Дата актуализации: 02 сентября 2026 г. | Статус: Действует (с учетом изменений на текущую дату)

Приказ ФСБ России от 24 октября 2022 г. № 524 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, с использованием шифровальных (криптографических) средств» — это базовый нормативный документ, регламентирующий применение средств криптографической защиты информации (СКЗИ) в государственных информационных системах (ГИС), а также в иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений.

Важно сразу разграничить два ключевых регуляторных потока, которые часто путают специалисты по защите информации:

• Приказ ФСБ № 378 от — регулирует защиту персональных данных (ПДн) в информационных системах персональных данных (ИСПДн) коммерческих и некоммерческих организаций (уровни защищенности 1–3).
• Приказ ФСБ № 524 от — регулирует защиту информации (в т.ч. ПДн) в ГИС и системах госорганов с использованием СКЗИ.

Если ваша организация — оператор ПДн, но не является госорганом и не эксплуатирует ГИС, основным документом для вас остается Приказ № 378 (и Постановления Правительства № 1119, № 687). Приказ № 524 становится обязательным, если:

1. Вы являетесь госорганом, ГУП или госучреждением.
2. Вы эксплуатируете ГИС (вне зависимости от формы собственности оператора, если система включена в реестр ГИС).
3. Вы обрабатываете гостайну или иную информацию ограниченного доступа в системах, подпадающих под действие ФЗ-149 «Об информации, информационных технологиях и о защите информации» в части ГИС.

Ключевое изменение 2022 года: Приказ № 524 заменил собой Приказ ФСБ № 266 от , введя актуализированные требования к криптографической защите, учета перехода на отечественную криптографию (ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012) и новых профилей защиты.

Структура и состав требований Приказа № 524

Документ состоит из самого приказа (утверждающего) и Приложения — «Требований о защите информации…». Требования детализируют организационные и технические меры, реализуемые с помощью СКЗИ.

Основные направления защиты (классы мер)

Требования охватывают весь жизненный цикл информации в ГИС:

• Идентификация и аутентификация (ИА): Двухфакторная аутентификация пользователей и администраторов (СКЗИ + токен/биометрия/пароль). Обязательное разграничение прав доступа по ролям (RBAC).
• Контроль целостности (КЦ): Мониторинг неизменности кода ОС, прикладного ПО, конфигурационных файлов и реестров. Использование СКЗИ для вычисления и верификации хеш-сумм (ИМИО/ЭЦП).
• Шифрование данных (КШ):
  • В состоянии покоя (Data at Rest): Шифрование дисков, БД, бэкапов, архивов.
  • В процессе передачи (Data in Transit): TLS/SSL с отечественными алгоритмами (ГОСТ TLS), VPN-шлюзы (IPsec/IKEv2 по ГОСТ).
• Управление ключевой информацией (УКИ): Генерация, распределение, хранение, уничтожение ключей. Разделение ролей: владелец ключа, администратор СКЗИ, аудитор.
• Аудит и учет (Журналирование): Сбор событий безопасности (вход/выход, изменение политик, ошибки СКЗИ) в защищенный журнал (СИЕМ/лог-сервер) с защитой от подделки (ЭЦП журнала).
• Антивирусная защита и контроль несанкционированных изменений: Интеграция СКЗИ с СЗИ антивирусного назначения.

Профили защищенности (Аналог уровней по Приказу 378)

В отличие от трех уровней защищенности ИСПДн (Приказ 378), для ГИС Приказ № 524 оперирует понятием профилей защищенности, устанавливаемых на основе модели угроз и категории значимости объекта КИИ (если применимо) или категории ГИС:

Процедура внедрения СКЗИ в соответствии с № 524: Пошаговый алгоритм

Внедрение не ограничивается покупкой лицензий. ФСБ на проверках требует доказательной базы соответствия.

Этап 1: Разработка Модели угроз и Профиля защиты (Документирование)

• Идентификация активов ГИС (серверы, БД, АРМ, сетевое оборудование).
• Анализ актуальных угроз (в т;ч. от ФСТЭК/ФСБ, отраслевые методики).
• Определение необходимого профиля защищенности для каждого подсистемы/сегмента.
• Результат: Утвержденная Модель угроз и Профиль защиты ГИС (подпись руководителя/ФСБ-куратора).

Этап 2: Подбор сертифицированных СКЗИ (Реестр ФСБ)

Критически важно: Использовать только СКЗИ, имеющие свидетельство ФСБ (актуальный реестр на fstec.gov.ru / fsb.ru).

• Проверка соответствия класса защищенности СКЗИ (КС1, КС2, КС3) профилю ГИС.
• Проверка алгоритмов: только ГОСТ Р 34.10-2012 (512/1024 бит), ГОСТ Р 34.11-2012, ГОСТ Р 34.12-2015 (Кузнечик/Магма), ГОСТ Р 34.13-2015. Алгоритмы RSA/AES/SHA-256 недопустимы для защиты гостайны и КИИ/ГИС по требованиям ФСБ.
• Выбор аппаратных носителей ключей (токенов) с подтвержденной устойчивостью к извлечению ключа.

Этап 3: Развертывание инфраструктуры УКИ (Управления ключевой информацией)

Это «сердце» соответствия № 524. Без УКИ сертификаты СКЗИ бессмысленны.

• Развертывание Удостоверяющего центра (УЦ) или использования услуг аккредитованного УЦ (для КЭП).
• Настройка политик жизненного цикла ключей: срок действия (обычно 1 год для КЭП, до 3 лет для ключей шифрования), процедура обновления, отзыва (CRL/OCSP), архивирования.
• Разделение доступа к администрированию УКИ (м-из-n схемы для критичных операций).

Этап 4: Настройка функций СКЗИ на объектах (Харденнинг)

• КЦ: Создание эталонных образов (базовых линий) целостности для ОС и ПО. Настройка периодичности проверки (не реже 1 раза в сутки для крит. систем).
• КШ: Настройка прозрачного шифрования дисков (BitLocker/LUKS с ГОСТ через CSP) или файлового уровня. Настройка VPN-шлюзов для межсегментного взаимодействия.
• ИА: Отключение локальных учетных записей администраторов. Вход только по ЭЦП/токену. Настройка SSO (если есть) с доверием к УЦ ГИС.

Этап 5: Внедрение системы сбора и анализа событий (СИЕМ/Журналирование)

• Сбор логов со ВСЕХ СКЗИ (агентов КЦ, VPN, CSP, УЦ).
• Защита логов от модификации (подписание ЭЦП агента сбора).
• Настройка корреляционных правил: множественные неудачные входы, изменение политик КЦ, ошибки верификации ЭЦП, доступ к ключевым контейнерам.
• Хранение логов не менее 3 лет (требование ФСТЭК/ФСБ для ГИС/КИИ).

Этап 6: Испытания и Ввод в эксплуатацию (Аттестация/СЗИ)

• Проведение испытаний СЗИ (средств защиты информации) аккредитованной лабораторией (для КИИ 1-2 кат. — обязательно).
• Получение Акта испытаний / Заключения об соответствии.
• Ввод ГИС в промышленную эксплуатацию только с подписанным Актом.

Ключевые требования к эксплуатации (Exploitation Rules)

На проверках ФСБ (или ФСТЭК по согласованию) основной фокус делается не на «галочках установки», а на процессах эксплуатации.

Журнал поэкземплярного учета носителей ключевой информации

Обязательное ведение журнала (бумажного или электронного с ЭЦП) для каждого токена/флешки/смарт-карты:

• Инвентарный номер / Серийный номер носителя.
• ФИО ответственного лица (владельца ключа).
• Дата выдачи / возврата / уничтожения.
• Подписи выдавшего и принявшего (или ЭЦП в эл. журнале).
• Маскированный пример записи: Токен JaCarta С/Н: 1234 | Выдан: Иванов И.И. | Дата: | Подпись: *.

Правила доступа в помещения (Физическая защита СКЗИ)

• Утвержденный перечень лиц, имеющих доступ к серверным комнатам, где стоят УЦ/КС/VPN-шлюзы.
• Журнал посещений серверных (ФИО, время входа/выхода, цель, сопровождающее лицо).
• Хранение резервных копий ключей (эскроу) в сейфе класса не ниже Б по ГОСТ Р 50862-2012 в двухэкземплярном управлении (два должностных лица).

Инцидент-менеджмент и компрометация ключей

Должна быть разработана и утверждена инструкция по действиям при:

• Утере/краже токена (немедленный отзыв сертификата, генерация новой пары ключей).
• Обнаружении взлома КЦ (изменение эталонного образа).
• Сбое VPN-туннеля (переключение на резерв, анализ логов).
• Истечении срока действия корневого сертификата УЦ (планируемая перегенерация иерархии).

Обновление СКЗИ (Patch Management)

• Установка обновлений СКЗИ (CSP, агентов КЦ, VPN) только после проверки ЭЦП дистрибутива и тестирования на стенде.
• Сохранение совместимости с профилем защищенности (обновление не должно понижать класс КС).
• Учет версий в CMDB.

Взаимодействие с требованиями ФСТЭК (Приказы № 17, № 21, № 31)

ГИС почти всегда являются объектами критической информационной инфраструктуры (КИИ) или подпадают под требования ФСТЭК к защите ПДн (если в ГИС есть ПДн).

Практический вывод: Проект документации по защите информации (Модель угроз, Профиль защиты, Перечень СЗИ, План мероприятий) разрабатывается единым комплексом с учетом требований и ФСБ (криптография), и ФСТЭК (общая защита). Разделение ответственности: ФСБ проверяет «криптографическую гигиену», ФСТЭК — «общую защищенность объекта».

Типичные ошибки и замечания ФСБ при проверках (Best Practices)

1. Использование несертифицированных версий СКЗИ. Установлена КриптоПро CSP 5.0, а в реестре ФСБ актуальна 5.0.R2 (или наоборот, старая версия выведена из реестра). Решение: Автоматизированный учет версий (ITAM);
2. Отсутствие УКИ / «Самоподписанные сертификаты» в продакшене. Генерация ключей на АРМ пользователя без УЦ, хранение закрытых ключей в файлах (реестр/файловый контейнер) без токена для уровней «Высокий/Средний». Решение: Внедрение УЦ (ViPNet Coordinator, КриптоПро DSS, Лисси KMS) и обязательная токенизация.
3. Игнорирование контроля целостности (КЦ) на АРМ пользователей. КЦ стоит только на серверах. Приказ № 524 требует контроля целостности на всех ЭВМ, входящих в контур ГИС; Решение: Агентный КЦ (ViPNet Integrity Control, КриптоПро ECP SDK для контроля) на 100% парка.
4. Логи пишутся «в никуда». События СКЗИ не собираются в централизованную СИЕМ, либо собираются, но не защищены ЭЦП, либо не анализируються (нет инцидент-менеджмента). Решение: Интеграция с MaxPatrol SIEM / Solar Dozor / KUMA / Лисси SIEM с настройкой правил корреляции под СКЗИ.
5. Просроченные сертификаты и CRL. VPN не поднимается из-за просроченного CRL на шлюзе; пользователи не могут войти из-за истечения сертификата УЦ. Решение: Мониторинг сроков действия (Zabbix/Prometheus + скрипты проверки OCSP/CRL), автоматическое перевыпускание (Autoenrollment).
6. Нарушение режима двухфакторной аутентификации. Админы заходят по SSH-ключам (файловым) без токена/смарт-карты. Решение: PAM-модули (pam_pkcs11, pam_u2f) + жесткая политика sudo только с токеном.

Перспективы и актуальные тренды (2025–2026 гг.)

• Постквантовая криптография (ПКК): ФСБ и ФСТЭК активно пилотируют алгоритмы ПКК (например, на базе решеток/хешей). Ожидается обновление ГОСТов и требований к СКЗИ к 2027–2028 гг. для долгосрочной защиты.
• Облачные ГИС (ГИС в облаке): Требования к разделению ответственности между провайдером облака (IaaS/PaaS) и заказчиком (SaaS/Приложение). СКЗИ должны контролировать данные в мультитенантной среде (Hardware Security Modules, HSM в облаке, BYOK — Bring Your Own Key).
• Автоматизация соответствия (Compliance as Code): Переход от ручных чек-листов к автоматической проверке конфигураций СКЗИ по профилям (OpenSCAP, Ansible/Playbooks с проверкой реестра ФСБ).
• Единый реестр СКЗИ: Консолидация реестров ФСБ и ФСТЭК для упрощения подбора.

Чек-лист готовности к проверке ФСБ (Self-Assessment)

Перед плановой или внеплановой проверкой пройдитесь по пунктам:

• [ ] Утвержден Приказ/Распоряжение о составе комиссии по защите информации (включающей ответственного за криптографию).
• [ ] Модель угроз и Профиль защиты ГИС актуализированы за последние 12 месяцев (или после существенных изменений).
• [ ] Все СКЗИ в парке имеют действующие свидетельства ФСБ (проверено по реестру на дату проверки).
• [ ] Развернута УКИ (УЦ/КЦ ключей) с разделением ролей администраторов (m-of-n).
• [ ] 100% пользователей ГИС аутентифицируются по 2 факторам (Токен + ПИН/Биометрия).
• [ ] Контроль целостности (КЦ) активен на 100% ЭВМ контура ГИС, эталонные образы актуальны.
• [ ] Все каналы связи (внешний контур, межсегментные, администрирование) защищены VPN/ТLS по ГОСТ.
• [ ] Журналы учета носителей ключей ведутся, подписаны, хранятся.
• [ ] События СКЗИ собираются в СИЕМ, защищены ЭЦП, настроены алерты.
• [ ] Проведены учения по реагированию на компрометацию ключа / сбой СКЗИ за последний год (есть протокол).
• [ ] Акт испытаний СЗИ / Аттестация объекта КИИ действует (срок не истек).

Приказ ФСБ № 524 — это не просто список ПО для установки. Это требование построить управляемый, контролируемый и аудируемый криптографический контур вокруг государственной информации. Ключ к успешному соответствию — в системном подходе: от Модели угроз через Подбор сертифицированных СКЗИ и внедрение полноценной УКИ до настройки мониторинга безопасности (СИЕМ) и регламентирования операционных процедур (учет токенов, инцидент-менеджмент, обновление).

Игнорирование требований № 524 для субъектов, подпадающих под его действие, влечет за собой административную ответственность (КоАП РФ ст. 13.12.1, 19.7.1-2), приостановку деятельности ГИС и репутационные риски. Инвестиции в правильную архитектуру СКЗИ на этапе проектирования в 5–10 раз дешевле, чем доработка «под проверку» и устранение выявленных нарушений.