---
title: "Приказ ФСТЭК России от 28.05.2019 N 106"
number: "106"
issuer: "Федеральная служба по техническому и экспортному контролю"
issued_on: 2019-05-28
redaction: 2020-05-24
status: утратил силу
canonical: "https://bukva.ai/docs/prikaz-106-2019-fstek-rossii-federalnaya"
---

## Приказ ФСТЭК России от 28.05.2019 N 106

# Приказ ФСТЭК России от 28.05.2019 N 106

(ред. от 27.04.2020)

"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17"

(Зарегистрировано в Минюсте России 13.09.2019 N 55924)

> [!WARNING]
> Документ утратил силу с [1 марта 2026 года](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100014) в связи с изданием [Приказа](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100010) ФСТЭК России от 11.04.2025 N 117.
> Начало действия редакции - 24.05.2020 (за исключением отдельных положений).
> Окончание действия документа - 28.02.2026.
> Изменения, внесенные [Приказом](https://bukva.ai/docs/prikaz-61-2020-fstek-rossii-federalnaya#p100006) ФСТЭК России от 27.04.2020 N 61, вступают в силу по истечении 10 дней после дня официального опубликования (опубликован на Официальном интернет-портале правовой информации http://www.pravo.gov.ru - 13.05.2020).
> О вступлении в силу отдельных положений см. пункт 2 данного документа.


<a id="p100001"></a>Зарегистрировано в Минюсте России 13 сентября 2019 г. N 55924

---


<a id="p100002"></a>**ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ**

<a id="p100003"></a>**ПРИКАЗ**
от 28 мая 2019 г. N 106

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**
**В ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ**
**ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ**

<div align="center">

**ИНФОРМАЦИОННЫХ СИСТЕМАХ, УТВЕРЖДЕННЫЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ**<br>
**СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ**<br>
**ОТ 11 ФЕВРАЛЯ 2013 Г. N 17**

</div>


<a id="p100005"></a>В соответствии с [частью 5 статьи 16](https://bukva.ai/docs/zakon-149-fz-2006/statya-1#p100158) Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2014, N 30, ст. 4243) и [подпунктом 9.1 пункта 8](https://bukva.ai/docs/ukaz-1085#p100268) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2005, N 13, ст. 1138; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 52, ст. 7137; 2014, N 36, ст. 4833, N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198; 2018, N 20, ст. 2818), приказываю:
1. <a id="p100006"></a>Внести в [Требования](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 (зарегистрирован Министерством юстиции Российской Федерации 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом Федеральной службы по техническому и экспортному контролю от 15 февраля 2017 г. N 27 (зарегистрирован Министерством юстиции Российской Федерации 14 марта 2017 г., регистрационный N 45933), изменения согласно [приложению](#p100010) к настоящему приказу.
2. <a id="p1"></a>Установить, что [пункт 13](#p100089) изменений, утвержденных настоящим приказом, вступает в силу с 1 января 2021 г.

> *(в ред. [Приказа](https://bukva.ai/docs/prikaz-61-2020-fstek-rossii-federalnaya#p100006) ФСТЭК России от 27.04.2020 N 61)*


<a id="p100008"></a>Директор
Федеральной службы по техническому
и экспортному контролю
**В.СЕЛИН**





<a id="p100009"></a>Приложение
к приказу ФСТЭК России
от 28 мая 2019 г. N 106

<a id="p100010"></a>**ИЗМЕНЕНИЯ,**
**КОТОРЫЕ ВНОСЯТСЯ В ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ,**
**НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ**
**В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, УТВЕРЖДЕННЫЕ**
**ПРИКАЗОМ ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ**
**КОНТРОЛЮ ОТ 11 ФЕВРАЛЯ 2013 Г. N 17**

1. <a id="p100011"></a>[Пункт 14.2](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100052) дополнить абзацем следующего содержания:
<a id="p100012"></a>"Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, <1> не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных.

<a id="p100013"></a>

---

<a id="p100014"></a><1> [Пункт 5.3](https://bukva.ai/docs/prikaz-127-2013-minkomsvyaz-rossii#p100025) Методических указаний по осуществлению учета информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, утвержденных приказом Минкомсвязи России от 31 мая 2013 г. N 127 (зарегистрирован Минюстом России 5 ноября 2013 г., регистрационный N 30318), с учетом изменений, внесенных приказом Минкомсвязи России от 15 июня 2016 г. N 266 (зарегистрирован Минюстом России 14 июля 2016 г., регистрационный N 42853).".

2. <a id="p100015"></a>Пункт 14.3 после [абзаца третьего](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100058) дополнить абзацем следующего содержания:
<a id="p100016"></a>"При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных.".
3. <a id="p100017"></a>[Пункт 14.4](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100062) дополнить абзацем следующего содержания:
<a id="p100018"></a>"В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных.".
4. <a id="p100019"></a>[Пункт 15.1](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100079) дополнить абзацем следующего содержания:
<a id="p100020"></a>"При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных.".
5. <a id="p100021"></a>[Пункт 16.1](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100113) дополнить абзацем следующего содержания:
<a id="p100022"></a>"Средства защиты информации, устанавливаемые в информационной системе, функционирующей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны быть совместимы между собой, а также со средствами защиты информации, установленными в информационно-телекоммуникационной инфраструктуре центра обработки данных.".
6. <a id="p100023"></a>[Абзац второй пункта 17](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p14) после слов "должностными лицами" дополнить словом "(работниками)".
7. <a id="p100024"></a>Пункт 17.2 после [абзаца первого](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100134) дополнить абзацем следующего содержания:
<a id="p100025"></a>"По решению заказчика (оператора) аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы.".
8. <a id="p100026"></a>[Пункт 17.4](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p19) изложить в следующей редакции:
<a id="p100027"></a>"17.4. Аттестат соответствия выдается на весь срок эксплуатации информационной системы. Оператор (обладатель информации) в ходе эксплуатации информационной системы должен обеспечивать поддержку соответствия системы защиты информации аттестату соответствия в рамках реализации мероприятий, предусмотренных пунктом 18 настоящих Требований.".
9. <a id="p100028"></a>[Абзац второй пункта 17.6](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p21) изложить в следующей редакции:
<a id="p100029"></a>"В случае если информационная система создается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных уполномоченного лица, такая инфраструктура центра обработки данных должна быть аттестована на соответствие настоящим Требованиям.".
10. <a id="p100030"></a>[Пункты 18](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100145) - [18.4](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100173) изложить в следующей редакции:
<a id="p100031"></a>"18. Обеспечение защиты информации в ходе эксплуатации информационной системы должно осуществляться оператором в соответствии с эксплуатационной документацией и организационно-распорядительными документами по защите информации и включать следующие мероприятия:
<a id="p100032"></a>планирование мероприятий по защите информации в информационной системе;
<a id="p100033"></a>анализ угроз безопасности информации в информационной системе;
<a id="p100034"></a>управление (администрирование) системой защиты информации информационной системы;
<a id="p100035"></a>управление конфигурацией информационной системы и ее системой защиты информации;
<a id="p100036"></a>реагирование на инциденты;
<a id="p100037"></a>информирование и обучение персонала информационной системы;
<a id="p100038"></a>контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе.

#### <a id="p100039"></a>18.1 В ходе планирования мероприятий по защите информации в информационной системе осуществляются:

<a id="p100040"></a>определение лиц, ответственных за планирование и контроль мероприятий по защите информации в информационной системе;
<a id="p100041"></a>определение лиц, ответственных за выявление инцидентов и реагирование на них;
<a id="p100042"></a>разработка, утверждение и актуализация плана мероприятий по защите информации в информационной системе;
<a id="p100043"></a>определение порядка контроля выполнения мероприятий по обеспечению защиты информации в информационной системе, предусмотренных утвержденным планом.
<a id="p100044"></a>План мероприятий по защите информации в информационной системе утверждается вместе с правовым актом органа исполнительной власти о вводе информационной системы в эксплуатацию.
<a id="p100045"></a>Контроль выполнения мероприятий, предусмотренных планом мероприятий по защите информации в информационной системе, осуществляется в сроки, определенные указанным планом.

#### <a id="p100046"></a>18.2 В ходе анализа угроз безопасности информации в информационной системе в ходе ее эксплуатации осуществляются:

<a id="p100047"></a>выявление, анализ и устранение уязвимостей информационной системы;
<a id="p100048"></a>анализ изменения угроз безопасности информации в информационной системе;
<a id="p100049"></a>оценка возможных последствий реализации угроз безопасности информации в информационной системе.
<a id="p100050"></a>Периодичность проведения указанных работ определяется оператором в организационно-распорядительных документах по защите информации.

#### <a id="p100051"></a>18.3 В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

<a id="p100052"></a>определение лиц, ответственных за управление (администрирование) системой защиты информации информационной системы;
<a id="p100053"></a>управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в информационной системе;
<a id="p100054"></a>управление средствами защиты информации информационной системы;
<a id="p100055"></a>управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования информационной системы;
<a id="p100056"></a>централизованное управление системой защиты информации информационной системы (при необходимости);
<a id="p100057"></a>мониторинг и анализ зарегистрированных событий в информационной системе, связанных с обеспечением безопасности (далее - события безопасности);
<a id="p100058"></a>обеспечение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по защите информации.

#### <a id="p100059"></a>18.4 В ходе управления конфигурацией информационной системы и ее системы защиты информации осуществляются:

<a id="p100060"></a>определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и ее системы защиты информации, и их полномочий;
<a id="p100061"></a>определение компонентов информационной системы и ее системы защиты информации, подлежащих изменению в рамках управления конфигурацией (идентификация объектов управления конфигурацией): программно-аппаратные, программные средства, включая средства защиты информации, их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;
<a id="p100062"></a>управление изменениями информационной системы и ее системы защиты информации: разработка параметров настройки, обеспечивающих защиту информации, анализ потенциального воздействия планируемых изменений на обеспечение защиты информации, санкционирование внесения изменений в информационную систему и ее систему защиты информации, документирование действий по внесению изменений в информационную систему и сохранение данных об изменениях конфигурации;
<a id="p100063"></a>контроль действий по внесению изменений в информационную систему и ее систему защиты информации.
<a id="p100064"></a>Реализованные процессы управления изменениями информационной системы и ее системы защиты информации должны включать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, информационной системы.".
11. <a id="p100065"></a>[Дополнить](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) пунктами 18.5 - 18.7 следующего содержания:
<a id="p100066"></a>"18.5. В ходе реагирования на инциденты осуществляются:
<a id="p100067"></a>обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
<a id="p100068"></a>своевременное информирование пользователями и администраторами лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе;
<a id="p100069"></a>анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;
<a id="p100070"></a>планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
<a id="p100071"></a>планирование и принятие мер по предотвращению повторного возникновения инцидентов.

#### <a id="p100072"></a>18.6 В ходе информирования и обучения персонала информационной системы осуществляются:

<a id="p100073"></a>информирование персонала информационной системы о появлении актуальных угрозах безопасности информации, о правилах безопасной эксплуатации информационной системы;
<a id="p100074"></a>доведение до персонала информационной системы требований по защите информации, а также положений организационно-распорядительных документов по защите информации с учетом внесенных в них изменений;
<a id="p100075"></a>обучение персонала информационной системы правилам эксплуатации отдельных средств защиты информации;
<a id="p100076"></a>проведение практических занятий и тренировок с персоналом информационной системы по блокированию угроз безопасности информации и реагированию на инциденты;
<a id="p100077"></a>контроль осведомленности персонала информационной системы об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения защиты информации.
<a id="p100078"></a>Периодичность проведения практических занятий и тренировок с персоналом, мероприятий по обучению персонала и контролю осведомленности персонала устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в два года.
<a id="p100079"></a>18.7. В ходе контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:
<a id="p100080"></a>контроль (анализ) защищенности информации с учетом особенностей функционирования информационной системы;
<a id="p100081"></a>анализ и оценка функционирования информационной системы и ее системы защиты информации, включая анализ и устранение уязвимостей и иных недостатков в функционировании системы защиты информации информационной системы;
<a id="p100082"></a>документирование процедур и результатов контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе;
<a id="p100083"></a>принятие решения по результатам контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, о необходимости доработки (модернизации) ее системы защиты информации.
<a id="p100084"></a>Контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе, проводится оператором самостоятельно и (или) с привлечением организации, имеющей лицензию на деятельность по технической защите конфиденциальной информации.
<a id="p100085"></a>Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе 1 класса защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в год.
<a id="p100086"></a>Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационных системах 2 и 3 классов защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационных систем, но не реже 1 раза в два года.".
12. <a id="p100087"></a>[Дополнить](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) пунктом 22.1 следующего содержания:
<a id="p100088"></a>"22.1. В случае если меры защиты информации, реализованные в информационно-телекоммуникационной инфраструктуре центра обработки данных, обеспечивают блокирование угроз безопасности информации, актуальных для функционирующей на его базе информационной системы, принятие дополнительных мер защиты информации в данной информационной системе не требуется. При этом полномочия в части защиты информации должны быть распределены между оператором информационной системы и оператором информационно-телекоммуникационной инфраструктуры центра обработки данных.".
13. <a id="p100089"></a>В [пункте 26](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p29):
<a id="p100090"></a>[абзац пятый](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p33) изложить в следующей редакции:
<a id="p100091"></a>"В информационных системах 1 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В информационных системах 2 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В информационных системах 3 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия.";
<a id="p100092"></a>[абзац шестой](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p34) после слов "Классы защиты" дополнить словами "и уровни доверия".
14. <a id="p100093"></a>[Дополнить](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) пунктом 26.1 следующего содержания:
<a id="p100094"></a>"26.1. При проектировании вновь создаваемых или модернизируемых информационных систем, имеющих доступ к информационно-телекоммуникационной сети "Интернет", должны выбираться маршрутизаторы <2>, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности).

<a id="p100095"></a>

---

<a id="p100096"></a><2> [Пункт 4 главы II](https://bukva.ai/docs/prikaz-127-2013-minkomsvyaz-rossii#p100215) Классификации средств программного, технического обеспечения, работ и услуг (приложение N 2 к Методическим указаниям по осуществлению учета информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, утвержденным приказом Минкомсвязи России от 31 мая 2013 г. N 127).".



<a id="p100097"></a>

---