Приказ ФСТЭК России № 117: требования к DLP и защите информации ограниченного доступа

Практическое руководство для специалистов по информационной безопасности государственных органов, государственных унитарных предприятий, государственных учреждений, операторов ИСПДн и субъектов КИИ

Кого затрагивает Приказ № 117

Приказ ФСТЭК России № 117 от 11 апреля 2025 г. вступил в силу 1 марта 2026 г. и распространяется на государственные органы и органы местного самоуправления, государственные унитарные предприятия, государственные учреждения, операторов информационных систем персональных данных, а также субъектов критической информационной инфраструктуры в части значимых объектов.

Требования применяются ко всем информационным системам перечисленных организаций — не только к государственным информационным системам, подлежащим обязательной аттестации.

Что изменилось и что требует выполнения

Новые требования существенно расширили перечень обязательных мер защиты и впервые прямо указали на необходимость применения конкретных классов средств защиты информации: NGFW, SWG, DLP, NTA, PAM.

Пункты 30а и 40 обязывают исключить утечку информации ограниченного доступа (ИОД) — персональных данных, служебной тайны, сведений с пометкой «Для служебного пользования» — по всем каналам передачи, включая сеть Интернет, вне зависимости от формы представления информации.

Соответствие проверяется на уровне фактического контроля передачи данных, а не только наличия регламентов. Средства защиты от несанкционированного доступа не обеспечивают выполнения пп. 30а и 40: типовые сценарии утечки ИОД реализуются через пользователей с легитимным доступом по разрешённым каналам передачи.

Что содержит руководство

Руководство подготовлено на основе Приказа ФСТЭК России № 117 и Методического документа от 12 апреля 2026 г.:

— нормативный маппинг пунктов Приказа № 117 с указанием механизма их выполнения средствами DLP-системы Solar Dozor;
— анализ сценариев утечки ИОД, не блокируемых средствами от НСД, с описанием способов нейтрализации;
— примеры внедрения Solar Dozor в государственном секторе;
— чеклист для оценки готовности по организационным мерам, техническим требованиям и условиям аттестации;
— план перехода с указанием этапов и проверочных критериев.

Руководство предназначено для специалистов, отвечающих за соответствие требованиям регулятора и подготовку к аттестации информационных систем. Материал содержит нормативное обоснование применения DLP-системы Solar Dozor и практические рекомендации по приведению системы защиты информации в соответствие с Приказом № 117.

Материал подготовлен Группой компаний «Солар». Не является официальным разъяснением регулятора.