Обзор нового методического документа «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах»

12 апреля 2026 года увидел свет долгожданный методический документ — прямое продолжение широко обсуждаемого приказа ФСТЭК России № 117 от 11.04.2025, который недавно вступил в силу. Почему «долгожданный»? Всё просто — без этого методического документа невозможно проводить необходимые мероприятия и принимать меры по защите информации в информационных системах, обязательные для государственных органов, государственных унитарных предприятий и государственных учреждений.

Давайте изучим методический документ более детально, пройдём по его основным разделам и, конечно же, заострим внимание на самом важном и новом.

Методический документ состоит из следующих разделов:

• общие положения документа;
• факторы, влияющие на состояние защиты информации, содержащейся в информационных системах;
• мероприятия по защите информации, содержащейся в информационных системах;
• меры по защите информационных систем и содержащейся в них информации;
• приложения, содержащие перечень используемых терминов, а также таблицы с составом обязательных для реализации мер защиты для каждого класса защищенности информационных систем (похожая и известная всем нам таблица была и в приказе ФСТЭК России № 17 от 11.02.2013).

Итак, в "Общих положениях" можно выделить следующие ключевые тезисы:

Задачи документа
Определяет общие подходы, состав и содержание мероприятий (процессов) и мер по защите информации

Состав и содержание документа
Детализирует мероприятия (процессы), которые организация должна выполнить для достижения целей защиты информации, обеспечения безопасности значимых объектов критической информационной инфраструктуры.

Для кого актуален?
Предназначен для:

• обладателей информации;
• заказчиков, заключивших государственный контракт на создание информационных систем;
• операторов информационных систем;
• подрядчиков, которым предоставляется доступ к информационным системам оператора и (или) содержащейся в них информации для оказания услуг, проведения работ

Когда применять?
Применяется в ходе:

1. организации деятельности по защите информации, созданию системы защиты информации и управления ею;
2. создания, эксплуатации и поддержания необходимого уровня защищенности информационных систем;
3. оценки эффективности деятельности по защите информации;
4. аттестации и проведения иных форм оценки соответствия информационных систем на соответствие требованиям по защите информации.

Переходим к следующему разделу: «Факторы, влияющие на состояние защиты информации, содержащейся в информационных системах».

Здесь, как и следует из названия, приведены факторы, которые влияют на систему управления информационной безопасности, а также рекомендации по снижению рисков, вызванных этими факторами.
Исходя из этого, можно определить следующие основные направления деятельности по защите информации:

Какие выводы можно сделать?

• Самое важное, что хочется подчеркнуть: ФСТЭК России прямо указывает на то, что обеспечение информационной безопасности — это непрерывная деятельность на протяжении всего жизненного цикла информационной системы, которая строится на четырех ключевых принципах: планирование, выполнение, проверка, внедрение.

Нельзя один раз провести мероприятия «для галочки» и успокоиться. Поэтому при модернизации информационных систем следует сразу же планировать мероприятия по обеспечению информационной безопасности и ликвидации угроз.

• При эксплуатации информационных систем удобно, когда они функционируют на унифицированных программно-аппаратных решениях. Важно не допускать «зоопарка» программ и прикладного оборудования, как минимум, внутри одной информационной системы.

• «Человеческий фактор» имеет большое значение. Пользователь может допустить ошибки, влекущие за собой угрозу безопасности информации, но при этом даже не будет догадываться об этом. Поэтому всегда нужно просвещать пользователей об основных техниках нарушителей (злоумышленников), о недопущении раскрытия информации, содержащей сведения ограниченного доступа.

• Появилась новая обязанность в виде расчета показателя защищенности Кзи. Стоит обратить внимание, что минимально допустимое значение показателя Кзи – 1. Расчет показателя защищенности Кзи не является «разовой акцией», его необходимо проводить регулярно, а результаты отправлять во ФСТЭК России в срок не позднее пяти рабочих дней после дня его расчета. Кзи подлежит расчету не реже одного раза в шесть месяцев.

Следующая часть нашего обзора будет иметь комбинированный вид — табличная форма с текстовыми «разборами полётов».

Как можно было заметить, в методическом документе, помимо привычных мер по защите информации, появились мероприятия (процессы) по защите информации, содержащейся в информационных системах.

ФСТЭК России предлагает целых 19 мероприятий с подробным описанием каждого из них:

Но и это ещё не всё. Раздел «Меры по защите информационных систем и содержащейся в них информации» тоже был существенно переработан и адаптирован под вышеописанные мероприятия. Мы сопоставили их в таблице:

Смотрим дальше: поменялся и сам состав мер по защите; не только были переработаны старые меры, знакомые нам ещё с приказа № 17 от 11.02.2013 ФСТЭК России, но и добавлены новые:

Что же хочется сказать в заключение?

Новый методический документ от 12.04.2026 «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» отличается энциклопедическим подходом — четкая структура, детальное описание мероприятий по защите информации, развернутое описание реализации и усиления для каждой защитной меры. Переход от абстрактного, формального, «одноразового» исполнения требований к конкретному, системному, требующему планирования — это весьма значимый шаг в сторону того, чтобы «реальная» и «бумажная» безопасность перестали быть взаимоисключающими понятиями.

Берегите себя, свои информационные системы и оставайтесь с нами!