Добрый день! На связи «Группа Астра».

«Теперь безопасность будет процессом» — так можно кратко описать методический документ, который утвердила ФСТЭК 12 апреля 2026 года (Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах).

Обновленные требования уже вступили в законную силу и обязательны к применению, поэтому ошибки превращаются в настоящие финансовые риски и даже блокировку работы компаний.

В этом письме мы с экспертами по информационной безопасности «Группы Астра» разберем:

• что происходит в сфере кибербезопасности прямо сейчас;

• что изменилось для ИТ-инфраструктуры 12 апреля;

• какие задачи это создает на практике;

• как превратить требования регуляторов в конкретные действия.

Приятного чтения! В конце вы сможете дать свою оценку этому письму.

Согласно стратегическому обзору киберугроз 2025, 76% критических кибератак были направлены на уничтожение инфраструктуры. Эти цифры подтверждают, что подходить к модели угроз формально для галочки, т.е. скачать шаблон, вписать название организации и положить в папку – рискованная идея.

Для организаций, работающих с персональными данными, ГИС или объектами КИИ, последние годы отмечены ростом требований к ИБ и сокращением допустимых компромиссов.

Период 2025–2026 гг. стал переломным: введены оборотные штрафы за утечки данных, обновлены приказы ФСТЭК, ужесточён контроль за КИИ, установлены сроки перехода на отечественное ПО.

Бизнес вынужден перестраивать инфраструктуру под новые нормы — несоблюдение грозит штрафами, предписаниями, а иногда и уголовной ответственностью.

Ключевой документ — Приказ ФСТЭК России № 117 (вступил в силу 1 марта 2026): теперь регулятор оценивает не наличие бумаг, а реальную устойчивость и зрелость процессов ИБ в компании.

В рамках борьбы с новыми векторами атак, ФСТЭК подготовила рекомендации от 12 апреля 2026 года. Это некая детализация Приказа №117, которая описывает, как именно выполнять его требования. Оба документа работают в связке: приказ устанавливает обязательства, методичка — конкретные технические меры и сроки для их реализации.

В методическом документе:

• акцент на организационных и технических мерах (без криптографии, которая относится к ведению ФСБ России);

• переход на риск-ориентированный подход (вместо фиксированных списков — учёт архитектуры системы, обязательная инвентаризация, угроз и ущерба);

• введены обязательные процессы управления ИБ (непрерывная работа, с фокусом на облачные технологии, удалённый доступ, системы ИИ);

• даны практические рекомендации (включая адаптацию мер для систем с ПДн и объектами КИИ) и таблицы соответствия мер классам защищенности.

Три самые сложные задачи, которые появляются на основе методического документа: 

1. Соблюдение 24-часового срока устранения критических уязвимостей

   Нарушение этого срока напрямую снижает показатель Кзи (коэффициент защищенности).

   
   

2. Контроль подрядчиков и удалённого доступа

   Вы должны убедиться, что у ваших подрядчиков внедрены те же меры защищенности, что и у вас. Теперь это ваша ответственность.

   
   

3. Непрерывный мониторинг и ежеквартальная отчётность

   Аттестации раз в три года больше недостаточно. Теперь Кзи нужно рассчитывать и направлять в ФСТЭК каждые полгода, а контроль защищённости проводить раз в 3 года или после каждого инцидента. Без автоматизированного сбора метрик соблюсти это невозможно.

Требований регуляторов много, но как же их превратить в конкретные действия?

Требования ФСТЭК — это чёткие, измеримые задачи, но их крайне сложно реализовать вручную. Они требуют автоматизации, единой среды и сертифицированных инструментов.

Экосистема «Группы Астра» помогает реализовать значимую часть организационных, технических и компенсирующих мер: от защищённой ОС и управления доступом до резервного копирования, контроля конфигураций, мониторинга и автоматизации администрирования.

Просто формальные проверки постепенно уходят в прошлое, и укрепление реальной устойчивости к киберугрозам становится одной из первостепенных задач компаний.

В завершение, наши рекомендации:

• Пересмотрите процессы

  Убедитесь, что ваш подход к ИБ перешел от разовых «галочек» к постоянному циклу управления. Best practice — в команде ИБ есть специалист, который занимается регулярным контролем над ИБ и ИТ-инфраструктурой.

  
  

• Оцените риски

  Проверьте, все ли ваши текущие меры защиты действительно соответствуют новой риск-ориентированной модели.

  
  

• Проверьте цепочки поставок

  Убедитесь, что все подрядчики, имеющие доступ к вашей ИТ‑инфраструктуре, соблюдают требования, сопоставимые с вашими, а ПО проходит проверки безопасности в рамках РБПО (Разработка безопасного программного обеспечения).

  
  

• Технологический аудит

  Проверьте, соответствует ли ваше ПО требованиям импортозамещения в ИБ.

• Обратитесь к проверенным технологическим решениям

  Оставьте заявку на консультацию или запросите на тестирование продукты «Группы Астра».

Как вам лонгрид?

Оцените, пожалуйста, ниже:

Подписывайтесь на наши соцсети и первыми получайте приглашения на вебинары!