С 1 сентября 2026 года порядок аттестации объектов информатизации работает по обновленным правилам ФСТЭК России. Изменения затронули сразу несколько практических сценариев, охватывая работу с системами, имеющими внешние связи, периодический контроль защищенности, модернизацию объектов и включение в их состав новых сегментов. При этом ФСТЭК уточнила и критерии, по которым определяется, достаточно ли дополнительных испытаний или требуется повторная аттестация.
В новой статье эксперты ООО «НАЦ» разбирают наиболее значимые изменения приказа ФСТЭК России № 77 с учетом перехода к требованиям приказа № 117. В частности, рассматривается, для каких систем тестирование на проникновение стало обязательным, как должна учитываться ИТ-инфраструктура, на базе которой создается объект, и каким образом можно включать в состав уже аттестованной системы новые типовые сегменты.
Отдельный блок посвящен периодическому контролю. Новый порядок закрепляет его методы – анализ уязвимостей и тестирование на проникновение, а также требования к отчету и срокам его представления. Еще одно важное изменение касается развития и модернизации систем: дополнительные аттестационные испытания теперь проводятся в отношении измененных компонентов, а повторная аттестация требуется только в случаях, прямо указанных в обновленном порядке.
Материал поможет разобраться, как новые требования меняют практику аттестации и какие процедуры необходимо учитывать при эксплуатации, развитии и масштабировании информационных систем.