Аттестация ГИС

Государственная информационная система хранит и передает сведения, которые нельзя оставлять без контроля. В ней могут содержаться персональные данные, служебная информация, материалы ограниченного доступа. Ошибка в настройке, слабый пароль или неверно выданные права могут привести к утечке.

Аттестация ГИС нужна до запуска ресурса в работу. Проверка показывает, готовы ли технические средства, документы и меры безопасности к обработке защищаемых данных. Без положительного результата эксплуатация ГИС нарушает установленный порядок.

Работы проводят только организации с лицензией ФСТЭК России. Специалисты изучают объект информатизации, проверяют защитные механизмы, проводят испытание, оформляют протоколы и аттестационный документ.

Аттестация помогает:

• проверить соответствие нормам ФСТЭК;
• выявить слабые места до запуска;
• подтвердить безопасность обработки данных;
• подготовить ГИС к законной эксплуатации.

Процедура снижает риск утечки, сбоя, несанкционированного доступа. После успешной проверки государственный информационный ресурс можно вводить в промышленную работу.

Что такое аттестация государственной информационной системы

Аттестация — это комплекс мероприятий, в рамках которого подтверждается соответствие объекта информатизации установленным требованиям. Проверка охватывает программные компоненты, технические средства, каналы передачи данных, а также рабочие места пользователей.

Основные задачи процедуры:

• подтверждение соответствия установленным правилам;
• выявление уязвимостей;
• оценка корректности реализованных мер защиты;
• предотвращение утечки данных;
• подготовка к безопасной эксплуатации.

В процессе проверки анализируется наличие средств защиты, корректность их настройки. Важно, чтобы все элементы функционировали согласовано, обеспечивали устойчивость к угрозам.

Особое внимание уделяется следующим аспектам:

• идентификация пользователей;
• управление правами доступа;
• регистрация событий безопасности;
• защита каналов передачи;
• контроль целостности информации.

Проверка может проводиться для отдельных сегментов. Такой подход применяется при сложной архитектуре. При совпадении условий результаты распространяются на аналогичные участки.

Итогом становится аттестационный документ, подтверждающий соответствие установленным требованиям.

Нормативные требования ФСТЭК к аттестации ГИС

Нормативную основу составляют требования ФСТЭК России. Ключевым документом является Приказ №17, который регулирует порядок защиты информации. С 1 марта 2026 года применяется Приказ №117, обновляющий нормы.

Основные технические требования:

• использование сертифицированных средств защиты информации;
• шифрование данных при передаче;
• разграничение прав доступа;
• контроль действий пользователей;
• защита каналов связи.

Организационные требования включают:

• разработку политики безопасности;
• обучение персонала;
• проведение регулярных проверок;
• ведение документации.

Технические меры направлены на предотвращение:

• несанкционированного доступа;
• утечки по техническим каналам;
• воздействия вредоносного программного обеспечения;
• изменения информации без разрешения.

Проверка проводится до начала обработки защищаемых сведений. Это обязательное условие для ввода ресурса в эксплуатацию.

Категорирование, уровень защищенности ГИС

Перед проведением оценки определяется категория объекта информатизации. Этот этап влияет на объем правил, перечень применяемых мер.

Критерии классификации:

• характер обрабатываемых сведений;
• возможный ущерб при утечке;
• количество пользователей;
• архитектура ресурса.

Уровни защищенности:

• высокий — при работе с критически важной информацией;
• средний — при наличии ограниченного доступа;
• базовый — при минимальных рисках.

Категорирование выполняется с учетом анализа угроз. Оцениваются возможные сценарии нарушений, источники воздействия. Полученные данные используются для выбора средств защиты, формирования норм.

Результаты фиксируются в документации, применяются при проведении аттестационных мероприятий.

Аттестация рабочих мест в составе ГИС

Аттестация рабочих мест ГИС направлена на проверку условий, в которых осуществляется работа пользователей. Оценивается соответствие оборудования, программных средств, настроек установленным требованиям.

Проверка включает:

• анализ технического оснащения;
• оценку установленного программного обеспечения;
• проверку средств защиты информации;
• контроль каналов передачи данных;
• соответствие условий эксплуатации нормативам.

Отдельное внимание уделяется рабочим местам, так как именно через них осуществляется доступ к системе. Ошибки настройки на этом уровне часто становятся причиной утечек.

В ходе проверки выявляются:

• несоответствия программного обеспечения;
• отсутствие необходимых средств защиты;
• ошибки конфигурации;
• нарушение требований эксплуатации.

Работы могут проводиться поэтапно. Такой подход применяется при большом количестве рабочих мест.

Этапы проведения аттестации ГИС

Проведение аттестации включает последовательные этапы, направленные на комплексную оценку.

Основные этапы:

• анализ исходной документации;
• обследование объекта информатизации;
• разработка программы испытаний;
• проведение аттестационных испытаний;
• оформление протоколов;
• подготовка заключения.

На этапе обследования оценивается фактическое состояние объекта. Проверяется соответствие реализованных мер установленным требованиям.

Испытания проводятся с использованием утвержденных методик. Они позволяют выявить уязвимости, оценить устойчивость к внешним воздействиям.

Результаты фиксируются в отчетах, на основании которых принимается решение о соответствии.

Необходимые документы для аттестации

Для проведения процедуры требуется комплект документации, отражающий состояние объекта, реализованные меры защиты.

Основные документы:

• модель угроз;
• акт классификации;
• техническое задание;
• проектная документация;
• эксплуатационные документы;
• организационные материалы;
• результаты анализа уязвимостей;
• отчеты об испытаниях.

Документы должны соответствовать фактическому состоянию объекта. Несоответствие может стать основанием для отказа в выдаче аттестата.

Часть материалов подлежит согласованию с ФСТЭК России.

Срок действия аттестата и повторная аттестация

Аттестат соответствия действует на протяжении всего периода эксплуатации объекта информатизации. При этом требуется регулярный контроль состояния защиты.

Периодичность проверок:

• для высокого уровня — ежегодно;
• для остальных уровней — не реже одного раза в два года.

Повторная аттестация проводится при изменении архитектуры, модернизации или изменении состава обрабатываемых сведений.

Контроль в процессе эксплуатации позволяет своевременно выявлять отклонения и поддерживать необходимый уровень безопасности.

Ответственность за эксплуатацию ГИС без аттестации

Эксплуатация без подтверждения соответствия нарушает требования законодательства Российской Федерации. Такие действия влекут применение санкций.

Возможные последствия:

• административная ответственность;
• приостановка работы ресурса;
• предписания надзорных органов;
• ответственность должностных лиц.

Нарушение установленного порядка может привести к ограничению деятельности организации. В отдельных случаях допускается приостановка работы информационного ресурса.

С 1 марта 2026 года требования усиливаются. Использование ГИС без аттестации не допускается.

Дополнительные услуги центра

Центр оказывает широкий спектр сопутствующих услуг, необходимых для комплексного сопровождения бизнеса. Доступны следующие направления:

• внедрение и сертификация систем менеджмента по стандартам ИСО 9001, 14001, 45001;
• оформление разрешительной документации на оборудование (сертификаты, декларации);
• сопровождение при получении лицензии ФСТЭК;
• подготовка технической, эксплуатационной документации;
• консультирование по вопросам подтверждения соблюдения требований законодательства РФ, ЕАЭС.

Эксперты центра подбирают решения с учетом особенностей деятельности компании, характеристик товара. Обращение за консультацией позволяет избежать лишних затрат времени и сразу выстроить корректный процесс оформления. Звоните!

Вопрос-ответ

Добрый день! Нам сообщили, что нельзя использовать средства измерения без подтверждающего документа. Что требуется оформить?

Для эксплуатации измерительных приборов требуется сертификат об утверждении типа средств измерений. Документ подтверждает соответствие установленным техническим и метрологическим требованиям. Без него использование оборудования не допускается.