Что это за документы и зачем они
Аттестация — это подтверждение, что информационная система соответствует требованиям по защите информации. Её проходят, например, государственные информационные системы и ИСПДн — системы персональных данных определённого класса. Проводить аттестацию вправе организации с лицензией ФСТЭК России; задача заказчика — собрать и подготовить исходный пакет документации, на котором строится вся процедура.
Состав типового пакета
- Акт классификации. Для ИСПДн — определение класса системы по требованиям постановления Правительства № 1119; для ГИС — категорирование.
- Модель угроз. Строится по методике ФСТЭК России: какие угрозы актуальны именно для вашей системы, объектов и процессов.
- Техпаспорт и описание системы. Состав подсистем, схема развёртывания, границы ответственности, средства защиты.
- Программа и методики аттестационных испытаний. Что проверяется, какими способами и по каким критериям принимается результат.
- Организационные документы: приказы, регламенты, перечень допущенных лиц и прочее по специфике системы.
Точный перечень зависит от типа системы и класса — его фиксирует исполнитель на этапе обследования. Сами этапы и требуемые документы для ИИ-систем как части ГИС или ИСПДн разобраны в ответе нужна ли аттестация для ИИ-системы.
Кто готовит документы
Подготовка пакета — совместная работа: заказчик предоставляет сведения о системе и процессах, исполнитель-лицензиат оформляет документацию по формам регулятора и проводит испытания. ООО «НЬЮ-ССТ» работает по партнёрской модели с лицензиатом ФСТЭК: аудит ИСПДн — от 300 000 ₽, аттестация ИСПДн — 60–350 тыс. ₽, ГИС — от 500 тыс. до 1 млн ₽ и выше (сентябрь 2026). Подробно о ценах — на странице услуги ИСПДн 152-ФЗ и в кейсе цены аттестации ИСПДн 2026.
Типичные проблемы с пакетом
- Система «ушла» от документации: после обновлений описание не актуализируется — расхождение находят на испытаниях.
- Модель угроз скопирована из чужого проекта: не отражает реальные процессы, вызывает вопросы при проверке.
- Нет владельца документа: приказы и регламенты подписаны «для галочки», ответственных по факту нет.
Что дальше
По итогам испытаний оформляется заключение и аттестат соответствия. Он действует ограниченный срок и требует переаттестации при существенных изменениях системы — в том числе по процессной модели приказа ФСТЭК № 117, о которой мы пишем в материале нужна ли переаттестация по приказу 117. Ориентиры по стоимости — в ответе сколько стоит аттестация по информационной безопасности; базовая информация — на странице аттестация ИСПДн.
Частые вопросы про пакет документов
Можно ли подготовить документы самостоятельно? Формально заказчик знает свою систему лучше всех, но на практике пакет требует знания форм и требований регулятора: некорректно составленная модель угроз или неполный техпаспорт возвращаются на доработку и сдвигают весь график. Поэтому чаще всего подготовка идёт совместно: ваши сведения — наше оформление.
Что делать, если система уже изменилась после классификации? Документация актуализируется до подачи на испытания: комиссия сверяет описание с фактом, и расхождения трактуются не в пользу заявителя. Дешевле обновить акт и техпаспорт заранее, чем объяснять расхождения в процессе.
Нужна ли аттестация облачным сервисам? Если облачная система обрабатывает персональные данные в интересах заказчика, вопрос решается на аудите: границы ответственности провайдера и заказчика фиксируются договором и документируются в пакете. Каждый случай разбирается отдельно — универсального ответа здесь нет, и любой, кто даёт его без изучения системы, лукавит.
Совет по срокам хранения: аттестационная документация живёт дольше самой аттестации. Храните пакет так, чтобы при переаттестации или проверке его можно было быстро поднять: единое место, понятная структура, отметки об изменениях. Компании, которые теряют техпаспорт перед очередной процедурой, проходят её заново — со всеми затратами времени и денег, хотя могли бы ограничиться актуализацией.
Итог
Аттестационный пакет — это не бюрократия ради бюрократии, а снимок системы: как она устроена, от чего защищена и чем это подтверждено. Заказчик, который держит документацию в актуальном состоянии, проходит процедуру спокойно и в нижней границе сроков; тот, кто собирает всё с нуля к каждой аттестации, платит дважды — деньгами и нервами. Начните с аудита: он покажет, чего не хватает именно вашей системе, и превратит общий перечень из этой статьи в конкретный план работ с ценой и графиком.