Приказ ФСТЭК № 117 устанавливает обновленные требования к аттестации государственных информационных систем (ГИС), а также систем госорганов и унитарных предприятий. Регламент распространяется на всю инфраструктуру, взаимодействующую с защищаемыми ресурсами. Для проведения аттестации необходимо привлечение подрядчика с соответствующей лицензией ФСТЭК.
Технические требования включают обязательную двухфакторную аутентификацию для систем классов К1, К2 и К3, а также внедрение IdM/IAM-решений для К1 и К2. В виртуальной среде приоритет отдается встроенным средствам защиты. Для веб-сервисов требуются межсетевые экраны уровня приложений, а для конечных узлов с выходом в интернет — системы класса EDR.
С 1 сентября 2026 года для систем классов К1 и К2 стало обязательным проведение тестирования на проникновение (пентеста) согласно методике ФСТЭК. Процесс аттестации также включает анализ и устранение уязвимостей. После получения аттестата владельцы систем обязаны проводить дополнительные испытания при изменениях в инфраструктуре, если класс защищенности остается прежним.
При выборе подрядчика рекомендуется оценивать опыт работы по приказу № 117, наличие согласований от регулятора и готовность экспертов работать с компенсирующими мерами. Процедура аттестации включает комплексный аудит документации и технические испытания, направленные на подтверждение отсутствия критических уязвимостей и невозможности несанкционированного доступа.
