С 1 марта 2026 года вступает в силу новый приказ ФСТЭК России №117. Он официально заменяет приказ №17 и радикально обновляет правила игры в защите информации.
И если раньше все было «только про ГИС», то теперь — все серьезнее и шире. Новый приказ касается:
- государственных информационных систем (ГИС),
- всех инфосистем госорганов, ГУПов, учреждений,
- и даже систем, которые получают данные из ГИС.
Другими словами — если вы работаете с государственной информацией, то теперь вы под прицелом.
Новый подход к информационной безопасности
Самое главное — меняется сам подход. Новый приказ не просто регулирует, он заставляет перестраивать процессы.
В пункте 14 перечислены меры по организации защиты информации. Среди них — обязательное повышение уровня знаний сотрудников. Это уже не «по желанию», а как часть стратегии безопасности.
Пункт 56 содержит перечень мероприятий по повышению уровня знаний и информированности пользователей информационных систем по вопросам защиты информации — в том числе обучающие игры.
Пункт 57: знания нужно проверять не реже, чем раз в три года, а после инцидентов — сразу. То есть теперь каждый пользователь ИС — участник ИБ-процесса.
Требования к тем, кто отвечает за ИБ
Теперь в каждом учреждении должны появиться либо подразделения, либо специалисты, отвечающие за ИБ.
Но не просто кто угодно. По пункту 20 — не менее 30% сотрудников в этих подразделениях обязаны иметь профильное образование или пройти переподготовку. Принцип «на ИБ поставим того, кто освободился» — больше не работает.
Защита как у взрослых
ФСТЭК всерьез подошел к вопросу технических мер:
- управление уязвимостями,
- мониторинг событий,
- средства обнаружения вторжений на сетевом уровне,
- разработка безопасного ПО,
- работа с ГосСОПКА,
- контроль действий пользователей, работающих под привилегированными учетными записями.
Пункт 48 требует регистрации всех действий, выполняемых с использованием привилегированных учетных записей. Необходим не только аудит, но и полный контроль этих доступов — а это значит, что без PAM-систем уже не обойтись.
Обрабатывать инциденты вручную теперь не получится: специалисты по ИБ обязаны ежегодно формировать отчет по результатам мониторинга и направлять его в ФСТЭК.
Поэтому становятся обязательными SIEM-системы для сбора и анализа событий, а также NGFW с модулями IDS/IPS — для сетевой безопасности. Упоминание СОВ делает это требование особенно актуальным.
Но есть и хорошая новость: разрешено использовать искусственный интеллект для анализа событий информационной безопасности. Это может серьезно упростить работу.
Резервное копирование и ПО по ГОСТу
По пункту 55 теперь обязательно не только создание резервных копий, но и регулярные тренировки по восстановлению из них, а также контроль сроков и полноты восстановления.
А новое ПО должно разрабатываться по ГОСТ Р 56939-2024. Не просто писать код, а делать это по стандарту.
Показатели защищенности и зрелости
Вводятся два новых инструмента:
- Показатель защищенности — рассчитывается раз в 6 месяцев.
- Показатель уровня зрелости — раз в 2 года.
Их нужно не просто рассчитать, но и отправить во ФСТЭК в течение 5 рабочих дней.
А еще в пункте 67 упоминается контроль уровня защищенности — раз в 3 года. Как все эти параметры соотносятся — покажет практика.
Вовлекаем подрядчиков
Если используете хостинг, связь или фильтрацию трафика — подключайте подрядчиков к системам защиты от атак (в том числе DDoS). Формально теперь это ваша обязанность.
ДСП теперь по-серьезному
Если в системе крутится информация с грифом «для служебного пользования» (ДСП), она автоматически уходит в уровень защищенности 1 (УЗ1). А это — Класс защищенности 1 (К1).
То есть работать с такими системами теперь нужно максимально строго.
СЗИ по всем правилам
Все средства защиты информации должны быть сертифицированными. Это требование было и раньше, но теперь распространяется на все новые компоненты и продолжает действовать для уже используемых СЗИ.
СЗИ необходимо настраивать в соответствии с эксплуатационной документацией, подготовленной разработчиком.
Также средства защиты должны иметь поддержку производителя на территории Российской Федерации.
Обновление средств защиты должно регулярно выполняться производителем с устранением уязвимостей, дефектов и других недостатков. От конечного пользователя здесь требуется лишь установить обновление.
Теперь выполнение требований к СЗИ является не просто формальностью, а обязательной частью ежедневных процессов обеспечения информационной безопасности.
Ресурсы
Да, требования серьезные. Но и здесь есть ясность: приказ прямо обязывает выделить ресурсы: организационные, технические и любые другие — необходимые для выполнения требований.
Что дальше?
Новый приказ ФСТЭК №117 — это перезагрузка всей системы ИБ для госсектора. Придется перестраивать процессы, учить людей, внедрять инструменты и думать о зрелости.
Самое время оценить, на каком вы уровне сейчас — и что предстоит сделать до 2026 года. Практика покажет, как именно будут применяться новые правила.
Скачать текст приказа №117
