Приказ ФСТЭК 117

В-третьих: в 117 приказе ФСТЭК теперь очень четко определен перечень внутренней организационно-распорядительной документации (организационные документы, внутренние стандарты, внутренние регламенты, инструкции по мероприятиям), необходимой для соответствия приказу. И, можем сказать точно — список ОРД стал существенно шире, чем в 17 приказе ФСТЭК.

Особенно хотим отметить детализацию описания содержания политики информационной безопасности — теперь минимальный состав разделов четко определен.

В-четвертых: теперь для сотрудников отдела по защите информации (ЗИ) оператора ГИС — четко прописана обязанность иметь компетенции, необходимые для выполнения возложенных на них обязанностей (функции) по защите информации в соответствии с 117 приказом ФСТЭК.

И что не менее 30% работников отдела по ЗИ должны иметь профессиональное образование по специальности или направлению подготовки в области защиты информации или пройти обучение по программе профессиональной переподготовки в области защиты информации.

В-пятых: состав средств защиты в 117 приказе ФСТЭК сильно расширился, а в частности:

• защита технологий контейнерных сред и их оркестрации;
• защита веб-технологий;
• защита программных интерфейсов взаимодействия приложений;
• защита технологий интернета вещей;
• мониторинг ИБ;
• контроль настроек;
• автоматизация аналитики.

В-шестых: появилась некая оценка состояния защиты информации, предусматривающая расчет показателя защищенности «Кзи» и показателя уровня зрелости «Пзи».
Расчет и оценка показателя защищенности «Кзи» должны проводиться оператором ГИС не реже одного раза в 6 месяцев. Расчет и оценка показателя уровня зрелости «Пзи» должны проводиться оператором ГИС не реже одного раза в 2 года.

О результатах расчета уведомляется руководитель оператора ГИС и ФСТЭК России. Первого для принятия решения по повышению уровня защищенности, а второго для мониторинга текущего состояния и оценки эффективности деятельности по защите информации.

В-седьмых: помимо мер защиты, которые были в 17 приказе ФСТЭК, теперь появились некие «мероприятия» по защите информации. Которых в итоге достаточно много — более 20 шт. и, что не может не радовать, они очень детально описаны. Среди которых достаточно много инноваций, чего не было в 17 приказе ФСТЭК.

Достаточность и эффективность проводимых мероприятий оцениваются оператором ГИС по результатам определения показателя уровня зрелости «Пзи».

В-восьмых: ужасно, но это факт, в пункте 36 говориться, что решение о необходимости разработки модели угроз (МУ) защиты информации в ходе создания негосударственных ИС — принимается руководителем оператора ИС.

Т.е. речь про негосударственные ИС, мол для них МУ можно и не разрабатывать. Но при этом весь 117 приказ ФСТЭК просто кричит, что все завязано и зависит от актуальных угроз, что они должны определяться и вся защита должна быть нацелена на нейтрализацию актуальных угроз.

В общем этот пункт под большим вопросом. Вроде как должен позволить операторам негосударственных ИС сэкономить (не вкладываться в разработку МУ), но если в них, например обрабатывают ПДн, что сплошь и рядом, то эта ИС подпадает под вектор защиты ПДн, по которому МУ разрабатывать обязательно. Посмотрим, что будет дальше, т.е. на разъяснения ФСТЭК.

В-девятых: отдельно сделаем акценты по следующим мероприятиям:

• Мероприятия по мониторингу защиты информации: в 117 приказе ФСТЭК имеется ссылка на ГОСТ Р 59547-2021, указывающая на необходимость осуществления данных мероприятий в соответствии с разделами 4 и 5 указанного ГОСТ. А также приведено требование по направлению сводного (итогового) отчета за год во ФСТЭК России для мониторинга текущего уровня защищенности.
• Мероприятия по разработке безопасного ПО: в 117 приказе ФСТЭК приведено, что в случае самостоятельной разработки оператором ГИС (или с привлечением подрядчика) программного обеспечения, предназначенного для использования в ИС — должны быть реализованы меры, предусмотренные разделами 4 и 5 ГОСТ Р 56939-2024 (это ГОСТ по безопасной разработке ПО).
• Мероприятия по защите при взаимодействии с подрядчиками: во-первых, теперь четко прописано, что для всех подрядчиков должны быть выдвинуты требования по защите информации к которой получен доступ. В том числе не допускается копирование информации, если это запрещено документами оператора ГИС. Во-вторых, запрещается вести разработку и тестирование софта в боевых контурах, а тестовые стенды должны быть изолированы от продуктивных.
• Оператором ГИС должно быть обеспечено взаимодействие с ГосСопка, а также взаимодействие в автоматизированном режиме с ЦМУ ССОП. А сервисы защиты от DDOS должны располагаться на территории РФ.

В-десятых: состав мер защиты сильно прогрессировал! Их стало больше и они стали покрывать существенный объем технологий, что очень актуально на сегодняшний день. Например, хотели бы отдельно отметить: защита технологий контейнерных сред и их оркестрации; защита веб-технологий; защита технологий интернета вещей.

В-одиннадцатых: контроль защищенности теперь в обязательном порядке проводится не реже одного раза в три года или после компьютерного инцидента. Это получается справедливо для иных ИС, не являющихся ГИС. Т.е. регулятор разрешил проводить контроль для не аттестованных систем немного реже, чем для ГИС. Для аттестованных ГИС, само собой, имеется периодический контроль, который обязывает направлять протоколы контроля во ФСТЭК не реже 1 раза в 2 года (см. приказ ФСТЭК № 77).

В-двенадцатых: в 117 приказе ФСТЭК отсутствует описание порядка защиты ИС на всех стадиях жизненного цикла ИС, как это было в 17 приказе ФСТЭК. Теперь же есть разделение, что для ГИС необходимо применять порядок защиты на стадиях жизненного цикла в соответствии с постановлением Правительства № 676, а для иных ИС в соответствии с разделом 5 национального стандарта ГОСТ Р 51583-2014.

1. Обследование и формирование требований по защите (см. п. 29 приказа ФСТЭК 117), по результатам которого обычно разрабатываются отчетные документы:
   — Отчет об обследовании.
   — Акт классификации.
   — Модель угроз и нарушителя информационной безопасности.
   — Частное техническое задание на создание системы защиты информации.
2. Проектирование системы защиты информации, что прямо не указано в самом 117 приказе ФСТЭК, но указано в постановлении Правительства № 676, на который идет ссылка из 73 пункта указанного приказа. На выходе, как правило, следующие отчетные документы:
   — Пояснительная записка (ПЗ).
   — Ведомость технического проекта (ВД).
   — Спецификация средств защиты.
   — Структурная схема.
   — Описание комплекса средств.
   * — все документы могут объединяться, кроме ПЗ и ВД.
3. Реализация системы защиты: закупка, внедрение и пусконаладка сертифицированных средств защиты информации, обучение кадров, а также разработка внутренних организационно-распорядительных документов по защите информации (внутренние стандарты и внутренние регламенты).
4. Испытания, состоящие из трех этапов:
   — Предварительные испытания с оформлением программы и методики предварительных испытаний.
   — Опытная эксплуатация с оформлением программы и методики опытной эксплуатации и акта о ее завершении.
   — Приёмочные испытания с оформлением программы и методики приемочных испытаний и акта о приемки в постоянную эксплуатацию.
   * — практика показывает, что допускается оформлять единую программу и методику испытаний для всех трех этапов, а вот акты только отдельные.
5. Аттестационные испытания, включающие разработку отчетной документации:
   — Программа и методики аттестационных испытаний.
   — Протоколы аттестационных испытаний.
   — Заключение по результатам аттестационных испытаний.
   — Аттестат соответствия.
6. Дополнительно не забыть:
   — В случае привлечения подрядчиков — прописать в политике и ознакомить их с требованиями по подключению к ГИС.
   — Оценить состояние защиты информации (расчет показателя защищенности и показателя уровня зрелости) по методическим документам ФСТЭК и направить расчеты во ФСТЭК.
   — Отправить во ФСТЭК последний в году отчет по мониторингу защищенности ГИС.
   — Выставить подрядным разработчикам ПО требование по применению ГОСТ безопасная разработка ПО (БРПО), запрет на тестирование ПО на «продакшн» и изолировать тестовые стенды от продуктивных.
   — Организовать взаимодействие с ГосСопка, а также ЦМУ ССОП.
   — Организовать периодический контроль, не реже 1 раза в 3 года (для не аттестованных, а для аттестованных получается 1 раз в 2 года, согласно 77 приказа ФСТЭК) и отправлять отчеты во ФСТЭК России.

А теперь разберем второй и третий вариант и распишем порядок «от и до».
Если у оператора ГИС работы по 17 приказу ФСТЭК уже были проведены, но система претерпела модернизацию, а равно повторная аттестация, то по сути ему нужно доработать до 117 приказа ФСТЭК следующее:

• Необходимо пройти всю эпопею, озвученную выше «от и до».
• Само собой затраты на систему защиты будут уже меньше, но ввиду модернизации системы — необходимо актуализировать всю имеющуюся документацию.

Если у оператора ГИС работы по 17 приказу ФСТЭК уже были проведены, но у оператора ГИС модернизация системы не проводилась:

• Реализация системы защиты: убедиться в выполнении требований по обучению кадров, а также разработать внутренние организационно-распорядительные документы по защите информации (внутренние стандарты и внутренние регламенты).
• Оценить состояние защиты информации (расчет показателя защищенности и показателя уровня зрелости) по методическим документам ФСТЭК и направить расчеты во ФСТЭК.
• Отправить во ФСТЭК последний в году отчет по мониторингу защищенности ГИС.
• Выставить подрядным разработчикам ПО требование по применению ГОСТ безопасная разработка ПО (БРПО), запрет на тестирование ПО на «продакшн» и изолировать тестовые стенды от продуктивных.
• И, если не было сделано ранее:
  — Организовать взаимодействие с ГосСопка, а также ЦМУ ССОП.
  — Организовать периодический контроль, не реже 1 раза в 3 года (для не аттестованных, а для аттестованных получается 1 раз в 2 года согласно приказа ФСТЭК 77) и отправлять отчеты во ФСТЭК России.

• Общие положения.
• Организация деятельности по защите информации и управление данной деятельностью.
• Проведение мероприятий и принятие мер по защите информации.
• Требования к определению класса защищенности информационной системы.

Ключевые моменты для каждого раздела:

1. Общие положения:
   — Приказ 117 ФСТЭК распространяется не только на ГИС, но и на иные системы гос. органов.
   — В случае передачи конфиденциальных данных из ГИС во вне, та система куда передаются данные — также должна соответствовать требованиям приказа.
   — При обработке в ГИС персональных данных — данная ГИС также должна защищаться по ПП 1119.
   — В случае если ГИС является еще и ЗОКИИ, то данная ГИС должна еще защищаться по нормативной документации вектора КИИ.
   — В случае необходимости применения СКЗИ — смотрите нормативные документы ФСБ России.
   — Допускается функционирование ГИС на базе внешнего ЦОД / оператора облачных услуг (ООУ), в случае если данный ЦОД / ООУ — также соответствует 117 приказу ФСТЭК.
   — Оператор ГИС должен обеспечивать защиту информации на всех стадиях жизненного цикла ГИС.
   — Требования приказа не распространяются на ИС аппарата президента, правительства, высших органов власти и тд.
2. Организация деятельности по защите информации и управление данной деятельностью:
   — Все начинается с разработки политики по защите информации. В приказе приведен перечень обязательных разделов политики.
   — Необходимо определить лиц, ответственных за защиту информации.
   — Необходимо применять программные и программно-аппаратные средства защиты.
   — Необходимо утвердить внутренние стандарты и регламенты защиты информации.
   — Подрядчики должны быть ознакомлены с политикой по защите информации.
   — Сотрудники отдела по защите информации — должны иметь компетенции для выполнения обязанностей 117 приказа ФСТЭК, а также иметь образование или пройти обучение в области ИБ.
   — Могут привлекаться лицензиаты для выполнения всех работ по защите и аттестации ГИС.
   — Должно быть проведено обследование информационной системы на предмет того, что мы защищаем, выявлены угрозы, определен состав и сроки реализации мер и мероприятий по ЗИ.
   — Должен быть проведен расчет показателя защищенности и показателя уровня зрелости. Результат отправляется во ФСТЭК.
3. Проведение мероприятий и принятие мер по защите информации:
   — Определен перечень мероприятий, среди которых есть указание на необходимость реализации мер защиты информации.
   — Достаточность и эффективность проводимых мероприятий — оценивается по результатам определения показателя уровня зрелости.
   — Выявление и оценка угроз, а также разработка модели угроз осуществляется в случаях, установленных ПП 676. А в указанном документе явно указано, что это нужно делать.
   — Должен осуществляться мониторинг информационной безопасности ГИС и отчеты отправляться во ФСТЭК.
   — Подрядчики по разработке ПО должны применять ГОСТ Р 56939-2024 (безопасная разработка ПО).
   — Подрядчикам должно быть установлено требование по разработке ПО только на тестовых стендах, которые должны быть изолированы от продуктивных серверов.
   — Должно быть организовано взаимодействие с ГосСопка и ЦМУ ССОП.
   — Мероприятия по реализации в ГИС мер защиты информации должны включать: реализацию базовых мер, их адаптацию, дополнение и/или усиление.
   — До начала обработки конфиденциальной информации в ГИС — должна быть проведена ее аттестация в соответствии с порядком, установленным 77 приказом ФСТЭК.
   — Контроль защищенности должен проводиться не реже 1 раза в 3 года или после компьютерного инцидента. Отчет отправляется во ФСТЭК.
   — В случае невозможности реализации отдельных мер и/или мероприятий — возможно применять компенсирующие меры.
   — Должны применяться только сертифицированные средства защиты.
   — Защита должна реализовываться не только на инфраструктурном уровне (аппаратный, системный), но и на прикладном.
   — Защита ГИС должна осуществляться на всех стадиях жизненного цикла, в соответствии с ПП 676.
4. Требования к определению класса защищенности информационной системы:
   — Тут все также как в 17 приказе ФСТЭК.
   — Класс защиты зависит от уровня значимости обрабатываемой информации и масштаба ИС.
   — Класс защищенности информационной системы определяется в соответствии с таблицей 2 приложения 1 приказа 117 ФСТЭК.
   — Результаты классификации оформляется актом.

а) выявление и оценка угроз безопасности информации (п 36);

б) контроль конфигураций информационных систем (п 37);

в) управление уязвимостями (п 38);

г) управление обновлениями (п 39);

д) обеспечение защиты информации при обработке, хранении и обращении с информацией ограниченного доступа (п 40);

е) обеспечение защиты информации при применении конечных устройств (п 41);

ж) обеспечение защиты информации при применении мобильных устройств (п 42, п 43, п 44, п 45);

з) обеспечение защиты информации при удаленном доступе пользователей к информационным системам (п 46);

и) обеспечение защиты информации при беспроводном доступе пользователей к информационным системам (п 47);

к) обеспечение защиты информации при предоставлении пользователям доступа к информационным системам, предусматривающего чтение, выполнение, изменение, запись, удаление программ и (или) данных в информационных системах (далее — привилегированный доступ) (п 48);

л) обеспечение мониторинга информационной безопасности (п 49);

м) обеспечение разработки безопасного программного обеспечения (п 50);

н) обеспечение физической защиты информационных систем (п 51);

о) обеспечение непрерывности функционирования информационных систем при возникновении нештатных ситуаций (п 52, п 53, п 54, п 55);

п) повышение уровня знаний и информированности пользователей по вопросам защиты информации (п 56, п 57);

р) обеспечение защиты информации при взаимодействии с подрядными организациями (п 58);

с) обеспечение защиты от компьютерных атак, направленных на отказ в обслуживании (п 59);

т) обеспечение защиты информации при использовании искусственного интеллекта (п 60, п 61);

у) реализация в информационных системах мер по их защите и защите содержащейся в них информации (п 62, п 63, п 64, п 65, п 68, п 69, п 70, п 71, п 72, п 73);

ф) проведение контроля уровня защищенности информации, содержащейся в информационных системах (п 66, п 67);

х) обеспечение непрерывного взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.

а) идентификация и аутентификация;

б) управление доступом;

в) регистрация событий безопасности;

г) защита виртуализации и облачных вычислений;

д) защита технологий контейнерных сред и их оркестрации;

е) защита сервисов электронной почты;

ж) защита веб-технологий;

з) защита программных интерфейсов взаимодействия приложений;

и) защита конечных устройств;

к) защита мобильных устройств;

л) защита технологий интернета вещей

м) защита точек беспроводного доступа;

н) антивирусная защита;

о) обнаружение и предотвращение вторжений на сетевом уровне;

п) сегментация и межсетевое экранирование;

р) защита от компьютерных атак, направленных на отказ в обслуживании;

с) защита каналов передачи данных и сетевого взаимодействия.

• Контроль защищенности не реже 1 раза в 3 года.
• Жизненный цикл для ГИС и иных систем теперь разный (разные НПА).
• Появилась детализация разделов политики ИБ.
• Состав мер защиты сильно расширен.
• Пропало указания о проведении анализа уязвимостей на этапе внедрения СЗИ.
• В случае если ИС является ЗОКИИ – необходимо применять НМД по вектору 187-ФЗ.
• Требования к мероприятиям по защите информации при использовании ИИ.
• В случае использования СКЗИ – необходимо применять НМД по ФСБ.
• Появились четкие требования к подрядчикам.
• Появились четкие требования к компетенции и образованию сотрудников.
• Должны проводиться расчеты показателя защищенности и показателя уровня зрелости и направляться во ФСТЭК.
• Ежегодно во ФСТЭК направляется отчет по мониторингу ИБ.
• Появилась «сущность» мероприятия по ЗИ.
• Подрядчики при разработке ПО должны применять ГОСТ БРПО.
• Разработка и тестирование ПО не должны осуществляться на боевых стендах, а тестовые стенды должны быть строго изолированы.

а) оценку соответствия внутренних ОРД требованиям безопасности;

б) проверку наличия и согласования с ФСТЭК России модели угроз безопасности информации, технического задания на создание (развитие, модернизацию) объекта информатизации (только для государственных информационных систем);

в) обследование объекта информатизации;

г) проверку наличия документов, содержащих результаты анализа уязвимостей;

д) проверку наличия сведений о средствах защиты информации, установленных на объекте информатизации, в реестре сертифицированных средств защиты информации;

е) проверку наличия у владельца объекта информатизации работников, ответственных за обеспечение защиты информации;

ж) оценку уровня знаний и умений работников;

з) оценку соответствия принятых на объекте информатизации организационных мер;

и) оценку соответствия принятых на объекте информатизации технических мер.