Меры защиты ГИС по требованиям ФСТЭК: от модели угроз до аттестации

Защита государственной информационной системы – это не формальность для отчетности. От нее зависит устойчивость цифровых сервисов, сохранность данных и непрерывность государственных процессов. При этом требования регуляторов нередко изложены сложным языком, а подготовка к проверкам может казаться запутанной.

Разберем, что означает защита информации в ГИС, как определить класс защищенности системы и подготовить модель угроз, какие организационные и технические меры предусмотреть и как выстроить процесс аттестации – от обследования до получения итогового документа.

Что такое ГИС и зачем ей выполнять требования ФСТЭК

Государственная информационная система (ГИС) – это информационная система, созданная на основании федерального или регионального закона для выполнения государственных функций и полномочий. Это может быть цифровой сервис, база данных или другой ресурс, в котором обрабатываются сведения для решения задач государства.

Если организация является оператором такой системы, разрабатывает ее, эксплуатирует или обслуживает, ей необходимо учитывать установленные требования к защите информации.

С 1 марта 2026 года действует приказ ФСТЭК России № 117, заменивший приказ № 17. В обновленных требованиях особое внимание уделяется практической защите системы, регулярной оценке уязвимостей и контролю программного и аппаратного обеспечения, которое используется в ГИС.

Задача защиты – не допустить утраты, блокирования, неправомерного изменения или раскрытия информации. Поэтому оператору важно не просто подготовить комплект документов, но и внедрить соответствующие меры безопасности, поддерживать их в рабочем состоянии и подтверждать это при проверках.

Классы защищенности ГИС: как выбрать подходящий

До выбора средств защиты нужно определить значимость информации и возможные последствия инцидента. Для этого системе устанавливают класс защищенности. Он влияет на состав и объем мер, которые потребуется реализовать.

Класс К1 – высокий уровень защиты

Такой класс применяется к крупным системам, где нарушение работы или компрометация информации может повлечь серьезные государственные, социальные или экономические последствия.

Что предусматривает защита: наиболее полный комплекс мер. В него могут входить многоуровневое разграничение доступа, средства доверенной загрузки, изоляция отдельных контуров и непрерывное наблюдение за событиями безопасности.

Класс К2 – средний уровень защиты

Класс подходит для систем среднего масштаба, а также для ГИС, в которых обрабатываются конфиденциальные сведения умеренной значимости.

Что предусматривает защита: набор мер, соразмерный рискам системы. В частности, могут потребоваться сертифицированные антивирусные средства, обнаружение вторжений, распределение прав доступа и проверка целостности данных.

Класс К3 – базовый уровень защиты

Этот класс применяют к небольшим локальным системам с ограниченным объемом данных и относительно низким уровнем рисков.

Что предусматривает защита: базовые механизмы безопасности – аутентификацию пользователей, межсетевое экранирование и регистрацию событий, которые позволяют отслеживать действия в системе.

Модель угроз безопасности информации: первый шаг к защите

Подобрать меры защиты без анализа рисков невозможно. До закупки оборудования и внедрения программных средств необходимо подготовить модель угроз безопасности информации.

Модель угроз описывает, какие ресурсы и процессы нуждаются в защите, кто может представлять опасность для системы и каким образом может быть реализована атака. При ее разработке учитывают:

• Архитектуру ГИС. Изучают размещение серверов, структуру сети, способы подключения к интернету и взаимодействия с внешними сервисами.
• Источники угроз. Рассматривают возможные действия внешних злоумышленников, недобросовестных или ошибающихся сотрудников, а также других лиц, которые могут получить доступ к системе.
• Способы воздействия. Анализируют возможное заражение вредоносным кодом, перехват сетевого трафика, компрометацию учетных записей и использование уязвимостей в программном обеспечении.

По итогам анализа определяют актуальные для ГИС угрозы. Для каждой из них нужно подобрать подходящие организационные или технические меры. Универсальная модель, скопированная из чужих материалов, не отражает особенностей конкретной инфраструктуры. Если документ расходится с реальной архитектурой сети, это может осложнить прохождение аттестации.

Обязательные меры защиты ГИС: технологии и организационные правила

Меры защиты принято разделять на технические – программные и аппаратные средства – и организационные, связанные с регламентами, распределением ответственности и действиями сотрудников.

Технические меры безопасности

Для защиты ГИС применяют средства защиты информации (СЗИ), соответствующие требованиям к конкретной системе. Вопрос о необходимости сертифицированных средств и их составе следует определять с учетом применимых требований и результатов оценки угроз. Если используются средства криптографической защиты информации, учитывают требования ФСБ России.

К основным направлениям технической защиты относятся:

1. Идентификация и аутентификация. Пользователи и администраторы должны работать под личными учетными записями. Это позволяет устанавливать, кто именно получил доступ к системе и выполнял действия.
2. Управление доступом. Права пользователей ограничивают рабочими задачами. Сотрудникам не следует предоставлять доступ к данным и ресурсам, которые не нужны им для выполнения обязанностей.
3. Защита от вредоносного ПО. Используют антивирусные средства и поддерживают их в актуальном состоянии, чтобы своевременно выявлять известные угрозы.
4. Обнаружение и предотвращение вторжений. Средства мониторинга анализируют сетевую активность, помогают обнаружить подозрительные действия и, если предусмотрено настройками, блокировать их.
5. Контроль целостности. Проверяют, не были ли без разрешения изменены или удалены системные файлы, важные настройки и данные.
6. Регистрация событий. В журналах фиксируют входы в систему, действия пользователей и администраторов, ошибки и другие события, имеющие значение для расследования инцидентов.

Организационные мероприятия и документация

Технические средства не обеспечат полноценную защиту, если правила работы с ними не установлены, а сотрудники не знают, как действовать при инцидентах. Поэтому вместе с внедрением СЗИ готовят организационно-распорядительные документы (ОРД).

В такой комплект могут входить:

• Политика информационной безопасности. В ней закрепляют цели, принципы и основные правила защиты информации.
• Приказы о назначении ответственных. Документы определяют, кто отвечает за безопасность системы, управление доступом и выполнение отдельных задач.
• Регламенты и инструкции. В них описывают порядок предоставления и отзыва доступа, резервного копирования, работы со съемными носителями, реагирования на сбои и инциденты.

Содержание документов должно соответствовать фактическим процессам и настройкам ГИС. Формальный комплект, который не применяется на практике, не заменяет действующую систему управления безопасностью.

Аттестация ГИС: этапы от обследования до итогового документа

Аттестация позволяет подтвердить, что реализованные меры защиты соответствуют установленным требованиям и проверяемая система функционирует в предусмотренных условиях. Процесс обычно включает несколько последовательных этапов.

Получение аттестата не означает, что работу по защите можно прекратить. Оператору необходимо поддерживать СЗИ в рабочем состоянии, контролировать изменения, проводить предусмотренные проверки и актуализировать документацию, если меняются архитектура, программное обеспечение или условия эксплуатации системы.

Как снизить расходы на защиту и аттестацию

Создание собственной защищенной инфраструктуры может потребовать значительных затрат на серверы, лицензии и специалистов. Оптимизировать бюджет помогают подходы, которые учитывают уже существующие ресурсы и особенности системы.

1. Рассмотреть размещение в защищенном облаке

Часть инфраструктуры или всю систему можно разместить в дата-центре провайдера, если его услуги и площадка соответствуют требованиям, применимым к конкретной ГИС. Провайдер может отвечать за отдельные уровни инфраструктуры – например, физическую защиту оборудования, виртуальную среду и каналы связи.

Распределение обязанностей между оператором и провайдером необходимо закрепить и проверить заранее. Само размещение в облаке не освобождает владельца или оператора ГИС от ответственности за выполнение требований к защите информации, но может снизить потребность в приобретении собственного серверного оборудования.

2. Использовать типовые сегменты там, где это допустимо

В системе с однотипными филиалами или подразделениями можно оценить возможность применения типовых решений и уже отработанных механизмов защиты. Это позволяет не проектировать каждый одинаковый сегмент заново и сократить часть затрат на подготовку материалов и проведение испытаний.

Возможность такого подхода зависит от характеристик системы и применимых правил. В частности, в исходном материале указана связь с пунктом 16(3) порядка, утвержденного приказом ФСТЭК № 77. Применимость положения к конкретному проекту следует подтвердить до планирования работ.

Типичные ошибки операторов ГИС

На проверках проблемы часто возникают не только из-за отсутствия необходимых средств защиты. Причиной могут стать разрыв между документацией и реальной инфраструктурой, недостаточный контроль изменений или нерегулярное обслуживание СЗИ.

Наиболее распространенные ошибки:

• Применение неподходящих или несертифицированных СЗИ. Средство защиты может не соответствовать требованиям конкретной системы либо иметь неподходящий статус или срок действия документов.
• Несвоевременное обновление средств защиты. Устаревшие базы и версии ПО могут снижать эффективность обнаружения известных угроз.
• Формальная модель угроз. Документ, не учитывающий реальную архитектуру и используемые сервисы, не дает надежной основы для выбора мер защиты.
• Изменения после аттестации без оценки последствий. Установка нового ПО, изменение настроек или состава рабочих мест может привести к расхождению фактической конфигурации с той, которая проходила испытания.
• Отсутствие регулярной оценки уязвимостей. Если систему проверили один раз и больше не анализируют, новые уязвимости могут оставаться незамеченными.

Ответственность за нарушения

Несоблюдение требований к защите информации может повлечь административную ответственность. В представленном материале приведены следующие размеры санкций:

• Нарушение требований по защите информации в ГИС. Для юридических лиц указаны штрафы от 50 000 до 100 000 рублей по статье 13.12 КоАП РФ.
• Нарушения, связанные с утечкой персональных данных. Для отдельных составов статьи 13.11 КоАП РФ указаны штрафы от 3 до 20 млн рублей. При повторных нарушениях в некоторых случаях может применяться оборотный штраф от 1 до 3% годовой выручки – до 500 млн рублей.

Размер и применимость санкций зависят от обстоятельств дела, конкретного состава нарушения и действующей редакции законодательства. Перед принятием решений стоит сверить актуальные нормы и получить юридическую консультацию.

Подведем итоги

1. Защиту нужно планировать с учетом актуальных требований. Приказ ФСТЭК № 117 действует с 1 марта 2026 года и заменил приказ № 17; применимые нормы необходимо сверять с актуальной редакцией документов.
2. Меры выбирают на основе анализа рисков. Класс защищенности и модель угроз помогают определить, какие организационные и технические решения нужны конкретной ГИС.
3. Средства защиты должны соответствовать требованиям системы. Нельзя подбирать СЗИ только по популярности или цене – важно учитывать их назначение и статус.
4. Документы должны отражать реальные процессы. Модель угроз, регламенты и приказы должны быть согласованы с фактической архитектурой и повседневной работой организации.
5. Аттестация – не финальная точка. После испытаний оператору необходимо контролировать изменения, поддерживать защиту и актуализировать документы.

Продуманная система защиты помогает снизить вероятность инцидентов, поддерживать устойчивую работу цифровых сервисов и подготовиться к проверкам. Начинать лучше с обследования инфраструктуры и модели угроз, а затем поэтапно внедрять меры, соответствующие рискам и требованиям к конкретной ГИС.