Защита государственных информационных систем

Государственная информационная система (ГИС) — информационная система, созданная на основании федерального закона или НПА госоргана. Защита ГИС — комплекс организационных и технических мер, которые обеспечивают конфиденциальность, целостность и доступность обрабатываемой в ней информации в соответствии с требованиями ФСТЭК России. Без выполнения этих требований ГИС не может быть введена в эксплуатацию.

С 1 марта 2026 года действует приказ ФСТЭК России №117 от 11.04.2025 — он заменил приказ №17 от 2013 года и распространяется на все государственные и муниципальные информационные системы. Приказ определяет классы защищённости, обязательный набор мер защиты и порядок аттестации. Дополнительно с 12 апреля 2026 года применяется новый методический документ ФСТЭК, который детализирует состав мер для каждого класса.

Обязанность лежит на операторе ГИС — как правило, это орган власти, госучреждение или ГУП, для которого создана система. На практике проектированием, внедрением и сопровождением защиты часто занимаются подрядчики-лицензиаты ФСТЭК, но ответственность за соответствие требованиям остаётся на операторе.

Приказ №117 устанавливает три класса — К1 (высший), К2 и К3 (низший). Класс определяется по двум параметрам: уровню значимости информации (высокий, средний, низкий — по возможному ущербу конфиденциальности, целостности и доступности) и масштабу системы (федеральный, региональный, объектовый). Чем выше класс, тем строже требования к составу мер защиты.

Новый методический документ от 12.04.2026 закрепляет 19 организационных мероприятий и 17 групп технических мер защиты, привязанных к классу защищённости системы (идентификация и аутентификация, управление доступом, антивирусная защита, регистрация событий безопасности, контроль целостности и другие). Оператор может адаптировать базовый набор — исключить неприменимые меры с обоснованием или добавить дополнительные по результатам моделирования угроз.

Формально приказ №117 и связанный с ним методический документ распространяются не только на ГИС, но и на «иные информационные системы» госорганов, ГУП и государственных учреждений — то есть каркас мер для них общий. Разница в основном в масштабе и уровне значимости обрабатываемой информации, которые и определяют итоговый класс защищённости и объём обязательных мер.

Для ГИС обязательно применение сертифицированных ФСТЭК средств защиты информации (СЗИ) — межсетевых экранов, средств защиты от несанкционированного доступа, антивирусов, систем обнаружения вторжений и других, соответствующих классу системы. При выборе СЗИ проверяются действующий сертификат ФСТЭК, соответствие классу, а для госорганизаций — наличие продукта в реестре российского ПО.

Объекты защиты ГИС — это обрабатываемая информация, технические средства (серверы, рабочие станции, сетевое оборудование), программное обеспечение, каналы связи, а также средства защиты информации. Компоненты данных в ГИС включают базы данных, интерфейсы взаимодействия с другими системами и носители информации — все они учитываются при моделировании угроз и подборе мер.

Если в ГИС обрабатываются персональные данные, дополнительно применяется приказ ФСТЭК №21 и определяется уровень защищённости ПДн (УЗ-1–УЗ-4) по постановлению правительства №1119 — отдельно от класса защищённости самой ГИС. Меры защиты в этом случае выбираются по более строгому из двух требований — приказа №117 или приказа №21.

Если информационная система обрабатывает сведения, составляющие государственную тайну, приказ №117 не применяется — действуют отдельные, более строгие требования (руководящие документы по защите гостайны, категории автоматизированных систем 1Г–3Г, требования ФСБ к криптографическим средствам). Такие системы требуют отдельного проектирования, применения сертифицированных СЗИ для гостайны и специального порядка аттестации.

Базовый нормативный акт — приказ ФСТЭК №117 от 11.04.2025. Детализация мер приводится в методическом документе «Состав и содержание мероприятий и мер по защите информации», утверждённом 12.04.2026 — он заменил методичку 2014 года и одновременно обслуживает приказы №117 (ГИС), №239 (значимые объекты КИИ), №21 (ИСПДн) и №31 (АСУ ТП). Также применяется методика оценки угроз безопасности информации ФСТЭК (2021, актуализирована в 2025 году).

Комплексный проект обычно включает: обследование и определение класса защищённости, разработку модели угроз, проектирование системы защиты, подбор и внедрение сертифицированных СЗИ, разработку организационно-распорядительной документации, а также сопровождение аттестации ГИС по приказу ФСТЭК №77. После ввода в эксплуатацию — поддержку и актуализацию мер при изменении угроз или нормативной базы.

Требования ФСТЭК едины по всей России и не различаются по регионам — приказ №117 и методический документ 2026 года применяются одинаково для ГИС в Москве и других субъектах РФ. Региональная специфика может проявляться только в масштабе системы (федеральный/региональный/объектовый), который влияет на класс защищённости, а не в самих требованиях к мерам защиты.