Приказ ФСТЭК № 117 от 11 апреля 2025 года сместил центр тяжести в защите государственных информационных систем. Раньше аттестат соответствия фиксировал состояние системы на конкретный день и действовал годами – между проверками защищённость жила своей жизнью. Теперь регулятор требует подтверждать защиту постоянно: мониторингом, метриками и регулярной переоценкой угроз. Аттестация как разовое событие уходит, на её место приходит непрерывный контроль. Разберём, что это значит на практике для госзаказчиков и интеграторов.

Почему разовая аттестация больше не работает

Старая модель строилась на допущении, что система статична. Получили аттестат – закрыли вопрос на три года. Но реальная ГИС меняется каждую неделю: накатываются обновления, появляются новые интеграции, меняется состав пользователей и обрабатываемых данных. Каждое такое изменение способно обнулить выводы прошлогодней проверки, а формально система оставалась «аттестованной».

Приказ № 117 закрывает этот разрыв. Оператор обязан поддерживать защищённость в актуальном состоянии и доказывать это в любой момент, а не раз в три года. Базовую подготовку к новым требованиям – категорирование систем, инвентаризацию активов и пересмотр моделей угроз – мы разбирали в материале о подготовке к Приказу № 117. Здесь идём дальше: к тому, как выстроить сам процесс непрерывного контроля.

Что входит в непрерывный мониторинг

Непрерывный контроль – это не один инструмент, а связка процессов, которые работают без остановки:

  • Контроль конфигураций. Автоматическая сверка настроек узлов с эталоном и фиксация любого дрейфа от защищённого состояния.
  • Управление уязвимостями. Регулярное сканирование, приоритизация по реальной эксплуатируемости и контроль сроков устранения.
  • Сбор и корреляция событий. SIEM собирает логи со всех источников, а правила корреляции отделяют инциденты от шума.
  • Переоценка угроз. Модель угроз перестаёт быть документом «на полке» и обновляется при каждом значимом изменении инфраструктуры.

Ключевая разница с прежним подходом – измеримость. Регулятор и руководство хотят видеть метрики: сколько критичных уязвимостей открыто, как быстро закрываются инциденты, какова доля узлов с эталонной конфигурацией. Без приборной панели эти ответы не собрать.

Где помогает автоматизация и ИИ

Объём событий в средней ГИС не разобрать вручную. Здесь работают модели машинного обучения: они выявляют аномалии в трафике и поведении пользователей, отсеивают ложные срабатывания и подсвечивают аналитику то, что действительно требует внимания.

Отдельный пласт – работа с регуляторной и операционной документацией. Языковые модели с доступом к актуальной нормативной базе помогают сверять конфигурации с требованиями и готовить отчётность. Чтобы такая модель отвечала по вашим документам, а не по обобщённым данным из обучения, обычно выбирают RAG – почему он чаще предпочтительнее дообучения, мы разбирали в сравнении файнтюнинга и RAG. А разбор входящих запросов, актов и предписаний всё чаще берут на себя агентные ИИ-сценарии работы с документами, снимая рутину с дежурной смены.

Выстроить такую схему помогает проектирование и внедрение систем информационной безопасности под требования Приказа № 117 – от архитектуры мониторинга до интеграции с процессами оператора.

Вывод

Приказ № 117 переводит защиту ГИС из режима периодических проверок в режим постоянного наблюдения. Это сложнее организационно, но честнее по сути: система защищена тогда, когда это видно по метрикам сегодня, а не по аттестату прошлого года. Начинать стоит с инвентаризации источников событий и построения единой картины защищённости – на этом фундаменте непрерывный контроль строится предсказуемо.