Приказ ФСТЭК №117:
что теперь обязана делать
ваша организация
Разбираем новые требования к обучению сотрудников по информационной безопасности
Кого это касается?
Требования распространяются на государственные органы, государственные учреждения и предприятия, которые эксплуатируют информационные системы. Если в вашей организации есть ИС с информацией ограниченного доступа — эти правила для вас.
Это означает, что организация должна выстраивать комплексную систему защиты, включающую не только технические средства, но и организационные меры, включая подготовку пользователей.
Что обязана сделать организация: системный взгляд
Приказ требует создания управляемой системы защиты информации, включая внутренние регламенты и обучение пользователей. Ключевые моменты:
В частности, внутренние регламенты должны содержать:
«порядок повышения уровня знаний и информированности пользователей по вопросам защиты информации» — Приказ ФСТЭК №117, п. 14
⚠️ Это уже не рекомендация, а обязанность
Организация обязана утвердить конкретный порядок обучения сотрудников: кто учится, как часто, по каким темам, кто проверяет результаты. Без утверждённого регламента — нарушение требований приказа.
Повышение осведомленности пользователей - обязательное мероприятие защиты
Приказ прямо устанавливает необходимость проведения мероприятий по обучению сотрудников:
Таким образом, обучение пользователей является обязательным элементом системы защиты информации, а не дополнительной инициативой.
Конкретные форматы обучения: что говорит закон
Приказ прямо описывает, какие именно мероприятия должны проводиться для повышения осведомленности сотрудников.
а) доведение до пользователей информационных материалов…
б) проведение лекций, семинаров, обучающих игр по вопросам защиты информации;
в) проведение имитационных рассылок электронных писем… с целью оценки устойчивости пользователей к методам социальной инженерии;
г) проведение тренировок с пользователями… и формированию навыков по защите информации.» — Приказ ФСТЭК №117, п. 56
Информационные материалы
Памятки, инструкции, рассылки — всё, что повышает базовую грамотность сотрудников в области ИБ.
Лекции, семинары, игры
Очные и онлайн-форматы обучения. Интерактивные курсы и обучающие игры — тоже засчитываются.
Фишинговые симуляции
Имитационные рассылки теперь прямо прописаны в законе. Это не опция — это обязательный инструмент.
Практические тренировки
Формирование реальных навыков противодействия атакам. Знания без практики — не считаются.
Обязательная проверка знаний: сроки и последствия
Мало обучить — нужно ещё и проверить. Приказ устанавливает конкретные требования:
- Проверка знаний — минимум раз в три года (или немедленно после инцидента)
- Сотрудники, не прошедшие проверку, обязаны пройти повторное обучение
- Результаты проверок должны документироваться — для аудита и отчётности
- Сам факт проведения обучения тоже нужно фиксировать
Сотрудник — не объект защиты, а участник
Приказ меняет сам подход к роли рядовых сотрудников в системе ИБ. Раньше люди воспринимались как «слабое звено», которое нужно ограничивать. Теперь — как активные участники защиты:
Это означает: каждый сотрудник, у которого есть доступ к корпоративным системам, является активным элементом системы защиты. И должен быть к этой роли подготовлен.
Выводы и план действий
Вот минимальный набор шагов, который нужно сделать для соответствия требованиям приказа:
Разработать и утвердить регламент обучения
Документ с описанием: кто учится, по каким темам, с какой периодичностью, кто отвечает за организацию.
Провести базовое обучение всех сотрудников
Курсы по информационной безопасности обязательны для всех пользователей ИС, не только для ИТ-отдела.
Запустить фишинговые симуляции
Имитационные рассылки теперь обязательны. Это инструмент как обучения, так и оценки реальной устойчивости персонала.
Провести оценку знаний
Тестирование с фиксацией результатов. Те, кто не сдал — направляются на повторное обучение.
Настроить регулярность и отчётность
Весь цикл должен повторяться минимум раз в три года. Документация хранится для возможного аудита.
StopPhish автоматизирует всё это
Платформа StopPhish создана именно для выполнения требований приказа №117 — без ручной рутины и головной боли с отчётностью.