Подбор ИБ-компаний
Аттестация ИСПДн: требования, этапы и подрядчики
«Аттестация персональных данных» — так обычно называют аттестацию информационной системы персональных данных (ИСПДн) по требованиям защиты информации. Разберитесь, какая процедура нужна вашей системе, и получите предложения от проверенных ИБ-компаний одной заявкой.
Найдено: 188 компаний
Уведомим 20 компаний из подбора
Заявка по теме
- Лицензии
- Профильные услуги
- Регион
- Отзывы
Аттестация информационной системы персональных данных
Аттестация ИСПДн подтверждает соответствие объекта информатизации установленным требованиям защиты информации. До запроса коммерческого предложения важно определить, нужна ли организации именно аттестация по приказу ФСТЭК России № 77 или оценка эффективности реализованных мер защиты. Это разные процедуры и разный состав результата.
Обязательна ли аттестация ИСПДн
Федеральный закон № 152-ФЗ обязывает оператора принимать правовые, организационные и технические меры защиты, а также оценивать эффективность принятых мер до ввода ИСПДн в эксплуатацию. Постановление Правительства РФ № 1119 устанавливает уровни защищенности, а приказ ФСТЭК России № 21 определяет состав мер для каждого уровня.
Из этих норм не следует, что любая коммерческая ИСПДн всегда должна получать аттестат соответствия. Необходимость именно аттестации определяют по статусу информационной системы, требованиям отрасли и заказчика, составу обрабатываемой информации и применимым нормативным документам. Для государственной или иной регулируемой системы могут одновременно действовать дополнительные обязательные требования.
С 1 марта 2026 года для государственных информационных систем действует приказ ФСТЭК России № 117, заменивший приказ № 17. Его пункт 65 требует аттестовать ГИС до начала обработки или хранения информации по порядку приказа ФСТЭК России № 77. Для иных информационных систем государственных органов, ГУП и государственных учреждений решение о необходимости аттестации принимает руководитель оператора или ответственное лицо.
Правильный первый шаг: зафиксировать тип системы и ожидаемый итоговый документ. Подрядчик должен обосновать применимую процедуру до согласования цены.
Аттестация и оценка эффективности: в чем разница
Оценка эффективности мер
Проверяет, выполняют ли реализованные меры требования к выбранному уровню защищенности и актуальным угрозам конкретной ИСПДн.
Аттестация объекта
Проводится по формализованной программе и методикам. При положительном результате оформляется комплект материалов и аттестат соответствия.
Этапы аттестации ИСПДн
- Определение границ объекта.Фиксируют площадки, помещения, сегменты сети, рабочие места, серверы, каналы связи и внешние взаимодействия.
- Анализ исходных требований.Проверяют категории персональных данных, уровень защищенности, модель угроз, требования владельца системы и отраслевые нормы.
- Проверка готовности.Сопоставляют организационные документы, настройки и средства защиты с требованиями; выявленные несоответствия устраняют до испытаний.
- Программа и методики испытаний.Согласуют состав проверок, критерии соответствия, точки контроля и порядок проведения работ.
- Аттестационные испытания.Проверяют документацию и фактическую реализацию мер защиты, проводят предусмотренные программой испытания.
- Оформление результата.Исполнитель готовит протоколы и заключение, а при подтвержденном соответствии выдает аттестат.
- Поддержание соответствия.После изменений состава системы, угроз или средств защиты оценивают их влияние и необходимость дополнительных проверок.
Что подготовить для расчета работ
Исходные данные
- назначение, владелец и границы ИСПДн;
- схема сети и перечень компонентов;
- категории данных и число субъектов;
- уровень защищенности и модель угроз;
- перечень площадок и удаленных подключений.
Документы по защите
- техническое задание или требования к защите;
- организационно-распорядительные документы;
- описание системы защиты информации;
- сведения и документы на средства защиты;
- материалы предыдущих проверок, если они есть.
Если часть документов отсутствует, укажите это в заявке. Тогда предложения компаний будут сопоставимыми: подрядчики отдельно оценят подготовку системы, разработку документов и собственно аттестационные испытания.
Скачать чек-лист для запроса КПPDF, 2 страницы, без регистрацииСроки и стоимость аттестации ИСПДн
Универсальная цена по одному названию услуги вводит в заблуждение. На расчет влияют число площадок и сегментов, количество рабочих мест и серверов, сложность межсетевого взаимодействия, готовность модели угроз и документации, состав средств защиты, необходимость выездов и объем доработок перед испытаниями.
Чтобы сравнить предложения корректно, направьте всем исполнителям одинаковые исходные данные и попросите разделить смету на обследование, подготовку или доработку документов, настройку защиты, испытания, командировочные расходы и сопровождение после выдачи результата.
Срок действия аттестата
Приказ ФСТЭК России № 77 предусматривает выдачу аттестата на весь срок эксплуатации объекта информатизации, а не универсально на три года. Это не отменяет последующий контроль: владелец поддерживает объект в соответствии с аттестатом и не реже одного раза в два года представляет в ФСТЭК России или территориальный орган протоколы контроля защиты. Изменение состава, архитектуры, условий эксплуатации или требований может повлечь дополнительные испытания либо повторную аттестацию.
Как выбрать подрядчика
- Проверьте действующую лицензию ФСТЭК России на техническую защиту конфиденциальной информации и область разрешенных работ.
- Зафиксируйте в договоре границы объекта, состав испытаний и полный перечень передаваемых документов.
- Отделите устранение несоответствий от аттестационных работ, чтобы видеть структуру цены.
- Уточните порядок работ при изменениях ИСПДн и условия сопровождения в период действия результата.
Бесплатно, без регистрации, одна заявка для сравнения условий.
Как АйТиПростор формирует подбор компаний
В список попадают компании, у которых в каталоге отмечены все лицензии и профильные услуги, настроенные для сценария «Аттестация ИСПДн». При выборе региона остаются компании из этого региона. Затем порядок уточняется по данным профилей: компетенциям сотрудников и продуктов, рейтингу и отзывам, подтвержденным модерацией.
Процент совпадения показывает положение компании относительно лидера текущей выдачи. Это не отдельная сертификация исполнителя, не гарантия качества и не замена проверке области действия лицензии, опыта команды, состава работ и условий договора. Перед выбором запросите у компании подтверждающие документы и сопоставимое предложение.
Что можно проверить: причины попадания в список показаны в карточке, а сведения о компании, услугах и лицензиях доступны в ее профиле.
Вопросы об аттестации персональных данных
Обязательна ли аттестация для каждой ИСПДн?
Нет единого правила, по которому аттестация обязательна для любой коммерческой ИСПДн. Оператор обязан обеспечить безопасность персональных данных и оценить эффективность принятых мер до ввода системы в эксплуатацию. Нужна ли именно аттестация объекта информатизации, определяют с учетом статуса системы, применимых отраслевых требований, модели угроз и требований владельца информации или заказчика.
Какие требования действуют для государственной ИСПДн в 2026 году?
С 1 марта 2026 года для государственных информационных систем действует приказ ФСТЭК России № 117, заменивший приказ № 17. Пункт 65 приказа № 117 требует провести аттестацию ГИС до начала обработки или хранения информации по порядку, установленному приказом ФСТЭК России № 77. Для иных информационных систем государственных органов, ГУП и государственных учреждений решение о необходимости аттестации принимает руководитель оператора или ответственное лицо.
Чем аттестация отличается от оценки эффективности мер защиты?
Оценка эффективности подтверждает, что выбранные организационные и технические меры выполняют требования к защите конкретной ИСПДн. Аттестация по приказу ФСТЭК России № 77 является формализованной оценкой соответствия объекта информатизации требованиям защиты информации и при положительном результате завершается выдачей аттестата соответствия.
Кто может проводить аттестацию ИСПДн?
Для проведения работ по аттестации объекта информатизации проверяют наличие у исполнителя действующей лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации и соответствие области разрешенных работ вашей задаче. До договора запросите номер лицензии, состав работ и перечень итоговых документов.
Какие документы нужны исполнителю для расчета?
Обычно подрядчик запрашивает описание и границы ИСПДн, схему сети, перечень оборудования и программного обеспечения, категории и объем персональных данных, модель угроз, установленный уровень защищенности, документы на систему защиты и сведения о применяемых средствах защиты. Точный перечень зависит от состояния системы и выбранной процедуры.
Сколько времени занимает аттестация?
Срок нельзя корректно определить только по числу рабочих мест. На него влияют готовность документов и системы защиты, количество площадок, сложность сети, необходимость доработок и выездных испытаний. Сопоставимые предложения получают после передачи подрядчикам одинакового описания объекта и ожидаемого результата.
Сколько действует аттестат соответствия?
По приказу ФСТЭК России № 77 аттестат соответствия выдается на весь срок эксплуатации объекта информатизации, а не автоматически на три года. Владелец должен поддерживать соответствие, проводить контроль защиты и не реже одного раза в два года представлять протоколы в ФСТЭК России или ее территориальный орган. Изменения объекта могут потребовать дополнительных испытаний или повторной аттестации.
От чего зависит стоимость аттестации ИСПДн?
Стоимость зависит от состава объекта, числа площадок и сегментов, уровня готовности организационной документации, модели угроз и системы защиты, объема испытаний, выездов и необходимости устранить несоответствия. Поэтому на странице нет искусственной цены «от»: одна заявка позволяет получить и сравнить расчеты по одинаковым исходным данным.
