Приказ ФСТЭК 117: требования и способы выполнить их с помощью DLP-системы

В 2026 году становятся обязательными обновленные требования 117-го приказа ФСТЭК, регулирующего защиту информации в госструктурах. Теперь важно не просто оформить документы, а доказать: данные под контролем и не уходят за периметр. Разбираем, где здесь помогает DLP (Data Loss Prevention)система предотвращения утечек данных, которая контролирует передачу, хранение и использование конфиденциальной информации. и почему без нее часть требований рискует остаться на бумаге.

Что нового

Приказ ФСТЭК 117 определяет, как защищать несекретную информацию в государственных ИС. Его требования распространяются на госорганы, ГУП и госучреждения. Приказ утвержден в апреле 2025 года, зарегистрирован в июне и начал действовать 1 марта 2026 года.

Новая модель делает акцент на управляемости всей системы защиты. 117-й приказ ФСТЭК требует определить:

• Цели защиты информации.
• Актуальные угрозы безопасности.
• Возможные негативные последствия.
• Ответственных лиц и зоны ответственности.
• Внутренние стандарты и регламенты.
• Необходимые технические средства.
• Порядок контроля эффективности мер защиты.

DLP-система закрывает этот уровень контроля: помогает видеть фактическое движение данных и останавливать передачу информации по каналам, через которые может произойти инцидент. С DLP напрямую связаны требования приказа, которые предполагают:

• Предотвращение утечки данных ограниченного доступа и другой конфиденциальной информации.
• Предотвращение неправомерного распространения таких данных вне зависимости от формы ее представления.
• Контроль передачи информации через ИТС, включая интернет.
• Блокировка доступа для тех, кто не имеет права работать с этой информацией.

Кто обязан соблюдать требования

Под 117-й приказ ФСТЭК подпадают госорганы и ГУП — все, кто использует информационные системы с конфиденциальными данными. Муниципальные структуры по умолчанию подчиняются этим требованиям — пока закон не установит иное. Для защиты персональных данных дополнительно применяются специальные нормы.

В периметр попадают не только классические ГИС (государственная информационная система)информационная система, созданная для реализации полномочий государственных органов и выполнения государственных функций., но и ведомственные сервисы, внутренние порталы, кадровые базы, электронный документооборот, файловые ресурсы, почтовые контуры и интеграционные шлюзы. Важно не название системы, а фактическая обработка, хранение, передача и доступ к защищаемым данным.

Приказ ФСТЭК 117 требует учитывать не только внутренний контур ИС, но и все сценарии, в которых данные могут покинуть защищаемую среду. В зоне внимания оказываются:

• Подрядчики и внешние исполнители.
• Удаленная работа сотрудников.
• Мобильные и переносные устройства.
• Электронная почта и веб-доступ.
• API и интеграции с другими системами.
• ИИ-сервисы и другие внешние цифровые инструменты.
• Действия пользователей, которым предоставлен легитимный доступ к информации.

Если данные уходят по разрешенному каналу от сотрудника с действующей учетной записью, одного разграничения доступа уже недостаточно. В этом случае важно контролировать не только право открыть документ, но и дальнейшее движение информации.

Скачайте памятку по приказу ФСТЭК 117. В ней собраны ключевые мероприятия, сроки контроля и практический план перехода на новые требования.

Скачать памятку

Основные требования и уровни защищенности

Главная идея приказа — управляемость. Приказ ФСТЭК России 117 требует закрепить в политике, стандартах и регламентах область действия защиты, цели, объекты, роли, обязанности, ответственность работников, правила удаленного доступа, использования интернета, обработки ИОД (информация ограниченного доступа)сведения, доступ к которым ограничен законом, внутренними правилами или режимом конфиденциальности., мониторинга и взаимодействия с подрядчиками.

Меры защиты подбираются не по шаблону, а с учетом класса защищенности ИС и возможного нарушителя. Логика такая:

• Третий класс защищенности предполагает базовый уровень возможностей потенциального нарушителя.
• Для второго класса защищенности учитывается более подготовленный нарушитель с расширенным набором технических и организационных возможностей.
• Первый класс защищенности рассчитан на наиболее сильную модель нарушителя — с высоким уровнем компетенций, ресурсов и возможностей воздействия.

При необходимости оператор может выбрать более строгий набор мер, чем требуется для установленного класса.

Какие меры защиты нужны

Меры защиты по 117-му приказу ФСТЭК охватывают широкий спектр направлений: от аудита событий и разграничения доступа до антивирусной защиты и безопасности веб-технологий. В периметр также попадают каналы связи, конечные и мобильные устройства, API, электронная почта, контейнеры, системы с искусственным интеллектом и взаимодействие с подрядчиками. DLP не закрывает весь перечень, но берет на себя контроль реального движения данных.

Отдельного внимания требуют новые требования к киберграмотности сотрудников. Приказ предусматривает памятки, лекции, семинары, обучающие игры, имитационные рассылки и практические тренировки. Это снижает риск, что пользователь сам отправит конфиденциальный файл не туда, перейдет по фишинговой ссылке или нарушит регламент из-за незнания.

Еще один обязательный контур — привилегированный доступ. Администраторы и подрядчики могут иметь больше прав, чем обычные пользователи, поэтому их действия нужно ограничивать и фиксировать. Здесь важно выполнение требований приказов ФСТЭК с помощью PAM (Privileged Access Management)система управления привилегированным доступом, которая контролирует администраторов, подрядчиков и учетные записи с повышенными правами.: минимально необходимые права, контроль сессий, защита учетных данных и расследование спорных операций.

Практический набор мер обычно включает:

• Средства DLP для отслеживания каналов утечки и контроля за хранением конфиденциальных сведений.
• SWG, SEG и межсетевые экраны для защиты веб- и почтового трафика.
• PAM для контроля подрядчиков и привилегированных пользователей.
• EDR, антивирусную защиту и средства контроля конечных устройств.
• SIEM/SOAR для объединения событий и управляемого реагирования.

Роль DLP-системы в выполнении приказа

DLP-система нужна там, где риск связан не только с внешней атакой, но и с действиями пользователя, имеющего законный доступ к данным. Сотрудник может отправить файл по почте, загрузить его в облако, переслать в мессенджер, распечатать, скопировать на носитель или вставить фрагмент в ИИ-сервис. 117-й приказ ФСТЭК требует, чтобы такие сценарии были управляемыми.

В этой части защита от утечек данных становится практическим способом выполнить требования об исключении утечки и неправомерного распространения ИОД. DLP анализирует содержимое, контекст, отправителя, получателя, канал и действие пользователя. При срабатывании политики система предупреждает, блокирует, отправляет событие ИБ или помещает объект в карантин.

DLP не заменяет всю систему защиты. Но без нее меры защиты информации 117 приказа ФСТЭК часто остаются неполными, потому что права доступа не показывают, что пользователь сделал с данными после открытия документа. DLP закрывает разрыв между «доступ разрешен» и «данные распространяются безопасно».

Как DLP контролирует каналы передачи информации

DLP должна контролировать каналы, через которые может произойти утечка данных. Для госорганизации это не один канал, а целая группа рабочих сценариев:

• Корпоративная почта и вложения в письмах.
• Веб-почта, сайты, облачные хранилища и внешние сервисы.
• Мессенджеры и другие каналы деловой коммуникации.
• Сетевой трафик и передача файлов между системами.
• Подключаемые устройства, съемные носители и печать.
• Локальные действия пользователя на рабочей станции.
• Файловые ресурсы и общие папки с документами.
• ИИ-сервисы, в которые пользователи могут вводить конфиденциальные сведения или загружать служебные документы.

Если речь идет о ПДн, риск становится выше: утечка персональных данных требует быстрой фиксации фактов, внутреннего расследования и уведомления регулятора в установленные сроки. DLP помогает понять, какие сведения ушли, через какой канал, кто инициировал действие и можно ли остановить распространение до серьезных последствий.

Для гражданина результатом инцидента часто становится утечка личных данных, а для организации — штрафы, проверки, репутационный ущерб и необходимость доказывать принятые меры. Поэтому DLP нужна не только как «стоп-кран», но и как источник доказательной базы: события, сообщения, вложения, контекст и история коммуникаций.

Закройте риск утечек в госсекторе.

Возьмите под контроль почту, веб, рабочие станции, файловые ресурсы и расследования с помощью Solar Dozor.

Получить демо

Регистрация событий, архив и расследования

Приказ ФСТЭК 117 делает регистрацию событий безопасности и мониторинг частью обязательной управленческой логики. Система защиты должна оставлять проверяемый след: что произошло, когда, с каким объектом, через какой канал и кто участвовал в событии.

В DLP-контуре регистрация особенно ценна, потому что пользовательские действия часто выглядят легитимно. Письмо ушло с корпоративного ящика, файл был открыт с разрешенной учетной записью, печать выполнена с рабочей станции. Только анализ содержимого и контекста показывает, что это мог быть недопустимый вывод ИОД.

Если инцидент уже произошел, организации нужен понятный сценарий, как действовать, если произошла утечка: зафиксировать событие, оценить состав данных, определить канал и участников, ограничить дальнейшее распространение, провести внутреннее расследование и подготовить отчетность.

Почему важна сертифицированная DLP

Solar Dozor — российская DLP-система для контроля каналов передачи, рабочих станций, файловых ресурсов, пользовательских действий, инцидентов и расследований. В контексте приказа ФСТЭК 117 она помогает закрыть прикладную часть требований: увидеть движение данных, настроить политики, зафиксировать событие и передать его в процесс реагирования.

Архитектура Solar Dozor включает компоненты, которые закрывают разные участки действий пользователей и контроля данных:

• Контроль почтовых коммуникаций.
• Анализ сетевого трафика.
• Контроль устройств на Windows, macOS и Linux.
• Проверка файловых хранилищ.
• Поведенческая аналитика пользователей.
• Формирование досье сотрудника.
• Инструменты расследования инцидентов.
• Долговременный архив событий и материалов.

Система может работать в режиме мониторинга и активного противодействия: предупреждать пользователя, блокировать действие, помещать файлы или сообщения в карантин и автоматически создавать инциденты.

Преимущество сертифицированной DLP в том, что ее можно включать в проект защиты как часть контура СЗИ. Для госзаказчика это критично: приказ ФСТЭК России 117 требует применять сертифицированные средства защиты с учетом класса защищенности, а значит, выбор продукта должен подтверждаться документами, архитектурой и эксплуатационной моделью.

Как внедрить DLP согласно приказу ФСТЭК 117

Пошаговый план внедрения может выглядеть так:

• Провести обследование ИС, данных, каналов передачи и файловых ресурсов.
• Описать негативные события: утечку ИОД, массовую выгрузку, отправку во внешний домен, копирование на носитель.
• Настроить политики DLP по типам данных, каналам, ролям и подразделениям.
• Запустить пилот, проанализировать события, доработать правила и исключения.
• Перевести критичные политики в активный режим и подключить расследования.
• Интегрировать DLP с SIEM/SOAR, процессами реагирования и отчетностью.

Solar Dozor помогает закрыть этот практический контур: контролировать почтовый и сетевой трафик, действия на рабочих станциях, файлы в хранилищах, поведение пользователей и материалы расследований. Система показывает не только сам факт нарушения, но и содержание сообщения, канал, участника, историю действий, связи пользователя и похожие события.

Для ИБ-команды это означает переход от разрозненных срабатываний к управляемым инцидентам. Офицер безопасности быстрее понимает, что произошло, какие данные затронуты, кто участвовал в событии и какие меры нужно принять. Для руководителя ценность в другом: DLP дает отчеты, статистику, архив, картину рисков и аргументы для совершенствования защиты.

Меры защиты по 117-му приказу ФСТЭК должны включать не только регламенты и разграничение доступа, но и контроль реального движения данных. Solar Dozor помогает перейти от формального соответствия к управляемой защите: контролировать передачу и хранение информации, предупреждать инциденты, расследовать события и подтверждать результативность мер.

Часто задаваемые вопросы