Приказ ФСТЭК России от 11.04.2025 №117 (вступил в силу 01.03.2026)
«Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений».
Формула: КЗИ = Σ(Rj × Σkji). Максимум - 1,0 (порог аттестации). Расчёт не реже раза в 6 месяцев, отправка во ФСТЭК - 5 рабочих дней.
«Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений».
Формула: КЗИ = Σ(Rj × Σkji). Максимум - 1,0 (порог аттестации). Расчёт не реже раза в 6 месяцев, отправка во ФСТЭК - 5 рабочих дней.
4 группы / 16 показателей
Веса по приказу №117
Порог КЗИ = 1
0.0000
Критический уровень
0,00
0,75
1,00
● Мин. базовый (≥1,0)
● Низкий (>0,75)
● Критический (≤0,75)
Организация и управление
0.0000
0.0000
выполнено 0%
Защита пользователей
0.0000
0.0000
выполнено 0%
Защита ИС
0.0000
0.0000
выполнено 0%
Мониторинг и реагирование
0.0000
0.0000
выполнено 0%
Методика расчёта: каждый из 16 частных показателей имеет фиксированный вес внутри группы. При выполнении начисляется его значение, иначе — 0. Сумма умножается на весовой коэффициент группы Rj. КЗИ = 1,0 — минимально необходимый уровень.
Защита информационных систем
R = 0,35Выполнено: 0 из 6 (0%)
Межсетевые экраны уровня L3/L4
100% интерфейсов, доступных из Интернет, контролируются межсетевыми экранами.
Устранение критических уязвимостей (Интернет)
На устройства, доступные из сети "Интернет" нет критических уязвимостей старше 30 дней (или реализованы компенсирующие меры).
Устранение критических уязвимостей (серверы/АРМ)
≥90% устройств и серверов без критических уязвимостей старше 90 дней (или с компенсирующими мерами).
Проверка почтовых вложений антивирусом
Проверяются вложения электронной почты не менее чем на 80% пользовательских устройств.
Централизованное управление антивирусной защитой
Не менее 80% устройств под централизованным управлением, обновление баз не реже раза в месяц.
Защита от DDoS-атак (L3/L4)
Очистка входящего интернет-трафика от атак на отказ в обслуживании (договор с провайдером).
Защита пользователей
R = 0,25Выполнено: 0 из 4 (0%)
Сложные пароли
Отсутствуют учётные записи с паролями, не соответствующими политике (≥12 символов, разные регистры, спецсимволы).
Многофакторная аутентификация (MFA) привилегированных
Второй фактор используется не менее чем для 50% привилегированных учётных записей.
Отсутствие паролей по умолчанию
Нет учётных записей разработчиков и сервисных УЗ с паролями, установленными по умолчанию.
Блокировка учётных записей уволенных
Отсутствуют активные учётные записи работников, с которыми прекращены трудовые отношения.
Организация и управление
R = 0,10Выполнено: 0 из 3 (0%)
Назначение заместителя руководителя, ответственного за ИБ
Приказом (ОРД) назначен ответственный за организацию работ по ИБ, определены его обязанности.
Структурное подразделение / работники по ИБ
Определены функции (обязанности) подразделения или отдельных работников по обеспечению ИБ.
Требования к подрядчикам
В договорах с подрядчиками, имеющими доступ к ИС, установлены требования по защите информации.
Мониторинг ИБ и реагирование
R = 0,30Выполнено: 0 из 3 (0%)
Централизованный сбор событий безопасности
Сбор событий и оповещение о неудачных попытках входа для привилегированных учётных записей.
Анализ событий на устройствах, взаимодействующих с Интернет
Централизованный сбор и анализ событий на всех устройствах, подключённых к Интернету.
Порядок реагирования на инциденты
Утверждён документ, определяющий порядок реагирования на компьютерные инциденты.
