Удалённый доступ в ГИС: что требует приказ ФСТЭК № 117 и что изменилось с 1 сентября 2026

Защиту информации в государственных информационных системах задаёт приказ ФСТЭК России от 11.04.2025 № 117. Утверждённые им Требования действуют с 1 марта 2026 года. С 1 сентября 2026 года они применяются в новой редакции по приказу ФСТЭК России от 08.05.2026 № 137. Изменения коснулись в том числе удалённого доступа.

Что за документ и кого касается

Минюст России зарегистрировал приказ № 117 16.06.2025 под рег. № 82619. Требования вступили в силу 1 марта 2026 года (п. 4). Одновременно утратил силу прежний приказ ФСТЭК России от 11.02.2013 № 17 (п. 2).

Требования распространяются на ГИС и другие информационные системы государственных органов, государственных унитарных предприятий и госучреждений. Под них попадают и муниципальные информационные системы, если иное не установлено законодательством.

Аттестаты соответствия, выданные до дня вступления Требований в силу, остаются действительными (п. 3). Переаттестовывать систему только из-за нового приказа не нужно.

Что приказ требует от удалённого доступа

Основные требования к удалённому доступу собраны в пункте 46 Требований:

• работник получает удалённый доступ с программно-аппаратных средств, которые выделил оператор. Эти средства сами должны соответствовать Требованиям;
• личные устройства приказ не запрещает. Их допускают по согласованию с подразделением по защите информации. Нужны также сертифицированные средства обеспечения безопасной дистанционной работы, средства антивирусной защиты и иные СЗИ. Для средств безопасной дистанционной работы сноска приказа отсылает к приказу ФСТЭК России от 16.02.2021 № 32;
• доступ идёт через сети связи на территории Российской Федерации. Нужны средства защиты канала передачи данных и строгая или усиленная многофакторная аутентификация.

Удалённый доступ в ГИС по приказу ФСТЭК № 117: сплошная линия — разрешённый маршрут, пунктир — маршрут с условиями.

Отдельно оговорён привилегированный доступ (п. 48), при котором администратору дают минимально необходимые права. Вход выполняется со строгой аутентификацией, а при технической невозможности применяется усиленная многофакторная. Все действия под такой учётной записью регистрируются, а запись, которая может создавать другие привилегированные записи, должна быть персонифицирована.

По подпунктам «г» и «д» п. 14 у оператора должны быть два внутренних документа. Первый задаёт стандарты конфигураций средств удалённого доступа, а второй описывает порядок его предоставления, в том числе работникам подрядных организаций.

Что изменилось 1 сентября 2026 и что будет 1 марта 2027

Минюст России зарегистрировал приказ № 137 10.08.2026 под рег. № 87797. Для оператора в нём три изменения:

• в требование к аутентификации при удалённом доступе добавили слова «или усиленной многофакторной» (абзац четвёртый п. 46). Раньше приказ допускал только строгую аутентификацию. Те же слова появились в требовании к доступу с мобильных устройств (абзац четвёртый п. 42);
• из определения конечных устройств убрали слово «постоянный» (абзац девятый подпункта «г» п. 14). Теперь под определение попадают устройства с доступом в интернет, а не только с постоянным доступом. Периметр контроля стал шире;
• с 1 марта 2027 года пункт 32 Требований действует в новой редакции (п. 7 приложения к приказу № 137). Обозначение показателя уровня зрелости меняется с Пзи на Узи. Считать его будет подрядная организация, а не оператор. Расчёт делается до получения доступа к системе и дальше не реже раза в два года. За оператором остаётся показатель защищённости Кзи, его считают не реже раза в шесть месяцев. Результаты направляются во ФСТЭК России не позднее 5 рабочих дней после расчёта.

Во вторичных публикациях эту дату указывают как «1 марта 2026», хотя в приказе стоит 2027 год.

Какие классы решений закрывают эти задачи

Приказ описывает функции защиты, а не конкретные продукты, поэтому требования удобно разложить по классам решений:

• защита канала передачи данных и сети связи на территории РФ (п. 46). Здесь работает UTM с криптозащитой каналов: Numa Edge, у него есть сертификаты ФСТЭК и ФСБ России (КС1/КС2) и VPN на российских криптоалгоритмах;
• периметр и выход пользователей в интернет (п. 41, 46) — NGFW: UserGate;
• веб-доступ и интернет-трафик (п. 14, 46) — шлюз безопасности: Traffic Inspector Next Generation;
• доступ администраторов и подрядчиков с записью сессий (п. 46, 48) — PAM: СКДПУ НТ;
• события безопасности (п. 49) — SIEM: NUMA ARCE;
• конечные устройства (п. 41) — Kaspersky Endpoint Security и PRO32.

Смежные задачи закрывают Гарда Предприятие, StaffCop Enterprise и Кибер Бэкап из раздела «Информационная безопасность».

Ни одно изделие само по себе не «соответствует приказу № 117». Класс защиты и уровень доверия сертифицированных средств подбирают под класс защищённости системы (п. 72). Для систем К1 нужны средства не ниже 4 класса защиты и уровня доверия, для К2 — не ниже 5 класса, для К3 — 6 класс. Сам класс системы определяют по приложению к Требованиям, а соответствие подтверждают сертификатом на конкретное изделие и проектным решением.

Что делать сейчас

1. Определить класс защищённости системы (К1, К2 или К3) и актуализировать акт классификации.
2. Проверить, чем закрыт удалённый доступ и достаточен ли класс защиты у применяемых СЗИ.
3. Пересмотреть регламент доступа подрядных организаций. С 1 марта 2027 года подрядчик рассчитывает показатель Узи до выдачи доступа.

Инженеры «Инноватиса» подберут решения под класс защищённости вашей системы — оставьте заявку на консультацию.

Тексты документов на официальном портале правовой информации: приказ № 117, приказ № 137.