Что такое аттестация для работы с ГИС и сколько это стоит?

Весной 2025 года банки и МФО начали массово терять доступ к сервису МВД «Проверка действительности паспорта» через СМЭВ. Ведомство ссылалось на часть 8.1 статьи 149‑ФЗ, которая запрещает передачу данных из госсистем в неаттестованные информационные системы, и потребовало подтвердить соответствие наивысшему классу защищённости К1 (по Приказу ФСТЭК №117). Сначала требования касались только новых подключений, затем последовали веерные отключения уже работающих систем — бизнес-процессы (проверка паспортов, верификация клиентов) вставали на несколько месяцев.

При этом Минцифры подтвердило, что норма распространяется на все ГИС без исключения. Это значит, что аналогичные требования рано или поздно предъявят ФНС, СФР, Росреестр, Казначейство и другие ведомства, с которыми финансовые организации обмениваются данными ежедневно. Единственный способ избежать внезапного отключения и сохранить непрерывность процессов — пройти аттестацию. Но как это сделать без многомиллионных затрат и многомесячных сроков?

Аттестация — это процедура подтверждения соответствия информационной системы установленным требованиям защищённости. Для объектов информатизации, подключаемых к государственным информационным системам, порядок аттестации регламентируется Приказом ФСТЭК России №77 от 2017 года (в части проведения аттестационных испытаний), а требования к классам защищённости — Приказом ФСТЭК №117 от 11.04.2025 (заменил ранее действовавший Приказ №17).

Стоимость варьируется в зависимости от требуемого уровня:

Важно понимать, что класс К1 и уровень УЗ-1 — это разные классификации, применяемые в разных нормативно-правовых актах (Приказ №117 и Постановление Правительства №1119 соответственно). Их прямое отождествление некорректно. В контексте требований МВД речь идёт именно о классе К1.

Разница в стоимости обусловлена прежде всего требованием к безотказности на высшем уровне: необходимо полностью продублировать весь комплект оборудования. Процедура включает несколько этапов:

Критически важный момент: аттестуется не программный продукт и не лицензия на ПО, а конкретная информационная система в конкретном окружении конкретной организации. Это означает, что аттестацию нельзя «купить» у вендора — её проходит сам банк применительно к своей инфраструктуре. При каждом существенном изменении системы потребуется переаттестация.

Обычный путь занимает 7–9 месяцев. В условиях, когда ведомства отключают доступ без предупреждения, такой срок критичен. Обычный путь занимает 7–9 месяцев. В условиях, когда ведомства отключают доступ без предупреждения, такой срок критичен.

Ключевой принцип ускорения и удешевления — выделить подсистему, взаимодействующую с госсервисами, в отдельный изолированный контур. Если аттестовывать, например, весь кредитный конвейер, модель угроз и комплект СЗИ окажутся колоссальными по объёму и стоимости. Если же выделить интеграционный шлюз как самостоятельную систему с минимально необходимым функционалом, аттестация становится значительно дешевле и быстрее.

Наша компания разработала новый подход к получению аттестации, который:

За счёт типизации решения мы можем сократить сроки прохождения процедуры по сравнению с созданием проекта «с нуля». Однако важно понимать, что аттестация — это формальная процедура, и даже при максимальной готовности минимальный реалистичный срок с учётом всех этапов (разработка документации, закупка, настройка, испытания, оформление) составляет не менее 3–4 месяцев при добросовестном прохождении. Мы гарантируем оптимизацию каждого этапа. За счёт того, что система заранее известна и типизирована, срок аттестации сокращается до 2–6 месяцев в зависимости от вашей архитектуры (включая поставку оборудования).

Главная инновация для банков и МФО — аренда оборудования вместо его покупки. Подписочная модель позволяет:

Стоимость подписки — от 140 000 рублей в месяц. В неё входит:

В рамках подписки оборудование остаётся в собственности арендодателя и предоставляется клиенту на условиях аренды. Это позволяет не отвлекать крупные средства на единовременную покупку. Для клиентов, которым требуется размещение на своей территории, доступна классическая модель in‑house с выкупом комплекса.

Аттестат, полученный для контура взаимодействия с ГИС по классу К1, подтверждает, что данный контур соответствует самым строгим требованиям Приказа №117. Содержательно это означает, что применяемые в нём меры защиты перекрывают требования и для менее высоких классов (например, К2 и К3), а также для работы с системами, где требуется УЗ‑3 по персональным данным (при условии дополнительного согласования модели угроз для ПДн с ФСБ).

Однако юридически каждый случай подключения к конкретной ГИС (ФНС, СФР, Казначейство) требует отдельной процедуры подключения и выполнения их технических регламентов. Аттестат не является универсальной «лицензией» на все системы, но наличие аттестата К1 является необходимым и достаточным базисом для взаимодействия с любыми госсервисами, предъявляющими требования по Приказу №117.

В отношении ЕСИА и СМЭВ требования по классам защищённости уже действуют. Информация о переносе сроков на 2027 год не соответствует действующим нормативным актам — требования СМЭВ регламентированы письмом Минцифры от 22.12.2022 №П13-1-08-200-96761 и действуют в настоящее время.