Защита государственных информационных систем

Защита информации в ГИС — обязательная задача для операторов государственных информационных систем. Приказ ФСТЭК России № 17 (заменяемый приказом ФСТЭК №117 от 11.04.2025) устанавливает требования к защите информации в государственных информационных системах в зависимости от класса защищённости информационной системы — от четвёртого (К4, наименее строгие) до первого (К1, максимальные требования).

Государственные информационные системы обрабатывают данные, необходимые для выполнения государственных функций: персональные данные граждан, сведения ограниченного доступа, служебную информацию. Классы защищённости информационных систем ФСТЭК определяются на основе масштаба системы (федеральная, региональная, объектовая) и значимости обрабатываемой информации. Класс защищённости информационной системы К1 присваивается системам, обрабатывающим данные наивысшего уровня значимости на федеральном масштабе.

Класс защищённости К3 — наиболее распространённый для региональных и муниципальных ГИС.

Этапы защиты информации в государственных информационных системах:

Классификация ГИС — определение класса защищённости информационной системы по методике ФСТЭК России. Анализируются масштаб системы, типы обрабатываемой информации, количество пользователей и территориальное распределение. Формируется акт классификации ГИС.

Моделирование угроз — разрабатывается модель угроз безопасности ГИС с учётом архитектуры системы, условий эксплуатации и актуального ландшафта киберугроз. Используется Банк данных угроз ФСТЭК (БДУ ФСТЭК) для идентификации релевантных угроз. На основе модели угроз формируется базовый набор мер защиты информации в ГИС в соответствии с требованиями приказа ФСТЭК 17/117.

Проектирование системы защиты — формируется профиль защиты с перечнем мер защиты информации в ГИС ФСТЭК: идентификация и аутентификация, управление доступом, регистрация событий безопасности, антивирусная защита, обнаружение вторжений, контроль целостности, защита машинных носителей. Разрабатывается технический проект с выбором сертифицированных средств защиты информации в ГИС.

Внедрение средств защиты — устанавливаются и настраиваются сертифицированные СЗИ из реестра ФСТЭК: средства от несанкционированного доступа (Secret Net Studio, Dallas Lock), межсетевые экраны (UserGate, Континент), средства криптографической защиты (КриптоПро CSP, ViPNet), антивирусные средства. Проводятся приёмочные испытания системы защиты.

Разработка документации — формируется полный комплект эксплуатационной и организационной документации: технический паспорт ГИС, модель угроз, акт классификации, инструкции администраторам и пользователям, регламенты безопасности.

Аттестация ГИС — проводится аттестация государственной информационной системы по требованиям безопасности информации в соответствии с приказом ФСТЭК № 77. По результатам аттестационных испытаний выдаётся аттестат соответствия, данные вносятся в реестр ФСТЭК. Выполняется расчёт показателя защищённости КЗИ по новому приказу ФСТЭК №117.

КРЕДО-С имеет лицензии ФСТЭК и ФСБ России, аттестат на право проведения аттестационных испытаний. Более 33 лет опыта защиты государственных информационных систем всех классов защищённости — от К4 до К1. Реализованы проекты для федеральных и региональных органов власти, муниципальных образований, государственных учреждений.