Лекция «Требования к информационной безопасности в госсекторе»

Около 80 минут на 23 темы. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 69 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Двадцать три темы про то, кто адресат требований к защите информации в госсекторе, что из этого делает лично администратор и к каким датам. Первая часть — периметр. Указ Президента РФ от 01.05.2022 № 250 адресован закрытому перечню из своего п. 1, и обычной школы, больницы или районного музея в нём нет: бюджетное учреждение попадает туда только как субъект КИИ. Приказ ФСТЭК России от 11.04.2025 № 117, действующий с 1 марта 2026 года, адресован иначе — информации в ГИС, иных информационных системах государственных органов, ГУП и государственных учреждений, и это главное, что произошло: бухгалтерия, кадры, почта и файловая шара раньше формально ГИС не были и в периметр не попадали. Муниципальные системы защищаются по тем же Требованиям по п. 3, а п. 12 выводит из-под них системы высших органов власти, органов разведки и контрразведки и управления вооружением. С 1 сентября 2026 года Федеральный закон от 29.12.2025 № 568-ФЗ ввёл в 149-ФЗ часть 7 статьи 16: операторы этих систем обязаны взаимодействовать с ГосСОПКА в порядке, определённом ФСБ России, — сроки оттуда не переносятся из режима КИИ. Вторая часть — роли. Указ 250 требует возложить полномочия по ИБ на заместителя руководителя и создать подразделение, а типовые положения по ПП РФ от 15.07.2022 № 1272 дают этому лицу прямое подчинение руководителю, место в коллегиальных органах, обязательность указаний для всех работников и требование к профильному образованию или переподготовке. Приказ 117 требует своего: обязанности ответственного лица — в должностной инструкции по п. 18, не менее 30 процентов работников подразделения с профильным образованием или переподготовкой по п. 20, мероприятия при сопровождении и обслуживании — на самих эксплуатирующих подразделениях. Отдельно разведены вопрос лицензии на техническую защиту конфиденциальной информации: привлекать можно только лицензиатов и аккредитованные центры ГосСОПКА, аттестовать себя нельзя, а тезис про собственные нужды — позиция регулятора из информационного сообщения, а не норма закона. Третья часть — классификация и аттестация. Уровень значимости собирается из трёх свойств по максимуму степени ущерба, пометка ДСП даёт УЗ 1 без вариантов, масштаб определяется территорией задач, таблица из девяти клеток даёт К1, К2 или К3, результат оформляется актом классификации, а класс системы не может быть выше класса инфраструктуры под ней. Аттестация ГИС не отменена: п. 65 требует её до начала обработки информации, для иных систем решает руководитель оператора. Аттестат выдаётся на весь срок эксплуатации и ранее выданные признаны действительными п. 3 приказа 117, но изменение конфигурации даёт дополнительные испытания, а изменение архитектуры системы защиты — повторную аттестацию; непредставленные протоколы периодического контроля приводят к приостановлению аттестата на срок до 90 календарных дней с обязанностью прекратить эксплуатацию объекта. Четвёртая часть — отчётность и сроки. Состояние защиты стало числом: показатель защищённости Кзи считается не реже раза в шесть месяцев, показатель уровня зрелости Пзи — не реже раза в два года, руководитель информируется в течение 3 календарных дней, результаты уходят в ФСТЭК не позднее 5 рабочих дней. Значения и порядок расчёта установлены методическими документами ФСТЭК, и ни одного числа оттуда в лекции нет. Приказ ФСТЭК от 08.05.2026 № 137 уже действует с 1 сентября 2026 года частью изменений, а перенос расчёта Пзи на подрядную организацию вступает в силу только 1 марта 2027 года. Критическая уязвимость закрывается за 24 часа, высокая — за 7 календарных дней, уязвимость, неизвестная банку данных угроз, уходит в ФСТЭК за 5 рабочих дней. Оценка знаний пользователей и контроль уровня защищённости — две разные трёхлетки с общим триггером «или после компьютерного инцидента», и отчётность есть только у второй. Пятая часть — практика и границы: двадцать одно мероприятие п. 34 вместе с новым мероприятием по защите информации при использовании искусственного интеллекта, базовые меры и уровни возможностей нарушителя по классам, компенсирующие меры; четыре нормы по подрядчику, включая прямой запрет разрабатывать и тестировать ПО в эксплуатируемых системах оператора; запрет п. 6 Указа 250, который с 2025 года закрывает не только средства защиты, но и сервисы, работы и услуги по обеспечению ИБ; комплект документов от политики до акта классификации и норма п. 27 про обоснованные предложения по ресурсам с перечнем прогнозируемых негативных последствий их отсутствия; сложение режимов, где персональные данные, КИИ и криптография прибавляются к Требованиям, а не заменяют их; и квалификация невыполнения по ч. 6 ст. 13.12 КоАП, на фоне которой останов системы весит несопоставимо больше штрафа.

Нет. Приказ 117 отменил приказ № 17, а не аттестацию. П. 65 Требований прямо устанавливает: с целью подтверждения достаточности принятых мер защиты до начала обработки и (или) хранения информации в государственных информационных системах должна быть проведена их аттестация на соответствие Требованиям — в соответствии с Порядком, утверждённым приказом ФСТЭК России от 29.04.2021 № 77. Второй абзац того же пункта добавляет развилку, из-за которой миф, видимо, и родился: решение о необходимости аттестации иных информационных систем государственных органов, ГУП и государственных учреждений принимает руководитель оператора или ответственное лицо. То есть для ГИС аттестация обязательна, а для «иных» систем это решение оператора — но требования к защите информации остаются в обоих случаях, и переименовать систему, чтобы не аттестовать, не получится: статус и класс определяются признаками системы, а не названием во внутреннем документе. Показатели Кзи и Пзи — самостоятельная регулярная отчётность, введённая тем же приказом, и аттестацию она не подменяет: у них разный предмет, разные сроки и разный адресат результата.

По Указу 250 — почти наверняка нет, и это первое, что стоит проверить перед тем, как закладывать ставку. Перечень адресатов в п. 1 Указа закрытый: федеральные органы исполнительной власти, высшие исполнительные органы субъектов РФ, государственные фонды, государственные корпорации и иные организации, созданные на основании федеральных законов, стратегические предприятия и акционерные общества, системообразующие организации российской экономики, юридические лица — субъекты КИИ. Обычной школы в этом списке нет, и попасть туда она может только как субъект критической информационной инфраструктуры — отдельный вопрос с отдельной процедурой. А вот требования приказа 117 к школе относятся, и они свои: по п. 17 защиту информации организует руководитель оператора или по его решению ответственное лицо, по п. 18 обязанности и полномочия этого лица должны быть включены в должностные обязанности — не в приказ по учреждению, а в должностную инструкцию, — и по п. 19 создаётся подразделение либо назначаются отдельные специалисты. Требование п. 20 о доле работников с профильным образованием или переподготовкой при подразделении из одного человека означает ровно то, что означает: этот один. Так что ставка заместителя не нужна, а вот переписанная должностная инструкция и строка на переподготовку в предложениях по ресурсам — нужны.