Аттестация ИСПДн: полное руководство от А до Я

При чём тут ГИС «Профилактика»

Роль учреждения и схему предоставления сведений уточните у оператора. Состав информационных систем и требования к защите зависят от фактической обработки данных и конфигурации; применимые меры и необходимость оценки соответствия определяют для конкретного контура.

На практике требование доходит до организаций в урезанном виде: «подключайтесь к системе» — без слов о том, что перед подключением рабочие места нужно привести в порядок. Полный контекст — кто поставщики, зачем система и что в ней происходит — собран в нашем большом материале профилактика безнадзорности и ГИС «Профилактика» — руководство 2026; здесь же разбираем только аттестацию.

Этапы аттестации: от приказа до заключения

Путь одинаков и для школы, и для опеки, и для межведомственной комиссии — отличается только объём документации. Вот семь шагов, на каждом из которых свои исполнители:

1. Приказ и инвентаризация. Руководитель назначает владельца системы и ответственного за ИБ; вместе они фиксируют, какие АРМ и сервисы обрабатывают ПДн и откуда к ним есть доступ. Без точной границы системы всё остальное теряет смысл.
2. Акт классификации. Ответственный за ПДн определяет уровень защищённости по категориям сведений и количеству субъектов. Результат согласует комиссия.
3. Модель угроз. Разрабатывается по методике ФСТЭК и держится актуальной: документ старше 12 месяцев — типовая формальная причина возврата на доработку.
4. Проектные решения и ТЗ на СЗПДн. Описывается, какие меры и средства защиты закрывают угрозы из модели. Средства доступа, криптографическую защиту и совместимые версии программ определяют по действующим техническим условиям и памятке федерального оператора. Названия конкретных продуктов в коммерческом предложении не устанавливают универсальное требование для каждого учреждения.
5. Внедрение мер по приказу ФСТЭК № 21. Организационно-распорядительные документы, настройка СЗИ, разграничение прав, журналирование. Самый долгий этап: здесь всплывают дефолтные пароли, выключенные журналы и «серые» АРМ.
6. Аттестационные испытания. Лицензиат ФСТЭК проверяет систему по программе и методике испытаний и оформляет протоколы.
7. Документы оценки соответствия. По Порядку аттестации, утверждённому приказом ФСТЭК России № 77, аттестат соответствия выдаётся на весь срок эксплуатации объекта. Периодический контроль, дополнительные испытания и повторная аттестация имеют разные основания. Заключение об оценке мер защиты ИСПДн и аттестат соответствия следует различать.

Суммарно реалистичный срок — от 1,5 до 3 месяцев в зависимости от класса системы и исходного состояния. Планируйте подключение к ГИС «Профилактика» с этим горизонтом, а не «за неделю до дедлайна».

Документы, которые попросят при проверке

Восемь документов составляют «паспорт» аттестуемой системы. Держите их в одной папке — это то, что первым делом смотрит и лицензиат, и проверяющий:

Кто на каком шаге нужен

• Руководитель — подписывает приказы, ТЗ и бюджет; без его УКЭП не работает ни один документ, включая сам доступ к ГИС.
• Ответственный за ПДн / ИБ — ведёт классификацию, модель угроз, организационные меры; главный исполнитель всего плана.
• Интегратор — ставит и настраивает СЗИ и СКЗИ, готовит рабочие места к подключению (требования к рабочему месту — отдельная тема).
• Лицензиат ФСТЭК — проводит испытания и выдаёт заключение; приглашается на шаги 6–7.
• Оператор ГИС (Минпросвещения) — сам аттестацию не проводит, но его требования к средствам доступа и подписи нужно учесть заранее.

Почему аттестации проваливаются

По нашей практике причин четыре, и все — воспроизводимые:

• Модель угроз старше года или скачанная «шаблонная» — не отражает реальную конфигурацию.
• Документация расходится с реальностью: в ТЗ один состав СЗИ, на АРМ — другой.
• Технические пробелы: дефолтные пароли, выключенное журналирование, отсутствие резервного копирования.
• Истёкшая УКЭП ответственных — заодно ломает и работу в самой системе.

Каждую из этих причин дешевле поймать аудитором до испытаний, чем после возврата. Точечный аудит по индивидуальному расчёту занимает пять рабочих дней и заканчивается понятной дорожной картой.

Аттестация и вход в систему: как связаны

Аттестованное рабочее место — это ещё не доступ к ГИС «Профилактика». Дальше организацию ждут запрос о подключении, регистрация средств доступа и первый вход — мы разобрали это в статье про вход в личный кабинет ГИС «Профилактика», а нормативную сторону сроков подключения — в материале карта пунктов ПП-411 для поставщиков информации. Если сомневаетесь, какой уровень защищённости нужен именно вам, начните с простого разбора уровня УЗ-2.

Что мы делаем с аттестациями каждый день

• Аудит готовности — по индивидуальному расчёту. За пять рабочих дней показываем, где организация «сыплется» на испытаниях, и отдаём дорожную карту исправлений по блокам.
• Состав и стоимость сопровождения — по согласованию. Держим документы живыми: модель угроз, журналы, регламенты — и снимаем вопросы лицензиата.
• Обучение ответственных — по согласованной программе и стоимости. После аттестации систему надо не сдать, а удерживать: учим тех, кто будет работать с ней ежедневно.

Начинать стоит с проверки, а не с закупок — дальше всё зависит от состояния вашей документации. Заполните форму на главной — сначала разговор с экспертом, потом договор. Ориентиры по срокам и составу работ — в калькуляторе за минуту.

Вопросы об аттестации, которые задают чаще всего