Обеспечение защиты информации в государственных информационных системах (ГИС) в соответствии с требованиями ФСТЭК России

Введение

В условиях цифровой трансформации государственного управления особую значимость приобретает безопасность информационных систем, оперирующих данными, отнесенными к категории ограниченного доступа. Государственные информационные системы (ГИС), обеспечивающие предоставление услуг, поддержку управленческих решений и хранение критически важной информации, становятся ключевым объектом защиты. Федеральная служба по техническому и экспортному контролю (ФСТЭК России) как уполномоченный регулятор формирует единые стандарты и обязательные требования в данной области. Актуальность исследования обусловлена тем, что устоявшаяся на базе Приказа ФСТЭК № 17 методология сегодня сталкивается с необходимостью адаптации к новым технологическим реалиям и вызовам, что нашло отражение в инициативе по разработке обновленного нормативного акта – Приказа № 117 [3, с. 1].

Объекты и методы исследования

Объектом настоящего исследования выступает система нормативно-правового и методического регулирования ФСТЭК России, направленная на обеспечение защиты информации в ГИС. Предметом исследования являются содержание и практика применения ключевых документов, прежде всего Приказа ФСТЭК от 11.02.2013 № 17, а также ожидаемые изменения, связанные с проектом нового Приказа № 117. В ходе работы были использованы методы системного анализа для структурирования требований и этапов построения системы защиты, сравнительно-правового метода для выявления эволюции регуляторных подходов, а также метод классификации.

Результаты и их обсуждение

Анализ действующих требований позволяет выделить четко структурированный процесс обеспечения защиты ГИС, включающий три основных этапа.

Первый этап – классификация системы и оценка угроз. Исходным пунктом является отнесение ГИС к одному из классов защищенности. Класс определяется исходя из категории обрабатываемой информации (например, персональные данные, служебная информация) и уровня значимости самой системы (федеральная, региональная). На основании установленного класса разрабатывается модель угроз безопасности информации (МУБИ) – формализованное описание возможных источников угроз, уязвимостей и способов их реализации. Данная модель служит непосредственным обоснованием для выбора защитных мер [2, с. 15].

Второй этап – проектирование и внедрение системы защиты информации (СЗИ). На основе частной модели угроз формируется комплекс мероприятий, традиционно разделяемых на две группы. К организационным мерам относятся: разработка полного комплекта внутренних документов (политик, регламентов, инструкций), назначение ответственных лиц, организация регулярного обучения и аттестации персонала. Технические меры включают развертывание подсистем, обеспечивающих базовые принципы информационной безопасности: управление доступом, регистрацию событий, антивирусную защиту, обнаружение вторжений (IDS/IPS) и резервное копирование [1, с. 19].

Третий этап – оценка соответствия. Для ГИС 1 и 2 класса проводится аттестация, для 3 класса – декларирование соответствия. Проведенное обсуждение выявляет, что традиционный подход, закрепленный в Приказе № 17, испытывает давление со стороны стратегических факторов: политики импортозамещения, перехода на облачные модели (IaaS, PaaS, SaaS) и усложнения киберугроз (APT). Именно необходимость интеграции ответов на эти вызовы лежит в основе разработки нового Приказа № 117. Его принципиальным отличием станет переход к риск-ориентированной модели управления безопасностью. В новой парадигме выбор защитных мер будет определяться не только классом ГИС, но и результатами оценки ее индивидуальных рисков, что позволит операторам более гибко и эффективно распределять ресурсы, фокусируясь на нейтрализации наиболее вероятных и критичных угроз, и сделает процесс защиты более динамичным и непрерывным.

Заключение

На основании проведенного исследования можно сделать следующие выводы. Обеспечение защиты информации в ГИС базируется на строгой методологии, установленной Приказом ФСТЭК № 17. Несмотря на системность, действующая модель демонстрирует ограниченную гибкость в условиях современных трендов. Разрабатываемый Приказ ФСТЭК № 117 направлен на преодоление этих ограничений путем внедрения риск-ориентированного подхода. Успешная реализация новой регуляторной парадигмы потребует разработки детальных методик оценки рисков и повышения компетенций специалистов.