Что такое аттестация ИСПДн и кому она нужна
Аттестация — официальное подтверждение, что информационная система соответствует требованиям по защите информации. Порядок для ГИС, ИСПДн и значимых объектов КИИ установлен приказом ФСТЭК России № 77 от 29.04.2021; требования к защите персональных данных в ИСПДн — приказ ФСТЭК № 21 по уровням защищённости. Проводят аттестацию испытательные лаборатории, имеющие лицензию на техническую защиту конфиденциальной информации (ТЗКИ).
Аттестация прежде всего обязательна для государственных информационных систем и систем госорганов, обрабатывающих персональные данные; коммерческие операторы ИСПДн чаще закрывают требования мерами по приказу № 21 и оценкой эффективности, а аттестат получают, когда его требует заказчик, отраслевой регулятор или когда система связана с ГИС.
Что изменилось в 2026 году
С 1 марта 2026 года вступает в силу приказ ФСТЭК № 117 от 11.04.2025 — новые требования о защите информации в ГИС и иных информационных системах госорганов (процессный подход, 21 мероприятие, EDR/PAM, отчётность). Он заменяет приказ № 17. Важно: повторная аттестация при этом не требуется — прежние аттестаты сохраняют силу. Для смежных задач действует приказ ФСБ № 117 от 18.03.2025 (защита информации в ГИС с использованием СКЗИ) и новый приказ ФСБ № 321 от 22.08.2026 по криптозащите внешних и облачных сервисов ГИС.
Пошаговый порядок
- Классификация. Определите тип системы (ИСПДн/ГИС) и уровень защищённости по составу данных и числу субъектов.
- Модель угроз. Разрабатывается по методике ФСТЭК: от чего именно защищаем конкретную систему.
- Комплект документов. Политика, приказы, регламенты, журналы, техпаспорт системы.
- Технические меры. Идентификация и доступ, регистрация событий, антивирус, межсетевое экранирование, резервное копирование — по составу мер для вашего уровня.
- Оценка защищённости и испытания. Лаборатория проверяет реализацию мер документально и технически (тестовые воздействия).
- Аттестат и жизненный цикл. Аттестат действует, пока система не меняется существенно; изменения — через переоценку.
Если ИСПДн закупается у подрядчика — в тендерной документации заказчика аттестационные работы ищите по коду ОКПД2 71.20.19.115 в КТРУ.
Что проверяют испытания и как не завалить их
На испытаниях лаборатория сверяет две вещи: документы (модель угроз, техпаспорт, приказы, журналы — всё должно сходиться между собой и с реальностью) и фактические меры (как разграничен доступ, что пишется в журналы безопасности, установлены ли требуемые СЗИ, как защищены каналы). Типовые причины провоза сметы:
- модель угроз написана «под копирку» и не соответствует архитектуре — переделка на середине проекта;
- СЗИ закуплены, но не настроены (пустые политики, дефолтные учётки);
- логирование есть в документации, но не собирается фактически;
- сегментация «на бумаге»: база ПДн доступна из общей сети разработки.
Правильная последовательность экономит деньги: сначала классификация и модель угроз, потом план мер, потом закупка и настройка СЗИ, и только затем испытания. Обратный порядок — аттестат «сначала», архитектура «потом» — всегда дороже.
Аттестат — это не точка, а цикл
Аттестат действует, пока система соответствует тому, что аттестовалось. Существенные изменения — новые подсистемы, смена среды размещения, новые потоки данных — требуют переоценки. На практике это значит: держите под контролем изменения и план развития системы; технологический долг, накопленный после аттестации, обесценивает и аттестат, и деньги, потраченные на него.
Как выбрать лабораторию
Три практических критерия: действующая лицензия на ТЗКИ (проверяется в реестрах), опыт с вашим классом систем (ИСПДн вашей отрасли, а не «что угодно») и прозрачный состав работ в договоре — модель угроз, доработки, испытания, сопровождение аттестата. Дешёвое предложение почти всегда означает, что доработки системы вынесены за скобки и всплывут в процессе. Ещё один разумный критерий — говорит ли исполнитель «нет»: честный подрядчик первым скажет, если аттестация вам не нужна и достаточно мер по приказу № 21.
Сколько стоит аттестация ИСПДн
| Услуга | Рыночный ориентир (09.2026) |
|---|---|
| Аттестация ИСПДн (малые системы) | от 60 000 ₽ (Check-IB — от 60 000 ₽/объект) |
| Аттестация ИСПДн, типовой диапазон | 60–350 тыс. ₽ |
| Аттестация ГИС | от 500 тыс. ₽ (attestation.ru — от 500 000 ₽) |
| Крупные проекты | от 1 000 000 ₽ (info-security.su) |
Цены конкурентов приведены по открытым данным их сайтов на 06.09.2026 и могут отличаться от актуальных. Итоговая смета зависит от количества сегментов, СЗИ и объёма доработок: дешевле готовиться заранее, чем переделывать перед испытаниями.
Как мы помогаем
НЬЮ-ССТ выполняет подготовку к аттестации ИСПДн и ГИС в партнёрстве с лицензиатом ФСТЭК: модель угроз, комплект документов, приведение системы к требованиям приказов № 21/№ 77, сопровождение испытаний. Мы разработчики ПО, поэтому доработки продукта до требований делаем руками, а не консультацией. Начало — бесплатная консультация по комплаенсу: разберём, нужна ли вам аттестация вообще, или достаточно мер по приказу № 21.