Приказ ФСТЭК 17 / 117
Защита информации в ГИС
Что такое ГИС и зачем нужна защита
Государственная информационная система (ГИС) — информационная система, созданная на основании федерального или регионального закона, а также на основании правового акта государственного органа. ГИС включают: ГИС ЖКХ, ЕГИСЗ, АИС «Налог», ГИС «Энергоэффективность», ФГИС «Меркурий» и тысячи других.
Какой приказ регулирует защиту информации в ГИС?
С 1 марта 2026 года защиту информации в государственных информационных системах регулирует приказ ФСТЭК № 117, заменивший приказ № 17. С 1 сентября 2026 года приказ № 117 действует в редакции приказа № 137. Классы защищённости К1–К3 сохранились; оператор рассчитывает показатель защищённости Кзи не реже одного раза в шесть месяцев.
Как определить класс защищённости ГИС по приказу № 117?
Класс защищённости ГИС определяют по уровню значимости информации (УЗ) и масштабу системы — по таблице 2 из п. 7 Требований, утверждённых приказом ФСТЭК № 117. Классов три: К1 — самый высокий, К2 и К3. Для информации УЗ 1 класс К1 устанавливают при любом масштабе — федеральном, региональном и объектовом.
| Уровень значимости информации | Федеральный масштаб | Региональный масштаб | Объектовый масштаб |
|---|---|---|---|
| УЗ 1 | К1 | К1 | К1 |
| УЗ 2 | К1 | К2 | К2 |
| УЗ 3 | К2 | К3 | К3 |
В таблице УЗ означает уровень значимости информации, а не уровень защищённости персональных данных.
Когда нужна аттестация ГИС и какие документы подготовить?
Государственную информационную систему аттестуют до начала обработки и хранения в ней информации (п. 65 Требований, утверждённых приказом ФСТЭК № 117). Для аттестации владелец передаёт в орган по аттестации документы из п. 11 Порядка, утверждённого приказом ФСТЭК № 77: технический паспорт, акт классификации, модель угроз, техническое задание на систему защиты, проектную и эксплуатационную документацию, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей и приёмочных испытаний. Модель угроз, ТЗ, проект и результаты испытаний нужны, если их готовили при создании системы.
Документы для защиты ГИС
Документы по ПДн для ИСПДн в составе ГИС
Модель угроз безопасности ПДн
Основа для определения мер защиты ГИС.
Шаблон модели угроз безопасности ПДнАкт определения уровня защищённости
Определение УЗ для ИСПДн в составе ГИС.
Шаблон акта определения УЗ ИСПДнПолитика информационной безопасности
Организационная основа системы защиты.
Шаблон политики информационной безопасностиРегламент регистрации событий безопасности
Какие события ИБ фиксировать и как хранить записи.
Шаблон регламента регистрации событий безопасностиПодробный разбор нового Приказа 117: Приказ ФСТЭК 117: что меняется для защиты ПДн в ГИС →
Как готовиться к аттестации: Аттестация ГИС по приказу ФСТЭК 117 в 2026 году →
Ответственность за нарушения: Штрафы за нарушения требований к персональным данным →
Частые вопросы о защите ГИС
Чем Приказ ФСТЭК 117 отличается от Приказа 17?▾
Приказ № 117 заменил приказ № 17 с 1 марта 2026 года. Классы защищённости К1–К3 сохранились, добавлен показатель защищённости Кзи: оператор рассчитывает его не реже одного раза в шесть месяцев. Основные изменения: расширен перечень мер защиты, усилены требования к оценке защищённости.
Какие классы защищённости ГИС существуют?▾
Три класса: К1 (высший), К2, К3. Класс зависит от уровня значимости информации (УЗ 1–3) и масштаба системы (федеральный, региональный, объектовый) — по таблице 2 из п. 7 Требований, утверждённых приказом ФСТЭК № 117. УЗ здесь — уровень значимости информации, а не уровень защищённости ПДн.
Обязательна ли аттестация ГИС?▾
Да. Государственную информационную систему аттестуют до начала обработки и хранения в ней информации (п. 65 Требований, утверждённых приказом ФСТЭК № 117).
Какие документы нужны для аттестации ГИС?▾
Документы из п. 11 Порядка, утверждённого приказом ФСТЭК № 77: технический паспорт, акт классификации, модель угроз, техническое задание на систему защиты, проектная и эксплуатационная документация, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей и приёмочных испытаний. Модель угроз, ТЗ, проект и результаты испытаний нужны, если их готовили при создании системы.
Как часто рассчитывают показатель защищённости Кзи?▾
Оператор рассчитывает показатель защищённости Кзи не реже одного раза в шесть месяцев.
Что означает УЗ в таблице классов ГИС?▾
УЗ означает уровень значимости информации. В таблице классов ГИС это не уровень защищённости персональных данных.
Нужна ли лицензия ФСТЭК для разработки документов по ГИС?▾
Организационно-распорядительные документы для защиты ГИС оператор может разработать сам: разработки ОРД нет в перечне лицензируемых работ (п. 4 ПП РФ № 79). Лицензия ФСТЭК нужна тому, кто выполняет аттестационные испытания и аттестацию, проектирование в защищённом исполнении, установку и наладку средств защиты (подп. «г»–«е» п. 4). Основной документ — политика защиты информации (подп. «а» п. 14 Требований, утверждённых приказом ФСТЭК № 117).
Создайте документы для ГИС
Акт классификации ГИС, модель угроз, политика ИБ — в конструкторе, модуль ГИС и КИИ в раннем доступе