Коротко: что это и зачем
Бесплатно: разбор вашей задачи + расчёт
Разбор ТЗ ведёт инженер, а не менеджер по продажам. ООО «НЬЮ-ССТ» · ИНН 7733311994 · микропредприятие в реестре МСП · работаем с 2016 года
Аттестация — это проверка соответствия информационной системы требованиям по защите информации с выдачей аттестата соответствия. Для систем персональных данных (ИСПДн) отправная точка — требования приказа ФСТЭК России № 21: объём мер зависит от уровня защищённости, который оператор определяет по составу данных и угроз. Порядок организации и проведения аттестации регулирует приказ ФСТЭК России от 29.04.2021 № 77 с изменениями № 60 от 27.02.2026, вступившими в силу с 01.09.2026. Основание аттестации конкретного объекта проверяют отдельно; для внешних испытаний проверяют организацию и лицензию на ТЗКИ с правом нужных работ.
Аттестат — не разовая бумага: он действует ограниченный срок, а при существенных изменениях системы требуется повторная оценка. Для государственных информационных систем с 01.03.2026 вступают в силу требования нового приказа ФСТЭК № 117 от 11.04.2025, который заменяет приказ № 17; прежние аттестаты при этом сохраняют действие.
Приказ № 60 с 1 сентября 2026 года: что проверить до выбора работ по аттестации
С 01.09.2026 порядок № 77 изменён приказом № 60. Сначала установите вид объекта и основание аттестации, включая условие о требовании владельца для дополнительной группы объектов Приказ ФСТЭК России от 27.02.2026 № 60, пункт 2; приложение пункт 2 — новая редакция пункта 3 Порядка № 77.
Изменение касается порядка организации и проведения работ: оно не превращает аттестацию в всеобщую обязанность. Порядок применения — не то же самое, что обязанность аттестовать каждую частную ИСПДн, АСУ или значимый объект КИИ; отдельные основания обязанности проверяются по своему режиму для конкретной системы.
Вводный блок: четыре вопроса до выбора работ
Ответьте на них письменно до обсуждения состава работ с любой лабораторией — от них зависит применимый набор требований и сама нуждаемость в аттестации.
| Поле | Что зафиксировать | Зачем |
|---|---|---|
| Объект | Какая именно система: ИСПДн, ГИС, иная информационная система, АСУ; границы и компоненты | Вид объекта определяет применимые требования и уровень защищённости |
| Владелец | Организация или орган, которому объект принадлежит на законном основании | От владельца зависит применимость условий, включая «требование владельца» для дополнительной группы объектов |
| Основание аттестации | Нормативное основание по своему режиму (например, ввод системы в эксплуатацию) либо требование владельца для дополнительной группы объектов | Основание — не презумпция: его проверяют, а не подразумевают |
| Периметр | Состав системы, связи, режимы работы, территории | Периметр фиксируется до работ — его изменение по ходу испытаний искажает результат |
Условие о требовании владельца для дополнительной группы объектов — именно условие, а не автоматически возникающая обязанность каждой организации.
Внешний исполнитель: что проверить заранее
Для внешних аттестационных испытаний проверяют организацию и лицензию ФСТЭК на ТЗКИ с правом нужных работ; итог зависит от испытаний и устранения недостатков Приказ ФСТЭК России от 29.04.2021 № 77, подпункты 5–6; результат — подпункты 21–23, в действующей редакции с изменениями № 60.
Практический минимум перед договором (практическая рекомендация, не нормативная форма):
- статус и срок действия лицензии на техническую защиту конфиденциальной информации — в официальных реестрах, а не со слов исполнителя;
- право на нужные именно вам виды работ в лицензии, а не просто наличие лицензии;
- независимость экспертов, которые будут проводить испытания, от работ по внедрению мер в вашей системе;
- готовность к условному результату: аттестат выдаётся по итогам испытаний и устранения выявленных недостатков, а не «за договор» — статья не обещает аттестат конкретной системе.
Для перечисленных в пункте 6 № 77 органов власти предусмотрен отдельный внутренний маршрут — общий порядок для них не пересказывается.
Чем этот блок не является
- Это не обещание аттестата и не заявление о лицензиях исполнителя или продавца: применимость и результат проверяются по фактам конкретного объекта.
- Пошаговый план аттестации ГИС и перечень документов — отдельные материалы: Аттестация ГИС пошагово: план руководителя, Какие документы нужны для аттестации?, Аттестация ГИС в 2027 году: приказ 77 и требования.
- Вопрос «нужна ли переаттестация после смены приказа» разобран отдельно и сюда не дублируется.
Из чего складывается работа
| Этап | Смысл |
|---|---|
| Определение уровня защищённости | По составу ПДн, категориям субъектов и актуальным угрозам |
| Модель угроз | Анализ способов и сценариев атак на систему |
| Реализация мер | Технические и организационные меры по требуемому набору |
| Оценочные испытания | Испытательная лаборатория проверяет внедрение мер |
| Аттестат соответствия | Документ с ограниченным сроком действия |
Готовые материалы сайта
| Материал | Чем поможет |
|---|---|
| Аудит ИИ-систем | Проверка рисков и соответствия до формальной аттестации |
| Чек-лист комплаенса | Самопроверка готовности ИИ-проекта к требованиям |
| Нормативная база ИБ | Приказы и законы, на которые ссылается аттестация |
| ИБ для бюджетных организаций | Аттестация в учреждениях: школы, больницы, администрации |
| Навигатор по госзакупкам | Как заказчик закупает услуги аттестации по 44-ФЗ |
Темы, которые готовим
- Аттестация ГИС: чем отличается от ИСПДн
- Кто проводит аттестацию и как проверить лабораторию
- Уровни защищённости ИСПДн: как определить свой
- Модель угроз по методике ФСТЭК
- Аттестация тестового контура
- Подготовка документации: что собрать до визита лаборатории
- Срок действия аттестата и когда нужна повторная оценка
- Оценка защищённости значимых объектов КИИ
- Сроки и факторы стоимости аттестации
- Заказ услуги аттестации: позиция КТРУ и типовое ТЗ
Что влияет на результат
Практика одинакова для всех: аттестация вскрывает не отсутствие дорогих решений, а разрывы между реальной конфигурацией системы и документацией. Классические находки — неактуальная модель угроз, учётные записи уволенных сотрудников, отсутствующий регламент доступа и тестовые контуры с производственными данными без каких-либо мер.