Боли отрасли
Типичная картина в госоргане за несколько месяцев до плановой проверки ФСТЭК
Каждый отдел ведёт своё. Версии расходятся. При проверке выясняется, что половина документов устарела.
Обзваниваем 30 подразделений, собираем файлы по почте, консолидируем вручную. Каждый раз как в первый раз.
Крупные организацииСлепые зоны в каждой организации. Нет единого дашборда. Отчёты присылают когда хотят и как хотят.
Распределённые сетиБумажный журнал, акты установки потеряны, о смене ключей узнают случайно. Проверка ФСБ — каждый раз стресс.
Системы добавились, оборудование сменилось. Аттестация проводилась по данным, которые уже не отражают реальность.
Крупные организацииПоказатели критичности считаются вручную, акты создаются с нуля, данные из реестра активов не подтягиваются автоматически.
Крупные организацииУзнайте, как КиберОснова закрывает задачи ИБ госоргана — от учёта СКЗИ до категорирования КИИ
Какие нормы по защите информации применяются к госорганам
Защита ГИС. С 01.03.2026 действует Приказ ФСТЭК №117 от 11.04.2025 — он заменил Приказ №17: аттестация, модель угроз, меры защиты. Аттестаты соответствия, выданные до 1 марта 2026 г., остаются действительными (п. 3 Приказа №117).
Защита значимых объектов КИИ. Меры защиты определяются по категории значимости объекта: проектирование, внедрение и поддержание системы безопасности значимого объекта, актуализация организационно-распорядительных документов.
Защита ИСПДн сотрудников и граждан. 4 уровня защищённости по ПП РФ №1119; уровень определяет оператор.
Категорирование объектов КИИ в 14 сферах. Госорган — субъект КИИ, если ему принадлежат ИС, сети или АСУ в одной из сфер 187-ФЗ.
Защита ПДн граждан. Госорганы — операторы ПДн и субъекты, обязанные соблюдать требования Роскомнадзора.
Приказы ФСТЭК ведутся в разных системах — нет единой картины
РОИВ не видит ИБ-статус подведомственных организаций
Учёт СКЗИ в бумажном журнале без напоминаний о ключах
Подготовка к проверке ФСТЭК занимает 3–4 недели
Модель угроз ГИС не обновляется — угрозы из БДУ ФСТЭК отбирают вручную в таблицах
SGRC-платформа
Головная и подведомственные организации в одной системе, отбор по организации — без звонков в отделы и разрозненных Excel
Подготовка к проверке ФСТЭК: с 3–4 недель до 1–3 дней.
Несколько организаций
Документы и реестры каждой организации ведутся раздельно, но в одном месте
Не нужно собирать данные из разных файлов.
Учёт СКЗИ
Сроки ключей в журнале учёта, акты установки и уничтожения по шаблонам
Журнал, акты установки и уничтожения СКЗИ хранятся в одной системе.
Инвентаризация активов
Перечень объектов КИИ — на основе реестра активов.
Документы по шаблонам
Документы с версиями и ознакомлением сотрудников
Документы в одной системе вместо сбора по отделам.
Модель угроз
Модель угроз по каждой системе госоргана
Доказательная база для регулятора.
Документы для проверки ФСТЭК — по шаблонам и в одной системе, без ручного сбора по отделам
Задачи ИБ госоргана — от инвентаризации активов до документов по шаблонам
Электронный журнал учёта СКЗИ по Инструкции ФАПСИ №152: поэкземплярный учёт, ключевые носители, акты установки и уничтожения.
Отбор угроз из БДУ ФСТЭК для модели угроз конкретной ГИС.
Политики ИБ, технический паспорт ИС, модель угроз по методике ФСТЭК 2021 г., акт классификации — по шаблонам, с версиями и ознакомлением.
Методика 2021 года и угрозы из БДУ ФСТЭК.
Серверы, рабочие станции, сетевое оборудование, ПО и лицензии — единый реестр ГИС.
РОИВ и подведомственные ведутся в одной SGRC, данные отбираются по организации. Режим куратора для головной организации — в разработке.
С 01.03.2026 требования к защите ГИС устанавливает Приказ №117 (заменил №17). По итогам проверки — предписание со сроком устранения. Нарушение требований о защите информации — штраф для организации до 100 000 ₽ (ч. 6 ст. 13.12 КоАП).
Нарушение правил эксплуатации КИИ или правил доступа к ней, повлёкшее уничтожение, блокирование, модификацию или копирование информации, — до 6 лет лишения свободы (ч. 3). Если последствия тяжкие — от 5 до 10 лет (ч. 5).
За первичную утечку ПДн граждан — фиксированные штрафы для юрлиц: 3–5 млн ₽ (утечка 1–10 тыс. субъектов), 5–10 млн ₽ (10–100 тыс.), 10–15 млн ₽ (свыше 100 тыс.). За повторную утечку — оборотный штраф 1–3% годовой выручки (от 20 до 500 млн ₽). Ст. 13.11 КоАП в ред. ФЗ-420. Госорган — оператор ПДн: ответственность за данные сотрудников и граждан.
Субъекты КИИ информируют НКЦКИ об инцидентах: на значимых объектах — не позднее 3 часов с момента обнаружения, на иных — не позднее 24 часов (приказ ФСБ России №547). Нарушение порядка информирования — штраф для юрлиц до 500 000 ₽ (ч. 2 ст. 13.12.1 КоАП).
До 10 лет по ст. 274.1 УК РФ, если нарушение правил эксплуатации КИИ повлекло тяжкие последствия. Как давно вы проверяли уровень готовности?
Покажем, как в КиберОснове вести документы, чек-листы и задачи по приказам ФСТЭК № 117, № 21, № 239 — для госоргана и подведомственных организаций в одной системе.
