Метка: IT

ГИГАНТ — Компьютерные системы: англицизмы в ИТ

Опубликовано

1 марта вступил в силу федеральный закон №168-ФЗ. Он требует перевода на русский язык информации, предназначенной для ознакомления потребителей, а также различных терминов. Как он скажется на ИТ и ИБ, где значительную часть терминов составляют англоязычные, в лучшем случае транслитерированные?

Введение

Уже 1 марта вступает в силу закон № 168-ФЗ. Он вносит изменения в целый ряд других законов, в том числе «О защите прав потребителя» и «О государственном языке». Однако наиболее значимы изменения всё же в законе о правах потребителей.

Действительно, закон «О защите прав потребителя» принят ещё в 1993 году и основательно устарел. Многие его положения требуют уточнений, в том числе касающиеся перевода на русский язык и другие официальные языки субъектов РФ информации, знакомящей потребителей с товаром или услугой. Эта норма в начале 1990-х не всегда соблюдалась, что иногда приводило к довольно тяжёлым последствиям. Так, было несколько смертей, связанных с передозировками препаратов, имеющих разные торговые названия, но одно действующее вещество. Обычно речь шла о лекарствах на основе парацетамола от зарубежных фармкомпаний, которых в общей сложности около 200, причём многие из них содержат данное действующее вещество в высокой дозировке.

В новом законе требования о переводе информации существенно усилены. Но такой подход связан с множеством рисков, которые далеко не всегда очевидны. Так, председатель комитета Государственной Думы РФ по финансовому рынку Анатолий Аксаков на одной из недавних пресс-конференций посетовал на то, что новые требования вынуждают придумывать термины, которые могут подменять те, что давно сложились, а это не может не влиять на бизнес. В частности, речь идёт о «партнёрском банкинге», который стал переводом общепринятого термина Islamic banking.

С ИТ и ИБ всё ещё сложнее. В этих отраслях традиционно велик удельный вес если не полностью англоязычной терминологии, то плохо обрусевших англицизмов, многие из которых только транслитерированы кириллицей.

Особенно тяжёлая ситуация — в относительно новых сегментах, где русскоязычная терминология просто не сформировалась. В других языках народов России, а на них также может потребоваться переводить документацию и пользовательские материалы, своих ИТ- и ИБ-терминов может просто не быть — а это тоже поле для непонимания и конфликтов. Впрочем, данная угроза всё же из разряда теоретических, так как пока сфера использования национальных языков довольно ограничена. Однако её вполне могут расширить, особенно в отношении продуктов, которые продаются в рознице.

Возможен и целый ряд других неприятностей. В частности, вырастет нагрузка на технических писателей и сотрудников служб маркетинга. Не исключены конфликтные ситуации, связанные с непониманием новоизобретённых терминов. Это может породить волну злоупотреблений, причём как со стороны ИТ-компаний, так и их потенциальных заказчиков.

Чего требует закон?

Закон №168-ФЗ требует от компаний перевода информации, предназначенной «для публичного ознакомления потребителей и не являющейся рекламой», на русский язык. В ряде случаев, если того требуют законодательные акты субъектов Российской Федерации, нужен перевод на другие языки, установленные в качестве официальных. Также требования закона обязывают давать точный перевод иностранных слов, которые используются в информационных материалах для потребителей.

Сферу действия закона его первая статья определяет так:

«Информация, предназначенная для публичного ознакомления потребителей и не являющаяся рекламой, которая размещается изготовителем (исполнителем, продавцом) в общедоступных местах (местах, доступных для неопределённого круга лиц) и (или) доводится до сведения неопределённого круга потребителей (в случае размещения такой информации) с использованием вывесок или иных средств размещения информации (надписей, указателей, внешних поверхностей, информационных табличек, информационных знаков, конструкций, сооружений, технических приспособлений и других носителей, предназначенных для распространения информации, за исключением рекламных конструкций) при осуществлении торговли, бытового и иных видов обслуживания потребителей».

Сделаны и определённые исключения. В частности, для слов, которые являются товарными знаками, фирменными наименованиями, знаками обслуживания. Правительственное постановление №1102-р допускает использовать иностранные слова, которые включены в один из указанных в нём словарей русского языка. В этот перечень вошёл и наиболее подробный словарь, разработанный Институтом русского языка РАН им. В. В. Виноградова. Туда включено много популярных в ИТ и ИБ слов, включая «баг», «консалтинг», «провайдер» и др.

Однако, как предупредил в личном телеграм-канале бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий, вне закона оказываются такие слова и выражения, как «пентест», «эксплойт», «редтим», «блютим», «фишинг», «фреймворк», не говоря уже о часто оставляемых без русского перевода threat hunting, SOC, NGFW, EDR, sandbox, zero trust.

Как видно, требования, предъявляемые в законе, сильно размыты. В итоге многие компании, по советам юристов, перестраховываются, толкуя требования закона максимально широко.

Главный юрист продуктовой группы Контур.Эгида и Staffcop Ольга Попова считает, что данный закон в большей степени регулирует отношения между потребителями – физическими лицами и изготовителями (исполнителями, продавцами). Соответственно, по её мнению, основные возможные неудобства понесут разработчики ПО, аппаратных и программно-аппаратных средств, предназначенных для конечных пользователей или микробизнеса, которые приобретают данную продукцию по розничным каналам.

Руководитель юридической службы ALMI Partner Юлия Чехонина считает, что требования закона распространяются на сайты, приложения, рекламные и информационные материалы.

По её мнению, придётся вносить изменения в маркетинговые тексты, пользовательские соглашения, контент в корпоративных пабликах в соцсетях, а также в интерфейсы приложений — одним словом, практически во всё, что так или иначе относится к публичным коммуникациям с клиентами и пользователями. По её оценке, риск появляется тогда, когда информация на иностранном языке даётся без равнозначной версии на русском и тем самым ограничивает право потребителя на получение понятной и доступной информации. Иначе говоря, как считает Ольга Попова, проблема не в термине или аббревиатуре на иностранном языке, а в том, что потребителю объективно неясно, что ему сообщают и какие у него права и условия использования.

Технический директор MD Audit (FabricaONE.AI, акционер — ГК Softline) Юрий Тюрин считает, что действие данного закона не распространяется лишь на внутреннюю инженерную документацию. Он касается в том числе публичных описаний продуктов, интерфейсов, пользовательских соглашений, маркетинговых и договорных формулировок, которые неизбежно потребуют переработки — по крайней мере, в части включения русскоязычных эквивалентов и пояснений иностранным терминам.

Менеджер по развитию «Трайв Технолоджис» Дарья Носова называет основным проблемным местом данного нормативного акта то, что он создаёт зону правовой неопределённости. С этой точкой зрения согласны большинство опрошенных нами экспертов.

Возможные риски для ИТ- и ИБ-компаний

Отрасль опасается, что требования закона 168-ФЗ могут вызвать целый комплекс проблем, от осложнения взаимоотношений с заказчиками до трудностей при разработке материалов согласно требованиям изменившейся нормативной базы. Не секрет, что русские слова длиннее английских, а применительно к техническим терминам разница между оригиналом и переводом может быть весьма большой. В итоге русское описание может просто не поместиться на рекламный баннер.

Алексей Лукацкий не исключил и того, что нарушителей могут начать штрафовать. Особенно, по его мнению, велик такой риск будет в первый год действия закона.

Директор по маркетингу компании «Гигант Компьютерные системы» Вера Тимофеева также обращает внимание на неоднозначность многих терминов:

«В профессиональной среде перевод далеко не всегда нейтрален. Например, hot-swap можно перевести как «горячая замена», но часто производитель закладывает более широкий смысл. Аналогично, high availability и fault tolerance — это разные архитектурные подходы, которые при обобщённом переводе как «отказоустойчивость» начинают восприниматься как одно и то же».

Также, по её оценке, перевод может приводить к размыванию смысла и давать основания для вольных трактовок. Это уже чревато различными злоупотреблениями, как со стороны продавцов, так и потенциальных покупателей и заказчиков.

Значительная переработка документации и маркетинговых материалов

По мнению опрошенных нами экспертов, наиболее очевидным риском является глубокая переработка маркетинговых материалов. Это может стать довольно трудоёмким и длительным процессом, как предупреждает presale-инженер по AppSec, руководитель и создатель курсов по ИБ компании MONT Сергей Терешин.

Директор продукта «Межсетевой экран ИКС» компании «Интернет Контроль Сервер» Игорь Сухарев отметил, что придётся как минимум редактировать материалы на сайте, подбирая к англоязычным понятиям релевантные отечественные термины. Он не исключил и полной переработки стратегии продвижения продукта. Положение, по его оценке, осложняет то, что движение разных участников рынка будет разрозненным: стремясь выполнить требования законодательства, вендоры и интеграторы начнут заменять англицизмы на своё усмотрение, не дожидаясь появления «общего знаменателя».

Аналитик угроз GSOC компании «Газинформсервис» Владислав Шелепов считает, что для того, чтобы добиться соответствия требованиям закона, компаниям придётся переписывать практически все публичные материалы, включая сайты, описания продуктов, интерфейсы и в особенности рекламу. Причём работа предстоит большая, поскольку для многих терминов адекватного русского перевода просто не существует. А такая ситуация, по его оценке, сложилась во многих быстрорастущих или узких сегментах ИТ- и ИБ-рынка.

По оценке руководителя Департамента безопасности АО «ИВК» Игоря Корчагина, риск того, что документация, которую разрабатывают компании сферы ИБ, не будет соответствовать требованиям нового закона, можно считать минимальным. А вот в публичном информационном пространстве картина совсем другая, и для соответствия требованиям закона компаниям необходимо будет привести в соответствие эту терминологию с терминами, закреплёнными в регуляторных документах.

Директор по маркетингу ГК «Гарда» Анна Кирсанова также назвала рекламные материалы основной точкой притяжения трудозатрат. Она напомнила, что закон «О рекламе» обязывает предоставлять перевод и расшифровки иностранных слов в любых рекламных материалах, включая сайты, презентации и печатную продукцию. Но, по её оценке, объём работ для вендоров B2B-продуктов будет в целом не очень значительным.

Однако, как отметила Анна, нужна аккуратность:

«Тенденция к русификации понятна, нужно стремиться к единой терминологии, но делать это аккуратно. Далеко не все устоявшиеся в ИТ-отрасли термины сейчас имеют прямые русские аналоги, стихийная замена названий классов решений и технологий каждым вендором по-своему может привести к путанице и недопониманию между клиентами и производителями».

Генеральный директор OSMI IT Михаил Шрайбман среди таких сегментов назвал «молодые» направления, прежде всего, искусственный интеллект, облачные технологии и новые технологии быстрой разработки: DevOps (Development & Operations, дословно «разработка и операции») и DevSecOps (Development, Security, Operations, дословно «разработка, безопасность и операции», или РБПО, «разработка безопасного ПО»). Юрий Тюрин добавил к этому перечню также многие термины, касающиеся киберугроз и мультиагентных систем.

Алексей Лукацкий порекомендовал принять следующие меры:

  • Проверить словари на предмет включения заимствованных терминов. Те, которые туда вошли, считаются русскими и их можно применять без опасений.
  • В документах, интерфейсах, на сайтах обеспечить русский текст первым и основным, а англицизмы — только как дополнение.
  • Расшифровывать все аббревиатуры и давать пояснение на русском.
  • В маркетинговых и публичных материалах избегать англицизмов без перевода.

«Полный отказ от англоязычных терминов малореалистичен, но их использование без расшифровки может быть признано нарушением. Это приведёт к переработке маркетинговых и договорных формулировок», — считает Юрий Тюрин.

Руководитель Центра информационной безопасности компании Digital Design Андрей Миняев также посоветовал однозначно определять термины в договорах и технических заданиях к договорам. Тут могут быть полезны ссылки на российские ГОСТы с определениями. Также необходимо обязательно указывать, пусть и в скобках, исходный англоязычный термин, например Next-Generation Firewall (NGFW).

С другой стороны, по мнению Андрея, придётся менять интерфейс программных продуктов. Использование полей «Login», «Sign Up», «Registration» и тому подобных с 1 марта, по его мнению, может быть расценено как нарушение требований закона.

Однако положение усугубляет жёсткий дефицит технических писателей в компаниях. К тому же эти специалисты и без того серьёзно загружены, и попытки возложить на них дополнительные задачи могут сказаться на качестве работы, причём на более значимых для бизнеса направлениях.

А вот руководитель направления продуктов и архитектурных решений Linx Cloud Алексей Корулин не видит предпосылок для серьёзных злоупотреблений. Хотя недопонимание в ходе общения поставщиков и заказчиков, вызванное попытками заменить привычные термины, вполне возможно.

Руководитель продуктового направления «НЕКСТБИ» Евгений Сурков также считает, что фантазии продавцов не ограничиваются никакими языковыми барьерами. Плюс ко всему, селлеры в любых странах склонны изобретать новые термины и классы продуктов, манипулируя тем, что функциональность многих классов ПО пересекается, а некоторых — захватывает смежные.

Злоупотребления со стороны внедренцев

Как подчеркнула Дарья Носова, основная сложность заключается в том, что механический перевод «англицизмов» без точной технической расшифровки будет размывать смысл, что почти неизбежно создаст пространство для манипуляций и даже злоупотреблений. Почти все эксперты согласились с тем, что далеко не нулевой риск того, что, воспользовавшись неоднозначностью переводов, ИТ и ИБ-компании могут как минимум пытаться навязывать заказчикам дорогие и объективно ненужные им продукты и решения.

Например, Андрей Миняев предупреждает, что споры вокруг «правильного» толкования требований ИБ и их реализации в проектных решениях, а также нейтрализации угроз безопасности могут приводить к дополнительным затратам в рамках проекта.

По оценке Игоря Сухарева, для того чтобы избежать различных разночтений, потребуется больше согласований на этапе заключения проекта. Это, в свою очередь, может сказаться на сроках реализации. Положение осложняется тем, что донести изменения в терминологии до заказчиков может быть сложнее, чем до профессиональных участников рынка.

«Более широкая или технологически продвинутая функциональность может описываться обобщённым термином, который звучит убедительно, но не раскрывает реального уровня решения. При отсутствии единых отраслевых формулировок проверить соответствие становится сложнее, особенно для заказчиков без глубокой инженерной экспертизы», — предупреждает Вера Тимофеева.

Однако и без сложностей в терминологии построить диалог между заказчиками и разработчиками бывает непросто.

Юлия Чехонина обратила внимание на то, что один и тот же термин в ИТ может означать принципиально разные по объёму и стоимости работы. Например, «резервирование» кто-то понимает как простое резервное копирование, а кто-то — как построение отказоустойчивого кластера. А стоимость решения этих задач может отличаться даже не в разы, а на порядки. Чтобы избежать такой проблемы, она порекомендовала закреплять в документах то, что именно компания имеет в виду, что именно нужно заказчику, как это правильно называется в договоре и с какими параметрами.

Кроме того, по её оценке, риск злоупотреблений симметричен. Путаницей в терминах могут пользоваться не только продавцы, но и заказчики.

Чтобы не превращать договор в поле для манипуляций, как подчеркнула Юлия Чехонина, терминология должна быть предельно прозрачной: словарь в приложении, чёткие описания результатов, поэтапная приёмка, а также прямая привязка терминов к техническому заданию и коммерческому предложению. В противном случае возможны серьёзные проблемы, которые могут выливаться в судебные тяжбы.

Риск потребительского экстремизма

Как предупреждает Дарья Носова, поле для злоупотреблений со стороны заказчиков не меньше, чем со стороны ИТ-компаний. Это связано с тем, что если в договоре используются общие русскоязычные термины без чётких метрик RPO (Recovery Point Objective, целевая точка восстановления, максимально приемлемый объём данных, которые может потерять компания), RTO (Recovery Time Objective, целевое время восстановления), SLA (Service Level Agreement, соглашение об уровне сервиса) и других параметров, их можно трактовать максимально широко уже после внедрения. Это открывает возможность требовать от исполнителя функциональности, которая фактически не была заложена в проект, ссылаясь на «неполное соответствие заявленному».

Использование обобщённых русскоязычных терминов, по мнению Дарьи Носовой, позволяет «упаковать» упрощённые решения под более серьёзные ожидания заказчика. Особенно, по её оценке, в этом плане опасны такие термины, как «резервирование», «защита», «мониторинг» или «отказоустойчивость». Именно они без указания конкретных параметров могут скрывать минимальную функциональность при сохранении высокой цены. Так что 168-ФЗ может увеличить количество конфликтов и судебных разбирательств из-за попыток сторон использовать неопределённость формулировок как инструмент давления.

По мнению Юрия Тюрина, возможны и претензии к «неполной русификации» как формальный повод для давления на подрядчика. По оценке эксперта, наиболее велики такие риски в госзакупках и крупных тендерах. Чтобы минимизировать риски, поставщикам придётся заранее формировать юридически выверенные описания услуг и чётко фиксировать технические параметры. И чем сложнее проект, тем важнее будет выработка формального глоссария и детализация требований.

Владислав Шелепов уверен, что если в договоре или на сайте что-то написано неоднозначно, недобросовестный заказчик всегда сможет сыграть на этом. Ему в этом помогут законы, прежде всего Гражданский кодекс. И суды почти всегда трактуют неоднозначность формулировки в пользу клиента.

Только Игорь Сухарев посчитал, что вероятность злоупотреблений со стороны заказчиков вряд ли стоит ждать. Он не видит возможных выгод для них.

Что делать?

Ольга Попова считает, что основа грамотного документа — это словарь терминов, используемых в тексте. Именно он позволяет определить, что означает каждый термин, как он трактуется именно в этом документе, какие есть ограничения и контекст. Это полезно не только для соответствия требованиям, но и для снижения спорности: лучше один раз нормально расшифровать термины, чем потом «доказывать очевидное» в конфликтной ситуации.

Причём, как подчеркнул генеральный директор АНО «НЦК ИСУ» Кирилл Семион, у такого документа, содержащего общепризнанные трактовки терминов, обязательно должен быть официальный статус. Это, по его мнению, закроет основную массу возможных злоупотреблений.

Как считает Вера Тимофеева, одна из главных задач отрасли состоит в том, чтобы обеспечить согласованность терминологии: «Без общего словаря перевод может привести не к большей прозрачности, а к усложнению коммуникации между производителями, интеграторами и заказчиками».

Многие переводы формальны: они либо являются калькой с английского, либо звучат обобщённо и не отражают архитектурных различий. В качестве примера она привела scale-out и scale-up, которые переводятся одинаково («масштабирование»), но имеют разный смысл.

Однако, как предупреждает директор по маркетингу компании «Девелоника» Светлана Горшкова, на то, чтобы такой единый словарь прижился, может уйти довольно значительное время по сравнению с тем, сколько ушло на его выработку.

Юрий Тюрин полагает, что поставщикам придётся заранее формировать юридически выверенные описания услуг и чётко фиксировать технические параметры. Чем сложнее проект, тем важнее будет создание формального глоссария терминов и детализация требований.

Игорь Корчагин применительно к ИБ также порекомендовал ориентироваться на терминологию, отражённую в документах регуляторов, в частности ФСТЭК России. Также многое можно почерпнуть в федеральных законах и других нормативно-правовых актах, а также государственных и отраслевых стандартах.

И действительно, в некоторых стандартах, в частности по разработке безопасного ПО, есть довольно полные и вполне адекватные глоссарии терминов в данной сфере. Довольно активно идёт работа также по многим направлениям применения ИИ. Многие предварительные версии стандартов также находятся в публичном доступе, и информацию оттуда вполне можно использовать.

Также ИТ- и ИБ-компании уже в конце июня 2025 года резко активизировали работу по регистрации многих потенциально проблемных терминов в качестве товарных знаков. Так, патентный поверенный компании UserGate Александр Киселёв прокомментировал одному из отраслевых СМИ, что компания уже зарегистрировала в качестве товарных знаков названия основных продуктов. И UserGate тут далеко не одинок. Аналогичную активность ведут, в частности, Positive Technologies, «Лаборатория Касперского», ГК «Солар» и другие вендоры.

Выводы

Буквальное следование нормам закона 168-ФЗ чревато для отрасли ИТ и ИБ целым рядом рисков. Прежде всего, они связаны с тем, что русскоязычная терминология в сегментах ИТ- и ИБ-рынка не устоялась. У многих понятий общепризнанного перевода просто нет.

В свою очередь, недопонимание чревато использованием в корыстных целях, причём как со стороны внедренцев и интеграторов, так и потребителей. Попытки избежать таких рисков могут потребовать серьёзной переработки договорной базы.

Наиболее адекватным выходом может стать создание единого глоссария технических терминов. Однако на это потребуется время и ресурсы.

Источник: https://www.anti-malware.ru/analytics/Technology_Analysis/168-Federal-Law

ГИГАНТ — Компьютерные системы: киберучения становятся обязательным элементом киберустойчивости бизнеса

Опубликовано

Рынок киберучений в России переживает фазу активного роста, но развивается неравномерно. С одной стороны, тренировки постепенно становятся обязательной частью стратегии кибербезопасности, с другой — значительная часть российского бизнеса только переходит от формального выполнения требований к реальной отработке практических сценариев.

Геополитическая обстановка и рост числа атак на российские компании сформировали новый контекст: киберучения сегодня востребованы не только из-за регуляторного давления, но и как инструмент проверки реальной готовности к инцидентам. При этом уровень зрелости остается поляризованным: крупные организации и регулируемые отрасли выстраивают системные программы тренировок, тогда как малый и средний бизнес чаще действует эпизодически или только планирует внедрение подобных практик.

Частота проведения учений также существенно различается. Для крупных компаний оптимальным считается квартальный цикл, для среднего бизнеса — раз в полгода, для малых организаций — ежегодно. Однако на практике эти рекомендации часто корректируются в зависимости от изменений инфраструктуры, внедрения новых технологий и требований регуляторов. При этом сами компании, особенно в сегменте МСП, нередко стремятся проводить тренировки чаще, чем позволяют ресурсы.

ГИГАНТ — Компьютерные системы: рынок киберучений растет, но ограничен ресурсами

Несмотря на растущий интерес, развитие киберучений сталкивается с рядом системных ограничений — прежде всего, финансовых и организационных.

«С точки зрения драйверов и сдерживающих факторов, киберучения в стране развиваются непросто. Главный сдерживающий момент — ограниченные бюджеты, а также нехватка специалистов, у которых помимо повседневных обязанностей есть время на участие в кибериспытаниях. Плюс далеко не все компании готовы на день пожертвовать своей работоспособностью, ведь учения могут реально парализовать деятельность организации», — комментирует Сергей Семикин, генеральный директор «ГИГАНТ — Компьютерные системы».

Вопрос бюджета действительно остается ключевым. Крупные компании чаще закладывают отдельные статьи расходов на киберучения, тогда как малый и средний бизнес вынужден искать компромисс между затратами и ожидаемым эффектом. В среднем крупные организации готовы инвестировать в тренировки до 5 млн рублей, а МСП — до 3 млн рублей, при этом более высокие бюджеты встречаются значительно реже.

При этом важный нюанс — прямой зависимости между размером бюджета и эффективностью учений нет. Даже при ограниченных ресурсах компании могут достигать значимых результатов, если фокусируются на релевантных сценариях и глубокой проработке итогов тренировок.

Что касается самого рынка, он уже сформировался, но остается фрагментированным и до конца не консолидированным.

«Что касается сформированности рынка, он уже сложился, но окончательно не консолидирован. Из крупных игроков могу назвать «Ростелеком» — они реализовали много проектов как на своём киберполигоне, так и у заказчиков. Их киберполигон удобен тем, что туда зеркалируют инфраструктуру заказчика, и она не подвергается риску. Также активно работает Positive Technologies — Standoff по сути является частью кибериспытаний. Есть решения у «БиЗона» и у мелких компаний. В «Сайберусе» есть отдельная дочка. Если говорить иначе, кибериспытания — это во многом bug bounty. Особенность рынка в том, что здесь соседствуют и крупные отраслевые полигоны, и работа с небольшими группами белых хакеров», — отмечает Сергей Семикин, генеральный директор «ГИГАНТ — Компьютерные системы».

Такое сочетание форматов — от полноценных киберполигонов до работы с независимыми исследователями — формирует гибкую, но неоднородную экосистему. Это, с одной стороны, расширяет доступ к инструментам тестирования безопасности, а с другой — усложняет стандартизацию подходов и оценку качества услуг.

Отдельно стоит отметить разнообразие форматов киберучений, которые сегодня востребованы на рынке. Компании активно используют как базовые сценарии — например, фишинговые симуляции и проверку осведомленности сотрудников, — так и более сложные форматы с использованием цифровых двойников инфраструктуры, киберполигонов и командных учений в формате Red Team / Purple Team. Набирают популярность и игровые сценарии с элементами геймификации.

ГИГАНТ — Компьютерные системы: стоимость киберучений варьируется от пилотных сценариев до сложных инфраструктурных проектов

Финансовый порог входа в киберучения также остается неоднородным и напрямую зависит от масштаба и глубины сценариев.

«Финансовые вложения сильно разнятся: от миллиона рублей до сотен миллионов. Например, при обращении к мелкой группировке белых хакеров можно уложиться от 300 тысяч рублей. В среднем же — около 3 миллионов рублей. Бывает и 6 миллионов долларов ценник, всё зависит от конкретного заказа. Ежегодные расходы на поддержку инфраструктуры тоже определяются масштабом и сложностью проекта, универсальной цифры здесь нет», — подчеркивает Сергей Семикин, генеральный директор «ГИГАНТ — Компьютерные системы».

В итоге рынок киберучений в России движется к зрелости, но сохраняет характерные особенности: высокая вариативность подходов, зависимость от ресурсов и различия в уровне зрелости между сегментами бизнеса.

Ключевой тренд при этом очевиден — киберучения постепенно переходят из категории «опциональных активностей» в обязательный элемент обеспечения киберустойчивости, без которого невозможно объективно оценить готовность компании к реальным инцидентам.

ГИГАНТ — Компьютерные системы: фишинг под видом регуляторов становится ключевым вектором атак

Опубликовано

Количество фишинговых атак продолжает расти — и они становятся все более убедительными. По данным «Лаборатории Касперского», только за первый квартал 2026 года в Санкт-Петербурге зафиксировано 1,9 млн попыток фишинга и 7,8 млн писем с угрозами. При этом ключевой вектор атак остается прежним — эксплуатация доверия к «официальной» коммуникации.

«Практика имитации писем от регуляторов, проверяющих органов и других официальных структур очень распространена. Это один из ключевых методов социальной инженерии, который мошенники используют для получения финансовой и чувствительной информации. С развитием ИИ создание реалистичных поддельных писем и их массовая рассылка значительно упростились, и в 2026 году количество таких мошенничеств выросло примерно на 30% по сравнению с 2025 годом. Сотрудники действительно быстрее реагируют на письма от регуляторов из-за страха перед проверками, юридическими рисками и штрафами, поэтому злоумышленники целенаправленно смещают фокус на эту тематику», — комментирует Алексей Колодка, директор по продажам «ГИГАНТ — Компьютерные системы».

Таким образом, фишинг эволюционирует от массовых рассылок к более точечным и психологически выверенным сценариям. Использование тем проверок, штрафов и регуляторных требований делает такие атаки особенно эффективными — сотрудники склонны быстрее реагировать на подобные сообщения и реже подвергают их критической оценке.

ГИГАНТ Компьютерные системы: аттестация ГИС и КИИ по новым правилам 2026 года

Опубликовано

С 1 марта 2026 года вступил в силу Приказ ФСТЭК России от 11.04.2025 №117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». Документ полностью заменяет действовавший более десяти лет Приказ №17 и знаменует фундаментальную смену парадигмы регулирования.

Раньше требования касались только государственных информационных систем (ГИС) в узком смысле. Теперь область применения расширена до всех информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений, а также муниципальных информационных систем. Под действие попадают тысячи организаций, которые ранее могли не задумываться о требованиях ФСТЭК.

Кибер Медиа вместе с экспертами рынка разобрали новый порядок регулирования и сформировали рекомендации для компаний, как перестроиться, чтобы избежать штрафов.

Ключевые изменения по существу

Главное новшество — отказ от жёсткой таблицы мер. Вместо фиксированного перечня защитных мер для каждого класса систем теперь вводится процессный подход. Организации должны выстраивать систему управления информационной безопасностью по циклу Деминга-Шухарта (Plan-Do-Check-Act): планировать мероприятия, проводить их, оценивать состояние защиты и постоянно совершенствовать процессы.

Николай Калуцкий, Ведущий инженер-программист НОЦ ФНС России и МГТУ им. Н.Э. Баумана

В крупных распределенных ГИС с сотнями серверов и рабочими станциями вручную отслеживать появление новых уязвимостей и сверять их с установленным ПО очень трудоёмко. Особенность заключается в том, что мы переходим к доказательству безопасности каждого элемента. 117-й Приказ также вводит обязательную периодическую отчётность для операторов, ещё вводятся жёсткие требования к персоналу.

В регулировании появились новые классы защищённости. Класс системы теперь определяется по её назначению, а не территориальному уровню. Если система обрабатывает документы с грифом «Для служебного пользования» (ДСП), ей автоматически присваивается 1-й класс защищённости.

Впервые на нормативном уровне закреплены требования к кадровому составу: не менее 30% сотрудников подразделения по защите информации должны иметь профильное образование или пройти профессиональную переподготовку.

Николай Калуцкий, Ведущий инженер-программист НОЦ ФНС России и МГТУ им. Н.Э. Баумана

Требования к персоналу стали жестче: теперь официально нужно подразделение ИБ, ведь регуляторы переходят к проверке реальной, а не декларативной защищенности. Облачные сервисы и подрядчики превращаются в зону прямой и полной ответственности. Количество документации увеличивается в несколько раз.

Сергей Коловангин

Начальник отдела ИТ компании «Газинформсервис»

Разумеется, увольнение сертифицированного специалиста может привести к нарушению условий действия аттестата соответствия, но это зона ответственности руководства и кадрового подразделения организации. Фиктивное наличие специалиста по безопасности приравнивается к отсутствию такого специалиста в штате, попытка в этом вопросе ввести в заблуждение представителя регулятора при проверках также чревата серьёзными последствиями, поэтому приём на работу студента с профилем по ИБ хотя бы на полставки или вчерашнего выпускника без опыта в любом случае будет более разумным вариантом, чем оставаться вовсе без специалиста по ИБ.

Приказ №117 также вводит требования к защите современных технологий, которые не были описаны в старом документе: облачные вычисления, контейнерные среды, веб-технологии и API, интернет вещей.

Александр Буравцов, Директор по информационной безопасности компании CommuniGate Pro

Проект методики устанавливает, что защита контейнерной инфраструктуры обеспечивается применением сертифицированных средств контейнеризации и сертифицированных хостовых операционных систем. Для успешной аттестации необходимо подтвердить использование сертифицированной ОС, корректную настройку механизмов изоляции и разграничения доступа, а также наличие внутренних регламентов по управлению доступом, регистрации событий и управлению уязвимостями.

Альбина Аскерова, Руководитель направления по взаимодействию с регуляторами Swordfish Security

Также требования к безопасности ИИ описаны в требованиях ФСТЭК России, которые описаны в проекте методического документа «Мероприятия и меры по защите информации, содержащейся в информационных системах». Например, требование о том, что в информационной инфраструктуре разработки системы ИИ не допускается решение задач, не связанных с разработкой системы ИИ, или требование о применении только доверенных наборов обучающих данных, а также контроль целостности обучающих данных. Есть и усиленные меры, которые предполагают выделение в отдельный физически изолированный сегмент разработки системы ИИ или контроль целостности моделей путем использования сертифицированных средств криптографической защиты. То есть итоговая ответственность за безопасность замыкается на разработчике (операторе) сервиса с ИИ, а требования постепенно приведут к замкнутым отраслевым контурам безопасности. Сейчас регулятор рассматривает предложения отрасли к проекту методики.

Владислав Кошелев, Архитектор по информационной безопасности, «КИТ»

Еще в 2022 году был принят Приказ ФСТЭК России №118, устанавливающий требования по безопасности информации к средствам контейнеризации. Эти требования подлежат обязательному применению при разработке, сертификации и оценке соответствия средств защиты информации, используемых в контейнерных средах.

Отчётность теперь необходимо направлять во ФСТЭК на постоянной основе: раз в полгода — показатель защищённости, раз в год — показатель зрелости, плюс итоговый годовой отчёт по мониторингу.

Василий Севостьянов, Начальник отдела технического сопровождения продаж, ООО «Доктор Веб»

Для обоснования перед регулятором требуются: актуальная модель угроз на базе банка данных угроз безопасности информации ФСТЭК; обоснование выбора и адаптации базовых мер — почему выбраны именно такие, как именно они нейтрализуют угрозы из модели, а если какие меры не применяются — чем обоснован такой выбор; документальное подтверждение верификации эффективности реализованных мер — расчеты показателей уровня защищенности, периодический контроль уровня защищенности; внутренние регламенты и стандарты, описывающие порядок выбора, внедрения, контроля и совершенствования мер защиты информации.

Отдельный блок требований посвящён безопасности при работе с подрядными организациями. Теперь подрядчики обязаны соблюдать политики и организационно-распорядительные документы оператора ИС.

Владислав Крылов, Консультант по информационной безопасности AKTIV.CONSULTING

Отдельная методика может потребоваться в случаях, когда стандартные подходы не охватывают особенности конкретной ИС или отраслевые требования. Например, если система использует нестандартные технологии (контейнерную инфраструктуру, ИИ), работает в специфическом регуляторном поле или имеет высокий уровень критичности с точки зрения бизнеса. В таких случаях организация может разработать внутреннюю методику, которая детализирует порядок оценки рисков, выбора мер и СЗИ, учитывая дополнительные критерии и требования.

Важно отметить, что аттестаты, выданные до 1 марта 2026 года, остаются действительными до окончания срока их действия. Но при следующей аттестации проверка будет проводиться уже по новым требованиям.

Кому обязательна аттестация: критерии значимости объектов КИИ и ГИС

С вступлением в силу Приказа №117 вопрос «Должны ли мы аттестовываться?» приобретает новое значение. Раньше круг организаций, обязанных выполнять требования ФСТЭК, ограничивался в основном операторами ГИС и субъектами КИИ, теперь же он кратно расширился. Разберём по категориям.

Государственные информационные системы (ГИС) и иные ИС госорганов. Первая и самая очевидная категория — государственные информационные системы. Для них аттестация остаётся обязательной в соответствии с Приказом ФСТЭК №77, причём с 1 марта 2026 года проверка будет проводиться уже по новым требованиям №117.

Однако теперь под действие приказа попадают все информационные системы государственных органов, государственных унитарных предприятий, государственных учреждений — даже те, которые не являются ГИС в узком смысле слова.

Сергей Коловангин, Начальник отдела ИТ компании «Газинформсервис»

В третьем разделе Требований регулятор довольно конкретно расставил акценты на критичных направлениях обеспечения ИБ, на которые придётся обратить внимание в первую очередь при обеспечении ЗИ ГИС. Что касается обоснования выбора мер защиты, действительно, правильно разработанная модель угроз играет здесь одну из основных ролей, при этом подтверждение достаточности мер в соответствии с п. 65 Требований возложено на органы по аттестации в рамках аттестационных испытаний ГИС.

Кроме того, требования распространяются на:

  • информационные системы муниципальных органов;
  • информационные системы, получающие данные из ГИС;
  • подрядные организации, работающие с госзаказчиками (для них теперь обязательны соблюдение политик ИБ и соответствующее оформление в договорах).

Субъекты критической информационной инфраструктуры (КИИ).

Вторая крупная категория — субъекты КИИ, причём всех категорий значимости, а также значимые объекты. Здесь важно понимать двухуровневую систему регулирования.

С одной стороны, требования к защите значимых объектов КИИ регулируются отдельными документами (в первую очередь Приказом ФСТЭК №239, который также планируется к обновлению в 2026 году). С другой стороны, Приказ №117 вводит для субъектов КИИ обязательную оценку показателя защищённости (КЗИ) с пороговым значением 0,9.

Критерии отнесения объектов к КИИ регулируются Постановлением Правительства №127. В последние месяцы произошли важные изменения.

Постановлением Правительства №92 от 6 февраля 2026 года утверждены отраслевые особенности категорирования объектов КИИ в банковской сфере и на финансовом рынке. Теперь кредитные и некредитные организации обязаны ежегодно предоставлять информацию о значимых объектах КИИ в Минфин или ЦБ, а также соотносить показатели критериев значимости с типами объектов КИИ (по ещё не утверждённому типовому перечню).

Постановлением Правительства №4 от 16 января 2026 года утверждены отраслевые особенности для объектов КИИ в области атомной энергии, с особыми требованиями к составу комиссии по категорированию и методам расчёта показателей.

Михаил Савельев, Директор департамента методологии информационной безопасности «Ростелекома»

Утвержденный Перечень типовых отраслевых объектов критической информационной инфраструктуры Российской Федерации точно станет «раздражителем» защитников КИИ, поскольку в ближайшее время наверняка потребует провести перекатегорирование своих систем. С одной стороны, перечень упрощает этот процесс. Однако, с другой стороны, появляется неопределенность в отношении систем, которые могут повлечь недопустимые последствия, но не входят в перечень. Получается, что тому, кто найдет такие системы в своей инфраструктуре, придется начинать инициировать изменения в постановление Правительства.

К объектам КИИ относятся информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления производственными и технологическими процессами (АСУ ТП).

Операторы информационных систем персональных данных (ИСПДн). Это третья категория, которую необходимо не упустить из виду, но при этом необходимо учесть, что приказ касается только систем 1-го и 2-го уровня защищённости. Для них вводится обязанность оценивать показатель защищённости и, соответственно, выстраивать систему управления ИБ в соответствии с новыми требованиями.

Проект изменений в порядок аттестации (Приказ №77), опубликованный ФСТЭК 26 января 2026 года, вводит обязательное тестирование на проникновение для ГИС и иных ИС государственных органов и унитарных предприятий 1 и 2 классов защищённости, имеющих подключение к интернету или взаимодействующих с внешними системами. Это серьёзно повышает требования к доказательной базе.

Подрядчики госорганов обязаны соблюдать политики ИБ заказчика. Если организация подпадает хотя бы под одну из этих категорий, игнорировать новые требования нельзя: как в части отправки регулярной отчётности во ФСТЭК, так и части контроля значений КЗИ — показатель ниже 0,9 будет прямым сигналом для внеплановой проверки.

План подготовки: категорирование, моделирование угроз, выбор СЗИ, аттестационные испытания

Новые требования заставляют компании перейти к непрерывному процессу управления безопасностью. Поэтому и подготовку нужно вестис учётом постоянного функционирования в новом правовом поле.

Шаг 1. Классификация (категорирование) информационной системы

Приказ №117 сохраняет трёхуровневую иерархию классов защищённости (К1, К2, К3), но меняет критерии. Раньше класс системы определялся в основном по масштабу (федеральная, региональная, объектовая) и категории обрабатываемых данных. Теперь же — по назначению системы. Это кардинально меняет требования для многих государственных учреждений, которые ранее могли не относиться к высшему классу.

Что нужно сделать:

  1. Составить полный перечень информационных систем, подпадающих под действие приказа (ГИС, иные ИС госорганов, ГУПов, госучреждений, системы с подключением к ГИС).
  2. Провести инвентаризацию обрабатываемой информации: есть ли данные с грифом ДСП, персональные данные, иная конфиденциальная информация.
  3. Определить класс защищённости для каждой системы по новой методике (в зависимости от назначения и категории данных).

Александр Осипов, Консультант по информационной безопасности, руководитель направления комплаенса и методологии ПК РАД КОП

Для общественного обсуждения вышел проект Методического документа «Мероприятия и меры по защите информации, содержащейся в информационных системах», который, видимо, будет принят, т.к. «пути назад уже нет», а меры надо понимать. Документ, как описано в проекте «определяет общие подходы, состав и содержание мероприятий (процессов) и мер по защите информации», «детализирует мероприятия (процессы), которые подлежат реализации в органе (организации) для достижения целей защиты информации и (или) обеспечения безопасности значимых объектов критической информационной инфраструктуры, а также определяет содержание мер по защите информации (обеспечению безопасности)».

Шаг 2. Моделирование угроз и построение модели нарушителя

Если раньше модель угроз часто разрабатывалась формально и использовалась только на этапе аттестации, то теперь это живой документ, на основе которого выстраивается вся система защиты. Регулятор прямо указывает на необходимость учитывать риски информационной безопасности, а не только формальные признаки.

Приказ №117 требует, чтобы в модели угроз особое внимание уделялось угрозам, связанным с удалённым доступом; угрозам через цепочки поставок (подрядчики, партнёры); человеческому фактору.

Что нужно сделать:

  • Актуализировать модели угроз и нарушителя с учётом новых требований.
  • Увязать модель угроз с реальными сценариями атак и возможными последствиями для организации.
  • Проверить, отражает ли модель текущую архитектуру сети, включая облачные сервисы, удалённые рабочие места и внешние подключения.

Обратите внимание, что при проверке ФСТЭК будет оцениваться не просто наличие модели угроз, а её обоснованность и адекватность реальным условиям эксплуатации.

Шаг 3. Выбор и внедрение СЗИ

На этом этапе Приказ №117 снова смещает акцент на результат — способность системы предотвращать и выявлять инциденты.

Если ваша ИС классифицирована как К1, то и межсетевой экран, и другие средства защиты должны иметь сертификат ФСТЭК соответствующего класса. Это исключает использование «облегчённых» решений в критически значимых системах.

Вводится приоритет технических мер над «бумажными». Из 21 мероприятия для достижения целей защиты информации 18 — технические.

Возрастает роль многофункциональных решений. Использование сертифицированного NGFW позволяет закрыть до 14 из 17 базовых мер защиты на одном узле, упрощая эксплуатацию и аттестацию. При этом пункты 71-72 Приказа №117 прямо указывают: класс используемых средств защиты информации обязан строго соответствовать классу самой системы. Нужно проверить не только наличие сертификатов на все текущие СЗИ, но и сроки их действия. Просроченный сертификат приравнивается к отсутствию защиты.

Никита Фотин, Ведущий инженер группы систем защиты АСУ ТП компании «Газинфорсервис»

Организации следует проработать ряд компенсирующих мероприятий и обеспечить подробную регламентацию процедур по защите информации, а также подготовить план по переходу на отечественные и актуальные программные продукты, позволяющие своевременно закрывать выявляемые уязвимости.

Приказ №117 вводит требования к защите современных технологий, которые просто отсутствовали в старом документе: защита облаков (CSP, CASB); защита контейнерных сред (Docker/Kubernetes); WAF для веб-приложений и API; IoT-безопасность; EDR/XDR-функционал на конечных точках; управление привилегированным доступом; регламентация удалённого доступа.

Василий Севостьянов, Начальник отдела технического сопровождения продаж, ООО «Доктор Веб»

В связи с пунктом 41 иногда высказывается мнение, что он фактически обязывает организации внедрять системы класса EDR. Но это не так. Формулировка носит функциональный, а не продуктовый характер. Приказ перечисляет цели и задачи: исключение несанкционированного доступа и воздействия через интернет-интерфейсы; мониторинг и анализ процессов и событий на конечном устройстве; выявление актуальных угроз; предупреждение о произошедших событиях безопасности.

Владислав Крылов, Консультант по информационной безопасности AKTIV.CONSULTING

3 ключевые меры, направленные на обеспечение изоляции, контроля уязвимостей, целостности и управления доступом в контейнерной среде. Во-первых, изоляция контейнеров: необходимо обеспечивать разделение процессов, файловых систем и сетей между контейнерами и от хостовой операционной системы. Это включает изоляцию пространств идентификаторов процессов, имён для межпроцессного взаимодействия, пользователей и групп, хостов и доменов, а также сетевых пространств имён. Для Kubernetes важно настроить механизмы изоляции на уровне кластера и оркестратора. Во-вторых, выявление уязвимостей в образах контейнеров. Требуется регулярное сканирование образов на наличие известных уязвимостей перед их запуском. Сканирование должно проводиться с использованием баз данных уязвимостей, включая БДУ ФСТЭК России. В-третьих, проверка корректности конфигурации. Необходимо аудитировать настройки контейнеров и оркестратора (например, Kubernetes) на соответствие требованиям безопасности. Это включает проверку манифестов YAML, Dockerfile и других конфигурационных файлов на предмет ошибок и небезопасных настроек.\

Шаг 4. Организационные меры и документация

Хотя регулятор делает заметный акцент на технологиях, компаниям нужно позаботиться и о процессной составляющей.

Александр Яров, Руководитель информационной безопасности ELMA

Нужен процесс управления уязвимостями: проведение инвентаризации сервисов и CVE, валидация влияния уязвимостей и обоснование их неактуальности, формирование компенсирующих мер через имеющиеся СЗИ. Для этого будет, в том числе, полезно сочетать данный процесс с процессами анализа и фиксации рисков для обоснования допустимости.

Необходимо разработать или актуализировать:

  • Политику информационной безопасности — базовый документ, определяющий цели защиты, защищаемые объекты, состав организационных мер, ответственность персонала.
  • Стандарты организации — требования к мерам безопасности различных объектов ИС (модели доступа, разрешённое ПО, защита конечных устройств).
  • Регламенты — конкретные алгоритмы реализации мер (порядок работы с учётными записями, с информацией ограниченного доступа, мониторинг ИБ).
  • Положение об ИБ-подразделении — теперь это обязательное требование.

Впервые на нормативном уровне закреплены требования к составу подразделения по защите информации: не менее 30% сотрудников должны иметь профильное образование или пройти профессиональную переподготовку.

Шаг 5. Аттестационные испытания

Для ГИС аттестация остаётся обязательной в соответствии с Приказом №77. Для остальных ИС, подпадающих под действие №117, аттестация формально добровольна, но на практике без неё невозможно подтвердить соответствие требованиям регулятора.

Михаил Савельев, Директор департамента методологии информационной безопасности «Ростелекома»

Аттестация — это прерогатива специализированных компаний-лицензиатов ФСТЭК. Она обязательна для ГИС, но не всегда необходима для ЗОКИИ, где можно обойтись процедурой оценки эффективности внедрения СЗИ, которую компания может выполнить своими силами.

Алексей Колодка, Директор по работе с государственными заказчиками компании «ГИГАНТ Компьютерные системы»

Даже если система полностью построена на отечественном оборудовании, использование open source накладывает на процедуру аттестации дополнительные требования. В практике ФСТЭК России внимание в таких случаях сосредоточено прежде всего на полноте документирования и прозрачности происхождения программных компонентов. Дополнительный риск связан с качеством сопровождения open source. За время эксплуатации подрядчики могли меняться, поддержка отдельных компонентов могла прекращаться, а требования к надежности и безопасности ГИС объективно остаются высокими. Отсутствие устойчивой модели сопровождения и обновления становится операционным риском, особенно в условиях повышенного внимания регулятора к уязвимостям и управлению жизненным циклом компонентов.

Эксперты рекомендуют не ждать окончания срока действия старых аттестатов, а провести повторную аттестацию досрочно, чтобы выявить и устранить несоответствия заранее.

Шаг 6. Настройка непрерывного контроля и отчётности

Пожалуй, самое существенное нововведение — требование регулярной отчётности перед регулятором. Раз в 6 месяцев следует проводить расчёт и представление показателя защищённости (КЗИ), раз в год — оценивать показатель зрелости процессов ИБ, в ежегодном режиме — предоставлять итоговый отчёт по мониторингу.

Алёна Лукашева, Заместитель руководителя департамента консалтинга и аудита iTPROTECT

План лучше собирать как повторяемый цикл, а не как разовую активность «перед аттестацией». На входе требуется инвентаризация периметра и внутренней инфраструктуры, включая внешние IP и домены, сервисы и порты, а также состав и версии серверов, рабочих мест, сетевого оборудования и средств защиты. Методика прямо фиксирует два вида анализа: внешнее сканирование периметра из сети Интернет и внутреннее сканирование внутренней инфраструктуры с предоставлением доступа исполнителю, при этом внутреннее сканирование проводится от лица привилегированного пользователя, а тестовая привилегированная учётная запись должна быть удалена или заблокирована после завершения работ.

Это означает, что аттестация становится стартовой точкой, а компания должна непрерывно доказывать свою состоятельность.

Что нужно настроить:

  • интеграцию NGFW с SIEM-системами для автоматического сбора событий и расчёта КЗИ;
  • подключение к ГосСОПКА (теперь обязательно для всех ГИС, а не только для КИИ);
  • процедуры ежедневного мониторинга событий, еженедельной отчётности по инцидентам, ежеквартальной проверки эффективности СЗИ.
Чек-лист для действий
  1. Классификация. Определить перечень ИС, проверить наличие ДСП, присвоить классы по новым правилам. Срок: март-апрель 2026.
  2. Модель угроз. Актуализировать с учётом удалённого доступа, цепочек поставок, человеческого фактора. Срок: апрель-май 2026.
  3. Выбор СЗИ. Аудит текущих средств, проверка сертификатов и их сроков, закупка недостающих (с учётом класса системы). Срок: май-август 2026.
  4. Организационные меры. Разработка/обновление политики, стандартов, регламентов. Проверка кадрового состава для контроля порогового значения в 30% с профильным образованием. Срок: июнь-сентябрь 2026.
  5. Аттестация. Подготовка к испытаниям, проведение тестирования на проникновение (для ГИС), получение аттестата. Срок: сентябрь-декабрь 2026.
  6. Мониторинг. Настройка SIEM, подключение к ГосСОПКА, отработка процедур сбора отчётности. Срок: Постоянно, с октября 2026.

Цена вопроса: из чего складывается стоимость аттестации

Универсального ответа на вопрос о бюджете практической реализации требований Приказа №117 нет, но можно разобрать основные статьи расходов и факторы, влияющие на итоговую сумму.

Алексей Колодка, Директор по работе с государственными заказчиками компании «ГИГАНТ Компьютерные системы»

С 1 марта 2026 года неисполнение требований приказа влечет оборотные штрафы, что принципиально повышает уровень ответственности руководства организаций и переводит вопросы соответствия из плоскости методической работы в зону прямых финансовых рисков.

Самая затратная часть — средства защиты информации, причём все они должны иметь действующие сертификаты ФСТЭК, а их класс обязан строго соответствовать классу аттестуемой системы. Для небольшой организации это могут быть сотни тысяч рублей, для крупной распределённой структуры — десятки миллионов.

Помимо закупки оборудования, потратиться нужно будет и на внедрение с пусконаладкой: правильную настройку, интеграцию с существующей инфраструктурой, обучение персонала. Стоимость этих работ зависит от сложности инфраструктуры и обычно составляет существенный процент от стоимости СЗИ.

Сама аттестация проводится лицензированными организациями и включает анализ документации, инструментальный контроль, а для ГИС первых двух классов — обязательное тестирование на проникновение. На рынке цены варьируются от трёхсот тысяч для небольших систем до нескольких миллионов для крупных распределённых объектов.

Алёна Лукашева, Заместитель руководителя департамента консалтинга и аудита iTPROTECT

В проекте изменений к порядку аттестации (приказ ФСТЭК № 77) формализуется периодический контроль на аттестованном объекте через анализ уязвимостей и тестирование на проникновение. Закрепляется обязанность направлять отчёт в ФСТЭК России не реже 1 раза в 3 года и риск приостановления аттестата при непредставлении отчёта. Экономия, которая ранее часто достигалась за счёт формального закрытия бумажного контура и разовых работ, становится менее жизнеспособной.

Александр Хонин, Директор Центра консалтинга Angara Security

Отдельно стоит упомянуть, что в 2025 году ФСТЭК выпустил новые методические рекомендации в части анализа уязвимостей и пентеста при аттестации: «Методика анализа защищённости информационных систем»; «Методика испытаний систем защиты информации информационных систем методами тестирования на проникновение»; «Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств». Эти исследования выделены в отдельный класс работ, который регламентирован и обязателен к выполнению при аттестациях.

Тестирование на проникновение обязательно для ГИС и ИС госорганов, унитарных предприятий и учреждений 1 и 2 классов защищённости, которые подключены к сети «Интернет» или взаимодействуют с внешними системами (за исключением случаев использования сертифицированных шифровальных СЗИ). В иных случаях решение о тестировании на проникновение принимает заказчик или оператор ИС.

Отдельная статья — человеческий капитал. Приказ требует, чтобы не менее трети сотрудников подразделения ИБ имели профильное образование или прошли переподготовку. Если текущий состав этим требованиям не соответствует, придётся направлять людей на обучение, а это от 60 до 100 тысяч на человека за полноценную переподготовку. Возможно, потребуется и разработка организационно-распорядительной документации силами внешних консультантов — ещё несколько сотен тысяч.

Александр Яров, Руководитель информационной безопасности ELMA

Раньше для защиты ГИС нужна была «бумага» и «сертифицированные СЗИ», и под это нанимались специалисты. Сейчас требования диктуют процессный и риск-ориентированный подход с дополнением в виде сертифицированных СЗИ. Под это уже требуются более квалифицированные кадры, в т.ч. операционный CISO, с которыми наблюдается дефицит. Плюс ко всему бюджетов и до этого с трудом хватало на минимальный уровень соответствия, а сейчас есть вероятность ухудшения ситуации.

Что касается сроков, реалистичный горизонт для организации, начинающей с нуля — от 6 до 18 месяцев. Классификация и моделирование угроз займут около месяца, закупка СЗИ может растянуться на квартал из-за бюджетных процедур, внедрение — ещё полгода, если инфраструктура сложная. Аттестационные испытания длятся один-три месяца. Если же в организации уже есть выстроенная система ИБ и сертифицированные средства, сроки могут сократиться до трёх-шести месяцев.

Важно помнить о скрытых затратах. После получения аттестата требуется ежегодное продление лицензий на СЗИ, регулярный расчёт показателей защищённости и отчётность во ФСТЭК. Если своих компетенций для этого недостаточно, придётся привлекать внешних аудиторов на постоянной основе.

Главный совет для руководителя: закладывать на 2026 год бюджет, исходя из масштаба инфраструктуры, и не откладывать начало работ. Чем раньше пройдёт аудит текущего состояния, тем больше времени останется на устранение неизбежных несоответствий. И помните: новые требования превращают аттестацию из разового события в режим постоянного соответствия.

Источник: https://securitymedia.org/info/attestatsiya-gis-i-kii-po-novym-pravilam-2026-polnyy-razbor-prikaza-fstek-117.html?sphrase_id=2105

  1   2   3   4   5   6   7   8   9   10   11   ... 23  »

Пользовательское соглашение

Опубликовать
Яндекс.Метрика