Разработка организационно-распорядительной документации для ГИС

Документы могут быть утверждены и при этом уже не соответствовать самой системе. После модернизации появляются новые серверы, подключения или подрядчики, а порядок доступа и ответственность остаются описаны по старой схеме. На проверке или при аттестации такой разрыв быстро становится заметен.

Разработаем ОРД под фактическую архитектуру и процессы вашей ГИС, а не универсальный набор шаблонов. Определим необходимый состав документов, роли, процедуры и подтверждения их выполнения.

Правовую основу защиты государственных информационных систем задаёт Федеральный закон от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации»: он закрепляет общие положения о ГИС и требования к защите информации. Требования к защите информации в соответствующих ГИС конкретизируют приказ ФСТЭК России №117 и применимые методические документы ФСТЭК. С 1 марта 2026 года №117 действует вместо приказа №17, а с 1 сентября применяется с изменениями, внесёнными приказом №137.

Определить состав документов

Какие документы нужны для защиты ГИС

Организационно-распорядительная документация ГИС должна закреплять конкретные процессы: распределение ответственности, управление доступом, эксплуатацию СЗИ, реагирование на инциденты, работу с уязвимостями и изменениями. Поэтому документы по защите ГИС формируем для конкретной системы, а не по универсальному перечню.

Роли и ответственность

Фиксируем, кто организует защиту, администрирует систему и СЗИ, согласует права доступа, контролирует выполнение правил и участвует в реагировании на инциденты. Полномочия в документах должны совпадать с реальным распределением функций.

Доступ, подрядчики и удалённые подключения

Описываем предоставление, изменение, пересмотр и прекращение прав, работу с привилегированными учётными записями, удалённый доступ и подключение внешних исполнителей.

Если документ и технические настройки расходятся, одного изменения текста недостаточно: нужно устранить сам разрыв.

Инциденты, уязвимости, изменения и эксплуатация

Документация по защите ГИС должна учитывать обновления ПО, изменения конфигурации, новые компоненты, выявление уязвимостей, инциденты и эксплуатацию средств защиты. Для каждой применимой процедуры определяем ответственного, порядок действий и способ фиксации результата.

Названия локальных актов могут отличаться. Важен не заголовок документа, а то, что требование превращено в исполнимую процедуру с понятной ответственностью и подтверждением выполнения.

Как определяется состав ОРД

Нормативные требования конкретной ГИС

Помимо базовой правовой рамки, указанной выше, учитываем этап жизненного цикла системы. Постановление Правительства РФ №676 в редакции изменений №813 регулирует создание, развитие, ввод в эксплуатацию, эксплуатацию и вывод из эксплуатации ГИС. Если объект готовится к аттестации, применяем порядок по приказу ФСТЭК №77 в редакции приказа №60.

Состав документов для ГИС по требованиям ФСТЭК №117 определяем с учётом класса защищённости, модели угроз, архитектуры, реализуемых мер, состава информации и распределения ответственности. Дополнительные нормативные режимы учитываются только при наличии соответствующих оснований.

Если в ГИС обрабатываются персональные данные

Дополнительно учитываем законодательство о персональных данных, в том числе 152-ФЗ, постановление Правительства РФ №1119 и приказ ФСТЭК №21 в применимой части; для государственных и муниципальных органов — также постановление Правительства РФ №211.

Документы по общим процессам — например, управлению доступом и распределению ответственности — согласуем между собой, чтобы требования к ГИС и персональным данным не противоречили друг другу.

Вам может понадобиться: Разработка и сопровождение ОРД по персональным данным

Если ГИС одновременно является объектом КИИ

Статус ГИС сам по себе не делает систему объектом критической информационной инфраструктуры. Сначала устанавливают, является ли организация субъектом КИИ и относится ли конкретная система к объектам КИИ. Если этот режим применим, дополнительно учитываются 187-ФЗ и связанные подзаконные акты.

При категорировании необходимо учитывать действующее регулирование, типовые отраслевые объекты и отраслевые особенности. Поэтому решение принимается применительно к конкретному субъекту, объекту и сфере деятельности, а не только по названию информационной системы.
 

Вам может понадобиться: Категорирование объектов КИИ

Другие дополнительные требования

При использовании СКЗИ учитываются требования ФСБ; с 11 сентября 2026 года для охватываемых государственных систем действует приказ ФСБ №321. Отдельные нормы могут применяться при взаимодействии с ГосСОПКА, использовании внешних электронных сервисов или внешней инфраструктуры.

Их состав определяем по фактической архитектуре и условиям эксплуатации, а не добавляем ко всем ГИС автоматически.

Фактические процессы организации

На состав ОРД влияют организационная структура, распределение функций между собственными специалистами и подрядчиками, количество площадок и способы подключения.

Если состояние документов заранее неизвестно, сначала целесообразно провести аудит безопасности ГИС. Он позволит определить отсутствующие, устаревшие или не соответствующие фактической работе документы.

Эксплуатационная и аттестационная задача

Учитываем, для чего готовится комплект: для текущей эксплуатации, модернизации или подготовки к аттестации.

Модель угроз, техническое задание, технический проект, программа и методика аттестационных испытаний — отдельные документы со своими задачами. Их не следует автоматически относить к организационно-распорядительной документации.

Вам может понадобиться: Проектирование системы защиты ГИС · Аттестация ГИС и объектов информатизации

Как проходит разработка ОРД ГИС и что получает заказчик

Инвентаризация, разработка и согласование

При разработке ОРД для ГИС проверяем имеющийся комплект, отмечаем актуальные документы, устаревшие положения и пробелы. Затем готовим недостающие или обновлённые материалы и согласуем их с подразделениями, которые будут выполнять закреплённые процедуры.

На этом этапе проверяем не только содержание документов, но и их исполнимость: кто выполняет действие и чем подтверждается результат — заявкой, журналом, отчётом или другим предусмотренным материалом.

Результат и объём работ

Заказчик получает согласованный комплект организационно-распорядительной документации для ГИС и матрицу связи «требование — процедура — ответственный — подтверждение выполнения».

Если выявлены технические несоответствия, отдельно фиксируем рекомендации по их устранению: ОРД не должна маскировать проблему, которую необходимо исправлять в архитектуре или настройках защиты.

Стоимость зависит от масштаба и распределённости системы, количества площадок и компонентов, класса защищённости, состояния исходных документов, количества задействованных подразделений и необходимости обследования на площадке.

Актуализация и дальнейшие работы

После изменений в системе определяем, какие локальные акты затронуты и требуется ли пересмотр связанных материалов — например, модели угроз, проектных решений или документов для аттестации.

Для эксплуатируемой ГИС такую работу можно включить в сопровождение защиты.

Вам может понадобиться: Сопровождение системы защиты ГИС

Почему для разработки ОРД ГИС выбирают «Бизнес Навигатор»

Опыт, лицензии и широкая география

«Бизнес Навигатор» работает в ИТ и автоматизации с 2011 года, направление информационной безопасности развивает с 2012 года. В проектах по защите ГИС мы учитываем не только требования и документацию, но и фактическую ИТ-среду: серверы и рабочие места, сети, программное обеспечение, интеграции, средства защиты, пользователей и внешние подключения.

У компании есть лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации и лицензия ФСБ России на работы и услуги в области криптографической защиты информации.

Подтверждающие документы: лицензии «Бизнес Навигатора»

Отзывы заказчиков по проектам информационной безопасности

МБУ «МФЦ» муниципального района Волжский Самарской области. Контроль уровня защищённости информации в пользовательском сегменте ГИС Самарской области. Заказчик отметил профессионализм, системный подход и соблюдение сроков.

Министерство Карачаево-Черкесской Республики. Комплекс специальных технических услуг в области информационной безопасности. Заказчик отметил качество работ, компетентность специалистов и соблюдение сроков.

Отзывы подтверждают опыт выполнения проектов информационной безопасности для государственных и муниципальных заказчиков.