УЗ2 по 21 Приказу ФСТЭК на пальцах: что на самом деле требуется

Уровень защищённости ИСПДн определяют по её фактическим условиям, составу данных и применимым требованиям. В этом материале объясняются термины и порядок обсуждения мер защиты. Само участие в ГИС «Профилактика» не определяет автоматически один и тот же комплект для каждого учреждения.

С чего вообще взялся «уровень защищённости»

В первоначальном тексте Требований, утверждённых постановлением Правительства РФ от 01.11.2012 № 1119, пункт 8 предусматривает четыре уровня защищённости персональных данных. Пункт 1 Состава и содержания мер, утверждённых приказом ФСТЭК России от 18.02.2013 № 21, определяет организационные и технические меры для этих уровней. Условия выбора уровня изложены в пунктах 5–12 Требований: учитываются категории персональных данных, число и статус субъектов, тип актуальных угроз. Перед выбором мер проверяют применимую редакцию актов.

• Категории персональных данных — определяют по фактическому содержанию и условиям обработки, включая наличие специальных или биометрических данных.
• Число и статус субъектов — учитывают для конкретной ИСПДн, различая данные сотрудников оператора и других лиц.
• Тип актуальных угроз — определяют на основе оценки угроз для этой системы. Совокупность условий сопоставляют с применимыми нормативными требованиями.

Учреждение сначала определяет границы своей ИСПДн, фактический состав обрабатываемых данных, число и статус субъектов, актуальные угрозы. Возраст субъектов и общий массив региональной ГИС сами по себе не устанавливают УЗ2 для рабочих мест учреждения. Требуемый уровень обосновывают для конкретной системы.

Как выбирают меры защиты

В первоначальном пункте 8 Состава и содержания мер, утверждённых приказом № 21, перечислены группы мер, включая управление доступом, регистрацию событий безопасности и антивирусную защиту. Это примеры из исходного перечня. Для конкретной информационной системы состав мер следует определять по применимой редакции нормативных требований с учётом установленного уровня защищённости, актуальных угроз, используемых технологий и характеристик системы.

Выбранные меры реализуют с помощью организационных процедур, программных и аппаратных средств. Ниже приведены примеры задач, которые рассматривают при проектировании защиты. Это не готовый комплект для каждого АРМ: обязательные меры и способ их реализации определяют для конкретной системы.

Управление доступом

В проекте описывают разграничение прав, управление запуском программ, блокировку неактивных сессий и контроль целостности в применимом составе мер. Способ реализации выбирают по архитектуре системы. Возможности продукта, его версию, документацию и требуемую оценку соответствия проверяют до включения в проект.

Операционная система

Операционную систему подбирают с учётом рабочих приложений и согласованных средств защиты. Требования к версии, конфигурации и сертифицированной поставке проверяют по применимым требованиям, техническим условиям и документации выбранного решения.

• Проверяют совместимость рабочих приложений и средств защиты.
• Уточняют поддержку, обновления и допустимые настройки выбранной версии ОС.
• Проверяют документы об оценке соответствия, если они требуются для согласованного решения.

Защита канала связи

Средства доступа, криптографическую защиту и совместимые версии программ определяют по действующим техническим условиям и памятке федерального оператора. Названия конкретных продуктов в коммерческом предложении не устанавливают универсальное требование для каждого учреждения.

Антивирусная защита

Для антивирусной защиты согласуют размещение средств, обновление баз, обработку обнаружений и контроль их работы. Продукт и конфигурацию выбирают под применимые требования и архитектуру системы; документы об оценке соответствия проверяют для нужной версии и условий применения.

Доверенная загрузка

Если в согласованный состав мер входит доверенная загрузка, в проекте определяют способ её реализации и проверяемый результат. Нужен ли отдельный аппаратный модуль или иной вариант, решают по требованиям и конфигурации объекта.

• Уточняют требования к загрузке и контролируемым компонентам.
• Проверяют поддержку оборудования и ОС выбранным решением.
• Фиксируют проверку загрузки и действий при выявленных изменениях.

Обнаружение вторжений

Необходимость средств обнаружения вторжений и место их размещения определяют по выбранным мерам и актуальным угрозам. Проверяют обнаружение событий, передачу уведомлений и порядок реагирования. Соответствие нельзя выводить только из наличия модуля с названием «СОВ».

Анализ защищённости

Для анализа защищённости согласуют методы, проверяемые компоненты и оформление результатов. Полученные замечания учитывают при настройке защиты. Порядок контроля и испытаний выбирают по применимым требованиям к объекту и согласованной программе работ.

Какие документы готовят

Документы должны описывать фактическую систему, принятые меры и результаты проверки. Ниже приведены примеры материалов, которые могут входить в проект. Их состав, необходимость и формы определяют по применимым требованиям, характеру работ и условиям подключения.

1. Материалы для уведомления Роскомнадзора — проверяют необходимость уведомления, актуальную форму и порядок подачи для оператора. Официальный сайт: rkn.gov.ru.
2. Акт обследования ИСПДн — инвентаризация: сколько АРМ, какие ОС, какие сети, где хранятся резервные копии, кто имеет доступ.
3. Модель угроз — описывает актуальные угрозы для конкретной системы и основания выбора мер защиты.
4. Обоснование уровня защищённости ПДн — фиксирует исходные условия и требуемый уровень конкретной ИСПДн. Если применима классификация информационной системы, её результаты оформляют по соответствующим требованиям. Класс системы и уровень защищённости персональных данных следует различать.
5. Техническое задание на СЗПДн — какие именно СЗИ ставим, на каких АРМ, какой объём настроек.
6. Программа и методики испытаний — определяют проверяемые требования, условия проведения проверок и критерии результата.
7. Технический паспорт ИСПДн — итоговый документ: что стоит, где стоит, кто за что отвечает, контакты администраторов ИБ.
8. Результаты оценки или аттестации — оформляют в зависимости от применимых требований и проведённых работ. Заключение об оценке мер защиты ИСПДн и аттестат соответствия следует различать. Если объект аттестуют по Порядку, утверждённому приказом ФСТЭК России № 77, аттестат выдаётся на весь срок эксплуатации объекта. Периодический контроль, дополнительные испытания и повторная аттестация имеют разные основания.

Как организуют подготовку и проверку

1. Обследование. Определяют границы объекта, состав данных, рабочие места, инфраструктуру и доступы.
2. Документация. Готовят материалы по согласованному составу требований и работ.
3. Закупка и поставка. При необходимости приобретают выбранные средства. Сроки рассчитывают по применимой закупочной процедуре, договору и фактическим условиям поставки.
4. Настройка. Реализуют согласованные меры и проверяют работу средств защиты в конфигурации объекта.
5. Оценка или испытания. Выполняют проверки по применимым требованиям и программе, устраняют замечания. Если необходима аттестация, определяют её порядок и участие исполнителя с требуемыми полномочиями.
6. Оформление результатов. Состав документов и лиц, которые их оформляют и подписывают, определяют для выбранного вида работ.
7. Материалы для подключения. Состав заявки и подтверждающих документов сверяют с действующими техническими условиями и инструкциями оператора.

Сколько это реально стоит

Ниже — возможные статьи расходов для обсуждения с исполнителем. Состав и стоимость уточняют после обследования объекта и согласования требований. Названия продуктов в примерах не определяют обязательный комплект для каждого учреждения.

• Состав документации и стоимость её подготовки определяются по конкретному объекту.
• Стоимость Secret Net Studio уточняется для применимой версии, числа АРМ и срока технической поддержки.
• Необходимость ПАК «Соболь», его версия, количество и стоимость проверяются по согласованной конфигурации.
• Применимые продукты КриптоПро, число лицензий и стоимость уточняются по требованиям и конфигурации объекта.
• Версия Astra Linux, необходимость сертифицированной поставки, число лицензий и стоимость согласуются для конкретных АРМ.
• Применимость версии Dr.Web, число лицензий и стоимость подтверждаются до заказа.
• Состав установки, настройки и испытаний, участие необходимых исполнителей и стоимость согласуются отдельно.

Итого стоимость определяется индивидуально. Возможность финансирования и условия конкретной программы проверяются отдельно. Наличие проекта по защите информации не означает автоматического предоставления субсидии или фиксированной доли возмещения.

Что дальше — Приказы ФСТЭК № 77 и № 117

Меры защиты, аттестация и требования к государственным информационным системам решают разные вопросы. Применимость каждого акта и его редакции проверяют для конкретного объекта:

• Приказ ФСТЭК России № 77 от 29.04.2021 с изменениями № 60 от 27.02.2026. Изменения действуют с 01.09.2026. Анализ уязвимостей, тестирование на проникновение, контроль защищённости и дополнительные испытания проводят по применимым пунктам Порядка и характеристикам объекта. Условия пункта 16¹ и периодический контроль по пунктам 31–32 следует различать.
• Приказ ФСТЭК России № 117 от 11.04.2025. Требования к защите информации в государственных информационных системах и иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Вступил в силу с 01.03.2026. Конкретные требования проверяют для соответствующей системы и её параметров.

До планирования работ уточняют границы системы или сегмента, документы о её классификации и роль учреждения. Само подключение к ГИС не подтверждает класс 1 или 2 для каждой системы участника и не устанавливает одинаковый объём работ для всех. Состав закупки связывают с применимыми требованиями и документами конкретного объекта.

Итог

Состав мер защиты определяют для конкретной ИСПДн после оценки исходных условий. Совместимость СЗИ, документацию, испытания и участие исполнителя с необходимой лицензией согласуют до закупки. Стоимость и календарный план зависят от объекта; отдельный продукт или типовой перечень не гарантирует результат аттестации.

Если хотите прикинуть ориентир по своей организации — калькулятор на 60 секунд подскажет рекомендованный пакет.