Резервное копирование по ФСТЭК: требования и сертификаты СРК

Резервное копирование есть во всех приказах ФСТЭК о защите информации, но устроено в них по-разному. В требованиях к ИСПДн, КИИ и АСУ ТП это меры группы ОДТ. В приказе № 117 для ГИС это целый процесс со сроками восстановления и обязательными тренировками. Ниже — что именно требует каждый приказ, что записать в регламент резервного копирования и какие системы резервного копирования (СРК) сертифицированы ФСТЭК. Сертификаты сверены с государственным реестром ФСТЭК 6 октября 2026 года.

Если вы ещё не определили, какие требования касаются вашей организации, начните с навигатора требований ФСТЭК и законов.

Какие приказы ФСТЭК требуют резервного копирования

Приказ № 17 с 1 марта 2026 года заменён приказом № 117. В № 17 резервное копирование было мерами ОДТ.4 и ОДТ.5 для классов К1 и К2; что ещё поменялось для ГИС, разобрано в статье о приказе № 117.

ГИС по приказу № 117: сроки восстановления и проверка копий

В приказе № 117 резервное копирование входит в мероприятие «обеспечение непрерывности функционирования информационных систем при возникновении нештатных ситуаций» (подпункт «о» п. 34). Оператор определяет значимые функции — те, для которых установлен непрерывный режим работы, — и интервал, за который их нужно восстановить. Пункт 53 ограничивает этот интервал сверху:

По п. 55 оператор обязан:

• создавать достаточно резервных копий программ, программно-аппаратных средств и их конфигураций, чтобы уложиться в интервал восстановления, и периодически проверять эти копии на работоспособность;
• создавать копии информации, нужной для значимых функций, и хранить их на разных типах машинных носителей в местах, исключающих несанкционированный доступ;
• не реже одного раза в два года проверять, в том числе тренировкой с участием работников, которые будут восстанавливать систему, что значимые функции действительно восстанавливаются из копий.

Пункт 54 требует развернуть средства, обеспечивающие значимые функции, в отказоустойчивой конфигурации. А если восстановление всё же не укладывается в интервал, по п. 55 пользователи должны продолжать выполнять значимые функции, в том числе вручную, по внутренним регламентам.

Методический документ ФСТЭК от 12 апреля 2026 года к приказу № 117 добавляет две технические меры для всех классов: ЗСВ.5 — резервное копирование образов виртуальных машин и параметров средств виртуализации, ЗКО.4 — резервное копирование образов контейнеров. Обе применяются, если в системе есть виртуализация или контейнеры. Резервное копирование журналов событий безопасности (усиление РСБ.4) и почтовых ящиков (усиление ЗЭП.1) в базовый набор ни одного класса не входит. Как определить класс системы, показано в статье о классах К1, К2 и К3.

Резервное копирование персональных данных по приказу № 21

Закон о персональных данных относит восстановление данных, изменённых или уничтоженных из-за несанкционированного доступа, к мерам обеспечения их безопасности (п. 7 ч. 2 ст. 19 закона № 152-ФЗ). Конкретные меры задаёт приказ ФСТЭК № 21:

• ОДТ.4 — периодическое резервное копирование персональных данных на резервные машинные носители;
• ОДТ.5 — возможность восстановить персональные данные с резервных носителей в течение установленного интервала;
• ЗСВ.8 — резервное копирование данных и резервирование в виртуальной инфраструктуре.

Все три меры входят в базовый набор для 1-го и 2-го уровней защищённости. Для УЗ-3 и УЗ-4 их в базовом наборе нет, но при уточнении набора оператор добавляет меры против всех актуальных угроз (п. 9 приказа) — если потеря данных в модели угроз актуальна, резервное копирование вернётся в систему защиты. Если персональные данные обрабатываются в ГИС, действуют требования к ГИС, то есть приказ № 117 (п. 7 приказа № 21).

КИИ и АСУ ТП: группа ОДТ в приказах № 239 и № 31

Для значимых объектов КИИ и для АСУ ТП базовые наборы мер обеспечения доступности совпадают. Категория значимого объекта (№ 239) и класс АСУ ТП (№ 31) указаны в столбцах:

Резервное копирование и восстановление нужны объекту любой категории; отказоустойчивость и резервирование самого оборудования — со 2-й категории. Полный набор мер для значимого объекта собран в статье о средствах защиты КИИ, особенности АСУ ТП — в разборе защиты АСУ ТП.

Регламент и политика резервного копирования: что в них входит

Требования к резервному копированию записывают во внутренние документы организации: для ГИС это внутренние стандарты и регламенты (подпункты «г» и «д» п. 14 и п. 55 приказа № 117), для КИИ и АСУ ТП — документы по мере ОДТ.0. По приказу № 117 и методическому документу к нему во внутренних стандартах (политике резервного копирования) фиксируют:

• состав значимых функций и перечень нештатных ситуаций, при которых их нужно сохранить;
• интервалы восстановления для систем и их сегментов — для ГИС не дольше сроков п. 53;
• сколько копий программ, конфигураций и данных нужно, чтобы уложиться в интервал;
• периодичность резервного копирования, типы носителей, места хранения копий и уровень критичности резервируемой информации.

Во внутреннем регламенте резервного копирования и восстановления описывают:

• кто отвечает за восстановление, их функции и полномочия;
• состав мероприятий по восстановлению;
• порядок проверок и тренировок восстановления — для ГИС не реже раза в два года;
• как пользователи работают, если восстановление затянулось.

Частоту резервного копирования приказы не задают: её выбирает организация, исходя из интервала восстановления и того, сколько данных она готова потерять. Как перевести эти цифры в требования к СРК, разобрано в статье о том, как выбрать систему резервного копирования. Что копировать на сервере 1С, кроме самой базы, — в статье «Резервное копирование 1С». Порядок резервного копирования виртуальных машин (ЗСВ.5) и контейнеров (ЗКО.4) методический документ требует описать ещё и в эксплуатационной документации на систему.

Нужна ли сертифицированная система резервного копирования

Требования к средствам защиты в приказах сформулированы по-разному:

Сертификаты RuBackup и Кибер Хранилища выданы на соответствие требованиям доверия 4-го уровня и техническим условиям — класс защиты в них не указан; у ROSA Virtualization 3.0 к 4-му уровню доверия добавлены требования к средствам виртуализации 4-го класса. Строже 4-го уровня доверия ни один из четырёх приказов не требует, поэтому по уровню доверия сертифицированная СРК подходит системе любого класса и категории.

Будет ли СРК средством защиты в вашей системе, определяют модель угроз и проект системы защиты — порядок описан в статье о модели угроз по методике ФСТЭК. Для ГИС методический документ прямо называет средства резервного копирования способом выполнить меры ЗСВ.5 и ЗКО.4, а п. 71 требует сертифицированных средств. Поэтому для ГИС СРК разумно брать из реестра сразу.

Какие системы резервного копирования сертифицированы ФСТЭК

Выписка из государственного реестра сертифицированных средств защиты информации ФСТЭК на 6 октября 2026 года: системы резервного копирования, платформа со встроенным резервным копированием и объектное хранилище, куда можно складывать копии.

Сертификат проверяйте по реестру на дату закупки: страницы продуктов обновляются позже реестра. Как читать строку реестра — в статье о сертификатах ФСТЭК и классах защиты.

Сертификат Кибер Бэкапа № 4337: что с ним сейчас

Сертификат № 4337 переоформлялся под новые версии Кибер Бэкапа, последней в таблице производителя значится 17.3, и истёк 11 декабря 2025 года. Нового сертификата на Кибер Бэкап в реестре ФСТЭК на 6 октября 2026 года нет. В таблице сертифицированных версий на сайте Киберпротекта для версии 18.0 указано «продление сертификата» — без номера и даты.

Статус экземпляров, которые уже работают в организации, определяет п. 14 Положения о системе сертификации средств защиты информации (приказ ФСТЭК № 55): серийное средство считается сертифицированным, если оно произведено в период действия сертификата, соответствует требованиям по безопасности информации и изготовитель или заявитель осуществляет его техническую поддержку. Важна дата производства экземпляра, а не дата покупки. По данным заявителя в реестре, техническая поддержка Кибер Бэкапа по сертификату № 4337 заканчивается 31 декабря 2026 года. Новые версии сертифицированного Кибер Бэкапа и обновлённый пакет сертификации, по политике лицензирования Киберпротекта, выдаёт ООО «СИС груп» при действующем сертификате на сопровождение сертифицированной версии.

Для систем без требования сертификата смотрите цены и редакции Кибер Бэкапа, а как выбрать между Стандартной и Расширенной редакциями и посчитать лицензии — в отдельной статье. Если раньше копии делали Acronis или Veeam, чем их заменить — в статье «Чем заменить Acronis и Veeam».

Что купить под требования ФСТЭК и как оформить

RuBackup — сертификат № 4879, 4-й уровень доверия. По заявлению разработчика, этого достаточно для значимых объектов КИИ 1-й категории, ГИС и АСУ ТП 1-го класса и ИСПДн с 1-м уровнем защищённости. В каталоге RuBackup есть в двух комплектах:

RuBackup OneClick — система резервного копирования вместе с Astra Linux и СУБД Tantor Basic, лицензии бессрочные. По документации разработчика сервер СРК в OneClick — не больше 2 сокетов и 8 ядер, к нему подключают до 10 клиентов (из них не больше двух СУБД и двух систем виртуализации), объём резервных копий — до 250 ТБ. Операционная система в комплекте — «Орёл»: по описанию Astra, это вариант лицензирования несертифицированной ОС с базовым уровнем защищённости, он не применяется в системах с требованиями к защите информации. Для аттестуемой системы ОС с нужным уровнем защищённости подбираем отдельно — уровни описаны в статье о сертификатах Astra Linux.

Комплект VMmanager 6 с RuBackup редакции «Базовая» — платформа виртуализации и резервное копирование виртуальных машин одной поставкой. Какая версия RuBackup сертифицирована и как получить сертифицированный дистрибутив, разработчик сообщает клиентам с технической поддержкой; для аттестуемой системы сверяем это до выставления счёта.

Комплект RuBackup OneClick со стандартными обновлениями на 12 месяцев:

Рекомендуем в статье RuBackup OneClick на сервер до 2 сокетов: резервное копирование, ОС Astra Linux «Орёл» и СУБД Tantor Basic, электронная поставка, стандартные обновления на 12 месяцев, бессрочная лицензия

RBOC0000000DIG000SR01-SO12

761 000 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

Расчёт PDF В корзину В корзине Подробнее →

Кибер Хранилище — программно-определяемое хранилище на стандартных серверах. Сертификат № 5049 (4-й уровень доверия, до 12.03.2031) выдан на версию 6.0 для предустановленной РЕД ОС, и она даёт только объектное хранилище S3: блочный и файловый доступ и шлюз для Кибер Бэкапа есть лишь в несертифицированных редакциях. Для резервных копий сертифицированная версия подходит, если ваша СРК записывает копии в S3. Чем своё S3-хранилище отличается от облачного, разобрано в статье «Своё S3-хранилище: облако или собственные серверы». При первой покупке к ней нужен базовый электронный пакет сертификации — дистрибутив эталонного образца, формуляр и заверенная копия сертификата, один пакет на физический адрес организации. Лицензия продаётся вместе с сертификатом на сопровождение.

Рекомендуем в статье Кибер Хранилище — редакция для предустановленных ОС (ФСТЭК), 10 ТБ, бессрочная лицензия

FCSR10TBNL

171 561 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО + Сертификат на сопровождение — Кибер Хранилище, редакция для предустановленных ОС (ФСТЭК), 10 ТБ — 34 834 ₽, без него лицензия не оформляется

Расчёт PDF В корзину В корзине Подробнее →

ROSA Virtualization 3.0 — сертифицированная платформа виртуализации (№ 4861) со встроенным безагентным резервным копированием виртуальных машин. Сертифицированную версию поставляют с медиа-комплектом — дисками, формуляром и копией сертификата соответствия.

Порядок закупки для аттестуемой системы:

1. Определите класс ГИС, уровень защищённости персональных данных или категорию значимого объекта — от них зависят меры и сроки восстановления.
2. Решите в проекте системы защиты, нужна ли сертифицированная СРК.
3. Сверьте сертификат с госреестром ФСТЭК на дату закупки.
4. Соберите поставку целиком: лицензии, сертифицированный дистрибутив и формуляр, сопровождение на первый период.
5. Получите счёт и договор на юрлицо и закрывающие документы.

Частые вопросы