FSTEC Order No. 17 (superseded) Requirements for Information Protection in State Information Systems

Приказ ФСТЭК N 17 (утратил силу)

Приказ ФСТЭК России от 11 февраля 2013 года N 17 утверждал Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Приказ был зарегистрирован в Минюсте 31 мая 2013 года (N 28608) и вступил в силу.

Основные положения

Приказ устанавливал требования к защите информации в ГИС на основе:

• Определения уровня защищённости информационной системы.
• Применения мер по защите информации для установленного уровня.
• Создания системы защиты информации.
• Регулярного контроля защищённости.

Изменения

Приказ претерпел ряд изменений:

• Приказ ФСТЭК от 15.02.2017 N 27 (зарегистрирован 14.03.2017 N 45933).
• Приказ ФСТЭК от 28.05.2019 N 106 (зарегистрирован 13.09.2019 N 55924).
• Приказ ФСТЭК от 27.04.2020 N 61 (зарегистрирован 12.05.2020 N 58322).
• Приказ ФСТЭК от 28.08.2024 N 159 (зарегистрирован 24.10.2024 N 79900).

Замена

С 1 марта 2026 года Приказ ФСТЭК N 17 утрачивает силу и заменяется Приказом ФСТЭК N 117 от 11.04.2025. Аттестаты соответствия на ГИС, выданные до дня вступления в силу Приказа N 117, считаются действительными до истечения срока их действия.

Практическое применение

Приказ ФСТЭК N 17 действовал с 2013 по 2026 год и применялся ко всем государственным информационным системам (ГИС), включая ГИС ЗПП, ЕГИСЗ, ЕГАИС, ГИС ЖКХ, ЕФРСФДОП и иные системы, содержащие информацию, не составляющую государственную тайну. Требования приказа были обязательны для всех федеральных органов исполнительной власти, органов государственной власти субъектов РФ и организаций, эксплуатирующих ГИС. Системы должны были пройти аттестацию соответствия с определением уровня защищённости (от 1 до 4).

Ключевые требования

Приказ устанавливал обязательные требования к защите информации в ГИС: определение уровня защищённости на основе факторов угроз (непрерывность обработки, целостность, доступность); применение мер по защите информации в соответствии с Приказом ФСТЭК N 21 (для коммерческих ИСПДн) или специальными требованиями ФСТЭК (для ГИС); создание подсистемы аудита безопасности; проведение оценки воздействия угроз; разработка паспорта защищённости. Организации были обязаны назначить ответственных за защиту информации и вести журналы событий безопасности.

Штрафы и ответственность

Эксплуатация ГИС без действующего аттестата соответствия влечёт административную ответственность по статье 13.12 КоАП РФ (штраф до 500 тыс. рублей для юридических лиц). Невыполнение требований по защите информации в ГИС — по статье 6.17 КоАП РФ. Несанкционированный доступ к ГИС — по статье 272 УК РФ (до 7 лет лишения свободы). ФСТЭК России осуществлял надзор за соблюдением требований приказа и проводил проверки.

Актуальность

Приказ вступил в силу в 2013 году и действовал более 12 лет. За это время претерпел 5 изменений. С 1 марта 2026 года заменён Приказом ФСТЭК N 117, устанавливающим обновлённые требования с учётом современных угроз и технологий защиты. Приказ N 117 сохраняет преемственность с N 17, но вводит новые требования к политикам безопасности, мониторингу и внутренним стандартам. Аттестаты, выданные по N 17, действуют до истечения срока.