Содержание
С 1 марта 2026 года Требования к защите информации в государственных системах, утверждённые приказом ФСТЭК России № 117, подробно расписали, как обучать сотрудников. Пункты 56–57 Требований требуют регулярно повышать уровень знаний и информированности пользователей и оценивать эти знания — не реже одного раза в три года или после компьютерного инцидента. Разбираем, как организовать обучение сотрудников по приказу, какие форматы подходят и чем платформа закрывает требование вместе с отчётностью для проверки.
Что именно требует приказ
Требования обязывают организацию проводить обучение пользователей информационных систем по вопросам защиты информации и повышать их информированность. Порядок обучения — какие мероприятия проводятся, в какой форме и как оцениваются знания — организация закрепляет во внутренних регламентах по защите информации (пункт 14 Требований).
Два обязательных правила:
- Оценка уровня знаний — не реже одного раза в три года или после компьютерного инцидента в организации (пункт 57).
- Пользователю, не показавшему знаний, организуют повторное прохождение обучающих курсов (пункт 57).
Обучение пользователей не путайте со смежным требованием пункта 20: не менее 30 % работников подразделения по защите информации должны иметь профильное образование или пройти программу профессиональной переподготовки. Это требование к кадрам отдела ЗИ, а пункты 56–57 — про всех пользователей системы.
Пункты Требований об обучении (в кавычках — дословно):
| Пункт | Что в нём сказано |
|---|---|
| 14, подпункт «а» | политика защиты информации содержит «ответственность работников за нарушение требований о защите информации» |
| 14, подпункт «д» | внутренние регламенты содержат «порядок повышения уровня знаний и информированности пользователей по вопросам защиты информации» |
| 56 | мероприятия «должны включать» информационные материалы, лекции и семинары, имитационные рассылки и тренировки |
| 57 | способы обучения, «периодичность и формы оценки уровня знаний» определяются во внутренних регламентах |
Кого обучать и кто отвечает
Пользователи в Требованиях — все лица, обладающие правами доступа к информационным системам и (или) содержащейся в них информации (пункт 14, подпункт «г»).
Методический документ ФСТЭК России от 12 апреля 2026 года (раздел 3.15, мероприятие «УЗ») требует определить категории обучаемых работников и ответственных за обучение. Ответственные периодически тестируют знания, а подразделение по защите информации учитывает тех, кто систематически показывает неудовлетворительный уровень, и сообщает о них руководителю.
Подрядчиков пункт 16 Требований обязывает ознакомить с политикой защиты информации в части, их касающейся.
Какие форматы подходят
Состав мероприятий пункт 56 задаёт обязательным перечнем — они «должны включать» все четыре вида. Способы обучения, периодичность и формы оценки знаний организация выбирает сама и фиксирует в регламентах (пункт 57):
- памятки, баннеры и буклеты для пользователей;
- лекции, семинары и обучающие игры;
- имитационные рассылки — провокационные письма, похожие на фишинг, которые проверяют устойчивость сотрудников к социальной инженерии;
- практические тренировки — отработка мер защиты, предусмотренных внутренними регламентами, и навыков.
Комбинация форматов работает лучше одного: короткие регулярные занятия удерживают внимание, а имитационные рассылки показывают реальную картину — кто и на что реагирует.
В методическом документе ФСТЭК России от 12 апреля 2026 года имитационные рассылки и тренировки стоят в «требованиях к усилению», которые применяются по решению оператора. Документ общий для нескольких приказов ФСТЭК, а пункт 56 Требований по приказу № 117 включает рассылки и тренировки в перечень, который мероприятия «должны включать».
Что должно остаться для проверяющего
ФСТЭК надзирает за исполнением Требований, и на проверке у организации спросят доказательства: регламент с порядком обучения, график мероприятий, результаты оценки знаний и повторного обучения. Вести это вручную на сотнях сотрудников тяжело: расписания, напоминания, учёт прохождений, пересдачи.
Платформа обучения закрывает рутину: назначает учебные задачи, напоминает о занятиях, считает прогресс по каждому сотруднику и сохраняет результаты в виде, из которого складывается отчёт для внутреннего аудита и надзорных проверок.
Регламент платформа не заменяет. По разделу 3.15 методического документа в нём должны быть:
- кого обучают — подразделения, работники или их категории;
- способы обучения и условия их использования;
- состав, содержание и периодичность мероприятий;
- ответственные за организацию и проведение обучения;
- порядок тренировок по практической отработке мероприятий по защите информации.
Ответственность — двух уровней. Внутри организации её устанавливает политика защиты информации (пункт 14, подпункт «а»). Перед государством — часть 6 статьи 13.12 КоАП о нарушении требований о защите информации, установленных нормативными актами: штраф для должностных лиц от 10 до 50 тысяч рублей, для юридических лиц — от 50 до 100 тысяч рублей (в редакции закона от 23 мая 2025 года № 104-ФЗ).
Обучение в оценке уровня зрелости
Уровень зрелости по пункту 32 Требований оценивают не реже раза в два года. С 1 сентября 2026 года этот показатель обозначается Узи вместо Пзи — так его переименовал приказ ФСТЭК № 137, а с 1 марта 2027 года Узи считает подрядная организация — до получения доступа к системам или информации либо передачи ей информации, далее раз в два года. Методика ФСТЭК России от 7 августа 2026 года учитывает обучение дважды: это отдельное, 16-е направление оценки и один из восьми видов требований к каждому из 21 направления. Оценки по нему:
| Как организовано обучение | Значение |
|---|---|
| не проводится | 0 |
| эпизодически, по инициативе руководителей подразделений | 0,3 |
| без системного подхода и измерения результатов | 0,5 |
| по утверждённой программе для разных категорий работников, с контролем знаний | 1 |
Если обучение идёт без инструментальных средств и платформ, вид требования «Инструменты» равен нулю — и 16-е направление не получает даже первого уровня.
Для оценки запрашивают отчёты и протоколы по итогам мероприятий; не представили — направлению ставят ноль (пункт 24 методики). О втором показателе — в статье о показателе защищённости Кзи.
Kaspersky Automated Security Awareness Platform
Kaspersky ASAP — онлайн-платформа обучения сотрудников кибербезопасности. На странице Kaspersky Security Awareness вендор предлагает автоматизировать с ASAP обучение «под ключевые требования регуляторов» и называет среди них приказ ФСТЭК России № 117, Указ Президента № 250, 187-ФЗ о безопасности КИИ и Положение Банка России № 757-П.
Что внутри:
- учебные курсы, сгруппированные по ролям и необходимым знаниям сотрудника;
- тренировки, в том числе отработка реакции на фишинговые письма;
- автоматическое назначение учебных задач: платформа сама ведёт сотрудника по программе;
- панель прогресса — видно, кто прошёл курс, кто просрочил и у кого пробелы.
Платформы обучения методический документ ФСТЭК называет среди усилений мероприятия «УЗ». Что ASAP закрывает по пунктам 56–57:
| Требование | Что даёт ASAP | Что делает организация |
|---|---|---|
| материалы, п. 56 «а» | загрузка своих PDF и SCORM | памятки по своим регламентам |
| лекции, п. 56 «б» | интерактивные уроки, в экспресс-курсе — видеоуроки | очные занятия по регламенту |
| рассылки, п. 56 «в» | симуляция фишинга до, во время и после курса | кого и как часто проверять |
| тренировки, п. 56 «г» | практические упражнения для закрепления навыков | отработка действий по своим регламентам |
| оценка, п. 57 | тесты и подробные отчёты по каждому обучающемуся | периодичность и форма оценки в регламенте |
Лицензия — за активного обучающегося, минимальный заказ от пяти. Срок — год или два; двухлетняя лицензия выгоднее двух годовых подряд и не даст программе обучения прерваться между циклами оценки знаний.
Товар Kaspersky Automated Security Awareness Platform от 6 346 ₽ Смотреть →Линейка обучения Kaspersky: что выбрать
Помимо полной платформы в каталоге есть смежные форматы — под разные задачи и размеры организации.
| Продукт | Кому и зачем | Формат | Лицензия | Цена |
|---|---|---|---|---|
| ASAP | всем пользователям ИС: курсы, тренировки, контроль прогресса | онлайн-платформа | за активного обучающегося, от 5 | 7 052 ₽ |
| ASAP — только учебные материалы | у кого уже есть своя LMS: контент Kaspersky внутри неё | библиотека курсов | за обучающегося, пакеты от 250 | 3 920,60 ₽ |
| Express Course | старт программы: короткий курс базовых навыков для 100–499 человек | онлайн-курс | за обучающегося | 2 413,78 ₽ |
| Online Security Trainings for Experts | специалистам ИТ и ИБ: безопасная разработка, поиск угроз, реагирование | курсы экспертов, доступ 6 месяцев | за пакет курса | 39 675 ₽ |
Сколько стоит обучение
Считать просто: умножаете число пользователей ИС на цену за обучающегося. Цена начинается от 7 052 ₽ за человека при минимальном заказе и снижается с ростом числа обучающихся — для сотни сотрудников выходит заметно дешевле ручного ведения всего цикла. Продление действующей лицензии стоит меньше новой.
Стартовая позиция — годовая лицензия ASAP на 5–499 обучающихся:
Как оформить покупку на юрлицо
Поставляем лицензии организациям со счётом, договором и закрывающими документами. Программные продукты Kaspersky включены в реестр российского ПО, поэтому лицензии облагаются НДС по льготе «не облагается». Поставка электронная.
Поможем определить число обучающихся, выбрать формат и собрать документы для закупки. Если система аттестуется, обучение удобно включить в тот же комплект поставки, что и средства защиты из обзора мер приказа № 117.
Частые вопросы
Обучение обязательно для всех сотрудников? +
Требования относят к пользователям всех, у кого есть права доступа к информационной системе или её информации (пункт 14, подпункт «г»). Категории пользователей и объём обучения организация закрепляет во внутренних регламентах.
Как часто нужно оценивать знания? +
Не реже одного раза в три года или после компьютерного инцидента (пункт 57). Форму оценки — тест, зачёт или иную — организация устанавливает во внутренних регламентах.
Сотрудник не сдал тест. Что делать? +
Организовать повторное прохождение обучающих курсов — это требование пункта 57. Платформа помогает вести и повторное обучение: автоматически назначает учебные задачи и отслеживает прохождение.
Подойдёт ли платформа для проверки ФСТЭК? +
Платформа закрывает практическую часть: регулярные занятия, оценку знаний и учёт результатов. Формальную основу задают внутренние регламенты по защите информации — без них инструмент не заменяет документ.
Чем ASAP отличается от Express Course? +
ASAP — постоянно действующая программа: курсы, тренировки и контроль прогресса. Express Course — короткий курс базовых навыков для 100–499 сотрудников, удобен для старта программы обучения.
