Аудит государственных информационных систем

Аудит ГИС — это проверка фактического состояния системы защиты на соответствие приказу ФСТЭК №117 и новому методическому документу от 12.04.2026. В рамках аудита анализируется действующая модель угроз, организационно-распорядительная документация, состав и настройка средств защиты, а также подтверждается корректность присвоенного класса защищённости.

Аудитор оценивает уровень значимости обрабатываемой информации (по возможному ущербу конфиденциальности, целостности, доступности) и масштаб системы (федеральный, региональный, объектовый), сверяя их с таблицей определения класса из приказа №117. Если фактические параметры системы изменились с момента первичной классификации, аудит фиксирует расхождение и необходимость пересмотра класса.

В ходе обследования составляется полная инвентаризация: обрабатываемая информация, серверное и сетевое оборудование, программное обеспечение, базы данных, каналы связи и применяемые СЗИ. Это нужно, чтобы убедиться, что все объекты защиты учтены в модели угроз и ни один компонент системы не остался без мер защиты.

Да, это ключевая часть аудита. Реализованные в системе меры сопоставляются с обязательным набором из 19 организационных мероприятий и 17 групп технических мер, установленным методическим документом от 12.04.2026 для соответствующего класса защищённости, и по каждому пункту фиксируется статус выполнения.

Перед аттестацией аудит проверяет готовность системы защиты в комплексе: соответствие мер классу защищённости, актуальность модели угроз, наличие и корректность технической документации, работоспособность и настройку внедрённых СЗИ. Цель — выявить и устранить расхождения до официальных аттестационных испытаний, чтобы избежать отказа в выдаче аттестата.

Да, аудит отдельно проверяет, что применяемые СЗИ сертифицированы ФСТЭК, соответствуют классу защищённости системы и имеют действующий срок сертификата. Использование средства защиты с истёкшим сертификатом квалифицируется как нарушение и фиксируется как замечание, требующее устранения.

Если ГИС обрабатывает персональные данные, аудит дополнительно проверяет соответствие требованиям приказа ФСТЭК №21 и корректность определения уровня защищённости ПДн (УЗ-1–УЗ-4) по постановлению правительства №1119, поскольку эти требования применяются параллельно с классом защищённости самой ГИС.

Если система обрабатывает сведения, составляющие государственную тайну, аудит проводится по отдельной, более строгой нормативной базе — требованиям к автоматизированным системам категорий 1Г–3Г и правилам применения криптографических средств ФСБ, а не по приказу №117. Такой аудит обычно выполняется в рамках отдельного, лицензируемого направления работ.

Аудит ГИС строится на едином методическом каркасе, который с 2026 года объединяет требования сразу к нескольким типам систем — ГИС (приказ №117), значимым объектам КИИ (приказ №239), ИСПДн (приказ №21) и АСУ ТП (приказ №31). Если организация одновременно эксплуатирует системы разных типов, аудит целесообразно проводить комплексно, чтобы не дублировать проверки по пересекающимся мерам.

По результатам аудита оператор получает отчёт с перечнем выявленных несоответствий (gap-анализ), обоснованные рекомендации по донастройке мер и средств защиты, а также, при необходимости, план актуализации модели угроз и организационно-распорядительной документации перед прохождением или подтверждением аттестации.

Формальной обязательной периодичности для аудита нет, но проводить его рекомендуется при изменении инфраструктуры, актуализации модели угроз, приближении срока окончания действия аттестата, а также после выхода новых нормативных требований — как в случае с методическим документом от 12.04.2026, который отменил методичку 2014 года и потребовал от операторов ГИС сверить действующую систему защиты с новым составом мер.

Срок и стоимость аудита зависят от масштаба системы, класса защищённости, количества компонентов и объектов защиты, а также от того, обрабатывает ли ГИС дополнительно персональные данные или относится к объекту КИИ — такие пересечения требуют более глубокой проверки по нескольким приказам одновременно.