Как определить класс СКЗИ для государственной информационной системы?

По Требованиям, утверждённым приказом ФСБ России от 22.08.2026 № 321. Минимальный класс берут из таблицы приложения по уровню значимости информации и масштабу системы: от КС1 до КВ. Затем класс поднимают возможности источника атак, признанные актуальными в модели угроз: атака внутри контролируемой зоны — КС2, с физическим доступом к средствам — КС3, специалисты по СКЗИ и недокументированным возможностям прикладного ПО — КВ, недокументированные возможности среды функционирования — КА. При взаимодействии с другими системами берут наибольший класс.

Калькулятор класса СКЗИ для ГИС

Минимальный класс средства криптографической защиты (КС1, КС2, КС3, КВ, КА) для государственной информационной системы, иной системы госоргана, ГУП или госучреждения по Требованиям, утверждённым приказом ФСБ России от 22.08.2026 № 321. Те же требования действуют для муниципальной информационной системы и для системы, в которую из государственной передаётся информация ограниченного доступа: так установлено пунктами 2, 3 и 7 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117. Таблица даёт класс по значимости информации и масштабу системы, а модель угроз может его поднять. Для информационных систем персональных данных, которые не относятся к таким системам, — калькулятор по приказу № 378.

Уровень значимости информации

Что будет, если нарушат конфиденциальность, целостность или доступность информации (п. 8). Уровень определяет обладатель информации или оператор.

Масштаб системы (сегмента)

Где система решает свои задачи. Если система состоит из сегментов, класс можно определить для каждого сегмента отдельно (п. 7).

Возможности источника атак, актуальные по модели угроз

Отметьте то, что модель угроз признала актуальным. Ничего не отмечено — источник действует только снаружи контролируемой зоны.

Атака внутри контролируемой зоны, но без физического доступа к компьютерам, на которых работают СКЗИ (п. 12 → КС2) Физический доступ к аппаратным средствам, на которых работают СКЗИ и среда их функционирования (п. 13 → КС3) Специалисты по СКЗИ — анализ сигналов и побочных излучений, недокументированные возможности прикладного ПО (п. 14 → КВ) Недокументированные возможности среды функционирования — аппаратных и программных компонентов, на которых работает СКЗИ (п. 15 → КА)

Взаимодействие с другими системами

Если система обменивается информацией с другими системами под защитой СКЗИ, класс берут по наибольшему из них (п. 9).

Когда в системе нужны СКЗИ

По пункту 1 Требований СКЗИ применяют, если защищать информацию криптографией велит закон или иной акт, если информация идёт по каналам связи за пределами контролируемой зоны, если электронные документы с подписью должны быть равнозначны бумажным, а также если внутри зоны нельзя иначе исключить доступ к каналам и носителям. Необходимость СКЗИ обосновывают в модели угроз и (или) техническом задании (п. 2). Средства берут только сертифицированные ФСБ России, а в эксплуатацию вводят по акту (п. 3).

Как определяется класс

1. Таблица приложения. Минимальный класс зависит от уровня значимости информации и масштаба системы (п. 8):

Значимость	Вся Россия или 2+ субъекта	Один субъект	Муниципалитет или одна организация
Высокая	КВ	КС3	КС2
Средняя	КС3	КС3	КС1
Низкая	КС2	КС1	КС1

2. Модель угроз. Возможность источника атак, признанная актуальной, поднимает класс до своего уровня, но не понижает табличный: внутри контролируемой зоны — КС2, с физическим доступом к средствам — КС3, специалисты по СКЗИ и недокументированным возможностям прикладного ПО — КВ, недокументированные возможности среды функционирования — КА (пп. 11–15).

3. Взаимодействие. При обмене с другими системами берут наибольший класс среди них (п. 9). Сегменты одной системы с разными классами взаимодействуют на классе не ниже наименьшего из них (п. 10). Для обмена с гражданами класс может быть ниже, если это следует из модели угроз (п. 16).

Помещения и документы

Для помещений, где стоят СКЗИ и хранятся ключи, утверждают схему криптографической защиты (по модели угроз, с помещениями, каналами, названием и классом средств), правила доступа и перечень допущенных лиц (п. 6). Выполнение Требований проверяют при внутреннем контроле не реже одного раза в три года — силами оператора или лицензиата (п. 18).

Приказ заменил приказ ФСБ России от 18.03.2025 № 117. Для информационных систем персональных данных, которые не относятся к государственным и иным системам госорганов, класс по-прежнему определяют по приказу ФСБ России от 10.07.2014 № 378.

Калькулятор носит справочный характер. Итоговый класс СКЗИ определяется по утверждённой модели угроз с учётом архитектуры системы и условий применения СКЗИ.