Когда аттестация нужна
- ИИ-ассистент или чат-бот обрабатывает персональные данные и является частью ИСПДн организации.
- ИИ-компонент встроен в ГИС: справочные сервисы, обращение граждан, межведомственные процессы.
- Заказчик по 44-ФЗ/223-ФЗ прямо требует аттестат соответствия в составе поставки.
- С 01.03.2026 действует приказ ФСТЭК России № 117 — процессная модель защиты ГИС: документировать и защищать процессы обязаны все операторы ГИС, включая те, где ИИ — часть системы.
- Горизонт КИИ: с 01.01.2028 на значимых объектах запрещён ввод новых зарубежных ПАК — ИИ-контур стоит строить на отечественной базе заранее.
Что такое аттестация
Аттестация соответствия — подтверждение, что информационная система отвечает установленным требованиям по защите информации. Формальный итог — аттестат соответствия с ограниченным сроком действия. Проводить её вправе только лицензиаты ФСТЭК России; сама методика включает оценку защищённости, модель угроз и испытания.
Кто проводит и какова наша роль
- НЬЮ-ССТ (подготовка): аудит ИИ-контура от 300 000 ₽ — инвентаризация точек обработки данных, модель угроз применительно к ИИ (промпт-инъекции, утечки через RAG и логи, отравление данных), план мер, техническая реализация недостающей защиты.
- Партнёр-лицензиат (аттестация): ООО «НПК Оборон-Экран», лицензии ФСТЭК на ТЗКИ и СЗКИ — проводит аттестацию и выдаёт аттестат соответствия.
- Сопровождение: поддержка системы в течение срока действия аттестата, контроль изменений ИИ-контура.
Цены и сроки
| Работа | Цена | Срок |
|---|---|---|
| Аудит ИИ-контура и подготовка к аттестации | от 300 000 ₽ | 2–4 недели |
| Аттестация ИСПДн (рынок, сентябрь 2026) | 60–350 тыс. ₽ | по объёму системы |
| Аттестация ГИС (рынок, сентябрь 2026) | от 500 тыс. до 1+ млн ₽ | по объёму системы |
| Сопровождение после аттестации | от 60 000 ₽/мес | с даты договора |
Формат цен — «от»: объём определяется классом системы и составом ИИ-компонентов, точная смета фиксируется в КП. НДС не облагается в связи с применением УСН (п. 2 ст. 346.11 НК РФ).
Что проверяем в ИИ-контуре
- Обучающие выборки и RAG-базы: обезличены ли ПДн, разграничен ли доступ (разбор — 152-ФЗ и ИИ).
- Логи диалогов и LLM-логи: сроки хранения, маскирование, передача в SIEM.
- Полномочия ИИ-агентов: не действует ли агент с правами, превышающими задачу.
- Происхождение моделей и датасетов: реестр ИИ-активов, версии, ответственность.
- Процессная модель по приказу № 117 — для ГИС.