Аттестация объектов информатизации по приказу ФСТЭК № 77

Аттестация объектов информатизации — это проверка, которую, как правило, проводит организация с лицензией ФСТЭК: она подтверждает, что система защиты информации выполняет требования и достаточна против актуальных угроз в реальных условиях эксплуатации. По её итогам выдают аттестат соответствия, без которого государственная информационная система не может начать обрабатывать информацию. Порядок работ утверждён приказом ФСТЭК России от 29 апреля 2021 года № 77; с 1 сентября 2026 года он действует в редакции приказа ФСТЭК № 60 от 27 февраля 2026 года.

Разбираем порядок по тексту документа: кому аттестация обязательна, кто её проводит, какие документы готовить, как идут испытания и что происходит после выдачи аттестата. Отдельный раздел — какие сертифицированные средства защиты установить до прихода органа по аттестации: их наличие в реестре ФСТЭК проверяют на испытаниях. Наборы и цены СЗИ от несанкционированного доступа — на странице купить Secret Net Studio.

Каким объектам аттестация обязательна

Порядок № 77 перечисляет две группы объектов (п. 3). Для первой аттестация обязательна, для второй — если владелец сам установил оценку соответствия в форме аттестации.

Аттестацию проводят на этапе создания или модернизации объекта. На этапе эксплуатации — если владелец решил обрабатывать защищаемую информацию уже после ввода системы в эксплуатацию (п. 4).

Кто проводит аттестацию: орган по аттестации

Аттестационные испытания проводит орган по аттестации — организация с лицензией ФСТЭК на техническую защиту конфиденциальной информации с правом аттестационных испытаний и аттестации (п. 5). Что нужно, чтобы получить такую лицензию, разобрано в статье «Лицензия ФСТЭК на ТЗКИ».

• Орган назначает аттестационную комиссию: руководитель и не менее двух экспертов (п. 7).
• Эксперты должны быть независимы от владельца объекта. Назначать экспертами работников, которые разрабатывали или внедряли систему защиты этого объекта, нельзя (п. 8).
• Срок аттестации устанавливает владелец по согласованию с органом по аттестации, но не больше четырёх месяцев (п. 9).

Федеральные и региональные органы власти и органы местного самоуправления могут аттестовать свои объекты силами собственного подразделения по защите информации (п. 6). Для этого нужно решение руководителя, информирование ФСТЭК, средства контроля эффективности защиты от несанкционированного доступа, документы ФСТЭК и подготовленные работники.

Какие документы подготовить к аттестации

Владелец объекта передаёт органу по аттестации документы или их копии, по своему решению — в электронном виде (п. 11):

1. Технический паспорт объекта — по форме из приложений № 1 и 2 к Порядку.
2. Акт классификации системы или акт категорирования значимого объекта КИИ. Как определить класс, разобрано в статье «Класс защищённости ГИС», уровень для систем с персональными данными — в статье «Уровень защищённости персональных данных».
3. Модель угроз — если её разработка требуется; как её составить, разобрано в статье «Модель угроз по методике ФСТЭК».
4. Техническое задание на создание или модернизацию объекта и частное техническое задание на систему защиты — если их разрабатывали.
5. Проектную документацию на систему защиты — если её разрабатывали.
6. Эксплуатационную документацию на систему защиты и на применяемые средства защиты.
7. Организационно-распорядительные документы: план мероприятий по защите информации, порядок оценки угроз, администрирования системы защиты, управления конфигурацией, реагирования на инциденты, обучения персонала и контроля защищённости.
8. Результаты анализа уязвимостей и приёмочных испытаний системы защиты — если их проводили при создании объекта.

Как проходят аттестационные испытания

По документам и предварительному знакомству с объектом орган по аттестации пишет программу и методики испытаний. Их согласуют с владельцем и утверждают до начала работ (п. 12–14). Сами испытания включают (п. 15):

• оценку технического паспорта, акта классификации, эксплуатационной и организационной документации;
• для ГИС — проверку, что модель угроз и техническое задание согласованы с ФСТЭК;
• обследование объекта и условий его эксплуатации;
• проверку документов с результатами анализа уязвимостей на предварительных или приёмочных испытаниях;
• проверку, что установленные средства защиты есть в реестре сертифицированных средств ФСТЭК, если их применение обязательно, или что они прошли оценку соответствия в другой форме;
• проверку, есть ли у владельца ответственные работники, включая администраторов безопасности, и оценку их знаний;
• оценку организационных и технических мер защиты от несанкционированного доступа;
• для защищаемых помещений — оценку защиты от утечки по техническим каналам.

Технические меры проверяют на практике (п. 16 «б»): функциональным тестированием, анализом уязвимостей и тестированием на проникновение — по методическим документам ФСТЭК. Тестирование на проникновение обязательно для ГИС и других систем госорганов, ГУП и госучреждений 1 и 2 класса защищённости, если они подключены к интернету или обмениваются данными с другими системами, в том числе подрядчиков. Исключение — обмен по сети шифрованной связи или VPN на сертифицированных СКЗИ (п. 16¹). Как проходят анализ уязвимостей и пентест и что попадает в отчёт, разобрано в статье «Анализ защищённости и пентест по методикам ФСТЭК».

Пока идут испытания, владелец вправе дорабатывать объект и его систему защиты, чтобы привести их к требованиям (п. 17).

Заключение, протоколы и аттестат соответствия

По итогам испытаний орган по аттестации оформляет заключение, а по проверке технических мер и защиты помещений — ещё и протоколы. Оба документа направляют владельцу в течение пяти рабочих дней после утверждения (п. 18–20).

• Недостатки, которые можно устранить в ходе аттестации, владелец устраняет, орган оценивает качество устранения и повторно оформляет заключение с выводом о возможности выдать аттестат (п. 21).
• Недостатки, которые устранить нельзя, завершают работы: аттестат не оформляется (п. 23).
• Несогласие с выводами — письменное обращение в ФСТЭК или её управление по федеральному округу в течение пяти рабочих дней. ФСТЭК оценивает документы за 10 календарных дней (п. 24–25).

Аттестат подписывает руководитель органа по аттестации (п. 22). В течение пяти рабочих дней орган направляет в ФСТЭК копии аттестата, технического паспорта, акта классификации, программы и методик, заключения и протоколов. ФСТЭК за три рабочих дня вносит объект в реестр аттестованных объектов информатизации и затем проводит экспертно-документальную оценку материалов (п. 27–29). Найденные недостатки владелец устраняет в срок из заключения ФСТЭК — иначе действие аттестата могут приостановить (п. 30).

Что происходит после аттестации

Аттестат выдают на весь срок эксплуатации объекта (п. 31). Но поддерживать защиту и подтверждать её владелец обязан всё это время.

Действие аттестата приостанавливают, если объект перестал соответствовать требованиям, владелец не устранил недостатки, найденные ФСТЭК, не представил отчёт о контроле или изменил систему защиты так, что объект больше не соответствует аттестату. Срок приостановления — до 90 календарных дней. На это время эксплуатацию прекращают или по согласованию с ФСТЭК принимают меры, исключающие угрозы (п. 34–37). Если в срок из уведомления о приостановлении владелец не представил материалы, подтверждающие устранение недостатков, или отчёт о контроле, действие аттестата прекращается (п. 40).

Какие средства защиты установить до аттестации

Состав средств задают требования к системе, её класс и модель угроз. Для ГИС и других систем госсектора пункт 71 приказа № 117 требует сертифицированные средства защиты с поддержкой безопасности от разработчика в России. Класс средства зависит от класса системы (п. 72): для К1 — не ниже 4-го класса защиты и уровня доверия, для К2 — не ниже 5-го, для К3 — 6-й.

Сертификаты по госреестру ФСТЭК на 2 ноября 2026 года, у всех — 4-й уровень доверия: Secret Net Studio — № 3745 до 16.05.2030, XSpider PRO и MaxPatrol VM — № 4980 до 22.09.2030, RedCheck — № 3172 до 23.06.2030, Сканер-ВС — № 2204 до 13.11.2029. Как читать сертификат и сверить его с реестром, разобрано в статье «Сертификат ФСТЭК и ФСБ: реестр и классы защиты».

У Secret Net Studio сертификат № 3745 охватывает несколько мер сразу: защиту от несанкционированного доступа (5-й класс СВТ), а также межсетевой экран уровня узла, антивирусную защиту, контроль съёмных носителей и обнаружение вторжений на узле — 4-го класса защиты; набор модулей зависит от редакции. Лицензия редакции «Оптимальная защита» на один компьютер с Windows на год стоит 6 068 ₽:

Рекомендуем в статье Secret Net Studio — Оптимальная защита, Windows, 1 год

SNS-8.x-BK2-SB-SP1Y

6 068 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

Расчёт PDF В корзину В корзине Подробнее →

Для анализа уязвимостей внутренней сети методика ФСТЭК требует сканирование под привилегированной учётной записью — его даёт набор XSpider PRO Pentest + Audit. Лицензия на 4 IP-адреса на год стоит 32 092,20 ₽:

Рекомендуем в статье Программное обеспечение XSpider PRO. Лицензия Pentest + Audit на 4 IP, срок действия лицензии, включая обновления, 1 (один) год.

PT-XSP-PA4

32 092,20 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

Расчёт PDF В корзину В корзине Подробнее →

Как закупить средства защиты под аттестацию

Перед закупкой соберите класс системы или категорию объекта, модель угроз и число рабочих мест, серверов и IP-адресов в границах аттестации. По этим данным мы подберём сертифицированные средства нужного класса, подготовим КП для обоснования цены и спецификацию с номерами сертификатов ФСТЭК, выставим счёт и заключим договор с юридическим лицом.

Частые вопросы