ФСТЭК ужесточает контроль: обязательное пентестирование госсистем, переход на трехлетний цикл проверок и новые правила модернизации аттестованных объектов

ФСТЭК России утвердила новые правила аттестации объектов информатизации. Приказ № 60, меняющий базовый 77-й приказ, вступает в силу 1 сентября 2026 года. Регулятор делает ставку на непрерывный контроль и жесткую проверку реальных уязвимостей, отходя от формальной бумажной безопасности.

Главное нововведение — легализация и стандартизация пентестов. Анализ уязвимостей и тестирование на проникновение теперь обязательны не только при первичной аттестации, но и в рамках периодического контроля. Для государственных и муниципальных информационных систем первого и второго классов защищенности и, имеющих выход в интернет, пентест становится императивом. Исключение сделано лишь для изолированных сегментов, использующих сертифицированные криптографические средства.

Сроки предоставления отчетности сдвигаются. Если раньше владельцы объектов отчитывались перед ФСТЭК каждые два года, то теперь периодический контроль уровня защищенности проводится не реже одного раза в три года. Протоколы с результатами анализа уязвимостей и пентестов необходимо направлять в регулятор в течение пяти рабочих дней. За просчет — прямая дорога к приостановке действия аттестата.

Документ меняет подход к жизненному циклу системы. Аттестат соответствия выдается на весь срок эксплуатации объекта. Теперь любая модернизация, затрагивающая средства защиты информации или архитектуру, потребует проведения дополнительных аттестационных испытаний. При этом сам аттестат не аннулируется. Но если изменения ведут к повышению класса защищенности, системе придется пройти полную повторную аттестацию с нуля.

Отрасли предстоит масштабная перестройка процессов. Организационно-технические меры, заложенные в старые регламенты, уступают место практике регулярного стресс-тестирования систем. Компаниям и госорганам необходимо уже сейчас закладывать бюджеты на приглашение специалистов по тестированию на проникновение и выстраивать внутренние процедуры жесткого контроля за сроками подачи отчетности.