15.01.2025 Рассматриваемый проект приказа – это существенно переработанная версия, которая была размещена на сайте ФСТЭК России 8 августа 2024 г.
I.   Общие положения.
II.  Требования к организации деятельности по защите информации и управлению данной деятельностью.
III. Требования к проведению мероприятий и принятию мер по защите информации.
Приложение: Определение класса защищённости информационной системы.

Какие новые требования предлагает установить регулятор?

• Область применения

Вводимые Требования применяются для обеспечения защиты (некриптографическими методами) информации, содержащейся в функционирующих на территории Российской Федерации государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений (предотвращения несанкционированного доступа к информации, специальных воздействий на информацию (носители информации)) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней.
     а)  не только на государственные информационные системы, но также на иные информационные системы государственных органов, государственных унитарных предприятий, государственных учреждений, а также на муниципальные информационные системы, если иное не установлено законодательством Российской Федерации о местном самоуправлении;
     б)  требования на перечисленные в пункте а) информационные системы распространяются независимо от того, какая информация обрабатывается в этих системах: это информация ограниченного доступа или открытая (общедоступная) информация;

• Значительная часть проекта посвящена требованиям к организации деятельности по защите информации и управлению этой деятельностью. Эти требования включают необходимость выполнения следующих мероприятий:

     а)  утверждение политики защиты информации;
     б)  определение лиц, ответственных за защиту информации;
     в)  применение программных, программно-аппаратных средств, предназначенных для защиты информации;
     г)  разработку и утверждение внутренних стандартов и регламентов по защите информации;
     д)  выделение организационных, технических и иных ресурсов, необходимых для защиты информации.
          –  недопущение (исключение, снижение возможности) наступления негативных последствий (событий) от нарушения конфиденциальности, целостности, доступности информации;
          –  недопущение (исключение, снижение возможности) наступления негативных последствий (событий) от нарушения функционирования информационных систем вследствие реализации (возникновения) угроз безопасности информации.

•  Далее проект устанавливает требования к 20-ти группам мероприятий по защите информации, содержащейся в информационных системах. 

К этим мероприятиям относятся:

           •  выявление и оценка угроз безопасности информации;
           •  контроль конфигураций информационных систем;
           •  управление уязвимостями;
           •  управление обновлениями;
           •  обеспечение защиты информации при обработке и обращении с информацией ограниченного доступа;
           •  обеспечение защиты информации при использовании конечных устройств (точек);
           •  обеспечение защиты информации при использовании мобильных устройств;
           •  обеспечение защиты информации при удаленном доступе внутренних пользователей к информационным системам;
           •  обеспечение защиты информации при предоставлении пользователям доступа к информационным системам, предусматривающего возможность выполнения, изменения, записи, удаления программ и (или) данных в информационных системах (далее - привилегированный доступ);
         •  обеспечение мониторинга информационной безопасности;
         •  обеспечение разработки безопасного программного обеспечения;
         •  обеспечение физической защиты информационных систем;
         •  обеспечение непрерывности функционирования информационных систем при возникновении нештатных ситуаций;
         •  повышение уровня знаний и информированности работников оператора по вопросам защиты информации;
         •  обеспечение защиты информации при взаимодействии с подрядными организациями;
         •  обеспечение защиты от атак, направленных на отказ в обслуживании;
         •  обеспечение защиты информации при использовании искусственного интеллекта;
         •  обеспечение доверия при взаимодействии в информационных системах субъектов и объектов доступа;
         •  реализация в информационных системах мер по их защите и содержащейся в них информации;
         •  проведение контроля уровня защищённости информации, содержащейся в информационных системах.
         •  идентификация и аутентификация;
         •  управление доступом;
         •  регистрация событий безопасности;
         •  защита виртуализации и облачных технологий;
         •  защита веб-технологий;
         •  защита программных интерфейсов взаимодействия приложений;
         •  защита конечных устройств (точек);
         •  защита мобильных устройств;
         •  защита устройств "интернета вещей";
         •  антивирусная защита;
         •  обнаружение и предотвращение вторжений на сетевом уровне;
         •  сегментация и межсетевое экранирование;
         •  защита от атак, направленных на отказ в обслуживании;
         •  защита каналов связи и сетевого взаимодействия.
         –  в информационных системах 3 класса защищённости — меры защиты должны обеспечивать защиту от нарушителей с базовым уровнем возможностей;
         –  в информационных системах 2 класса защищённости — от нарушителей с повышенным уровнем возможностей;
         –  в информационных системах 1 класса защищённости — от нарушителей с высоким уровнем возможностей возможностями.
         –  применение сертифицированных средств защиты информации;
         –  аттестация на соответствие рассматриваемым Требованиям в соответствии с Порядком организации и проведения работ по аттестации объектов информатизации, утвержденным приказом ФСТЭК России от 29 апреля 2021 г. № 77.

• Уточнены критерии классификации информационных систем по требованиям защиты информации.

Порядок классификации информационных систем приведен в приложении к рассматриваемому проекту Требований.
Существенных отличий от порядка классификации, установленного требованиями, утверждёнными приказом ФСТЭК России от 13 февраля 2013 г. № 17, немного.
Важно отметить, что классификации подлежат любые информационные системы, на которые распространяются рассматриваемые Требования, в том числе независимо от того, обрабатывается в них информация ограниченного доступа или нет.
В порядок классификации вносятся некоторые полезные уточнения. В частности, устанавливается, что допускается присвоение отдельным сегментам информационной системы разных классов защищенности с реализацией требований по защите информации, содержащейся в сегментах, в соответствии с присвоенными классами защищённости. В этом случае на границе сегмента более высокого класса должны быть приняты меры по защите информации, предусматривающие исключение возможности несанкционированного доступа из сегмента системы низкого класса защищённости в сегмент более высокого класса защищённости.
Классы защищённости информационных систем, функционирующих на базе информационно-телекоммуникационной инфраструктуры, не должны быть выше класса защищённости этой информационно-телекоммуникационной инфраструктуры.
Класс защищённости информационной системы определяется в соответствии с таблицей:

Уровень значимости              информации	Масштаб информационной системы
	Федеральный	Региональный	Объектовый
УЗ 1	К1	К1	К1
УЗ 2	К1	К2	К2
УЗ 3	К2	К3	К3

Предполагается, что новые требования вступают в силу с 1 сентября 2025 г., за исключением пункта 52 Требований, устанавливающего необходимость создания в распределённых информационных системах 1-го класса корпоративных центров сертификации оператора и использования аппаратных модулей безопасности персональных ЭВМ и серверов, страной происхождения которых является Российская Федерация, который вступает в силу с 1 сентября 2027 г.