С 1 марта 2026 года Приказ ФСТЭК России № 117 от 11 апреля 2025 года заменил Приказ № 17 и стал основным документом по защите информации в государственных информационных системах. Первый месяц работы показал главное: регулятор окончательно отказался от модели «подготовились к аттестации – забыли на три года». Теперь защита информации – это процесс с регулярными расчётами, отчётностью и сроками. Разбираем, что это значит на практике и что менять прямо сейчас.

Что изменилось по сути

Приказ № 117 вводит цикл непрерывного улучшения: планирование, реализация мер, оценка состояния, совершенствование. Раньше аттестат соответствия был финишной чертой. Теперь это точка входа в постоянный режим контроля.

Два новых показателя задают ритм:

  • Кзи – коэффициент защищённости информации. Характеризует текущее состояние защиты, рассчитывается не реже одного раза в шесть месяцев.
  • Пзи – показатель уровня зрелости процессов. Оценивает достаточность и эффективность мер, рассчитывается не реже одного раза в два года.

Результаты обоих расчётов оператор направляет в ФСТЭК не позднее пяти рабочих дней после дня расчёта. Это не разовая бумага – это регулярный поток данных в регулятор, который теперь видит динамику защищённости каждой системы.

Почему ручной подход не выдержит

Расчёт Кзи раз в полгода и пятидневный срок отправки звучат щадяще ровно до первой попытки собрать показатели вручную. Данные о конфигурациях, уязвимостях, инцидентах и статусе мер живут в разных системах: SIEM, сканеры, CMDB, журналы СЗИ. Свести их в один достоверный показатель в авральном режиме – гарантированный источник ошибок и расхождений с реальностью.

Мы видим это у заказчиков, которые ещё в прошлом году начали выстраивать непрерывный контроль ИБ как инженерную дисциплину, а не как набор отчётов. У них переход на № 117 прошёл буднично: источники уже интегрированы, расчёт Кзи автоматизирован, выгрузка в формат регулятора – вопрос настройки шаблона.

Ключ здесь – отношение к телеметрии ИБ как к управляемому активу. Когда показатели защищённости собираются по той же логике, что и данные как продукт – с владельцем, контрактом качества и версионированием, – расчёт Кзи перестаёт быть квартальным подвигом и становится фоновой операцией.

Что делать в первый месяц

Первое – инвентаризировать источники показателей и убедиться, что каждая метрика Кзи имеет однозначный машиночитаемый источник. Если значение собирается человеком из трёх экранов, это будущая ошибка отчётности.

Второе – автоматизировать сам расчёт и выгрузку в ФСТЭК. Пятидневное окно не оставляет места для ручной сверки между подразделениями.

Третье – заложить мониторинг отклонений между плановыми и фактическими показателями, чтобы падение Кзи всплывало в момент события, а не на следующем полугодовом расчёте. Здесь хорошо работают сценарии раннего оповещения и автоматической эскалации – в том числе на базе агентных систем, которые сопоставляют сигналы из разных СЗИ и формируют черновик отчёта.

Перестройка процессов оператора ГИС под № 117 опирается на интеграцию источников показателей и автоматическую отчётность в регулятор, а не на ручную сверку перед каждым дедлайном.

Вывод

Приказ № 117 не ужесточил требования – он изменил их природу. Защита информации стала непрерывным измеримым процессом, а Кзи и Пзи – его пульсом. Выиграют те, кто встроит расчёт показателей в инфраструктуру, а не в дедлайн. Первый месяц это уже подтвердил.