Комплаенс: соответствие требованиям регуляторов
Что такое комплаенс в информационной безопасности
Комплаенс в ИБ — это обеспечение соответствия организации требованиям регуляторов и стандартов в области информационной безопасности. ФСТЭК, ФСБ, ЦБ, Роскомнадзор — каждый регулятор предъявляет свои требования к мерам защиты информации.
Без автоматизации комплаенс превращается в бесконечные Excel-таблицы: матрица соответствия устаревает сразу после заполнения, изменения в НПА приходится отслеживать вручную, а GAP-анализ — проводить заново при каждом аудите.
Возможности модуля комплаенса
Автоматический контроль соответствия требованиям всех ключевых регуляторов
Матрица соответствия
Единая матрица: требования регулятора → реализованные меры → статус выполнения. Для каждого НПА: ФСТЭК, ФСБ, ЦБ, Роскомнадзор.
Автоматическая оценка
Ведение мер со свидетельствами. Dashboard с динамикой.
GAP-анализ
Проверка комплекта перед выпуском: на каждый пробел система ставит задачу. Приоритизация по критичности.
Мониторинг изменений
Отслеживание изменений в законодательстве. Уведомления при обновлении требований, план адаптации мер защиты.
Узнайте, как КиберОснова закрывает требования ФСТЭК, ЦБ и Роскомнадзора в единой матрице комплаенса
Поддерживаемые регуляторы и стандарты
- ФСТЭК России — Приказы № 117, 21, 31, 239. Методика оценки угроз 2021
- ФСБ России — Приказ №378 (СКЗИ). Требования к средствам криптозащиты
- Роскомнадзор — 152-ФЗ «О персональных данных». Уведомления, проверки
- Минцифры — Реестр российского ПО. Требования импортозамещения
Требования регуляторов: конкретика по каждому НПА
Каждый регулятор устанавливает свои меры, сроки и санкции. Незнание требований не освобождает от ответственности — штрафы за несоответствие начисляются независимо от причины нарушения.
| Регулятор / НПА | Число мер | Срок выполнения | Санкции при нарушении |
|---|---|---|---|
| ФСТЭК №239 (КИИ 1 кат.) | 152 меры (по категории) | Срок нормой не установлен | Ст. 274.1 УК РФ — до 10 лет |
| ФСТЭК №21 (ИСПДн УЗ-1) | 69 мер базового набора + компенсирующие | До начала обработки ПДн | КоАП 13.11 — за повторную утечку до 3% выручки, не более 500 млн ₽ |
| ФСТЭК №117 (ГИС; с 01.03.2026, заменил №17) | 96 мер (методдок ФСТЭК 12.04.2026) | До ввода ГИС в эксплуатацию | КоАП 13.12 — до 100 000 ₽ (юрлица, ч.2, 104-ФЗ 2025) |
| 152-ФЗ (оператор ПДн) | Уведомление РКН, 7 обязанностей | Непрерывно | До 500 млн ₽ за повторную утечку (ч. 15 ст. 13.11 КоАП, с 30.05.2025) |
Одна мера защиты может перекрывать требования сразу нескольких НПА. Модуль аудита КиберОснова отображает перекрёстное соответствие: выполнили требование по приказу №239 — видите, как оно закрывает пункты 152-ФЗ.
Как строится автоматизированный комплаенс
- Загрузка требований. В базе КиберОснова — актуальные редакции приказов ФСТЭК №117 (заменил №17 с 01.03.2026), 21, 239, 152-ФЗ, ISO 27001, а также №17 для ранее аттестованных ГИС. Требования обновляются при изменении НПА.
- Привязка к активам. Каждое требование соотносится с конкретными ИС, активами и ответственными — не абстрактно «закрыто», а с доказательствами.
- GAP-анализ. Система показывает, какие из требований не закрыты, какие закрыты частично. Приоритизация по критичности нарушения.
- План устранения. Проверка комплекта перед выпуском: на каждый пробел система ставит задачу.
- Отчёт для регулятора. Выгрузка в структурированном формате: матрица соответствия, доказательства выполнения мер, история изменений.
Связанные разделы
- Аудит ИБ
- Документы ИБ
- Защита ПДн по 152-ФЗ
- Категорирование КИИ
- Что такое СУИБ
- Модуль учёта СКЗИ — требования ФАПСИ №152
- БДУ ФСТЭК — контроль уязвимостей
- Автоматизация выполнения приказов ФСТЭК №117, 21, 239 (ранее №17)
- Электронный учёт СКЗИ: переход от журналов к автоматизации
- Управление уязвимостями: RACI, SLA, требования ФСТЭК
Автоматизируйте комплаенс ИБ
Матрица соответствия, GAP-анализ, мониторинг изменений НПА — в единой SGRC-платформе.