Аттестация государственной информационной системы (ГИС)

В SafeProgress можно заказать аттестацию ГИС по требованиям ФСТЭК России. Проверим готовность системы защиты, организуем аттестационные испытания и сопроводим оформление документов. По окончании работ выдаём аттестат соответствия.

Рассчитать стоимость

Получить консультацию

Услуги по аттестации ГИС в SafeProgress

Начинаем с обследования. Изучаем архитектуру ГИС, исходные данные, технические и организационно-распорядительные документы. Уточняем, какие площадки и компоненты входят в границы аттестации. В предусмотренных требованиями случаях объектом работ может быть отдельный сегмент ГИС.

Готовим программу и методики, после чего проводим испытания, проверяя выполнение организационных и технических мер защиты, в конце оформляем результаты. Если испытания выявят несоответствия, поможем спланировать их устранение и согласовать проверку доработок.

На этапе подготовки можем:

Разработать недостающие документы;
Спроектировать систему защиты;
Подобрать и внедрить средства защиты информации (СЗИ).

Что вы получите по результатам аттестации

По проекту формируется комплект аттестационных материалов:

Программа и методики аттестационных испытаний описывают состав, порядок и условия проверок;
Протоколы испытаний фиксируют условия, критерии и результаты технических проверок;
Заключение по результатам испытаний содержит вывод о том, выполнены ли требования, и рекомендации по устранению выявленных недостатков;
Аттестат соответствия при положительном результате подтверждает выполнение требований по защите информации в границах и конфигурации, которые прошли проверку.

По порядку, установленному приказом ФСТЭК России № 77, после выдачи аттестата соответствия, мы направим копии предусмотренных документов во ФСТЭК России или её территориальный орган. ФСТЭК вносит сведения в реестр аттестованных объектов информатизации и проводит экспертно-документальную оценку материалов.

Нужен аттестат для ввода ГИС в эксплуатацию? Оценим готовность системы, определим объём испытаний и подготовим коммерческое предложение.

Заказать аттестацию ГИС

Этапы проведения аттестации ГИС

Анализ исходных данных и обследование системы

Изучаем акт классификации, модель угроз, состав оборудования и программного обеспечения, действующие меры защиты. Сопоставляем документы с фактической архитектурой. По итогам обследования определяем границы проверок и готовность ГИС к испытаниям.
Подготовка программы и методик аттестационных испытаний

Определяем перечень, методы и условия проверок, а также критерии соответствия. До испытаний согласовываем и утверждаем с вами программу и методики.
Установка СЗИ

Подготовка технических рекомендаций, внедрение и настройка средств защиты информации (если требуется).
Проведение аттестационных испытаний

Наши специалисты проверяют документы, выполнение организационных мер и работу средств защиты в условиях эксплуатации ГИС. По программе проводят технические проверки, включая тестирование на проникновение. Результаты фиксируются в аттестационных материалах. Если обнаружены устранимые несоответствия, даём рекомендации по их исправлению.
Оформление результатов и аттестата соответствия

Оформляем протоколы и заключение, а также передаём вам аттестат соответствия и направляет предусмотренные материалы во ФСТЭК для учёта.

Почему аттестацию ГИС доверяют SafeProgress

Работаем по всей России

Оказываем услугу по аттестации ГИС по всей РФ.
Понятная стоимость

Максимальная детализация стоимости в КП.
Контроль
сроков

Тайминг работ разрабатывается и согласовывается с Заказчиком до начала работ.
Наличие лицензии

Наша организация является лицензиатом ФСТЭК (Лицензия на ТЗКИ, пункты "А", "Б", "Г", "Д", "Е")

Что необходимо для начала аттестации ГИС

Описание назначения ГИС, её функций и видов обрабатываемой информации

Схема архитектуры и состав компонентов, включая площадки и сегменты

Акт классификации со сведениями о классе защищённости

Модель угроз безопасности информации, если документ был предварительно разработан

Технический паспорт объекта информатизации или рабочее техническое описание

Проектные, эксплуатационные и ОРД по защите информации

Сведения о применяемых СЗИ и результаты проверок, если они уже проводились

Для испытаний понадобится технический паспорт установленной формы.

Полный перечень материалов уточним по составу ГИС и этапу её готовности.

Для ГИС, подпадающих под постановление Правительства РФ № 676, учитываем также требования к согласованию технического задания и модели угроз.

Сопровождение ГИС после аттестации

Аттестат выдаётся на весь срок эксплуатации объекта. Владелец ГИС поддерживает защиту системы, организует периодический контроль защищённости и включает его результаты в технический паспорт.

Если вы меняете оборудование, ПО, архитектуру или средства защиты, поможем оценить, как изменения влияют на аттестованную конфигурацию. При модернизации, предусмотренной п. 33 порядка аттестации, проводят дополнительные испытания изменённых компонентов и обновляют технический паспорт. Если модернизация повышает класс защищённости ГИС, требуется повторная аттестация.

Аттестат выдаётся на весь срок эксплуатации объекта. Владелец ГИС поддерживает защиту системы, организует периодический контроль защищённости и включает его результаты в технический паспорт.

Если вы меняете оборудование, ПО, архитектуру или средства защиты, поможем оценить, как изменения влияют на аттестованную конфигурацию. При модернизации, предусмотренной п. 33 порядка аттестации, проводят дополнительные испытания изменённых компонентов и обновляют технический паспорт. Если модернизация повышает класс защищённости ГИС, требуется повторная аттестация.

Что такое аттестация ГИС и для чего она нужна

Государственные информационные системы создают для выполнения полномочий госорганов, обмена информацией между ними и других целей, установленных федеральными законами. К ГИС относятся федеральные и региональные информационные системы, созданные на основаниях, предусмотренных законом № 149-ФЗ.

Аттестация показывает, выполнены ли требования к защите информации в предусмотренных условиях эксплуатации. По п. 65 приказа ФСТЭК России № 117 ГИС аттестуют до начала обработки и (или) хранения информации. Для систем, на которые распространяется постановление Правительства РФ № 676, действующий аттестат входит в число условий ввода в эксплуатацию.

Проверить готовность ГИС к аттестации

Какие требования предъявляются к защите ГИС

Классы защищённости ГИС
Приказ ФСТЭК России № 117 устанавливает три класса защищённости:
- К1 — наивысший;
- К2 — второй;
- К3 — третий.
Оператор определяет класс по таблице в приложении к приказу, сопоставляя уровень значимости информации и масштаб системы. Значимость зависит от возможного ущерба при нарушении конфиденциальности, целостности или доступности информации. Масштаб может быть федеральным, региональным или объектовым.

Класс фиксируют в акте классификации и учитывают при выборе мер защиты. Если отдельным сегментам присвоены разные классы, меры для каждого сегмента определяют с учётом его класса.
Организационные и технические меры защиты информации

Организационные меры закрепляют ответственность за защиту информации и правила работы с системой. В документах определяют порядок предоставления доступа, администрирования, реагирования на инциденты и контроля защищённости.

К техническим мерам относятся, например, идентификация и аутентификация пользователей, разграничение прав доступа, защита от вредоносного ПО, регистрация событий безопасности и анализ уязвимостей. Конкретный набор зависит от класса защищённости ГИС, её архитектуры и актуальных угроз.
Какие компоненты и сегменты системы входят в область аттестации

В границах объекта учитывают рабочие места, серверы, программное обеспечение, сетевые компоненты, средства защиты и территориально распределённые сегменты. Состав объекта описывают в техническом паспорте, а объём проверок закрепляют в программе испытаний. Аттестат распространяется на объект в описанной конфигурации, включая компоненты, входящие в его границы.

Нормативные документы по аттестации ГИС

Приказ ФСТЭК России от 29.04.2021 № 77 определяет порядок аттестации по требованиям защиты информации ограниченного доступа, не составляющей государственную тайну. Он регулирует испытания, оформление документов и периодический контроль. Применяется с изменениями, внесёнными приказом № 60.

Приказ ФСТЭК России от 11.04.2025 № 117 устанавливает требования к защите информации в ГИС и других системах в пределах его сферы действия. Он определяет правила классификации и обязательность аттестации ГИС. Применяется с учётом вступивших в силу изменений по приказу № 137.

Федеральный закон от 27.07.2006 № 149-ФЗ определяет правовые основы создания и эксплуатации ГИС и общие обязанности по защите информации.

Постановление Правительства РФ от 06.07.2015 № 676 регулирует этапы жизненного цикла ГИС и устанавливает условия их ввода в эксплуатацию.

Федеральный закон от 27.07.2006 № 152-ФЗ и постановление Правительства РФ от 01.11.2012 № 1119 применяются в части защиты персональных данных, если они обрабатываются в ГИС.

Часто задаваемые вопросы

1. Обязательна ли аттестация государственной информационной системы?

Да. По п. 65 приказа ФСТЭК № 117 ГИС должна пройти аттестацию до начала обработки и (или) хранения информации. Если на систему распространяется постановление Правительства РФ № 676, её ввод в эксплуатацию без действующего аттестата не допускается.

2. Сколько времени занимает аттестация ГИС?

Срок зависит от количества площадок, сложности архитектуры, объёма испытаний и готовности документов и системы защиты. Календарный план согласуем после изучения исходных данных. Пункт 9 порядка аттестации ограничивает срок аттестационных работ четырьмя месяцами. Подготовку ГИС планируют отдельно.

3. Можно ли аттестовать отдельный сегмент ГИС?

Да, если применимые требования допускают выделение сегмента в отдельный объект аттестации и его границы зафиксированы в документации. Если к аттестованной ГИС добавляют сегмент, аналогичный уже проверенным по составу и конфигурации программных и программно-аппаратных средств, его проверяют по программе и методикам испытаний этой ГИС. По результатам решают, можно ли включить сегмент в аттестованный объект. Такой порядок предусмотрен п. 16(3) приказа № 77.

4. Когда требуется повторная аттестация ГИС?

Повторная аттестация требуется, если модернизация повышает класс защищённости ГИС. Если для системы установлены уровень защищённости или категория значимости, их повышение также требует повторной аттестации. При изменениях по п. 33 приказа № 77, например при замене средств защиты на аналогичные, достаточно дополнительных испытаний затронутых компонентов. Их результаты вносят в технический паспорт, а действующий аттестат сохраняет силу.

5. Как часто нужно проводить контроль защищённости после аттестации?

Периодический контроль планируют так, чтобы представлять его результаты не реже одного раза в три года. По п. 32 порядка аттестации владелец направляет отчёт или протокол в ФСТЭК России либо её территориальный орган в течение пяти рабочих дней после завершения контроля. Результаты также включают в технический паспорт объекта.

6. Можно ли провести аттестацию, если документы по защите информации ещё не готовы?

Можно начать с обследования. По его результатам определим, какие документы и меры защиты нужно подготовить. До испытаний владелец ГИС передаёт предусмотренные порядком документы, а система должна быть готова к проверке реализованных мер защиты.

7. Кто имеет право проводить аттестацию объектов КИИ?

При привлечении внешнего исполнителя испытания проводит орган по аттестации с лицензией ФСТЭК России на техническую защиту конфиденциальной информации, включающей право на аттестационные испытания и аттестацию. Для органов власти и местного самоуправления предусмотрен порядок проведения аттестации собственным подразделением при соблюдении условий приказа № 77. Пункты 5–8 Порядка аттестации

Рассчитаем стоимость и сроки аттестации ГИС в течение 15 минут!

+7 495 178 00 41

Быстрая консультация

kk@safeprogress.ru

Написать на почту

Оставьте свои контакты и мы свяжемся с вами