Цель статьи – дать комплексный набор рекомендаций для специалистов, отвечающих за проведение проверок соответствия ГИС требованиям технических регламентов, нормативных правовых актов и проектной документации, а также показать, как оформить результаты проверки в соответствии с действующим законодательством.

Нормативно‑правовая база

Для проведения проверок необходимо опираться на следующие ключевые документы:

• ФЗ №149 «Об информации, информационных технологиях и о защите информации» (ст. 14 п. 8.1) – запрет передачи данных в системы, не отвечающие требованиям по защите информации.
• Приказ ФСТЭК № 77 – порядок аттестации объектов информатизации, требования к форме и содержанию документов.
• Письмо Ростехнадзора от № КЧ‑48/1054 – временные рекомендации по проведению проверок соответствия при строительстве и эксплуатации объектов.
• Методические рекомендации Минцифры, ФСБ и ФСТЭК по периодическому контролю состояния защиты информации в государственных ИС.
• Регуляторика РБПО (часть 4) – отраслевые требования к ГИС и ИСПДн.

Все перечисленные акты образуют основу, от которой отталкивается любой процесс надзора.

Ключевые понятия

ГИС – государственная информационная система, включающая в себя программные, аппаратные и организационные средства, предназначенные для обработки, хранения и передачи государственных данных.

ИСПДн – информационная система персональных данных, подпадающая под требования ФЗ‑152.

СЗИ – средства защиты информации, которые должны соответствовать требованиям, установленным в технических регламентах.

Этапы проверки соответствия

1. Подготовительный этап
   • Сбор нормативных актов, относящихся к конкретному объекту ГИС.
   • Определение границ проверки (функциональная область, уровни доступа, типы данных).
   • Назначение ответственных лиц и формирование комиссии.
2. Анализ проектной документации
   • Сопоставление требований регламентов с техническим заданием, архитектурой и схемами защиты.
   • Выявление «белых пятен» – участков, где требования не описаны явно.
3. Техническая проверка
   • Аудит конфигураций СЗИ (антивирус, межсетевые экраны, системы контроля доступа).
   • Проверка журналов аудита и их соответствия требованиям ФЗ‑149 (пункт 14.1).
   • Тестирование уязвимостей (внутреннее сканирование, проверка на наличие известных CVE).
4. Оценка соответствия
   • Составление матрицы соответствия «Требование – Факт».
   • Определение уровня соответствия (полное, частичное, отсутствие).
5. Подготовка отчёта и рекомендаций
   • Формирование протокола проверки в соответствии с Приказом ФСТЭК № 77.
   • Разработка плана корректирующих действий (ПКА) с указанием сроков и ответственных.
6. Контроль выполнения ПКА
   • Периодический мониторинг реализации рекомендаций.
   • Повторная аттестация (не реже, чем раз в 3 года, или при изменении класса защищённости).

Практические рекомендации

Формирование «карты рисков» перед проверкой

Создайте таблицу, где перечислены:

• Критические бизнес‑процессы, использующие ГИС;
• Типы обрабатываемой информации (госсекрет, персональные данные, открытые данные);
• Уровни доступа и их распределение;
• Потенциальные уязвимости, выявленные в предыдущих проверках.

Используйте проверенные чек‑листы

Для каждой категории требований (например, защита каналов связи, управление доступом, журналы аудита) подготовьте чек‑лист, основанный на пунктах ФЗ‑149, Приказа ФСТЭК № 77 и рекомендаций Минцифры. Это ускорит процесс и уменьшит вероятность пропуска критических пунктов.

Применяйте методику «тест‑плюс‑интервью»

Только технический аудит часто не раскрывает всех проблем. Проводите интервью с владельцами подсистем, администраторами и пользователями, чтобы выяснить:

• Фактические практики управления паролями;
• Наличие «тёмных» учетных записей;
• Процедуры реагирования на инциденты.

Автоматизируйте сбор журналов

Настройте централизованный SIEM (Security Information and Event Management) для автоматического сбора и корреляции событий. Это упрощает проверку соответствия требованиям статьи 14 ФЗ‑149 о хранении и анализе журналов.

Оценка соответствия СЗИ

Сравните используемые средства защиты с перечнем, утверждённым ФСТЭК (пункт 16 ФЗ‑149). При отсутствии сертификации СЗИ – оформляйте запрос на проведение независимой экспертизы.

Документирование результатов

Отчёт должен включать:

1. Общие сведения о проверяемой системе (название, назначение, владелец).
2. Список использованных нормативных актов.
3. Матрицу соответствия (Требование – Статус – Комментарий).
4. Перечень выявленных несоответствий с указанием уровня критичности.
5. План корректирующих действий (сроки, ответственные, критерии завершения).
6. Подписи членов комиссии и подтверждение получения отчёта ответственными лицами.

Инструменты и методики, рекомендованные в отрасли

Оформление результатов проверки

Согласно Приказу ФСТЭК № 77, протокол проверки должен быть оформлен в следующем виде:

• ьный лист – название ГИС, дата проверки, состав комиссии.
• Вводная часть – цель, объект, нормативная база.
• Методика проведения – перечень использованных методов и инструментов.
• Результаты проверки – матрица соответствия, графики, скриншоты.
• Рекомендации и ПКА – детализированный план действий.

Документ подписывается всеми членами комиссии и передаётся владельцу ГИС в течение 5 рабочих дней после завершения проверки.

Частые ошибки и способы их избежать

• Недостаточная актуализация нормативных актов. Регулярно проверяйте обновления ФЗ‑149, Приказов ФСТЭК и рекомендаций Минцифры.
• Отсутствие документированных процедур. Даже если процесс «работает», отсутствие формализованных инструкций приводит к несоответствиям.
• Игнорирование «человеческого» фактора. Не проверяйте процессы управления паролями, обучение персонала и реакцию на инциденты.
• Слишком редкая повторная аттестация. По пункту 17.4 Приказа ФСТЭК аттестацию следует проводить не реже, чем раз в 3 года, а также при изменении класса защищённости.
• Недостаточная детализация ПКА. Поставьте конкретные сроки, ответственных и критерии приемки – иначе корректирующие действия могут затянуться.

Проверка соответствия требований к государственным информационным системам – это комплексный процесс, который объединяет юридический, технический и организационный аспекты. При правильном подходе, основанном на актуальной нормативной базе, чётко выстроенной методологии и использовании современных инструментов, можно обеспечить:

• Соблюдение требований ФЗ‑149 и Приказа ФСТЭК № 77;
• Снижение риска утечки или искажения государственных данных;
• Повышение доверия к ГИС со стороны контролирующих органов и граждан.

Следуя изложенным рекомендациям, специалисты по надзору смогут проводить проверки эффективно, документировать их надлежащим образом и гарантировать, что ГИС находятся в состоянии полной соответствия установленным требованиям.

Дата публикации: