«Классификация ГИС — это не бюрократический ритуал, а практический инструмент. Он переводит абстрактные требования закона в конкретный перечень технических и организационных мер. Ошибка на этом этапе закладывает фундамент под будущие проблемы с аттестацией.»
Зачем нужна классификация?
Государственные информационные системы обрабатывают разные типы данных. Информация на официальном сайте ведомства и биометрические данные в системе идентификации несут разный уровень потенциального ущерба при компрометации. Единый подход к их защите невозможен и экономически нецелесообразен.
Классификация по приказу ФСТЭК №17 формализует эту дифференциацию. Присвоенный класс защищенности напрямую определяет три ключевых аспекта: бюджет на безопасность, сложность и периодичность процедуры аттестации и обязательный минимальный набор средств защиты информации.
Суть класса защищенности
Класс ГИС — это не оценка её технического совершенства. Это нормативный индикатор уровня требований регулятора. Его цель — установить адекватный баланс между рисками и затратами на их минимизацию.
- Класс 1 (К1): Высший уровень. Требует применения сертифицированных средств криптографической защиты информации (СКЗИ), глубокой проработки модели угроз и регулярных проверок аккредитованной лабораторией.
- Класс 2 (К2): Средний уровень. Допускает использование как сертифицированных, так и несертифицированных СЗИ при условии выполнения базовых требований по разграничению доступа, аудиту и управлению инцидентами.
- Класс 3 (К3): Базовый уровень. Основной упор на организационные меры и внутренний аудит, декларирование соответствия.
Неправильное определение класса — типичная ошибка. Завышение приводит к неоправданным расходам, занижение гарантирует несоответствие при проверке ФСТЭК и вытекающим административным последствиям.
Критерии и классы защищенности
Классификация проводится по двум основным осям: категории обрабатываемых данных и масштабу (уровню) системы. Решающим является наихудший показатель из всех обрабатываемых в ГИС типов информации.
| Класс | Категория данных (критичный фактор) | Масштаб (уровень) системы | Примерные системы |
|---|---|---|---|
| Класс 1 | Сведения, составляющие государственную тайну; специальные категории персональных данных (расовая принадлежность, политические взгляды, здоровье, биометрия); иная информация, ограниченного доступа, утечка которой может причинить тяжкий вред. | Федеральный, межведомственный уровень. Системы, где количество субъектов данных (граждан, организаций) превышает 100 000. | Единая государственная информационная система здравоохранения (ЕГИСЗ), федеральные реестры, системы силовых ведомств. |
| Класс 2 | Общие персональные данные (ФИО, паспорт, адрес); служебная информация ограниченного распространения. | Региональный или отраслевой уровень. Количество субъектов данных — от 10 000 до 100 000. | Региональные порталы госуслуг, отраслевые реестры и кадастры, внутренние системы крупных министерств. |
| Класс 3 | Общедоступная информация, справочные данные, не персональные сведения. | Локальный уровень (в рамках одного учреждения или его подразделения). Количество субъектов данных менее 10 000. | Официальные сайты-визитки ведомств, внутренние корпоративные порталы без обработки чувствительных данных. |
Практический алгоритм определения класса
Процесс — это последовательность аналитических шагов, а не подбор шаблона. Цель — сформировать юридически значимое обоснование.
1. Детальная инвентаризация данных
Создается полный реестр информационных активов ГИС. Для каждого типа данных фиксируется: правовое основание обработки (статья 152-ФЗ), категория (общедоступные, ПДн, специальные ПДн, гостайна), источники поступления и потребители. Это основа для последующей оценки рисков.
2. Определение масштаба и контура
Устанавливаются границы системы: географический охват (федерация, регион), количество пользователей с разным уровнем доступа и, что критично, — ориентировочное количество субъектов данных, чья информация в ней хранится.
3. Оценка потенциального ущерба
Для каждой категории данных из реестра моделируются последствия нарушения их конфиденциальности, целостности или доступности. Ущерб оценивается не только в финансовом, но и в репутационном, социальном и политическом ключе. Категория данных с максимальным потенциальным ущербом становится определяющей.
4. Формализация результата
Все выводы документально оформляются в «Акте классификации информационной системы». В акте содержится развернутое обоснование присвоенного класса с ссылками на критерии приказа №17. Документ утверждается руководителем организации-оператора ГИС и становится основой для разработки модели угроз и политики безопасности.
От класса к конкретным мерам защиты
Требования к мерам защиты детализированы в приложениях к приказу ФСТЭК №17. Различия между классами носят принципиальный характер.
| Направление защиты | Класс 1 | Класс 2 | Класс 3 |
|---|---|---|---|
| Идентификация и аутентификация | Многофакторная с использованием усиленной квалифицированной электронной подписи (УКЭП), биометрических данных или аппаратных токенов. Обязательное управление сессиями. | Двухфакторная аутентификация (например, пароль + одноразовый код). Строгие требования к сложности и периодичности смены паролей. | Учетные записи с устойчивыми к подбору паролями. Требования к аутентификации базовые. |
| Криптографическая защита | Обязательное применение сертифицированных СКЗИ для защиты данных на всех этапах: при передаче, хранении и, часто, при обработке. Использование аппаратных криптомодулей (HSM). | Шифрование критичных данных при передаче по открытым сетям. Допускается использование как сертифицированных СКЗИ, так и криптографических средств, входящих в состав ПО. | Шифрование каналов связи (TLS) рекомендуется. Шифрование данных на накопителях — как дополнительная мера. |
| Регистрация событий и мониторинг | Обязательная регистрация полного множества событий безопасности. Централизованный сбор и хранение журналов не менее 5 лет. Интеграция с SIEM-системой для оперативного анализа. | Регистрация событий, критичных с точки зрения безопасности. Централизованный сбор логов. Срок хранения — не менее 3 лет. | Регистрация основных событий (вход/выход, доступ к критичным функциям). Локальное или простое централизованное хранение не менее 1 года. |
| Процедура аттестации | Обязательная аттестация по требованиям безопасности информации с привлечением аккредитованной испытательной лаборатории. Проводится при вводе в эксплуатацию и периодически (как правило, раз в 2-3 года, но контроль может быть ежегодным). | Обязательная аттестация аккредитованной лабораторией при вводе в эксплуатацию и затем с периодичностью, установленной моделью угроз (обычно раз в 3 года). | Допускается декларирование соответствия. Проверка может осуществляться силами внутренних аудиторов или при плановой проверке регулятора. |
Кейс: классификация регионального портала госуслуг
Рассмотрим типичную ситуацию для субъекта федерации.
Исходные условия
- Данные: Обрабатываются общие персональные данные (ФИО, паспортные данные, СНИЛС, адрес) граждан региона для предоставления услуг (запись к врачу, подача заявлений).
- Масштаб: Система функционирует в масштабе одного региона. Количество зарегистрированных пользователей — около 500 000.
- Риски: Нарушение конфиденциальности может привести к массовым утечкам ПДн, мошенническим действиям и значительному репутационному ущербу для региональных органов власти.
Анализ и решение
Категория данных — общие ПДн (без специальных категорий). Это соответствует второму из трех возможных уровней по данному критерию.
Масштаб — региональный, количество субъектов данных превышает 10 000, но не достигает федерального уровня. Это также соответствует второму уровню по критерию масштаба.
Согласно таблице соответствия в приказе №17, комбинация этих параметров однозначно определяет класс защищенности 2 (К2).
Вытекающие меры защиты (примеры)
- Разработка частной модели угроз, актуальной для регионального портала.
- Внедрение двухфакторной аутентификации для сотрудников администратора и, опционально, для пользователей при доступе к чувствительным операциям.
- Применение межсетевых экранов и систем обнаружения вторжений из реестра ФСТЭК.
- Внедрение системы разграничения прав доступа на основе ролей (например, интеграция с Active Directory).
- Обязательное использование протокола TLS 1.2/1.3 для всех веб-сессий.
- Проведение аттестации аккредитованной лабораторией.
Итоговый класс защищенности задает реалистичный и достаточный уровень требований. Попытка искусственно занизить его до К3 приведет к несоответствию при первой же проверке из-за обработки ПДн в региональном масштабе. Назначение класса К1 потребует несоразмерных затрат на сертифицированные СКЗИ для данных, не относящихся к специальным категориям. Классификация — это поиск адекватной, а не максимальной или минимальной планки.