таким образом, наличие действующего аттестата не отменяет необходимости актуализировать документацию, выполнять эксплуатационные требования и поддерживать необходимый уровень защиты. 

Предлагаем следующую последовательность работ. 

Шаг 1. Определить состав информационных систем.
Провести инвентаризацию информационных систем, определить операторов, границы систем, обрабатываемую информацию, используемые технологии и информационные взаимодействия. 

Выделить системы, на которые распространяется приказ № 117, и установить дополнительные применимые требования. 

Шаг 2. Оценить действующие организационные документы.
Проверить наличие политики защиты информации, внутренних стандартов, регламентов и документов, устанавливающих распределение полномочий. 

Сопоставить существующие документы с требованиями приказа № 117 и методического документа от 12.04.2026. 

Шаг 3. Проверить актуальность исходных данных по защите систем.
Проанализировать классы защищённости, архитектуру, состав компонентов, актуальные угрозы и ранее принятые решения по защите информации. 

При необходимости актуализировать модели угроз, проектные решения и эксплуатационную документацию. 

Шаг 4. Провести обследование технической защиты.
Оценить реализованные меры идентификации и аутентификации, управления доступом, регистрации событий безопасности, защиты конечных устройств, сетевого взаимодействия, резервного копирования и других применимых направлений. 

Проверить настройки средств защиты, состояние обновлений и уязвимостей, полноту мониторинга и наличие подтверждений выполнения требований. 

Шаг 5. Сформировать план устранения несоответствий.
Для каждого выявленного недостатка определить необходимые действия, ответственных исполнителей, ресурсы и сроки. 

Если существующие средства защиты обеспечивают необходимые функции, сначала следует оценить возможность их использования и корректной настройки. Приобретение дополнительных решений должно быть обосновано результатами обследования и проектирования. 

Шаг 6. Реализовать мероприятия и проверить результат.
Выполнить необходимые организационные и технические работы, актуализировать документы и проверить функционирование защитных механизмов. 

Результаты проверок необходимо документировать в объёме, предусмотренном применимыми требованиями. 

Шаг 7. Организовать регулярную деятельность по защите информации.
Установить процедуры управления уязвимостями, обновлениями, конфигурациями, мониторинга событий, контроля доступа и реагирования на выявленные отклонения. 

Отдельно обеспечить проведение обязательных оценок и контроля уровня защищённости с установленной периодичностью. 

Этот план представляет собой практическую последовательность работ. Он не заменяет требования приказа и должен адаптироваться к составу информационных систем, их классам защищённости и особенностям эксплуатации. 

Невыполнение требований по защите информации может повлечь административную ответственность. 

В частности, часть 6 статьи 13.12 КоАП РФ предусматривает ответственность за нарушение требований о защите информации, не составляющей государственную тайну, установленных федеральными законами и принятыми в соответствии с ними нормативными правовыми актами, за исключением случаев, предусмотренных другими частями статьи. 

Размер административного штрафа составляет:
● для граждан — от 5 000 до 10 000 рублей;
● для должностных лиц — от 10 000 до 50 000 рублей;
● для юридических лиц — от 50 000 до 100 000 рублей. 

Отдельная ответственность предусмотрена, в частности, за использование несертифицированных средств защиты информации в случаях, когда их сертификация обязательна. 

Конкретная квалификация нарушения зависит от установленных обстоятельств и применимых норм законодательства. Сам по себе факт отсутствия отдельного внутреннего документа не следует автоматически приравнивать к конкретному составу административного правонарушения без оценки требований и фактического состояния защиты. 

Помимо административных последствий, недостаточная защита информации создаёт риски нарушения работы информационных систем, несанкционированного доступа, утраты данных и невозможности своевременно восстановить предоставление государственных услуг. 

Выполнение приказа № 117 требует комплексной работы: оценки состояния защиты информации, подготовки документации, реализации организационных и технических мер, проверки эффективности применяемых решений. 

Центр защиты информации «Север» оказывает услуги в области технической защиты информации, включая аудит информационной безопасности, разработку документации по защите информации, подбор и внедрение средств защиты, аттестацию информационных систем. 

Специалисты компании могут помочь оценить существующую систему защиты, определить необходимые мероприятия и организовать работы по приведению информационных систем в соответствие с применимыми требованиями.

1. Нужно ли переаттестовывать ГИС после вступления приказа № 117 в силу?
Нет, исключительно из-за вступления приказа № 117 в силу переаттестация не требуется. Ранее выданные аттестаты считаются действительными. При изменениях информационной системы необходимо оценивать их влияние на условия аттестации и выполнение требований. 

2. Распространяется ли приказ № 117 на небольшие государственные учреждения?
Да, если эксплуатируемые учреждением информационные системы входят в область применения приказа. Размер учреждения и количество сотрудников сами по себе не являются основаниями для освобождения от требований. 

3. Обязательно ли приобретать новые средства защиты информации?
Нет. Необходимость приобретения определяется результатами оценки существующей системы защиты, применимыми требованиями, классом защищённости и актуальными угрозами. Если используемые решения соответствуют требованиям и реализуют необходимые функции, их можно учитывать при построении системы защиты. 

4. Заменяет ли методический документ от 12.04.2026 приказ № 117?
Нет. Приказ № 117 устанавливает нормативные требования, а методический документ детализирует состав и содержание мероприятий и мер по защите информации. Они применяются совместно. 

5. В чём отличие оценки Кзи от оценки Узи?
Кзи характеризует текущее состояние защищённости информации от базового уровня угроз. Узи позволяет оценивать достаточность и эффективность организации процессов защиты информации. 

6. Нужно ли выполнять требования приказа № 117, если организация использует СКЗИ?
Да, если информационная система входит в область применения приказа. Использование СКЗИ не отменяет обязательные некриптографические меры защиты. Требования к применению криптографических средств выполняются отдельно с учётом нормативных документов ФСБ России. 

Приказ ФСТЭК № 117 закрепляет более комплексный подход к защите информации в государственных информационных системах и информационных системах государственных организаций. 

Основное изменение заключается в необходимости не только реализовать технические меры, но и организовать постоянную деятельность по защите информации: поддерживать актуальность защитных механизмов, управлять уязвимостями, контролировать конфигурации, анализировать события безопасности и оценивать состояние защищённости. 

Методический документ ФСТЭК России от 12.04.2026 позволяет конкретизировать эту работу, связав требования приказа с мероприятиями, техническими мерами и документированием их выполнения. 

Организациям целесообразно начать с обследования существующих информационных систем и оценки действующих процессов защиты. Это позволит определить реальные несоответствия, использовать уже имеющиеся средства защиты и сформировать обоснованный план дальнейших мероприятий.