Приказ ФСТЭК №117 — это тот самый случай, когда «переписали документ» на деле означает: изменили правила игры. Если раньше многие ориентировались на формальное соответствие и «папку документов для проверки», то теперь фокус — на реальной управляемости защиты.
Разберём по сути: что поменялось, на кого распространяется приказ и какие шаги стоит сделать заранее, чтобы к 2026 году не оказаться в режиме аврала.
Что такое приказ ФСТЭК №117 и почему он важен
Приказ ФСТЭК России №117 от 11.04.2025 обновляет подход к защите информации в государственных системах и закрепляет переход к процессной модели ИБ: защита должна работать постоянно, а не «в момент аттестации».
Проще говоря: теперь важно не только что написано в документах, а как это реально реализовано в инфраструктуре и в ежедневных процессах.
Что изменилось: было — стало
|
Было |
Стало |
|---|---|
|
Опора на формальный набор мер |
Опора на эффективность защиты и управляемость |
|
«Сделали и забыли» после внедрения |
Постоянная актуализация: изменения, уязвимости, контроль |
|
Документы часто жили отдельно от эксплуатации |
Документы — часть процессов: доступы, реагирование, контроль |
1) Область действия: под требования попадает больше систем
Один из важных практических эффектов — необходимость пересмотреть периметр: какие системы действительно подпадают под требования и что нужно приводить в порядок в первую очередь.
-
корпоративные порталы и внутренние сервисы;
-
электронный документооборот;
-
учётные/кадровые системы;
-
распределённые инфраструктуры филиалов и подразделений.
2) Защитные меры: важна архитектура, а не «галочки»
Приказ усиливает требования к тому, как именно выстроена защита. На практике внимание будет к таким вещам, как сегментация, управление доступом, мониторинг, резервирование и контроль изменений.
-
Управление доступом. Роли, привилегии, контроль учётных записей, MFA там, где это обосновано.
-
Сегментация. Разделение контуров, минимизация «лишних» связей, правильные зоны доверия.
-
Мониторинг и реагирование. Чтобы инциденты не жили «неделями», пока «всё работает».
-
Резервное копирование и восстановление. Проверенные сценарии, а не только наличие бэкапов.
3) Оценка защищённости: теперь это регулярная работа
Ключевой смысл — защиту нужно поддерживать в актуальном состоянии. Это означает: меняется инфраструктура → пересматриваются риски → корректируются меры → обновляются регламенты и контроль.
Если раньше многие жили логикой «главное пройти аттестацию», то теперь безопасностью нужно управлять как процессом.
4) Документация: больше не «папка для проверки»
Документы должны быть привязаны к реальным процессам. То есть не просто «политика ИБ», а работающие регламенты: кто выдаёт доступы, как фиксируются изменения, как реагируют на инциденты, как проводится контроль.
5) Требования к подрядчику: возрастает ответственность исполнителя
Если подрядчик участвует во внедрении/сопровождении, он должен учитывать требования ИБ на всех этапах. Поэтому при выборе интегратора важно смотреть не только на формальные признаки, но и на опыт реальных проектов.
Что сделать уже сейчас: короткий чек-лист
-
Провести аудит. Понять текущие разрывы по инфраструктуре, доступам, журналированию, резервированию.
-
Определить приоритеты. Что критично исправить сейчас, что запланировать, что учесть в стратегии.
-
Обновить процессы. Доступы, изменения, реагирование, контроль уязвимостей.
-
Подготовить план работ и бюджет. Чтобы не делать всё в режиме «пожара».
Вывод
Приказ ФСТЭК №117 — это переход к более зрелой модели ИБ. Если подойти к нему заранее, это не «дополнительная нагрузка», а возможность привести инфраструктуру в порядок и сделать защиту предсказуемой.
МК Компани помогает подготовиться к требованиям: аудит, план модернизации, внедрение мер защиты и сопровождение.