Двадцать три темы про периметр, роли и отчётность
Вам сказали: «у нас теперь 117-й приказ». Прислали таблицу из восьмидесяти пунктов и спросили, когда всё будет готово. Эта лекция отвечает на три вопроса, которые надо закрыть раньше таблицы: кто адресат требований, что из этого делаете лично вы и к каким датам, и что случится, если не сделать.
Главная путаница темы в том, что «госсектор» — это не один режим. Это три документа с разными адресатами, и организация может попасть в один список, но не попасть в другой. Пока вы не знаете, в каких кругах находится ваше учреждение, любая таблица мероприятий читается наугад.
Что изменилось, если одним предложением
Прежний приказ № 17 назывался «...в государственных информационных системах». Новый адресован информации в ГИС, иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Бухгалтерия, кадры, почта и файловая шара районной больницы раньше формально не были ГИС и в периметр не попадали. Теперь попадают.
Второе изменение тише, но дороже: состояние защиты стало числом, и число уходит регулятору по расписанию. В приказе № 17 такой отчётности не было вовсе.
Отдельные мероприятия приказа 117 разобраны соседними лекциями, и здесь они не переписываются. Контроль конфигураций и учёт активов — karta-it-infrastruktury. Привилегированный доступ и пароли — paroli-mfa-sekrety. Мониторинг — nablyudaemost. Непрерывность и восстановление — bekap-i-vosstanovlenie. Обновления — izmeneniya-i-okno-obsluzhivaniya. Категорирование КИИ — kii-subekt-ili-net. Реестр российского ПО и закупка — importozameshchenie-infrastruktury. Порядок реагирования на инцидент — sboj-pervye-deystviya.
Здесь — слой выше: периметр, адресаты, роли, классификация, аттестация, отчётность в ФСТЭК и санкции.
Лекция объясняет периметр и обязанности. Она не заменяет аттестационные испытания, аудит и консультацию организации-лицензиата: аттестацию по закону проводит только орган по аттестации, и никакая лекция этого не делает.
Отдельно: значения показателей Кзи и Пзи устанавливают методические документы ФСТЭК России. Ни одного числа из них здесь не будет — вторичные пересказы противоречат друг другу, а первоисточник на дату сборки материала недоступен. Всё, что сказано про показатели, взято из текста самого приказа.
«Госсектор» — не один режим, а три списка
Начните не с таблицы мероприятий, а с вопроса «под что мы вообще попадаем». Документов три, адресаты у них разные, и пересекаются они не полностью.
| Документ | Кто адресат | С какой даты |
|---|---|---|
| Указ Президента РФ от 01.05.2022 № 250 | закрытый перечень из п. 1: федеральные органы исполнительной власти, высшие исполнительные органы субъектов РФ, госфонды, госкорпорации, стратегические предприятия и АО, системообразующие организации, юрлица — субъекты КИИ | действует; запрет п. 6 — с 01.01.2025 |
| Приказ ФСТЭК России от 11.04.2025 № 117 | информация в ГИС, иных информационных системах госорганов, ГУП и государственных учреждений | 01.03.2026 |
| Федеральный закон от 29.12.2025 № 568-ФЗ | операторы ГИС, иных информационных систем госорганов, ГУП, государственных учреждений — обязанность взаимодействовать с ГосСОПКА | 01.09.2026 |
Разница видна на одном примере. Районная больница почти наверняка попадает в круг 2 — у неё есть информационные системы государственного учреждения. В круг 1 она не попадает: перечня из п. 1 Указа 250 в ней нет, и оказаться там она может только как субъект критической информационной инфраструктуры. В круг 3 попадает как оператор своих систем.
Выпишите на лист название своей организации и три строки: «круг 1 — да/нет», «круг 2 — да/нет», «круг 3 — да/нет». Пока этих трёх ответов нет, обсуждать восемьдесят пунктов бессмысленно: часть из них к вам не относится, а часть относится сильнее, чем кажется.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.