Требования ФСТЭК по защите информации: кому и какие документы применять

ФСТЭК России устанавливает требования к технической защите информации для разных типов систем. Единого перечня мер для любой организации нет. Сначала нужно определить объект защиты: государственная информационная система, информационная система персональных данных, значимый объект критической информационной инфраструктуры или другая система.

Материал актуален на 12 августа 2026 года. Перед применением требований нужно проверить действующую редакцию документа на сайте регулятора.

Чем занимается ФСТЭК России

ФСТЭК регулирует вопросы технической защиты информации и противодействия техническим разведкам в пределах своих полномочий. Служба издает нормативные и методические документы, лицензирует отдельные виды деятельности и ведет реестр сертифицированных средств защиты.

ФСТЭК не является единственным регулятором информационной безопасности. Вопросы криптографической защиты относятся к компетенции ФСБ России. Обработку персональных данных также контролирует Роскомнадзор. Для кредитных организаций действуют требования Банка России. Поэтому карту требований составляют по типу организации, системы и данных.

Сначала определите объект защиты

Один и тот же сервер способен входить в разные контуры, но требования выбирают не по названию оборудования. Важен статус информационной системы и сведения, которые в ней обрабатываются.

Государственные информационные системы

Для ГИС применяют специальные требования ФСТЭК. В 2025 году служба утвердила новые требования приказом от 11 апреля 2025 года № 117. Официальный текст размещен на сайте регулятора: приказ ФСТЭК России № 117.

Документ нужно читать вместе с областью применения, сроками вступления и переходными положениями. Нельзя автоматически переносить его меры на любую коммерческую систему.

Информационные системы персональных данных

Для ИСПДн сначала определяют уровень защищенности по постановлению Правительства РФ № 1119. Затем выбирают меры защиты по приказу ФСТЭК России № 21. При выборе учитывают угрозы, категории персональных данных, число субъектов и тип актуальных нарушителей.

Текущие редакции документов нужно проверять в официальных источниках. Закон № 152-ФЗ закрепляет общие обязанности оператора: Федеральный закон «О персональных данных».

Критическая информационная инфраструктура

Для значимых объектов КИИ действуют требования, связанные с Федеральным законом № 187-ФЗ и документами ФСТЭК. Состав мер зависит от категории значимости и характеристик объекта.

Не каждая система компании относится к значимому объекту. Сначала субъект КИИ проводит категорирование в установленном порядке.

Другие информационные системы

Для коммерческой системы без специального статуса не всегда действует обязательный набор мер из приказов для ГИС или КИИ. Но организация вправе использовать документы ФСТЭК как ориентир, если это не создает ложного впечатления об обязательности.

Как выбрать требования

Практический порядок выглядит так:

• Описать систему, границы и владельца.
• Определить виды информации и правовой режим.
• Установить статус системы и применимые нормативные акты.
• Провести классификацию, определить уровень защищенности или категорию значимости, если это требуется.
• Построить модель угроз.
• Выбрать базовый набор мер.
• Адаптировать меры с учетом архитектуры и угроз.
• Определить средства защиты и требования к их сертификации.
• Внедрить меры, проверить их работу и оформить документы.
• Поддерживать защиту после изменений системы и угроз.

Нельзя начинать с покупки сертифицированного продукта. Сначала нужно понять, какую меру он реализует и подходит ли его сертификат для нужного класса или уровня.

Меры защиты информации

Документы ФСТЭК объединяют меры в группы. В зависимости от системы в них входят:

• идентификация и аутентификация;
• управление доступом;
• ограничение программной среды;
• защита машинных носителей;
• регистрация событий;
• антивирусная защита;
• обнаружение вторжений;
• анализ защищенности;
• обеспечение целостности и доступности;
• реагирование на инциденты;
• управление конфигурацией.

Наличие меры в перечне не означает, что достаточно поставить программу. Для каждой меры нужны настройки, ответственные, эксплуатационные процедуры и подтверждение работы.

Когда нужны сертифицированные средства защиты

Сертифицированное средство требуется в случаях, которые определяют применимые нормативные акты и выбранный способ реализации мер. Нужно проверить:

• назначение средства;
• уровень контроля отсутствия недекларированных возможностей или требования доверия;
• класс защиты;
• срок действия сертификата;
• версии и компоненты, которые входят в сертификат;
• условия эксплуатации.

Реестр размещен на сайте ФСТЭК. Ссылка из коммерческого описания продукта не заменяет проверку записи в реестре и формуляра.

Сертификация и лицензирование — разные процедуры

Сертификат подтверждает соответствие конкретного средства установленным требованиям в указанной конфигурации. Лицензия дает организации право вести определенный вид деятельности, например оказывать услуги по технической защите конфиденциальной информации в пределах лицензии.

Наличие сертификата у продукта не означает, что его поставщик вправе выполнять любые работы. И наоборот, лицензия исполнителя не делает каждый продукт сертифицированным.

Где проверять документы

Используйте первичные источники:

• документы ФСТЭК России;
• перечни нормативных актов и методических документов ФСТЭК;
• портал официального опубликования правовых актов.

Перед работой убедитесь, что перечень не заменен более новой редакцией.

Коротко о важном

Требования ФСТЭК выбирают не для компании в целом, а для конкретного объекта защиты. Сначала определяют статус системы, сведения и угрозы. Затем выбирают меры и средства. Сертификация продукта и лицензирование исполнителя решают разные задачи.

Попробовать бесплатно

FAQ