Регуляторный контур 2026
37 действующих нормативных документов (2005-2026) по управлению и контролю доступа: ФСТЭК + ФСБ + Росстандарт + ЦБ РФ + ФЗ + ПП + Указы Президента.
Оставить заявкуОтдельные страницы с подробным разбором трёх наиболее запрашиваемых нормативов по управлению доступом.
Требования к управлению доступом для операторов ПДн: ст. 19, ПП РФ № 1119, Приказ ФСТЭК № 21.
Категорирование объектов КИИ и меры защиты доступа: Приказы ФСТЭК № 239, № 235, № 31.
Требования к защите ГИС, ГУП и госучреждений: меры пп. 34–63 (с 01.03.2026).
Шесть ключевых регуляторных документов, формирующих compliance-pipeline на 2026 год — мы учитываем их во всех новых внедрениях.
Главный российский стандарт IDM/IGA
Терминологический и функциональный стандарт IDM/IGA. Называет систему «СУУЗиПД» (автоматизированное управление учётными записями и правами доступа). Устанавливает функциональные требования: единый каталог пользователей (п. 6.1.2), ролевая модель (п. 7.2.1), эталонная матрица прав (п. 7.2.8), коннекторы как отдельные модули (п. 8.1), регистрация событий (п. 10.4.2).
Для: Любая организация с IDM/IGA
Заменил № 17 (2013)
Новые требования к защите ГИС, ИС госорганов, ГУП, государственных учреждений (меры — пп. 34–63 приказа). Привилегированный доступ — со строгой аутентификацией (п. 48). Удалённый доступ — со строгой аутентификацией пользователей (п. 46).
Для: ГИС / госсектор / ГУП / госучреждения
Детализация мер № 117 (17 групп техмер, 96 базовых мер)
Конкретный compliance-чек-лист к Приказу № 117: разделы по идентификации/аутентификации, управлению доступом, привилегированному доступу (включая «инвентаризацию всех привилегированных учётных записей»).
Для: ИБ-инженеры, аудиторы
Заменил Приказ ФСБ № 524 (2022)
Криптографическая защита для всех ИС государственных органов, ГУП, государственных учреждений (расширение scope vs № 524 — только ГИС). Применение СКЗИ, сертифицированных ФСБ. Класс СКЗИ — в модели угроз.
Для: ГИС / ГУП / госучреждения с крипто-защитой
Геолокация identity-сессий
Кредитные организации обязаны регистрировать дату/время сессии, IP+порт устройства клиента, IP+порт АС банка и географическое местоположение устройства. Применяется при идентификации/аутентификации/авторизации клиентов.
Для: Банки + иностранные банки в РФ
3 уровня + первое покрытие NHI в РФ
Уровни доверия аутентификации: ровно 3 (низкий / средний / высокий) — НЕ 4 как у УДИ. Впервые в RU нормативе аутентификация распространяется на «информационные и вычислительные ресурсы» (п. 4.8) — Non-Human Identities.
Для: CISO, security architects, DevOps
Семь ключевых сценариев — какие документы обязательны и какие функции должна реализовать организация. Используем как чек-лист в КП и audit reports.
| Тип организации | Обязательные документы | Что обязано иметь |
|---|---|---|
| Кредитная организация (банк) | ЦБ № 851-П (с 29.03.2025; геолокация с 01.10.2025) · серия ГОСТ Р 57580 (.1-2017 + .2-2018 + .3-2022 + .4-2022) · 716-П · 802-П | Идентификация/аутентификация/авторизация клиентов с регистрацией IP+порт+геолокация · MFA эксплуатационного персонала (мера РД.4 ГОСТ 57580.1) · ролевое управление доступом (меры РД) · контроль неиспользуемых прав >45 дней (мера УЗП.15) |
| НФО (некредитные финансовые организации) | ЦБ № 757-П + Указание № 7219-У от 28.10.2025 (в силу 01.01.2027) · ГОСТ Р 57580.1-2017 | Зеркало 851-П для НФО (страховые, инвестфонды, МФО, ломбарды) |
| ГИС / госорган / ГУП / государственные учреждения | Приказ ФСТЭК № 117 (с 01.03.2026, меры пп. 34–63) · Приказ ФСБ № 117 (с 06.04.2025, крипто) | Меры защиты (пп. 34–63): идентификация и аутентификация + управление доступом · Строгая аутентификация для привилегированного доступа (п. 48) · Только сертифицированные ФСТЭК СЗИ + сертифицированные ФСБ СКЗИ |
| Значимый объект КИИ (категории 1, 2, 3) | Приказ ФСТЭК № 239 (ред. № 159 от 28.08.2024) · ФЗ-187 · ПП РФ № 127 | Меры идентификации/аутентификации/управления доступом по категориям значимости · защита от DDoS (через № 159/2024) |
| АСУ ТП критически важных объектов | Приказ ФСТЭК № 31 + Приказ ФСТЭК № 239 (если значимая КИИ) | Меры ИАФ/УПД аналогичные № 21, адаптированные под ICS/OT |
| Любой оператор ПДн (универсально) | ФЗ-152 ст. 19 · ПП РФ № 1119 (УЗ-1..УЗ-4) · Приказ ФСТЭК № 21 (ред. № 68/2020) | Меры ИАФ.1–6 (идентификация и аутентификация) + УПД.1–17 (управление доступом) по уровням защищённости |
| Организация на импортозамещении | Указ № 166 (значимые ОКИИ) · Указ № 250 (для субъектов указа, с 01.01.2025) · ПП РФ № 1236 · ФЗ № 325-ФЗ от 31.07.2025 | ПО для значимой КИИ — только из реестра отечественного ПО · запрет СЗИ из недружественных стран |
В 2025 году вышли два разных приказа с одинаковым номером 117. Их часто путают в blog-постах и презентациях. Обычная ИС государственного органа должна соответствовать обоим одновременно.
| Признак | Приказ ФСТЭК № 117 | Приказ ФСБ № 117 |
|---|---|---|
| Регулятор | ФСТЭК России | ФСБ России |
| Дата принятия | 11.04.2025 | 18.03.2025 |
| Дата вступления в силу | 01.03.2026 (переходный период) | 06.04.2025 (без переходного периода) |
| Что заменил | Приказ ФСТЭК № 17 (2013) | Приказ ФСБ № 524 (2022) |
| Предмет регулирования | Организационно-технические меры (управление доступом, аутентификация, мониторинг, парольные политики) | Исключительно крипто (СКЗИ, шифрование каналов, ЭП) |
| Применимость | ГИС + ИС госорганов + ГУП + государственных учреждений | Все ИС государственных органов, ГУП, государственных учреждений (расширил scope vs № 524 — только ГИС) |
| Совмещение | Дополняет ФСБ № 117 — обычная ИС ГУП соответствует обоим одновременно | Дополняет ФСТЭК № 117 — обычная ИС ГУП соответствует обоим одновременно |
Привязка наших услуг к конкретным пунктам ГОСТ / приказов ФСТЭК / положений ЦБ. В КП цитируем точные ссылки: «согласно пункту X документа Y».
Категоризированный реестр всех актуальных RU нормативных актов по управлению и контролю доступа (2005-2026).
Термины глоссария с привязкой к ГОСТ Р 71753-2024, ФСТЭК № 117, 152-ФЗ, 851-П, GDPR, NIS2, DORA, NIST, ISO/IEC, OWASP.
Развёрнутая публикация с обоснованием перевода RU↔EN для пяти IDM-платформ и пятнадцати нормативных источников.
Полный цикл compliance-аудита: ISO 27001, серия ГОСТ Р 57580, 152-ФЗ, 187-ФЗ КИИ, ЦБ РФ 851-П, ФСТЭК № 117.
Выявленные аудитом пробелы в управлении доступом закрываем внедрением IDM/IGA — единый процесс от gap-анализа до целевого уровня соответствия.
Compliance-аудит
Проводим экспертизу соответствия 37 действующим RU нормативным документам. Готовый отчёт для CISO, аудитора, регулятора — с указанием пунктов и план достижения целевого уровня.
ГОСТ Р 71753-2024 — главный российский стандарт IDM/IGA, действует с 20.12.2024. Называет систему «СУУЗиПД» (автоматизированное управление учётными записями и правами доступа) и устанавливает функциональные требования: единый каталог пользователей (п. 6.1.2), ролевая модель (п. 7.2.1), эталонная матрица прав (п. 7.2.8), коннекторы как отдельные модули (п. 8.1), регистрация событий (п. 10.4.2). Применяется к любой организации с IDM/IGA-проектом.
Это ДВА разных документа: (1) Приказ ФСТЭК России № 117 от 11.04.2025 (вступает в силу 01.03.2026) заменяет приказ № 17 (2013) — задаёт требования к мерам защиты пунктами 34–63 (таблица мер упразднена) для ГИС, ИС госорганов, ГУП, госучреждений; (2) Приказ ФСБ России № 117 от 18.03.2025 (в силе с 06.04.2025) — крипто-требования для тех же объектов, заменил ФСБ № 524. Идентичные номера, разные регуляторы и сферы.
152-ФЗ обязателен для любого оператора персональных данных (юр.лицо/ИП, обрабатывающий ПДн). Требования к управлению доступом: ПП 1119 п. 6 (перечень лиц с доступом к ПДн), Приказ ФСТЭК № 21 — меры ИАФ (идентификация и аутентификация), УПД (управление доступом субъектов), ОПС (ограничение программной среды) из Приложения. ПП 1119 устанавливает 4 уровня защищённости (УЗ-1...УЗ-4) для ИСПДн (информационных систем персональных данных). IDM-система автоматизирует учёт, аудит и контроль доступа.
187-ФЗ «О безопасности критической информационной инфраструктуры» обязателен для субъектов КИИ в 14 сферах (с 01.09.2025) (банковский сектор, ТЭК, транспорт, связь, здравоохранение и др.). 3 категории значимости объектов КИИ. Требования к управлению доступом: ФСТЭК № 239 (меры обеспечения безопасности), ФСТЭК № 235 (требования к системам безопасности значимых ОКИИ), ФСТЭК № 31 (для АСУ ТП). Категория 1 — наивысшие требования.
Положение ЦБ РФ № 851-П (с 29.03.2025, Минюст № 81462) — для кредитных организаций и филиалов иностранных банков; зеркала: НФО — 757-П, платёжная инфраструктура — 802-П. С 01.10.2025 — обязательная регистрация identity-событий с геолокацией. Связано с ГОСТ Р 57580.1/57580.2/57580.3/57580.4 (безопасность финансовых организаций). Identigy внедряет IDM с интеграцией геолокации, MFA для банков и НФО под требования ГОСТ Р 57580 и 851-П.
СУУЗиПД (Система автоматизированного управления учётными записями и правами доступа) — официальный термин ГОСТ Р 71753-2024, который заменяет международные термины IDM (Identity Management) / IGA (Identity Governance and Administration) в российском нормативном поле. Это та же система, но в русской терминологии. В тендерах и regulatory документах используйте «СУУЗиПД»; в международной коммуникации и с зарубежными вендорами — IDM/IGA.
