Цель регулирования

Идеология и целевая основа Приказа ФСТЭК № 117

Приказ ФСТЭК № 117 нацелен на предупреждение негативных последствий, связанных с нарушением защиты информации и функционирования информационных систем.

Защита информации Недопущение или снижение возможности наступления негативных последствий от нарушения конфиденциальности, целостности и доступности информации.
Устойчивость систем Недопущение или снижение возможности наступления негативных последствий от нарушения функционирования информационных систем вследствие реализации угроз безопасности информации.
  • Обеспечение и оценка степени соответствия установленным требованиям по информационной безопасности.
  • Достижение и непрерывная поддержка уровня зрелости процессов управления информационной безопасностью.

Область регулирования

Область действия Приказа ФСТЭК № 117

Требования распространяются на информационные системы государственного и муниципального сектора, связанные с ними объекты КИИ, а также на участников создания, развития и эксплуатации таких систем.

Государственные информационные системы

Государственные информационные системы (ГИС).

Информационные системы государственных органов

Иные информационные системы государственных органов.

ГУП и государственные учреждения

Информационные системы государственных унитарных предприятий и государственных учреждений.

Муниципальные информационные системы

Муниципальные информационные системы.

Значимые объекты КИИ

Значимые объекты критической информационной инфраструктуры (ЗО КИИ).

Операторы, обладатели информации и заказчики

Операторы, обладатели информации и заказчики, заключившие контракт на создание или развитие ГИС.

Нормативная основа

Методологическая основа Приказа ФСТЭК № 117

При проведении оценки соответствия учитываются документы, определяющие состав мер защиты, порядок анализа защищённости и подход к оценке зрелости.

Документ Как используется при оценке
Методический документ от 12 апреля 2026 года «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» Применяется для информационных систем, АСУ ТП, информационно-телекоммуникационных систем государственных органов, ГУП, ЗО КИИ и ИСПДн. Документ определяет порядок разработки документов, предусмотренных Приказом № 117.
Рекомендации по повышению защищённости информационной инфраструктуры от атак типа «отказ в обслуживании» Учитываются при оценке мер защиты от компьютерных атак, направленных на нарушение доступности информационных систем.
Методика анализа защищённости информационных систем от 25 ноября 2025 года Используется для испытаний систем защиты информации информационных систем, АСУ, ИТКС, ГИС, ИСПДн, АСУ ТП и ЗО КИИ.
Проект Методики оценки уровня зрелости деятельности в области технической защиты информации Применяется при оценке зрелости технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ.

Этими документами руководствуются эксперты при составлении аудиторского задания и разработке рекомендаций для проверяемой организации.

Область оценки

Что проверяется в рамках оценки соответствия требованиям Приказа ФСТЭК № 117

Проверка охватывает не только наличие документов, но и фактическое внедрение процессов, внутренних стандартов и регламентов защиты информации.

01

Процессы обеспечения ИБ

Управление угрозами, конфигурациями, уязвимостями, доступом, мониторингом, непрерывностью и другими процессами защиты.

02

Внутренние стандарты

Требования к идентификации, доступу, конфигурациям, удалённой работе, журналированию, резервному копированию и эксплуатации систем.

03

Внутренние регламенты

Порядок работы с информацией ограниченного доступа, учётными записями, подрядчиками, обновлениями, инцидентами и контролем защищённости.

Направление 01

Процессы обеспечения информационной безопасности

Угрозы и уязвимости

  • Выявление и оценка угроз безопасности информации.
  • Контроль конфигураций информационных систем.
  • Управление уязвимостями и обновлениями.
  • Реализация мер по защите информационных систем.

Защита данных и доступа

  • Защита информации при обработке, хранении и обращении с информацией ограниченного доступа.
  • Защита при применении конечных и мобильных устройств.
  • Защита при удалённом и беспроводном доступе пользователей к информационным системам.
  • Защита при предоставлении привилегированного доступа на чтение, выполнение, изменение, запись и удаление программ или данных.

Управление защищённостью

  • Мониторинг информационной безопасности.
  • Безопасная разработка программного обеспечения.
  • Физическая защита информационных систем.
  • Непрерывность функционирования информационных систем при возникновении нештатных ситуаций.
  • Защита информации при взаимодействии с подрядными организациями.

Специальные процессы защиты

  • Защита от компьютерных атак, направленных на отказ в обслуживании.
  • Защита информации при использовании искусственного интеллекта.
  • Непрерывное взаимодействие с ГосСОПКА.
  • Повышение уровня знаний и информированности пользователей по вопросам защиты информации.

Направление 02

Внутренние стандарты

В рамках оценки рассматриваются требования:

  • К первичной идентификации пользователей, обладающих правами доступа к информационным системам и содержащейся в них информации.
  • К применяемым моделям доступа пользователей.
  • К типовым конфигурациям и настройкам программных и программно-аппаратных средств.
  • К конфигурациям и настройкам средств, обеспечивающих доступ пользователей из информационных систем в сеть «Интернет».
  • К конфигурациям и настройкам средств удалённого доступа, включая требования к безопасной дистанционной работе.
  • К защите физических и виртуальных конечных устройств, имеющих постоянный доступ к сети «Интернет».
  • К защите мобильных устройств, планшетных и переносных компьютеров, используемых для доступа к информационным системам.
  • К непрерывности функционирования информационных систем.
  • К сбору, регистрации и анализу событий безопасности.
  • К защите информации при подключении к информационным системам иных информационных систем и к каналам передачи данных.
  • К резервному копированию информации, программного обеспечения и его конфигураций.
  • К перечню разрешённого и запрещённого программного обеспечения.
  • К ограничениям и запретам действий пользователей при эксплуатации информационных систем.

Направление 03

Внутренние регламенты

Информация и учётные записи

  • Обработка, хранение и обращение с информацией ограниченного доступа.
  • Создание, учёт, изменение, блокирование, контроль и удаление учётных записей и привилегированных учётных записей.
  • Создание, учёт, изменение, блокирование, контроль и удаление аутентификационной информации и средств аутентификации.

Предоставление доступа

  • Предоставление внутренним пользователям удалённого доступа к информационным системам и содержащейся в них информации.
  • Предоставление работникам подрядных организаций доступа к информационным системам и информации, а также контроль такого доступа и передачи информации.
  • Предоставление работникам иных государственных органов и организаций доступа к информационным системам и информации при информационном взаимодействии.
  • Предоставление пользователям доступа из информационных систем в сеть «Интернет» и контроль его использования.

Организационные процессы

  • Повышение уровня знаний и информированности пользователей по вопросам защиты информации.
  • Обеспечение физической защиты информационных систем.
  • Разработка безопасного программного обеспечения при самостоятельной разработке оператором.
  • Вывод в промышленную эксплуатацию сервисов, доступных через сеть «Интернет».

Эксплуатация и контроль

  • Тестирование и применение обновлений, а также оценка и устранение уязвимостей.
  • Мониторинг информационной безопасности информационных систем.
  • Восстановление штатного функционирования информационных систем и тестирование процессов восстановления.
  • Контроль уровня защищённости информации в информационных системах.
Не уверены, распространяются ли требования Приказа № 117 на вашу организацию?

Определим область регулирования, состав информационных систем и подходящий формат оценки после уточнения статуса организации и обрабатываемой информации.

Порядок работ

Как проводится оценка соответствия требованиям Приказа ФСТЭК № 117

Эксперты проверяют степень документированности и факт внедрения процессов информационной безопасности, предусмотренных Приказом № 117, а также применяемые организацией меры защиты информации.

По результатам аудита разрабатываются рекомендации и план мероприятий по приведению в соответствие. При необходимости специалисты сопровождают внедрение документов, процессов и технических мер.

  1. Интервью и планирование

    Интервьюирование ответственных лиц, формирование плана проекта.

    Задача заказчика

    Определение лиц, ответственных за защиту информации.

  2. Аудиторские мероприятия

    Область аудита включает применяемые мероприятия и меры по защите информации, состояние защиты, совершенствование мероприятий и мер, а также оценку применяемых программных и программно-аппаратных средств защиты информации.

    Задача заказчика

    Предоставление экспертам-аудиторам информации по запросу в рамках утверждённого задания.

  3. Отчёт и рекомендации

    Разработка отчёта по результатам аудита и рекомендаций для достижения соответствия требованиям Приказа ФСТЭК № 117.

    Задача заказчика

    Принятие плана мероприятий по устранению несоответствий на основе рекомендаций аудитора.

  4. Разработка документов

    Разработка или доработка политики защиты информации, внутренних стандартов и регламентов.

    Задача заказчика

    Выделение организационных, технических и иных ресурсов, необходимых для защиты информации, и реализация плана мероприятий по устранению несоответствий.

  5. Сопровождение внедрения

    Экспертное сопровождение внедрения документов и процессов защиты информации, закупки и внедрения СЗИ, СКЗИ и программно-аппаратных комплексов.

    Задача заказчика

    Принятие и внедрение документов, мероприятий, процессов и мер защиты информации в соответствии с результатами аудита и рекомендациями экспертов САЙБЕР.

  6. Итоговый аудит

    Подготовка итогового отчёта и дорожной карты мероприятий по повышению уровня зрелости системы обеспечения информационной безопасности.

  7. Аттестация системы

    Аттестация системы и выдача официального заключения.