Аттестация облака по 21-му и 117-му приказам ФСТЭК: практический опыт для операторов ГИС и ИСПДн

С 1 марта 2026 года вступил в силу 117-й приказ ФСТЭК России. За полгода действия он стал главной темой практически любого разговора с заказчиками из госсектора — особенно в регионах. Следом меняются и требования к защите персональных данных: проект приказа на замену 21-го уже прошел общественное обсуждение. Операторы ГИС и ИСПДн задают один и тот же вопрос: насколько все страшно и с чего начинать, если нет ни денег, ни людей?

Подробности

Аттестация облака по 21-му и 117-му приказам ФСТЭК России — задача, которая затрагивает одновременно две категории операторов: государственные информационные системы (ГИС) и информационные системы персональных данных (ИСПДн). Смена нормативной базы происходит последовательно: сначала вступил в силу 117-й приказ, устанавливающий новые требования, а затем меняются требования к защите персональных данных — проект приказа на замену 21-го уже прошел этап общественного обсуждения.

На практике операторы сталкиваются с типовым набором проблем. Во-первых, это ограниченность ресурсов: в регионах часто нет ни достаточного бюджета, ни квалифицированных специалистов по защите информации. Во-вторых, неопределенность приоритетов — неясно, с какого именно требования начинать работу и какие меры критичны в первую очередь. В-третьих, двойная нагрузка: облачная инфраструктура должна соответствовать требованиям сразу двух нормативных документов, что усложняет проектирование системы защиты.

Опыт аттестации облака показывает, что часть задач решается за счет правильной организации процесса и типовых решений, а не за счет дополнительных затрат. Однако конкретные технические детали, перечень затронутых версий продуктов и идентификаторы CVE в исходной публикации не приводятся — материал носит методологический характер.

Что делать

Исходя из описанного опыта, операторам ГИС и ИСПДн можно рекомендовать следующее:

• Не откладывать подготовку: 117-й приказ уже действует, а приказ на замену 21-го находится в финальной стадии — общественное обсуждение завершено.
• Начинать с оценки текущего состояния защищенности и определения приоритетных требований, а не с закупки решений.
• Опираться на проверенные практики аттестации облачных инфраструктур, чтобы не проходить путь методом проб и ошибок.
• Учитывать, что соответствие требованиям сразу двух приказов требует единого подхода к проектированию системы защиты.
• Использовать опыт организаций, уже прошедших аттестацию, — это позволяет сократить затраты и избежать типовых ошибок при ограниченных ресурсах.

Смена нормативной базы ФСТЭК — это не только дополнительные обязательства, но и возможность выстроить защиту системно. Для операторов с ограниченными ресурсами ключевым фактором становится опора на готовый практический опыт, а не самостоятельный поиск решений с нуля.

Источник: Хабр — Информационная безопасность