С 1 сентября 2026 года действуют изменения, внесённые приказом ФСТЭК России № 137 в требования к защите информации, утверждённые приказом № 117. Для государственных учреждений, в том числе вузов, это повод проверить не только комплект документов по информационной безопасности, но и то, как защита работает на практике.
Главный вопрос: соответствует ли реальное состояние инфраструктуры установленным требованиям от управления доступом до восстановления после инцидента?
Почему университетам стоит вернуться к требованиям:
Университетская инфраструктура редко ограничивается одной информационной системой. В ней могут одновременно работать электронные образовательные платформы, системы управления вузом, сервисы приёмной комиссии, почта, научные ресурсы и системы обработки персональных данных.
У этих сервисов разные пользователи, владельцы и уровни критичности. При этом часть сотрудников подключается удалённо, подрядчики обслуживают отдельные компоненты, а некоторые системы годами работают без существенной модернизации.
В таких условиях недостаточно просто иметь антивирус, межсетевой экран и утверждённые документы. Важно понимать, какие риски остаются, кто отвечает за их устранение и как организация восстановит работу после инцидента.
Приказ № 117 применяется к информационным системам государственных органов, государственных унитарных предприятий и государственных учреждений в пределах установленной области действия требований. Поэтому вузу сначала необходимо определить, какие именно его системы подпадают под эти требования.
Что проверить в первую очередь
1. Доступы сотрудников и подрядчиков
Проверьте, у кого есть доступ к информационным системам, какие права выданы пользователям и сохраняются ли учётные записи после увольнения или смены должности.
Отдельного внимания требуют подрядчики, которым предоставлен удалённый доступ к инфраструктуре. Необходимо исключить возможность несанкционированного воздействия через их оборудование, каналы связи и интерфейсы подключения.
Изменения также предусматривают применение строгой или усиленной многофакторной аутентификации при доступе с мобильных устройств в предусмотренных требованиями случаях.
Что сделать: пересмотреть привилегированные учётные записи, проверить порядок выдачи и отзыва доступов, а также правила подключения внешних исполнителей.
2. Резервные копии и восстановление
Наличие резервных копий ещё не гарантирует, что вуз сможет восстановить работу после атаки или сбоя. Копии могут оказаться неполными, устаревшими или недоступными в нужный момент.
Требования предусматривают создание достаточного количества резервных копий программных и программно-аппаратных средств, включая их конфигурации, необходимых для восстановления значимых функций. Работоспособность средств восстановления необходимо периодически проверять.
Что сделать: определить, какие системы и функции нужно восстанавливать в первую очередь, проверить резервные копии и провести тестовое восстановление. Результаты стоит документировать.
3. Оценка эффективности защиты
Средства защиты могут быть установлены и настроены, но это само по себе не подтверждает достаточность принятых мер.
В требованиях предусмотрена оценка состояния защиты информации, в том числе с использованием показателей защищённости и уровня зрелости мероприятий и процессов защиты.
Что сделать: проверить, как в вузе оценивают состояние ИБ, фиксируют выявленные недостатки и контролируют выполнение плана мероприятий по совершенствованию защиты. Важно не просто найти проблему, а назначить ответственного и определить срок её устранения.
4. Обучение сотрудников
Сотрудники работают с почтой, документами, образовательными платформами и внутренними сервисами. Ошибка пользователя может привести к компрометации учётной записи или утечке информации.
Изменённые требования предусматривают оценку уровня знаний пользователей по вопросам защиты информации не реже одного раза в три года, а также после компьютерного инцидента, произошедшего у оператора.
