Тема «Документы 312 оиб» (документы по Приказу ФСТЭК России № 312 для проведения оценки информационной безопасности — ОИБ) является одной из ключевых для операторов государственных информационных систем (ГИС), критической информационной инфраструктуры (КИИ) и объектов информатизации государственных органов. Несмотря на то, что приказом № 312 действовал длительное время, с 2023–2024 годов произошла фундаментальная смена нормативной базы.

В данной статье подробно разобраны: историческая роль приказа № 312, состав требуемой документации для ОИБ, текущие акты, их заменившие, и алгоритм перехода на новые требования.

Исторический контекст: Приказ ФСТЭК № 312 (редакция 2015 года)

Приказ ФСТЭК России от № 312 «Об утверждении Состава и параметров мер защиты информации, не содержащей сведения, составляющие государственную тайну, при ее обработке в государственных информационных системах» — был основным регулятором защиты ГИС почти девять лет.

Ключевые определения приказа № 312

• Объект защиты: Государственные информационные системы (ГИС), обрабатывающие персональные данные, сведения ограниченного доступа (гостайна не входит) и иную информацию, не являющуюся гостайной.
• Уровни защищенности: 4 уровня (1-й — максимальные требования, 4-й, минимальные).
• Классы ГИС: КС1–КС3 (для криптографической защиты) и УБ1–УБ4 (для организационно-технических мер).

Какие документы требовались для ОИБ по приказу № 312 (исторически)

Для проведения Оценки информационной безопасности (ОИБ) по старому приказу организацию обязывали подготовить следующий пакет (так называемый «документальный комплект ГИС»):

1. Акт категорирования ГИС — определение класса и уровня защищенности (утверждается руководителем оператора).
2. Модель угроз — документ, описывающий актуальные угрозы безопасности для конкретной ГИС (разрабатывается на основе методик ФСТЭК).
3. Перечень мер защиты информации (МЗИ), выбираемый из Приложения № 2 к приказу № 312 набор мер в соответствии с установленным уровнем защищенности.
4. Проект системы защиты информации (СЗИ) — техническое задание/пояснительная записка, описывающая архитектуру защиты.
5. Документация на применяемые средства защиты информации (СЗИ) — сертификаты соответствия ФСТЭК, паспорта, руководства администратора.
6. Организационно-распорядительные документы:
   • Политика безопасности информации (Политика ИБ);
   • Инструкции по эксплуатации СЗИ;
   • Инструкции по инцидентам;
   • Регламенты доступа, учета, резервного копирования;
   • Приказы о назначении ответственных лиц (администратор безопасности, администратор СЗИ).
7. Акт готовности к ОИБ — подтверждение того, что все меры внедрены и документы оформлены.

Актуальное нормативное положение на 2026 год: Приказ № 312 утратил силу

Важно: С 01 марта 2024 года Приказ ФСТЭК № 312 прекратил свое действие в связи с вступлением в силу нового нормативного акта.

Новый базовый документ: Приказ ФСТЭК № 17

Действующим документом, регулирующим защиту ГИС (в т.ч. требования к документам для ОИБ), является:

Приказ ФСТЭК России от № 17 «Об утверждении Состава и параметров мер защиты информации, не содержащей сведения, составляющие государственную тайну, при ее обработке в государственных информационных системах» (зарегистрирован в Минюсте № 72203).

Данный приказ ввел новые подходы: упростил категорирование (убраны классы КС/УБ, остались только 4 уровня защищенности), обновил состав мер защиты (Приложение № 2) и изменил требования к документам.

Параллельные акты (КИИ и Персональные данные)

Если ГИС является также объектом КИИ или обрабатывает персональные данные, параллельно действуют:

• Приказ ФСТЭК № 239 (от ), для объектов КИИ (вступил в силу ).
• Приказ ФСТЭК № 21 (от , с изм.) / Постановление Правительства № 1119 — для систем обработки персональных данных (ПДн). Примечание: Ожидается обновление регламента по ПДн в связи с ФЗ-272 и новыми подходами ФСТЭК.

Состав документов для ОИБ по актуальному Приказу ФСТЭК № 17

Структура документации для ОИБ сохранилась концептуально, но изменились формы, наименования и наполнение. Ниже приведен актуальный чек-лист пакета документов, который проверяет лицензированная организация (ЛО) при проведении ОИБ.

Образовательные и категорирующие документы (Этап 1)

Проектная и техническая документация (Этап 2)

• Проект системы защиты информации (СЗИ) / Пояснительная записка к проекту СЗИ. Описывает архитектуру, взаимодействие подсистем, обоснование выбора СЗИ. Разрабатывается на основе выбранных мер из Приложения № 2 к Приказу № 17.
• Схема взаимодействия подсистем защиты информации. Графическая часть проекта.
• Перечень мер защиты информации (МЗИ) с обоснованием. Таблица: Мера (из Прил. № 2) -> Способ реализации (СЗИ / организационно) -> Статус (внедрена/планируется).

Документация на средства защиты информации (СЗИ)

• Сертификаты соответствия ФСТЭК (действующие на дату ОИБ) на все применяемые СЗИ (СКЗИ, МЭЗ, СЗИ НС, СЗИ АС, антивирусы, СИЕМ, сканеры уязвимостей и т.д.).
• Паспорта СЗИ, Руководства администратора/эксплуатации (предоставляются экспертам ЛО для изучения).
• Акты ввода СЗИ в эксплуатацию / Акты настройки СЗИ.

Организационно-распорядительная документация (ОРД) — «Сердце» ОИБ

По Приказу № 17 требования к ОРД детализированы в Приложении № 2 (меры орг. характера). Отсутствие любого из перечисленных документов — основание для несоответствия.

1. Политика безопасности информации (Политика ИБ) — стратегический документ, утверждается руководителем.
2. Модель угроз (актуализированная).
3. Перечень мер защиты информации (утвержденный).
4. Инструкции по эксплуатации СЗИ (по каждому типу СЗИ: настройка, мониторинг, обновление, инциденты).
5. Регламенты (процедуры):
   • Управления доступом (учет, идентификация, аутентификация, авторизация, отзыв прав);
   • Управления уязвимостями и обновлениями (патч-менеджмент);
   • Резервного копирования и восстановления;
   • Обнаружения и реагирования на инциденты ИБ (IRP);
   • Учета носителей информации и их уничтожения;
   • Контроля целостности ПО и данных;
   • Журналирования и анализа событий безопасности (логирование).
6. Приказы/Распоряжения:
   • О назначении ответственного за ИБ (ЦИБ);
   • О назначении администраторов СЗИ;
   • О комиссии по ИБ (при необходимости);
   • Об утверждении Политики ИБ, Модели угроз, Перечня МЗИ.
7. Журналы учета: доступа, инцидентов, работ по администрированию, выдачи/возврата носителей, обновлений ПО.
8. Планы обучения персонала вопросам ИБ и отчеты о прохождении инструктажей.

Документы, подтверждающие внедрение (Этап 3 — перед вызовом ЛО)

• Акт готовности объекта к проведению ОИБ (подписывается руководителем оператора и ЦИБ).
• Отчеты о работе СЗИ за последние периоды (логи СИЕМ, отчеты антивируса, отчеты сканирования уязвимостей, журналы резервного копирования) — минимум за 3–6 месяцев.
• Протоколы учений/учений по реагированию на инциденты (если предусмотрено моделью угроз).
• Акты проверки целостности, акты инвентаризации активов.

Процедура ОИБ: От подготовки до Акта

1. Подготовка документации (внутренними силами или подрядчиком-интегратором).
2. Внедрение технических и организационных мер согласно Проекту СЗИ.
3. Самостоятельная предварительная проверка (аудит) — рекомендуется перед вызовом ЛО.
4. Проведение ОИБ экспертами ЛО:
   • Анализ документации (соответствие Приказу № 17, полнота, актуальность).
   • Инструментальное обследование (сканирование, проверка настроек СЗИ, попытки обхода, анализ логов).
   • Собеседование персонала (проверка знаний инструкций).
5. Формирование Акта ОИБ (форма по Приказу ФСТЭК № 71 или рекомендациям ЛО). Акт содержит вывод: «Соответствует» / «Не соответствует».
6. Устранение замечаний (если «Не соответствует») и повторная проверка фрагментов.
7. Направление Акта ОИБ в ФСТЭК (через ЛК ФСТЭК или почтой) в установленные сроки (обычно 10 рабочих дней после подписания).

Типичные ошибки при подготовке «Документов 312/17»

• Использование старых шаблонов по Приказу № 312: упоминание классов КС1–КС3, УБ1–УБ4, старых номеров мер из Приложения № 2 к № 312. Это грубое нарушение, приводящее к отказу в проведении ОИБ.
• Формализм в Модели угроз: копирование типовых угроз без привязки к архитектуре конкретной ГИС, отсутствие обоснования неактуальности уязвимостей из БДУ.
• Расхождение документов и реальности: в Политике написано «пароль », в настройках AD — «»; в Регламенте бэкап раз в сутки, в логах — раз в неделю.
• Отсутствие актуализации: Модель угроз 2022 года, сертификаты СЗИ истекли в 2023 году, Приказы о назначении ответственных не переподписаны при смене кадров.
• Неполный комплект ОРД: нет инструкции по инцидентам, нет регламента управления уязвимостями, нет журнала учета носителей.

Чек-лист для самопроверки перед вызовом ЛО (2026)

Используйте этот список как «последний рубеж» перед оплатой услуг экспертов:

1. [ ] Акт категорирования утвержден после по форме Приказа № 17 (уровень 1–4).
2. [ ] Модель угроз актуализирована не ранее 2024 года, учитывает актуальный БДУ ФСТЭК.
3. [ ] Перечень МЗИ составлен строго по Приложению № 2 к Приказу № 17 для вашего уровня защищенности.
4. [ ] Все СЗИ имеют действующие сертификаты ФСТЭК (проверьте даты на сайте ФСТЭК).
5. [ ] Политика ИБ, Регламенты, Инструкции подписаны действующим руководителем.
6. [ ] Журналы (доступы, инциденты, администрирование, носители) ведутся непрерывно и заполнены за последние 6 месяцев.
7. [ ] Есть отчеты СЗИ (логи, сканы, бэкапы) за последние 3–6 месяцев, подтверждающие работоспособность мер.
8. [ ] Персонал прошел инструктажи по ИБ (есть росписи/протоколы) за последний год.
9. [ ] Подготовлен Акт готовности к ОИБ.
10. [ ] Выбрана ЛО из реестра ФСТЭК, договор подписан, доступы для экспертов подготовлены (VPN/физический доступ, тестовые учетки).

Фраза «Документы 312 оиб» сегодня является архаизмом, указывающим на устаревший подход к комплаенсу. На 2026 год единственной правовой основой для проведения ОИБ ГИС является Приказ ФСТЭК № 17 (в связке с № 239 для КИИ и актами по ПДн).

Ключевое отличие нового подхода — уход от формального «бумажного» соответствия к доказательной модели: эксперты ЛО проверяют не просто наличие подписанного листа «Политика ИБ», а реальную работу процессов, зафиксированных в журналах, логах и отчетах за длительный период.

Рекомендация: Не пытайтесь «подправить» старый комплект документов под № 312. Проведите полную ревизию: перекатегорируйте объект, перепишите Модель угроз, приведите Перечень МЗИ в соответствие с Приложением № 2 к Приказу № 17 и, главное, наладите оперативное ведение учетной документации (журналов, логов, отчетов). Именно это является гарантией успешного прохождения ОИБ в 2026 году.

Данная статья носит информационный характер и не заменяет консультации с аккредитованной лицензированной организацией (ЛО) или юристами по информационному праву. Нормативная база может меняться; актуальные тексты приказов всегда проверяйте на официальном сайте ФСТЭК России (fstec.ru) или в правовых системах (КонсультантПлюс, Гарант).