Аттестация ИБ в 2026: когда она реально нужна и сколько это стоит

С 1 марта 2026 года вступил в силу приказ ФСТЭК России № 117, который полностью заменил действовавший более 10 лет приказ № 17. Новый документ существенно расширил перечень требований к системам и круг организаций, обязанных им соответствовать .
На вебинаре эксперты TS Solution разобрали ключевые изменения и дали практические рекомендации по подготовке к аттестации в новых условиях.

Главное изменение — переход от разовой аттестации к непрерывному управлению защищённостью. Если раньше можно было ограничиться формальным выполнением мер и получением аттестата, то теперь регулятор требует регулярной оценки показателей защищённости (КЗИ) и уровня зрелости (ПЗИ) с обязательной отчётностью.

Что меняется на практике:

• оценка КЗИ проводится не реже раза в 6 месяцев, ПЗИ — не реже раза в 2 года
• критические уязвимости необходимо устранять в течение 24 часов
• не менее 30% сотрудников подразделения защиты информации должны иметь профильное образование или переподготовку

Новый приказ вводит не просто обновлённый перечень мер, а системный подход к организации защиты. Требования разделяются на организационные и технические — и те, и другие стали жёстче.

С точки зрения организационных мер необходимо разработать полный набор документов:

• политика информационной безопасности
• внутренние регламенты (управление учётными записями, антивирусная защита, работа с машинными носителями)
• регламенты выявления инцидентов и реагирования на них
• приказы о назначении ответственных за обеспечение безопасности

По технической части помимо уже знакомых средств (СЗИ от НСД, межсетевые экраны, антивирусы) появляются новые обязательные классы:

• PAM — управление привилегированным доступом
• EDR — мониторинг конечных устройств в реальном времени
• средства многофакторной аутентификации
• средства создания замкнутой программной среды («песочницы»)

Антивирусная защита теперь вынесена в отдельную область: нужно защищать рабочие станции, серверы, электронную почту и сетевой трафик.

На вебинаре эксперты разобрали пошаговый алгоритм действий.

Первый шаг — определить, нужно ли вашей компании проходить аттестацию. Под действие приказа попадают:

• государственные органы и учреждения
• государственные унитарные предприятия
• владельцы информационных систем, получающих информацию из ГИС
• владельцы ИТКС, на базе которых размещены системы вышеуказанных организаций

Если у вас аттестация была получена до 1 марта 2026 года, она продолжает действовать. Но это не освобождает от выполнения новых требований — нужно планировать переход на новые СЗИ и дорабатывать документацию.

При изменении архитектуры системы (тип ПО, расположение компонентов) требуется проводить аттестацию заново. Если же средства заменены на аналогичные — достаточно дополнительных испытаний и внесения изменений в техпаспорт.

Важный нюанс: если ваша система получает из ГИС информацию ограниченного доступа, соответствие приказу обязательно. Но в этом случае можно ограничиться оценкой соответствия вместо полноценной аттестации.

Набор средств защиты зависит от применяемых технологий и класса защищённости системы — универсального решения не существует. Базовый перечень мер нужно адаптировать под каждую конкретную систему.

Отдельного внимания заслуживает методический документ ФСТЭК от 25 ноября 2025 года о порядке анализа защищённости. Он обязателен к применению при аттестации, оценке соответствия и контроле защищённости. Если раньше можно было ограничиться формальным сканированием уязвимостей, теперь требуется выполнять полный набор проверок как для внешнего, так и для внутреннего контура.

Подводя итог, ключевой вывод вебинара: 117 приказ меняет не столько состав мер, сколько саму логику контроля. Безопасность становится непрерывным процессом с измеримыми показателями и регулярной отчётностью перед регулятором. Начинать подготовку стоит с анализа — кто вы с точки зрения приказа, какие системы у вас есть и какой объём работ предстоит выполнить.