Классификация обеспечения информационной безопасности

В российской системе защиты информации класс присваивают двум разным вещам: самой информационной системе и средствам защиты, которые в ней стоят. Класс системы зависит от того, какие данные в ней обрабатываются и чем грозит их утечка, а класс средства защиты показывает, в системе какого уровня его разрешено применять. Чем меньше номер класса, тем строже требования. Ниже собраны все действующие шкалы: от руководящих документов 1992 года для СВТ и АС до классов ГИС по приказу ФСТЭК № 117, который действует с 1 марта 2026 года.

Здесь разбираются классы и уровни защищённости. Если нужен обзор самих средств - какими они бывают и чем технические отличаются от организационных, - смотрите статью виды защиты информации.

Какие классификации действуют в России

Классификаций несколько, и путаница начинается, когда их смешивают. Одни шкалы описывают системы, другие - средства защиты, третьи - криптографию. Таблица показывает, что чем регулируется:

Гостехкомиссия при Президенте РФ, выпустившая документы 1992 года, в 2004 году была преобразована в ФСТЭК России. Её руководящие документы никто не отменял, они по-прежнему опубликованы на сайте ФСТЭК.

Классы защищённости СВТ: 7 классов и 4 группы

СВТ (средства вычислительной техники) - это программные и аппаратные компоненты, из которых строят систему: операционные системы, СУБД, программно-аппаратные комплексы. Руководящий документ 1992 года задаёт для них семь классов защищённости от несанкционированного доступа. Строже всего требования у первого класса, слабее всего - у седьмого. Классы объединены в четыре группы по тому, как устроено управление доступом:

Класс СВТ до сих пор встречается в действующих требованиях. Формулировка «СВТ не ниже 5 класса» означает, что операционная система или другой компонент должен иметь сертификат ФСТЭК на 5 класс защищённости СВТ или выше (4, 3, 2, 1). Для ИСПДн 1-3 уровня защищённости приказ ФСТЭК № 21 требует именно СВТ не ниже 5 класса, для 4 уровня - не ниже 6 класса.

Классы защищённости АС: 9 классов от 3Б до 1А

Второй документ 1992 года делит автоматизированные системы на девять классов защищённости, объединённых в три группы. Группы различаются тем, как в системе работают пользователи, а внутри каждой группы классы идут по ценности информации: буква «А» означает максимум требований в своей группе. Строже всего требования к первой группе.

Для систем со сведениями, составляющими государственную тайну, документ требует класс не ниже 3А, 2А или 1В (в зависимости от группы) и сертифицированные СВТ: не ниже 4 класса для 1В, не ниже 3 класса для 1Б и не ниже 2 класса для 1А. Отсюда понятно, что классы 3Б, 2Б, 1Д и 1Г - это классы для систем без гостайны. Например, 1Г - многопользовательская система с разграничением прав и конфиденциальной, но несекретной информацией. В отличие от 1Д, в ней добавляется контроль доступа к программам, файлам, терминалам и каналам связи, а также регистрация печати и запуска программ.

Для ГИС и ИСПДн классы АС сейчас не назначают: у них свои шкалы, о них дальше. Но в экзаменационных вопросах и старых аттестатах классы АС встречаются постоянно.

Классы защищённости информационных систем: ГИС, ИСПДн, КИИ

Действующие требования ФСТЭК привязаны к типу системы. Для каждого типа своя шкала, и от неё зависят и набор мер, и класс средств защиты, которые в системе можно ставить.

ГИС: классы К1, К2, К3

Классы защищённости государственных информационных систем с 1 марта 2026 года определяет приказ ФСТЭК № 117 от 11.04.2025. Он заменил приказ № 17, который действовал больше десяти лет, и распространяется на ГИС и на иные информационные системы госорганов, государственных унитарных предприятий и учреждений. Шкала К1-К3 сохранилась, К1 - высший класс. Новое - показатель защищённости, который надо регулярно рассчитывать, и жёсткие сроки устранения уязвимостей.

ИСПДн: уровни защищённости УЗ-1 - УЗ-4

Для информационных систем персональных данных вместо классов используют уровни защищённости. Их четыре, строже всего требования к УЗ-1. Уровень зависит от типа актуальных угроз, категории данных, количества субъектов и того, чьи это данные - сотрудников или клиентов. Как его посчитать, разобрано ниже.

Летом 2026 года ФСТЭК опубликовала проект приказа, который должен заменить приказ № 21 о мерах защиты персональных данных. По данным на конец сентября 2026 года документ не был зарегистрирован в Минюсте, поэтому приказ № 21 продолжает действовать. Уровни защищённости из постановления № 1119 проект не отменяет.

КИИ: категории значимости 1-3

Объекты критической информационной инфраструктуры (системы в энергетике, транспорте, связи, банках, здравоохранении и других отраслях из 187-ФЗ) не получают классов, их категорируют. Комиссия субъекта КИИ оценивает объект по показателям значимости из постановления Правительства № 127 и присваивает одну из трёх категорий, первая - высшая. Объект, не дотянувший до третьей категории, признают незначимым. Требования к защите значимых объектов установлены приказом ФСТЭК № 239.

Для АСУ ТП на производстве действует отдельный приказ ФСТЭК № 31 со своими классами К1-К3.

Как определить класс защищённости своей системы

Класс защищённости информационной системы определяет её владелец, а результат оформляют актом классификации (для КИИ - актом категорирования). Порядок такой:

1. Понять, к какому типу относится система. У госоргана или госучреждения - ГИС по приказу 117. У субъекта КИИ - объект, который нужно категорировать. У любой организации, где есть данные сотрудников или клиентов, - ИСПДн.
2. Составить модель угроз. Для ИСПДн из неё берут тип актуальных угроз, для ГИС - степень возможного ущерба.
3. Определить класс или уровень по таблицам ниже и записать в акт.
4. Подобрать меры защиты и, если они нужны, сертифицированные средства подходящего класса.

Уровень защищённости ПДн по постановлению № 1119

Тип угроз определяют по тому, актуальны ли для системы недекларированные возможности в программном обеспечении. Угрозы 1-го типа связаны с такими возможностями в системном ПО, 2-го типа - в прикладном ПО, 3-го типа с ними не связаны. Коммерческие компании, которые не пишут собственное ПО и используют распространённые продукты, чаще всего признают актуальными угрозы 3-го типа. Дальше уровень находится по таблице:

Пример расчёта. Компания на 40 сотрудников ведёт кадровый учёт и CRM на 8 000 клиентов, угрозы признаны 3-го типа. Данные «иные», субъектов меньше 100 000, получается УЗ-4. Если в той же CRM окажется больше 100 000 клиентов, уровень поднимется до УЗ-3. Требования к хранению таких данных на территории России - в статье про локализацию персональных данных по 152-ФЗ.

Класс ГИС: значимость информации и масштаб системы

Для ГИС сначала оценивают ущерб от нарушения конфиденциальности, целостности и доступности информации. Если хотя бы по одному свойству ущерб высокий, уровень значимости первый, если средний - второй, если по всем свойствам низкий - третий. Затем учитывают масштаб: федеральный (вся страна или несколько регионов), региональный (один субъект РФ) или объектовый (одна организация).

После классификации систему проверяют на соответствие требованиям: ГИС аттестуют, для ИСПДн проводят оценку эффективности мер защиты не реже раза в три года. Что смотрят при такой проверке и как подготовить к ней серверы, мы описали в статье про аудит информационной безопасности.

Классы защиты СЗИ и уровни доверия ФСТЭК

Средства защиты информации, которые сертифицирует ФСТЭК, делятся на шесть классов защиты. Классы 1-3 предназначены для систем с государственной тайной, классы 4-6 - для всех остальных. Шкала общая для межсетевых экранов, антивирусов, средств доверенной загрузки и других видов СЗИ, поэтому соответствие классов системам удобно смотреть в одной таблице.

С 2020 года к классу добавился уровень доверия. Если класс отвечает на вопрос «какие функции защиты есть у средства», то уровень доверия отвечает на вопрос «насколько тщательно проверены разработка и сам код». Уровни доверия установлены приказом ФСТЭК № 76 от 02.06.2020, их шесть, первый - высший, шестой - низший. Они заменили прежний контроль отсутствия недекларированных возможностей, а в требования к ИСПДн, ГИС и КИИ уровни доверия вошли с 1 января 2021 года.

Кроме шести видов средств, о которых пойдёт речь дальше, у ФСТЭК есть отдельные требования к средствам виртуализации, контейнеризации и другим классам продуктов. Про защиту гипервизора и что требует регулятор от сред виртуализации - в статье о безопасности в среде виртуализации.

Классы и типы межсетевых экранов

Межсетевой экран фильтрует трафик между сегментами сети или на отдельном узле. Требования ФСТЭК к межсетевым экранам действуют с 2016 года (приказ № 9): они задают шесть классов защиты по общей схеме и пять типов по месту установки.

Тип Г по сути соответствует тому, что в мире называют WAF (Web Application Firewall), а межсетевые экраны нового поколения (NGFW) часто сертифицируют сразу по нескольким типам. Классификацию по технологиям фильтрации - пакетные фильтры, экраны с контролем состояния, прокси, NGFW - подробно разбирает статья для чего нужен межсетевой экран.

Классы и типы систем обнаружения вторжений

Система обнаружения вторжений (СОВ, в англоязычной литературе IDS) ищет в трафике или в событиях на узле признаки атаки. Требования ФСТЭК к СОВ утверждены приказом № 638 от 6 декабря 2011 года и применяются при сертификации с 15 марта 2012 года. Классов шесть, по общей схеме из таблицы выше: для ИСПДн УЗ-3 и УЗ-4 достаточно 6 класса, для УЗ-2 и ГИС К2 нужен 5 класс, для УЗ-1 и ГИС К1 - 4 класс.

Типов у СОВ два. Сетевая СОВ (уровня сети) подключается к коммутатору и анализирует трафик сразу нескольких узлов. Узловая СОВ (уровня узла) ставится на сервер или рабочую станцию и разбирает системные вызовы, журналы и работу процессов. Как СОВ работает в паре с SIEM - в статье про мониторинг безопасности серверов.

Классы и типы средств антивирусной защиты (САВЗ)

САВЗ - так в документах ФСТЭК называют антивирусы. Регулятор описал их в требованиях 2012 года, и тип САВЗ зависит от того, где средство работает:

• тип А - централизованное администрирование антивирусной защиты на компонентах системы (консоль управления);
• тип Б - антивирус для серверов;
• тип В - антивирус для автоматизированных рабочих мест (АРМ);
• тип Г - антивирус для автономных АРМ, не подключённых к сети.

Один продукт обычно закрывает несколько типов: сервер управления сертифицирован как тип А, агенты на серверах - как тип Б, на рабочих станциях - как тип В.

Классы и типы средств доверенной загрузки

Средство доверенной загрузки (СДЗ) не даёт загрузить на компьютер постороннюю операционную систему и проверяет целостность загружаемых компонентов. В требованиях ФСТЭК 2013 года их разделили по месту работы на три типа:

• уровня базовой системы ввода-вывода - встраиваются в BIOS/UEFI;
• уровня платы расширения - отдельная плата в слоте компьютера, которая получает управление до загрузки ОС (так устроены электронные замки);
• уровня загрузочной записи - программные средства, которые работают после BIOS, но до загрузки основной операционной системы.

Стандартная доверенная загрузка UEFI (Secure Boot) и модуль TPM - это механизмы платформы, а не сертифицированные СДЗ. Если требования системы предписывают СДЗ определённого класса, нужен продукт с сертификатом ФСТЭК.

Классы и типы средств контроля съёмных машинных носителей

Средства контроля съёмных машинных носителей (СКН) следят за флешками, внешними дисками и другими носителями, которые подключают к компьютерам системы. ФСТЭК выпустила для них требования в 2014 году и выделила два типа:

• средства контроля подключения съёмных носителей - разрешают или запрещают подключать конкретные устройства;
• средства контроля отчуждения (переноса) информации - контролируют, что именно и куда копируется с компьютера на носитель.

В продуктах оба типа часто совмещены, а системы предотвращения утечек (DLP) дополняют их анализом содержимого. Но DLP - отдельный класс продуктов со своими задачами, классы СКН к нему не относятся.

Классы и типы операционных систем

Операционные системы ФСТЭК классифицирует с 2016 года и делит на три типа: А - общего назначения (серверы, рабочие станции), Б - встраиваемые, для специализированных устройств, В - реального времени. Классов защиты шесть: 1-3 для гостайны, 4-6 - по общей схеме.

Для серверов это означает выбор между сертифицированными отечественными ОС: сертификат с нужным классом и уровнем доверия снимает часть вопросов при аттестации ГИС или оценке ИСПДн. Чем отличаются Astra Linux, Альт Сервер и РЕД ОС как серверные платформы, разобрано в сравнении российских ОС для серверов.

Классы СКЗИ: КС1, КС2, КС3, КВ, КА

Средства криптографической защиты информации (СКЗИ) сертифицирует ФСБ, и шкала у них своя. Класс СКЗИ показывает, против какого нарушителя средство устойчиво:

Для персональных данных класс СКЗИ выбирают по приказу ФСБ № 378 от 10.07.2014: он зависит от уровня защищённости и от того, какие возможности нарушителя признаны актуальными в модели угроз. Для средств электронной подписи используется похожая шкала: КС1, КС2, КС3, КВ1, КВ2 и КА1.

Частые вопросы

Что такое СВТ в информационной безопасности?

СВТ - средства вычислительной техники: программные и технические компоненты, из которых собирается информационная система, например операционные системы и программно-аппаратные комплексы. Их классы защищённости (с 1 по 7) задаёт руководящий документ Гостехкомиссии 1992 года.

Что значит «СВТ не ниже 5 класса»?

Это требование применять компоненты, сертифицированные ФСТЭК на 5 класс защищённости СВТ или на класс строже (4, 3, 2, 1). Например, оно действует для ИСПДн 1-3 уровня защищённости.

Сколько классов защищённости у АС и к какой группе требования выше?

Классов девять, они объединены в три группы: 3Б и 3А, 2Б и 2А, 1Д, 1Г, 1В, 1Б и 1А. Строже всего требования к первой группе - многопользовательским системам с разграничением доступа, а внутри группы - к классу с буквой «А».

Что такое САВЗ?

САВЗ - средства антивирусной защиты в терминологии ФСТЭК. Они делятся на четыре типа (А - централизованное управление, Б - серверы, В - рабочие места, Г - автономные рабочие места) и шесть классов защиты.

Чем класс защиты СЗИ отличается от уровня доверия?

Класс защиты описывает набор функций безопасности средства. Уровень доверия описывает, насколько глубоко проверены его разработка и код. В сертификате ФСТЭК указывают и то и другое, например «4 класс защиты, 4 уровень доверия».

По теме: как устроена техническая защита информации, как организовать защиту данных в компании.