Аттестация информационных систем (далее также — аттестация ИС) — обязательная процедура для государственных органов, эксплуатирующих ГИС, и субъектов КИИ со значимыми объектами первой категории. Без действующего аттестата соответствия эксплуатация системы — нарушение требований ФСТЭК России, влекущее административную ответственность. При этом подготовка к аттестации остаётся одной из наиболее трудоёмких задач ИБ-подразделения: сбор доказательной базы вручную занимает недели, а типичные ошибки в документации приводят к предписаниям и отказу в выдаче аттестата.
В этой статье разберём процедуру аттестации информационных систем пошагово: кто обязан проходить, кто имеет право проводить, шесть этапов аттестационных испытаний, полный чеклист документов, сроки и стоимость, а также типичные ошибки при подготовке. Отдельный блок посвящён тому, как SGRC-платформа сокращает время подготовки доказательной базы с нескольких недель до одного дня.
Что такое аттестация информационной системы и зачем она нужна
Аттестация информационной системы — официальное подтверждение соответствия системы защиты информации установленным требованиям безопасности, проводимое аккредитованным аттестационным органом. Результат аттестации — аттестат соответствия, документ, удостоверяющий, что ИС защищена в соответствии с требованиями нормативных актов ФСТЭК России.
Аттестация — не формальность и не «бумажная» проверка. Аттестационный орган проводит технические испытания: проверяет работоспособность средств защиты, соответствие конфигурации техническому заданию, наличие и актуальность документации, а для систем высоких классов — испытания на проникновение.
Зачем нужна аттестация:
- Юридическое требование. Государственные органы обязаны обеспечить аттестацию своих ГИС до ввода в эксплуатацию (приказ ФСТЭК №117). Без аттестата эксплуатация системы незаконна.
- Доказательство защищённости. Аттестат — независимое подтверждение того, что система защищена. Это важно при взаимодействии с контрагентами, регуляторами и в случае инцидентов.
- Дисциплинирующий эффект. Процесс подготовки к аттестации выявляет реальные пробелы в защите и стимулирует их устранение.
- Планирование безопасности. Аттестационный цикл создаёт ритм для регулярного пересмотра системы защиты: инфраструктура меняется, угрозы эволюционируют, меры должны обновляться.
Кто обязан проходить аттестацию
Государственные информационные системы (ГИС)
Все государственные органы и органы местного самоуправления, являющиеся операторами ГИС, обязаны провести аттестацию до ввода системы в эксплуатацию. Аттестация государственных информационных систем установлена приказом ФСТЭК России №117 (вступил в силу с 1 марта 2026 года, заменил приказ №17), который распространяется на все ГИС — федеральные, региональные и муниципальные. Класс системы определяет объём требований, но не отменяет обязанность проходить аттестацию.
Типичные ГИС, подлежащие аттестации: региональные порталы государственных услуг, системы межведомственного электронного взаимодействия (СМЭВ), системы учёта в органах исполнительной власти, информационные системы в сфере образования и здравоохранения.
Значимые объекты КИИ
Субъекты критической информационной инфраструктуры (КИИ) обязаны обеспечить защиту значимых объектов в соответствии с требованиями приказа ФСТЭК №239 и Федерального закона 187-ФЗ. Для значимых объектов КИИ 1 категории аттестация обязательна. Для объектов 2 и 3 категории аттестация рекомендуется, но формальным требованием не считается.
Субъекты КИИ: организации в сфере здравоохранения, транспорта, связи, энергетики, финансового рынка, топливно-энергетического комплекса, промышленности.
ИСПДн и коммерческие системы
Для информационных систем персональных данных (ИСПДн) и коммерческих систем аттестация добровольная. Вместо аттестации операторы ИСПДн проводят оценку эффективности принятых мер (приказ ФСТЭК №21). Тем не менее многие организации выбирают аттестацию ИСПДн: она даёт более весомое доказательство защищённости при проверках Роскомнадзора и в случае утечек данных.
Виды аттестации информационных систем
Аттестация информационных систем различается по объекту и характеру проверки. Понимание видов помогает заранее определить область работ и бюджет.
По объекту аттестации:
- Аттестация информационной системы по ФСТЭК — подтверждение защищённости конкретной ГИС, ИСПДн или значимого объекта КИИ. Проверяется выполнение мер защиты информации, соответствующих классу системы.
- Аттестация объекта информатизации — аттестация помещений и технических средств, выделенных для обработки защищаемой информации (в том числе по требованиям защиты от утечки по техническим каналам).
По характеру:
- Первичная аттестация — проводится перед вводом системы в эксплуатацию. Полный цикл аттестационных испытаний.
- Дополнительные аттестационные испытания — при развитии (модернизации) системы, если изменились архитектура или структура системы защиты либо состав средств защиты (п. 33 Порядка № 77 в редакции приказа ФСТЭК № 60, с 01.09.2026). Действие аттестата при этом не прекращается. До 01.09.2026 такое изменение влекло повторную аттестацию; теперь испытываются только изменённые компоненты (п. 33, 33¹).
- Периодический контроль уровня защищённости — на аттестованном объекте методами анализа уязвимостей и тестирования на проникновение (п. 31¹). Отчёт (протокол) представляется во ФСТЭК не реже одного раза в три года в течение 5 рабочих дней после завершения контроля (п. 32); непредставление отчёта — основание для приостановления действия аттестата.
Объём требований к аттестации определяется приказом ФСТЭК, под который подпадает система: №117 — для государственных информационных систем, №239 — для значимых объектов КИИ, №21 — для ИСПДн (при добровольной аттестации). Класс защищённости (К1–К3 для ГИС) определяет глубину испытаний: для К1–К2 обязательны испытания на проникновение.
Этапы аттестации ИС по ФСТЭК (пошагово)
Шаг 1. Выбор аттестационного органа
Аттестацию вправе проводить только организации, имеющие лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации (ТЗКИ) с видом работ «аттестационные испытания». Перечень лицензиатов публикуется на официальном сайте ФСТЭК.
При выборе аттестационного органа учитывайте:
- Опыт в вашей отрасли. Аттестатор, специализирующийся на ГИС в сфере здравоохранения, лучше понимает специфику защиты медицинских данных, чем универсальный игрок.
- Наличие необходимых средств испытаний. Для проведения испытаний на проникновение требуется специализированный инструментарий.
- Сроки. Популярные аттестационные органы загружены на несколько месяцев вперёд. Планируйте заблаговременно.
- Стоимость. Запросите коммерческое предложение с детализацией по этапам.
Подпишите договор, определите область аттестации (перечень аттестуемых объектов, их расположение, состав защищаемой информации) и согласуйте план-график работ.
Шаг 2. Разработка программы и методики аттестационных испытаний
Аттестационный орган разрабатывает программу и методику аттестационных испытаний (ПМИ) — документ, определяющий:
- состав испытаний (проверка документации, технические испытания, анализ конфигурации, испытания на проникновение);
- критерии оценки выполнения каждой меры защиты;
- перечень проверяемых компонентов ИС;
- методы проверки (анализ документов, инструментальная проверка, демонстрация функций, тестирование);
- ожидаемые результаты испытаний.
Оператор ИС согласовывает ПМИ. Это важный шаг: ПМИ фиксирует объём работ и критерии, по которым будет оцениваться соответствие. Несогласованная ПМИ может создать неожиданные сюрпризы при испытаниях.
Шаг 3. Подготовка доказательной базы
Самый трудоёмкий этап со стороны оператора ИС. Необходимо собрать и актуализировать полный пакет документации, подтверждающей выполнение каждой меры защиты из перечня применимых мер (см. чеклист ниже).
Типичная картина при ручной подготовке: за 3 года эксплуатации системы ответственные сменились, политики устарели, акты на СрЗИ не переоформлены, журналы ведутся нерегулярно. Восстановление документации — от 2 до 8 недель напряжённой работы.
SGRC-платформа переводит этот процесс в иное измерение: доказательная база формируется непрерывно в ходе эксплуатации системы, а аттестационный пакет генерируется автоматически за 1 рабочий день. Запросите демо и убедитесь сами.
Шаг 4. Аттестационные испытания
Аттестационные испытания проводятся на объекте оператора ИС. Продолжительность — от 1 дня (небольшая система К3) до 2–3 недель (крупная распределённая ГИС К1).
Что проверяется в ходе испытаний:
Проверка документации. Аттестатор проверяет наличие, актуальность и полноту всех обязательных документов. Устаревшее техническое задание, неподписанные акты, отсутствующие регламенты — каждый из этих недостатков фиксируется как замечание.
Анализ конфигурации. Фактические настройки компонентов ИС (серверов, рабочих станций, сетевого оборудования, средств защиты) сравниваются с эталонными конфигурациями и требованиями политики безопасности. Аттестатор использует специализированные инструменты анализа конфигурации и уязвимостей.
Технические испытания СрЗИ. Проверяется корректность настройки и работоспособность каждого применённого средства защиты: антивируса, МЭ, СОВ, средств криптографической защиты, системы управления доступом.
Испытания на проникновение (для К1–К2). Анализ защищённости с моделированием действий злоумышленника. Включает: сетевое сканирование, анализ веб-приложений, проверку социальной инженерии (для К1), попытки эксплуатации выявленных уязвимостей в контролируемых условиях.
Проверка журналов. Аттестатор проверяет наличие и полноту журналов событий безопасности, журналов физического доступа, журналов действий администраторов. Отсутствие журналов за последние месяцы — типичная причина замечаний.
Шаг 5. Оформление протоколов и заключения
По результатам каждого вида испытаний составляется протокол. Протоколы фиксируют: что проверялось, каким методом, что было обнаружено, соответствует ли обнаруженное требованиям.
На основе протоколов аттестационный орган составляет заключение по результатам аттестационных испытаний. Заключение содержит перечень выявленных соответствий и несоответствий, сводную оценку уровня защищённости и рекомендацию о выдаче или отказе в выдаче аттестата.
Если выявлены несоответствия, оператор ИС устраняет их в согласованные сроки и уведомляет аттестационный орган. Проводится дополнительная проверка устранённых несоответствий.
Шаг 6. Выдача аттестата соответствия
При положительных результатах испытаний аттестационный орган оформляет и выдаёт аттестат соответствия. Аттестат содержит:
- наименование и характеристики аттестованной ИС;
- класс защищённости и область аттестации;
- перечень применённых нормативных документов;
- срок действия аттестата: аттестат выдаётся на весь срок эксплуатации объекта информатизации (п. 31 Порядка № 77, норма действует с 2021 года);
- реквизиты аттестационного органа и руководителя организации-оператора.
Аттестат хранится у оператора ИС и предъявляется при проверках регулятора. Копии протоколов и заключения хранятся как часть документации на систему.
Документы для аттестации: полный чеклист
Подготовьте следующий комплект документации до начала аттестационных испытаний.
Проектная документация
- □ Техническое задание (ТЗ) на создание или модернизацию ИС
- □ Технический проект системы защиты информации
- □ Рабочая документация (эксплуатационная документация на систему)
Документация по системе защиты
- □ Технический паспорт информационной системы (актуальный)
- □ Модель угроз и нарушителя безопасности информации
- □ Перечень применяемых мер защиты информации с обоснованием
- □ Акты ввода в эксплуатацию каждого применяемого средства защиты информации (с номерами сертификатов — проверьте актуальность в реестре сертифицированных СЗИ ФСТЭК)
- □ Формуляры (эксплуатационная документация) на каждое СрЗИ
Организационно-распорядительная документация
- □ Политика информационной безопасности (утверждённая, актуальная)
- □ Регламент управления доступом
- □ Регламент управления конфигурациями
- □ Регламент управления обновлениями и уязвимостями
- □ Регламент реагирования на инциденты ИБ
- □ Регламент резервного копирования и восстановления
- □ Приказ о назначении администратора безопасности
- □ Должностные инструкции пользователей по работе с ИС
Доказательства выполнения мер
- □ Матрица разграничения доступа (актуальная)
- □ Результаты последнего сканирования уязвимостей (не старше 30 дней)
- □ Журналы событий безопасности (выгрузка за последние 3 месяца)
- □ Журнал физического доступа в серверное помещение
- □ Журнал учёта носителей информации
- □ Акты инструктажей и обучения персонала
- □ Результаты тестирования процедур восстановления
- □ Отчёты о выполнении плана мероприятий по защите информации
Дополнительно (для К1–К2)
- □ Отчёт о последнем внутреннем аудите ИБ
- □ Результаты анализа защищённости (пентест или анализ кода)
- □ Документация СКУД (журналы, настройки)
- □ Схема информационных потоков
Сроки и стоимость аттестации
Сроки и стоимость аттестации информационных систем варьируются в зависимости от класса ГИС, числа аттестуемых объектов и их территориального распределения.
| Тип системы | Подготовка доказательной базы | Аттестационные испытания | Общий срок | Ориентировочная стоимость |
|---|---|---|---|---|
| Небольшая ГИС К3 (до 20 АРМ, 1 площадка) | 1–2 недели | 1–2 дня | 1–2 месяца | от 200 тыс. руб. |
| ГИС К3 (до 50 АРМ) | 2–4 недели | 3–5 дней | 2–3 месяца | от 300 тыс. руб. |
| ГИС К2 (50–200 АРМ) | 4–8 недель | 1–2 недели | 3–5 месяцев | 500 тыс.–1 млн руб. |
| ГИС К1 / КИИ 1 категории (крупная, распределённая) | 8–16 недель | 2–4 недели | 5–8 месяцев | от 1 млн руб. |
| Периодический контроль защищённости (анализ уязвимостей + пентест, с 01.09.2026) | 1–2 недели | 2–5 дней | 1–2 месяца | 30–50% от первичной |
Ориентировочные значения. Точные сроки и стоимость уточняются у аттестационного органа после обследования системы.
Что влияет на стоимость:
- Число автоматизированных рабочих мест и серверов в области аттестации.
- Число территориально распределённых площадок (выезды аттестатора тарифицируются отдельно).
- Класс защищённости: аттестация К1 с пентестом значительно дороже К3.
- Состояние документации: чем больше работы по восстановлению документации — тем выше стоимость.
- Наличие применённых импортных СрЗИ, требующих дополнительного анализа.
Как снизить стоимость аттестации:
- Поддерживать документацию в актуальном состоянии непрерывно, а не восстанавливать к аттестации.
- Использовать SGRC-платформу для автоматического формирования доказательной базы.
- Провести внутренний аудит по чеклисту аттестатора за 2–3 месяца до аттестации и устранить очевидные несоответствия.
- Работать с одним аттестационным органом на протяжении нескольких циклов: накопленный контекст снижает трудоёмкость каждой последующей аттестации.
Как SGRC-платформа формирует доказательную базу
Ключевая проблема при подготовке к аттестации — разрыв между фактическим состоянием защиты и документальным подтверждением этого состояния. Средства защиты настроены корректно, меры выполняются — но доказательства не собирались системно, и аттестатор видит лишь слабо оформленные бумаги.
Непрерывное накопление доказательств
SGRC-платформа переводит управление соответствием из режима «аврал перед аттестацией» в режим непрерывного процесса. Каждая мера защиты из перечня имеет:
- Статус выполнения — выполнено / в процессе / не выполнено / не применимо.
- Ответственного — конкретный сотрудник, отвечающий за поддержание меры.
- Доказательства — привязанные документы, отчёты, скриншоты, подтверждения.
- Срок актуализации — когда доказательства нужно обновить.
Когда администратор выполняет настройку межсетевого экрана, он прикладывает скриншот конфигурации к соответствующей мере группы МСЭ в платформе. Когда специалист ИБ проводит сканирование уязвимостей — отчёт сканера прикладывается к мерам управления уязвимостями и обновлениями. Доказательная база накапливается в ходе повседневной работы, без дополнительных усилий.
Автоматическое формирование аттестационного пакета
При подготовке к аттестации платформа генерирует полный пакет документов:
- Перечень применимых мер — структурированный по группам методдока с указанием класса ГИС.
- Реестр доказательств — таблица «мера → документ → дата → ответственный» с возможностью выгрузки в PDF.
- Технический паспорт ИС — формируется на основе данных реестра активов с актуальными характеристиками инфраструктуры.
- План мероприятий по защите — с отметками о выполнении каждого пункта.
- Отчёт о Кзи — показатель защищённости с разбивкой по группам мер.
Вместо 4–8 недель ручной работы пакет документов готов за 1 рабочий день. Аттестатор получает структурированную доказательную базу — это ускоряет проверку и снижает риск предписаний из-за неполноты документации.
Устранение несоответствий до аттестации
Платформа выявляет несоответствия заблаговременно. За 3–6 месяцев до аттестации CISO видит на дашборде:
- перечень мер, для которых доказательства устарели или отсутствуют;
- меры без назначенного ответственного;
- меры с просроченным сроком актуализации;
- критические несоответствия, которые гарантированно вызовут замечания аттестатора.
Команда получает чёткий план устранения — и приходит на аттестацию подготовленной, а не обнаруживает проблемы вместе с аттестатором.
Подробнее о функциях платформы: аудит ИБ и подготовка к проверкам, соответствие требованиям ФСТЭК. Запросите демо и увидите, как платформа формирует аттестационный пакет в действии.
Типичные ошибки при подготовке к аттестации
Многолетний опыт аттестаций выявил устойчивые паттерны ошибок. Большинство из них устранимы при системном подходе к управлению соответствием.
1. Устаревшее техническое задание и технический паспорт.
Между контролями защищённости инфраструктура меняется: добавляются серверы, обновляется ПО, появляются новые сервисы. Если ТЗ и паспорт не обновлялись, аттестатор фиксирует расхождение между документацией и реальностью. Это одна из самых частых причин предписаний.
Как избежать: Фиксируйте все существенные изменения в инфраструктуре в техническом паспорте сразу после их введения. SGRC-платформа ведёт реестр активов — основу актуального паспорта.
2. Устаревшая или неполная модель угроз.
Модель угроз, разработанная 5 лет назад, не отражает актуальный ландшафт угроз и изменения в архитектуре системы. Аттестатор проверяет актуальность модели.
Как избежать: Пересматривайте модель угроз при существенных изменениях в системе и не реже одного раза в 3 года. Используйте актуальные данные БДУ ФСТЭК.
3. Отсутствие доказательств фактического выполнения мер.
Регламент есть — но нет доказательств, что он исполняется. Правило парольной политики настроено — но нет отчёта о проверке, что все учётные записи соответствуют требованиям. Для аттестатора «мера есть в документах, но не подтверждена доказательствами» = мера не выполнена.
Как избежать: Собирайте доказательства выполнения мер непрерывно, не только к аттестации. Используйте платформу для хранения и актуализации доказательной базы.
4. Нерегулярные или неполные журналы событий.
Журналы либо не велись (отключили по ошибке), либо ведутся, но с пробелами, либо хранятся менее установленного срока. Аттестатор запрашивает журналы за последние 3–6 месяцев.
Как избежать: Настройте централизованный сбор журналов с автоматическим мониторингом доступности источников. Отсутствие событий от источника на протяжении суток — автоматический алерт ответственному.
5. СрЗИ без актуальных актов ввода в эксплуатацию.
Средство защиты установлено и работает, но акт ввода в эксплуатацию не оформлен или оформлен на предыдущую версию. Аттестатор проверяет соответствие между эксплуатируемой версией и документацией.
Как избежать: При каждом обновлении или замене СрЗИ оформляйте новый акт ввода в эксплуатацию. Ведите учёт СрЗИ в реестре активов SGRC-платформы.
6. Несертифицированные средства защиты в системах, где сертификация обязательна.
Для ГИС К1 и К2 большинство применяемых СрЗИ должны быть сертифицированы ФСТЭК по требованиям безопасности. Использование несертифицированных средств — грубое нарушение, аттестат не выдаётся.
Как избежать: При закупке СрЗИ проверяйте наличие действующего сертификата ФСТЭК для вашего класса системы. Реестр сертифицированных продуктов — на сайте ФСТЭК России.
7. Игнорирование физических мер защиты.
Документально и технически всё выглядит хорошо, но при выезде аттестатор обнаруживает: серверная комната не закрывается на ключ, журнал физического доступа не ведётся, стойка с оборудованием стоит в общем помещении.
Как избежать: Включите физические меры в перечень проверяемых при внутреннем аудите. Проведите внутренний «обход» серверных помещений за 1–2 месяца до аттестации.
