.PNG)
117 ФСТЭК для медицинских учреждений: расчёт КЗИ и подготовка к проверке
С 1 марта 2026 года вступил в силу приказ ФСТЭК России № 117. Прямое требование — для ГБУЗ, ФГБУЗ, ГАУЗ, ФАП, поликлиник, больниц, диспансеров, медицинских НИИ, ТФОМС и подведомственных государственных учреждений. Частные клиники, медицинские центры и лаборатории могут использовать калькулятор как самопроверку по 152-ФЗ и приказу ФСТЭК № 21 — методика КЗИ универсальна. Под защиту попадают МИС, сегменты ЕГИСЗ, бухгалтерия, кадровый учёт, СЭД и любые информационные системы учреждения.
Бесплатно, без регистрации, без ввода персональных данных пациентов. Подсказки калькулятора адаптированы под медицинскую инфраструктуру.
- Бесплатно и без регистрации
- По методике ФСТЭК от 11.11.2025
- Подсказки под МИС, ЕГИСЗ, ВИМИС, ФРМО, ФРМР
- Лицензиат ФСТЭК и ФСБ России
Расчёт показателя защищённости (КЗИ) онлайн
Касается ли приказ 117 ФСТЭК вашего учреждения
Отметьте пункты, которые подходят. Если выбран хотя бы один — приказ распространяется на ваше учреждение.
Если ни один пункт не выбран — уточните периметр обработки информации у ответственного за ИТ. Чаще всего хотя бы одна позиция актуальна для любого медицинского учреждения, обрабатывающего персональные данные пациентов.
Защита МИС, ЕГИСЗ, ВИМИС, ФРМО и ФРМР: что меняется с 1 марта 2026 года
Приказ ФСТЭК № 117 заменил приказ № 17 и расширил периметр требований. Если раньше под жёсткое регулирование попадали только аттестованные ГИС, то теперь требования распространяются на все информационные системы, которые эксплуатирует государственное учреждение здравоохранения.
Медицинские информационные системы (МИС)
РМИС, ЕМИАС, qMS, Ариадна, МедИнтех, БАРС, Самсон-МИС, КМИС и любые иные клинические системы. Под защиту попадают рабочие места врачей, серверы МИС, шлюзы интеграции с ЛИС/PACS/ОМС, мобильные приложения для медперсонала. Меры — от двухфакторной аутентификации до контроля действий администраторов.
Федеральные сервисы Минздрава
ЕГИСЗ, ВИМИС (онкология, акушерство, ССЗ, профилактика, инфекции), ФРМО, ФРМР, ИЭМК, РЭМД, ФР ВИМИС. Защита каналов передачи данных, журналирование действий, контроль учётных записей интеграции. Учреждение отвечает за безопасность собственных шлюзов передачи данных в федеральные сервисы.
Лабораторные и диагностические системы
ЛИС (лабораторные информационные системы), РИС, PACS, системы анализа изображений, медицинское оборудование с сетевым подключением. Часто это «забытые» сегменты, в которых отсутствует базовая защита: пароли по умолчанию, открытые сетевые порты, отсутствие обновлений.
Офисные и хозяйственные системы
Бухгалтерия (1С), кадровый учёт, СЭД, корпоративная почта, файловые серверы. Часто содержат персональные данные сотрудников и пациентов. Под действие 117-го попадают точно так же, как клинические системы — отдельных «упрощённых» режимов для бухгалтерии приказ не предусматривает.
Подрядчики и поставщики МИС
Разработчики и обслуживающие организации МИС обязаны соблюдать требования к безопасной разработке (ГОСТ Р 56939-2024). Учреждение должно зафиксировать требования в техническом задании и договоре, а также контролировать их исполнение. За нарушения подрядчика конечную ответственность несёт оператор информационной системы — то есть само медицинское учреждение.
Что делать с результатом расчёта КЗИ
Калькулятор покажет коэффициент защищённости от 0 до 1 и распределение по 4 группам критериев. Используйте интерпретацию ниже как ориентир для планирования работ.
КЗИ < 0,5 — критический уровень
Базовые меры защиты не реализованы. В первую очередь: назначьте ответственного за информационную безопасность, проведите инвентаризацию информационных систем, закройте дефолтные пароли и настройте резервное копирование МИС. Подготовка к проверке ФСТЭК потребует не менее 6 месяцев.
КЗИ 0,5 – 0,75 — низкий уровень
Часть мер реализована, но есть существенные пробелы. Сфокусируйтесь на двухфакторной аутентификации администраторов, защите каналов передачи данных в ЕГИСЗ, регламенте реагирования на инциденты и обучении персонала по информационной безопасности.
КЗИ 0,75 – 1,0 — базовый уровень
Базовые требования закрыты. Дальше — отработка нештатных ситуаций (учения по реагированию на инциденты), регулярный аудит, контроль подрядчиков и пересчёт КЗИ каждые 6 месяцев, как требует методика ФСТЭК.
КЗИ ≥ 1,0 — достаточный уровень
Учреждение готово к проверке ФСТЭК. Следующий шаг — поддержание уровня: регулярные пересчёты, отслеживание изменений в нормативной базе, проактивный контроль уязвимостей и работа со смежными требованиями (152-ФЗ, постановление № 1119, требования ФСБ к криптосредствам).
Расчёт по методике ФСТЭК пересматривается каждые 6 месяцев. Сохраните ссылку на текущий расчёт, чтобы вернуться к нему при следующем пересмотре.
Подготовка к проверке ФСТЭК и Роскомнадзора в медицинском учреждении
ФСТЭК России и Роскомнадзор проводят как плановые, так и внеплановые проверки соблюдения требований защиты информации. Для государственных медицинских учреждений это касается одновременно приказа № 117 ФСТЭК, 152-ФЗ «О персональных данных» и постановления Правительства № 1119 «Об уровнях защищённости персональных данных».
- 1
Назначить ответственного за информационную безопасность
Издать приказ о назначении сотрудника или подразделения, ответственного за защиту информации в учреждении. При отсутствии профильного специалиста допустимо привлечение внешней лицензированной организации — но ответственное лицо в штате должно быть в любом случае.
- 2
Провести инвентаризацию информационных систем
Зафиксировать все информационные системы учреждения: МИС, ЛИС, бухгалтерию, кадры, СЭД, шлюзы ЕГИСЗ. Для каждой системы — состав обрабатываемых данных, класс защищённости, уровень защищённости персональных данных по ПП-1119.
- 3
Подготовить организационно-распорядительные документы
Минимальный пакет для проверки: политика информационной безопасности, парольная политика, регламент реагирования на инциденты, инструкции пользователей и администраторов, журналы обучения, требования к подрядчику-разработчику МИС. Готовые шаблоны — в разделе «Шаблоны документов» сайта.
- 4
Реализовать технические меры защиты
По 16 критериям из методики ФСТЭК: двухфакторная аутентификация, контроль доступа, антивирусная защита, резервное копирование, защита периметра, средства мониторинга и реагирования. Для медицинских учреждений критичны защита каналов передачи в ЕГИСЗ и защита мобильных рабочих мест врачей.
- 5
Запустить регулярный пересчёт КЗИ
Пересчёт показателя защищённости — не реже одного раза в шесть месяцев, а также при существенных изменениях информационных систем. Сохраняйте отчёты по каждому пересчёту: при проверке ФСТЭК потребуется подтвердить регулярность оценки.
Методические материалы и шаблоны документов
Готовые материалы для самостоятельной подготовки медицинского учреждения к требованиям 117 ФСТЭК. Скачивание бесплатное, без регистрации.
Шаблоны организационно-распорядительных документов
Приказ о назначении ответственного, парольная политика, регламент реагирования на инциденты, типовые требования к подрядчику-разработчику МИС, чек-лист подготовки к проверке. Все шаблоны адаптируются под учреждение за 30 минут.
Открыть каталог шаблоновПолное руководство по 117 ФСТЭК
Структурированный разбор всех требований приказа № 117: что изменилось по сравнению с приказом № 17, кого касается, какие меры обязательны, какие сроки уже наступили, какая ответственность за невыполнение.
Перейти к руководствуТекст приказа и методика ФСТЭК
Официальные документы для скачивания: приказ ФСТЭК России № 117 от 11.04.2025, методический документ ФСТЭК от 11.11.2025 по расчёту показателя защищённости (КЗИ).
Скачать документыПолезные статьи для медицинских учреждений
Разборы требований, кейсы из практики, ответы на типовые вопросы руководителей ИТ и главных врачей по приказу 117 ФСТЭК.
Открыть блогПолезные статьи по 117 ФСТЭК
- Приказ ФСТЭК № 117: Как изменятся правила игры для госсектора в 2026 году и как к этому подготовиться
- ФСТЭК №117 и КИИ: как приказ влияет на объекты критической инфраструктуры
- Требования 117 приказа ФСТЭК — полный список критериев 2026
- Меры защиты информации по приказу ФСТЭК №117: полный перечень и руководство по внедрению
- ОРД по 117 приказу ФСТЭК: какие документы нужны
- Чек-лист подготовки к приказу ФСТЭК №117
Если нужна помощь
Страница — бесплатный практикум, чтобы разобраться в требованиях самостоятельно. Если внутренних ресурсов недостаточно — КРЕДО-С работает с медицинскими учреждениями с 1993 года: государственными (по 117 ФСТЭК) и частными (по 152-ФЗ + приказу ФСТЭК № 21). Готовим документацию, проводим аудит, сопровождаем проверки ФСТЭК и Роскомнадзора.
Комплексный аудит ИБ и ИТ
Комплексный аудит ИБ и ИТ — масштабное обследование, охватывающее все аспекты информационных технологий и безопасности организации. В отличие от узкоспециализированных проверок, комплексный аудит даёт полную картину состояния ИТ-активов, процессов управления, защиты информации. КРЕДО-С проводит комплексный аудит силами специалистов различных профилей: эксперты по ИТ-инфраструктуре, специалисты по информационной безопасности, аудиторы по соответствию нормативным требованиям. Такой междисциплинарный подход позволяет выявить проблемы, которые могут остаться незамеченными при узкоспециализированных проверках. Аудит ИТ-инфраструктуры включает оценку архитектуры сетей, серверного оборудования, систем хранения данных, виртуализации. Анализируется соответствие инфраструктуры текущим и прогнозируемым потребностям бизнеса, выявляются узкие места производительности, оценивается уровень отказоустойчивости. Аудит информационной безопасности охватывает организационные и технические меры защиты: политики и процедуры, средства защиты информации, управление доступом, защиту периметра, антивирусную защиту, резервное копирование. Проверяется соответствие требованиям 152-ФЗ, 187-ФЗ, приказам ФСТЭК и ФСБ России. Оценивается эффективность инвестиций в ИТ и ИБ: анализируется, насколько существующие системы поддерживают бизнес-цели, оправдывают ли затраты получаемую пользу, существуют ли более эффективные альтернативы. Выявляются дублирующие системы, неиспользуемые лицензии, нерациональные расходы. По итогам формируется единый отчёт, содержащий детальное описание текущего состояния ИТ и ИБ, выявленные проблемы и риски, приоритезированные рекомендации по улучшению. В рамках аудита производится расчёт показателя защищённости КЗИ по приказу ФСТЭК №117, позволяющий объективно оценить текущий уровень защищённости и определить направления для его повышения. Результаты комплексного аудита служат основой для разработки стратегии развития ИТ и программы модернизации информационной безопасности. КРЕДО-С имеет лицензии ФСТЭК и ФСБ России, более 33 лет экспертизы в ИТ и информационной безопасности.
ПодробнееЗащита персональных данных
Защита персональных данных — законодательное требование для каждого оператора персональных данных, обрабатывающего информацию о физических лицах. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» обязывает оператора обработки персональных данных обеспечивать безопасность ПДн при их обработке в информационных системах персональных данных (ИСПДн). Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует и осуществляет обработку персональных данных. Обязанности оператора персональных данных включают уведомление Роскомнадзора о начале обработки ПДн, обеспечение защиты информации в ИСПДн, соблюдение прав субъектов персональных данных. Регистрация оператора персональных данных в реестре операторов персональных данных Роскомнадзора — обязательная процедура для большинства организаций. КРЕДО-С проводит полный цикл работ по построению системы защиты персональных данных в соответствии с требованиями приказа ФСТЭК 21. Аудит ИСПДн — определяется перечень обрабатываемых персональных данных, категории субъектов, цели и правовые основания обработки. Проводится классификация ИСПДн и определение уровня защищённости персональных данных. Существуют четыре уровня защищённости персональных данных: 1 уровень защищённости персональных данных (максимальный), 2 уровень защищённости, 3 уровень защищённости и 4 уровень защищённости персональных данных. Уровень определяется на основе типов ИСПДн, категорий обрабатываемых данных, объёма обработки и актуальных угроз безопасности. Результат — акт определения уровня защищённости персональных данных. Моделирование угроз — разрабатывается модель угроз ИСПДн с учётом специфики деятельности организации, определяются актуальные угрозы ИСПДн. Модель угроз формируется в соответствии с методикой ФСТЭК России и учитывает угрозы из Банка данных угроз ФСТЭК (БДУ ФСТЭК). На основе модели угроз определяется перечень необходимых мер защиты ИСПДн по приказу ФСТЭК 21. Проектирование и внедрение — формируется комплекс организационных и технических мер защиты: управление доступом, идентификация и аутентификация, криптографические меры защиты информации, антивирусная защита, регистрация событий безопасности, обнаружение вторжений. Внедряются сертифицированные средства защиты информации ФСТЭК: Secret Net Studio, Dallas Lock, Kaspersky, ViPNet и другие решения из реестра ФСТЭК. Разработка документации — формируется полный пакет документов оператора персональных данных: политика обработки персональных данных, положение об обработке и защите ПДн, модель угроз безопасности, акт определения уровня защищённости, приказы о назначении ответственных лиц, должностные инструкции, соглашения о неразглашении. Сопровождение и аттестация — специалисты КРЕДО-С сопровождают заказчика при проверке оператора персональных данных Роскомнадзором, помогают подготовить уведомление оператора персональных данных, при необходимости проводят аттестацию ИСПДн по требованиям безопасности информации. Для государственных информационных систем, обрабатывающих ПДн, обеспечивается расчёт показателя защищённости КЗИ по приказу ФСТЭК №117. Опыт компании КРЕДО-С с 1993 года включает сотни успешных проектов по защите персональных данных в организациях здравоохранения, образования, финансового сектора, государственного управления и других отраслей. Компания имеет лицензии ФСТЭК и ФСБ России.
ПодробнееДорожная карта модернизации ИБ и ИТ
Дорожная карта модернизации ИБ и ИТ — стратегический документ, определяющий путь трансформации информационных технологий и безопасности организации от текущего состояния к целевой модели. Дорожная карта обеспечивает системный подход к модернизации, оптимальное распределение ресурсов, контроль достижения целей. Разработка дорожной карты начинается с комплексной оценки текущего состояния ИТ и ИБ (as-is анализ). Специалисты КРЕДО-С проводят аудит инфраструктуры, систем защиты, процессов управления. Выявляются сильные стороны, которые следует развивать, и слабые места, требующие улучшения. Определяется целевая модель (to-be) с учётом стратегии бизнеса, требований регуляторов, лучших практик отрасли. Формируется видение того, какой должна быть ИТ-инфраструктура и система информационной безопасности через 1-3-5 лет. Целевая модель описывает архитектуру систем, процессы управления, компетенции персонала. Разрабатывается поэтапный план перехода от текущего состояния к целевому. Определяются ключевые инициативы: проекты по модернизации инфраструктуры, внедрению новых систем защиты, оптимизации процессов, обучению персонала. Каждая инициатива снабжается описанием целей, ожидаемых результатов, необходимых ресурсов. Производится приоритизация инициатив по критериям критичности для бизнеса, сложности реализации, ожидаемого эффекта. Формируется график реализации проектов с учётом зависимостей и ограничений ресурсов. Рассчитывается бюджет модернизации по этапам, определяются источники финансирования. Дорожная карта включает механизмы контроля реализации: ключевые показатели эффективности (KPI), контрольные точки для оценки прогресса, процедуры корректировки плана при изменении условий. Для организаций, подлежащих контролю ФСТЭК, дорожная карта учитывает требования приказа ФСТЭК №117 и целевые значения показателя защищённости КЗИ, определяя конкретные шаги для достижения требуемого уровня. Документ согласуется с руководством организации и становится основой для управления ИТ и ИБ на среднесрочную перспективу. КРЕДО-С обладает лицензиями ФСТЭК и ФСБ России, 33-летним опытом стратегического консалтинга в области информационной безопасности.
ПодробнееОпишите ситуацию по телефону или электронной почте — подскажем, с чего начать в вашем учреждении. Без обязательств и без коммерческой настойчивости.
Часто задаваемые вопросы для главного врача и руководителя ИТ
Калькулятор не запрашивает и не сохраняет персональные данные пациентов или сотрудников. Для расчёта используются только сведения о реализованных мерах защиты — без идентифицирующей информации.
Калькулятор и методические материалы носят информационно-просветительский характер. Результат расчёта не является официальным заключением и не заменяет аттестацию информационной системы. Для официальной оценки и аттестации обратитесь в лицензированную организацию.