Приказ ФСТЭК № 117: что делать с подрядчиками

С 1 марта 2026 года действует приказ ФСТЭК России от 11.04.2025 № 117. Он заменил приказ № 17 и задаёт требования к защите информации в государственных информационных системах, иных системах госорганов, ГУПов и госучреждений. В муниципальных системах эти требования тоже применяются, если закон не установил иное.

Для администратора самое ощутимое — подрядчики. Интегратор, сопровождение, внешний разработчик: всех, кому вы даёте доступ, приказ называет подрядными организациями.

Что требуется

• Политика защиты информации утверждается руководителем или ответственным лицом и обязательна для всех подразделений (п. 15).
• Подрядчик ознакомлен с политикой в своей части. Его обязанность выполнять её записана в документах, на основании которых вы даёте доступ или передаёте информацию (п. 16).
• Регламент описывает, на каких условиях подрядчик получает доступ и как вы этот доступ контролируете (п. 14, подп. «д»).

Пример: учётная запись подрядчика на срок работ

Пример условный. Договор сопровождения действует по 31.12.2026. Учётка выдаётся на этот срок и отключается сама:

# учётка отключится 1 января, на следующий день после конца договора
sudo useradd -m -e 2027-01-01 -c "Подрядчик, договор 15/26" podr-petrov
sudo chage -l podr-petrov | grep "Account expires"

# /etc/ssh/sshd_config — подрядчикам только ключи, без туннелей
Match User podr-*
    PasswordAuthentication no
    AllowTcpForwarding no
    X11Forwarding no

Дата в учётке должна совпадать со сроком в договоре. Продлили договор — продлили учётку, и ни днём дольше.

Важно. Приказ не обязывает переаттестовывать систему. Аттестаты, выданные до 1 марта 2026 года, остаются действительными (п. 3 приказа). А вот документы с подрядчиками придётся смотреть: устное «мы же всё обсудили» не выполняет требование п. 16. Нужна запись в договоре или в документе, по которому выдан доступ.

Чек-лист

• ☐ Составлен список подрядчиков с доступом к системе и сроки их договоров
• ☐ Каждый подрядчик ознакомлен с политикой защиты информации в своей части
• ☐ Обязанность выполнять политику есть в договоре или в документе, по которому выдан доступ
• ☐ Учётные записи подрядчиков выданы с датой окончания
• ☐ В регламенте описано, как вы контролируете действия подрядчика

Начните со встречи с подрядчиком

Протокол встречи фиксирует, что обсудили и о чём договорились: ознакомление с политикой, правила доступа, сроки учётных записей, кто и к какой дате вносит изменения в договор. Сам протокол договор не заменяет, но даёт юристам готовый список правок.

Открыть протокол встречи →

Основание: приказ ФСТЭК России от 11.04.2025 № 117 (зарегистрирован Минюстом России 16.06.2025, № 82619), пп. 2–4 приказа; Требования, пп. 3, 14, 15, 16.