Приказ ФСТЭК №117, который говорит на языке атак: неформальный разбор
Устаревшая защита выглядит надёжной ровно до первого взлома. Новый Приказ ФСТЭК №117 выдвигает жёсткие требования к ИТ-инфраструктуре — это не скучная нормативка, а диагноз: старые методы больше не работают. За каждым его пунктом стоит не абстрактное «должен», а готовый сценарий противодействия атаке, которую злоумышленники уже тестируют на ваших коллегах. Давайте переведём требования 117 приказа ФСТЭК России с бюрократического на человеческий и посмотрим, от какой боли они нас лечат.
Правило 1: Критическую уязвимость — устранить за 24 часа. И это не протокол, это скорость реакции. “Кто успел — тот и съел”
п. 38 Мероприятия по управлению уязвимостями должны включать выявление уязвимостей информационных систем, оценку их критичности, определение методов и приоритетов устранения уязвимостей, а также контроль за устранением уязвимостей. Устранение уязвимостей, которые могут быть использованы нарушителями, или исключение возможности их использования за счет применения компенсирующих мер должно проводиться оператором (обладателем информации): в отношении уязвимостей критического уровня опасности <13> — в срок не более 24 часов;
Когда в приказе ФСТЭК №117 пишут «устранение уязвимостей критического уровня — в срок не более 24 часов», это не пожелание. Это констатация нового закона цифровой войны: окно между публикацией эксплойта (уязвимости) и началом его массовой автоматизированной эксплуатации измеряется часами. Пока ваша команда обсуждает план работ на следующую неделю, боты (автоматические программы-роботы) злоумышленников уже прочесывают сеть, сканируя тысячи IP-адресов в поисках незакрытой бреши в веб-сервере или VPN-шлюзе. Требование в сутки — это прямая директива на создание системы оперативного реагирования, превращающей процесс управления уязвимостями из ежеквартального отчета в режим постоянной боевой готовности. Это та самая скорость, которая отделяет организацию, ставшую жертвой массовой атаки, от организации, которая её отразила.
Правило 2: Жёсткая сегментация сетей: архитектура, которая ограничивает взрыв.“Не храни все яйца в одной корзине”
п. 63(п) сегментация и межсетевое экранирование;
Приложение п.9 Допускается присвоение отдельным сегментам информационной системы разных классов защищенности. В этом случае меры по защите информации сегментов информационной системы и содержащейся в них информации должны приниматься в соответствии с присвоенными им классами защищенности.
Самая опасная иллюзия — считать свою внутреннюю сеть «безопасной средой». Вредоносная программа, проникнув через фишинг (метод интернет-мошенничества) на компьютер рядового сотрудника, не остановится. Она начнёт автоматически сканировать и заражать всё, до чего сможет дотянуться, в поисках ценных данных или точек для вымогательства. Этот процесс — латеральное перемещение (боковое распространение атаки по сети) — превращает единичный инцидент в тотальную катастрофу. Требование приказа 117 ФСТЭК о разделении сети на сегменты с разными классами защищённости — это прямое указание сломать эту опасную однородность. Вы строите не единое поле, а изолированные контуры: сеть разработки отделена от финансовой, а доступ к системам управления из гостевого Wi-Fi физически невозможен. Это фундаментальный архитектурный принцип, который не дает локальной проблеме стать общесетевым кризисом.
Если вам необходимо проверить выполняется ли в организации достаточно мер защиты, вы можете рассчитать показатель КЗИ, введенный ФСТЭК
Также этот файл можно использовать для подачи отчета регулятору.
Вычисление показателя КЗИ осуществляется автоматически. Вам нужно только внести свои данные в нужную графу, внизу таблицы вы увидите результат и сможете отправить данный файл во ФСТЭК.
Правило 3: MFA и разделение ролей: “Доверяй, но проверяй”
п. 46 Посредством проведения мероприятий по обеспечению защиты информации при удаленном доступе пользователей должна быть исключена возможность несанкционированного доступа (воздействия) к информационным системам и содержащейся в них информации, а также к взаимодействующим с ними программно-аппаратным средствам пользователей через каналы передачи данных, интерфейсы и порты удаленно подключаемых программно-аппаратных средств.
п. 48 Посредством проведения мероприятий по обеспечению защиты информации при предоставлении привилегированного доступа должна быть исключена возможность получения привилегированного доступа к информационным системам лицами, для которых такой доступ должен быть исключен, а также использования повышенных прав доступа с нарушением внутренних стандартов и регламентов по защите информации.
Пароль администратора — самый желанный трофей для злоумышленника. Получив его через фишинг, кражу хэша или уязвимость, атакующий получает ключи от всего и может действовать под видом легитимного пользователя месяцами. Требования о строгой многофакторной аутентификации (MFA) для привилегированного доступа и запрет на совмещение ролей системного администратора, разработчика и администратора безопасности бьют в самое сердце этой тактики. А разделение ролей означает, что даже скомпрометированная учетная запись не даёт безграничной власти. Вместе эти меры реализуют на практике принцип нулевого доверия, где каждый доступ — временный, минимально необходимый и постоянно перепроверяемый. Это ключевое требование к современной системе разграничения доступа.
Правило 4: Анализ логов, а не их сбор: “Найти иголку в стоге сена”
п. 49 Мероприятия по осуществлению мониторинга информационной безопасности должны предусматривать сбор данных о событиях безопасности, их обработке и анализе, а также выявление признаков реализации угроз безопасности информации и (или) нарушений требований внутренних стандартов и регламентов по защите информации. Мероприятия по осуществлению мониторинга информационной безопасности должны проводиться в отношении всех информационных систем, за исключением локальных и изолированных информационных систем, в которых должен обеспечиваться контроль журналов регистрации событий безопасности. Мероприятия по мониторингу информационной безопасности должны осуществляться в соответствии с разделами 4 и 5 ГОСТ Р 59547-2021. В ходе проведения мониторинга информационной безопасности для анализа зафиксированных событий безопасности и выявленных в них признаков реализации актуальных угроз допускается использование доверенных технологий искусственного интеллекта.
Можно годами аккуратно хранить терабайты логов событий, но так и не заметить целенаправленную атаку. Опытный злоумышленник не станет запускать вирус из вложения. Он будет использовать встроенные в систему инструменты — PowerShell, служебные утилиты, легальные протоколы, — чтобы его активность сливалась с фоновым шумом. Требование 117 приказа ФСТЭК проводить «мониторинг информационной безопасности» с выявлением признаков угроз — это директива перейти от пассивного хранения к активному анализу. А разрешение использовать для этого технологии искусственного интеллекта — признание того, что человеческому аналитику не под силу вручную выявить сложные, растянутые во времени цепочки аномальных событий. Современный SIEM (система управления информацией и событиями безопасности), обученный на вашей нормальной активности, становится «цифровым детективом», который находит связи там, где человек видит лишь разрозненные записи, обеспечивая тем самым выполнение самых строгих требований к мониторингу.
Вы можете скачать перечень базовых мер Приказа ФСТЭК №117, которые закрывает NGFW ИКС ФСТЭК, сертифицированный по профилям защиты межсетевых экранов типа А и Б 4-ого класса защиты и СОВ уровня сети 4 класса.
Правило 5: Резервная копия, которую проверили. Последняя линия обороны должна быть железобетонной
п. 55 Оператором (обладателем информации) должно быть обеспечено: создание достаточного количества резервных копий программных, программно-аппаратных средств и их конфигураций, обеспечивающих выполнение значимых функций, необходимых для восстановления выполнения значимых функций в установленный во внутренних стандартах и регламентах по защите информации интервал времени восстановления, и периодическое тестирование таких средств на работоспособность;
…
Оператор (обладатель информации) должен проводить периодические, но не реже одного раза в два года, проверки, в том числе в форме тренировок, возможности восстановления выполнения значимых функций с использованием резервных копий программных, программно-аппаратных средств и информации, необходимой для их выполнения, с привлечением работников, задействованных в проведении работ по восстановлению функционирования информационных систем.
Любая, даже самая продвинутая защита, может дать сбой. Финальная цель таких атак, как ransomware (программы-вымогатели), — не кража, а уничтожение доступности ваших данных. Наличие резервной копии в этой ситуации — вопрос выживания бизнеса. Но ключевое слово здесь — «рабочая». ФСТЭК в своём требовании делает простой и прагматичный акцент: недостаточно создать копию, её необходимо регулярно тестировать. План восстановления, который ни разу не отрабатывался на практике, — это фикция. Требование проводить учения не реже раза в два года заставляет команду на практике убеждаться, что носители читаются, процедуры актуальны, а сроки восстановления — достижимы. Это превращает резервное копирование из «галочки» в отчете в реальный, проверенный антикризисный план, последнюю и самую важную линию обороны, гарантирующую защиту от тотальной потери данных.
Аттестация информационных систем
Подбор межсетевого экрана — только часть задачи. Подготовка к аттестации информационной системы требует времени и знания требований регуляторов, поэтому разобраться во всех нюансах самостоятельно бывает непросто.
Готовы бесплатно проконсультировать и помочь сделать этот процесс проще и понятнее.
Заключение: От свода правил к системе иммунитета
Так что же такое ФСТЭК №117 в сухом остатке? Это не просто приказ, это архитектурная схема цифрового иммунитета. Он требует не статичной защиты («поставили и забыли»), а динамического процесса — быстрого пульса обновлений, жесткого скелета сегментации, недоверчивой иммунной системы контроля доступа, зоркого глаза аналитики и проверенной способности к регенерации.
Следовать ему буквально, но бездумно — значит получить тонны отчетов. Следовать его логике — значит выстроить систему, способную учиться на атаках, адаптироваться к ним и восстанавливаться после ударов. Разъяснения 117 приказа ФСТЭК, которые мы разобрали, показывают: это руководство к построению живого, адаптированного организма, где каждое требование работает на общую цель — защиту вашего цифрового пространства.
В межсетевом экране ИКС ФСТЭК эти принципы нашли практическую реализацию. Решение сертифицировано ФСТЭК (включая соответствие требованиям к МЭ типа А, Б 4 класса и СОВ 4 уровня сети) и может быть интегрировано в существующую инфраструктуру или работать на программно-аппаратных комплексах ИКС RF50 (до 50 пользователей) и ИКС RF700 (до 700 сотрудников). Они адресно закрывают ключевые меры пункта 63 приказа ФСТЭК №117:
- идентификацию и аутентификацию;
- управление доступом;
- сегментацию и межсетевое экранирование;
- защиту от DDoS-атак и отказов в обслуживании.
Встроенные механизмы IDS/IPS становятся основой для обнаружения вторжений, а организация удаленных подключений, фильтрация контента и защита от брутфорс-атак — полезным дополнением к базовому функционалу.
При этом требования Приказа №117 ФСТЭК России распространяются на все государственные информационные системы, включая системы госорганов, ГУПов, государственных учреждений и муниципалитетов — вне зависимости от их отношения к КИИ. Поэтому выбор сертифицированного решения здесь — не просто рекомендация, а обязательное условие соблюдения законодательства и гарантия того, что ваша защита будет признана регулятором.
В эпоху, когда ландшафт угроз меняется быстрее, чем выходят обновления, способность быстро реагировать — это уже не столько выполнение формальных требований, сколько вопрос цифрового выживания вашего бизнеса.
Часто задаваемые вопросы про Приказ ФСТЭК №117
На кого распространяется действие Приказа ФСТЭК №117?
Требования этого приказа обязательны для всех государственных информационных систем, включая системы органов власти, ГУПов, государственных учреждений и муниципалитетов. Для коммерческих организаций приказ носит рекомендательный характер, однако он задает отраслевой стандарт безопасности, и его соблюдение может стать серьезным конкурентным преимуществом.
Обязательно ли внедрять сегментацию сети?
Да, это одно из ключевых требований. Сегментация — это не рекомендация, а архитектурный принцип, который должен быть реализован для разделения сетей с разными классами защищенности. Она позволяет локализовать последствия атаки: если злоумышленник проникнет в сегмент с низким классом защищенности, он не сможет беспрепятственно переместиться в сегмент с критичными данными.
Какие штрафы грозят за невыполнение требований Приказа ФСТЭК №117?
Контроль за исполнением приказа осуществляет ФСТЭК. За нарушения предусмотрена административная ответственность по ст. 13.12 и 19.7 КоАП РФ. Штрафы для должностных лиц составляют от 1 до 10 тыс. рублей, для юридических лиц — от 50 до 100 тыс. рублей. Однако главный риск — это не столько сам штраф, сколько приостановка деятельности и отказ в выдаче лицензий.
Хотите получить бесплатную консультацию
по аттестации информационных систем?
