# TAdviser: как сформировать требования к защите корпоративной системы

URL: https://fw-t.ru/insights/smi-o-nas/nam-nuzhno-vse-sertifitsirovannoe
Опубликовано: 2026-10-21 · Обновлено: 2026-10-21
Первоисточник: TAdviser, https://www.tadviser.ru/index.php/%D0%A1%D1%82%D0%B0%D1%82%D1%8C%D1%8F:%D0%9D%D0%B0%D0%BC_%D0%BD%D1%83%D0%B6%D0%BD%D0%BE_%D0%B2%D1%81%D1%91_%D1%81%D0%B5%D1%80%D1%82%D0%B8%D1%84%D0%B8%D1%86%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%BD%D0%BE%D0%B5:_%D0%BA%D0%B0%D0%BA_%D1%81%D1%84%D0%BE%D1%80%D0%BC%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D1%82%D1%8C_%D1%82%D1%80%D0%B5%D0%B1%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F_%D0%BA_%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D0%B5_%D0%BA%D0%BE%D1%80%D0%BF%D0%BE%D1%80%D0%B0%D1%82%D0%B8%D0%B2%D0%BD%D0%BE%D0%B9_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D0%BE%D0%B9_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D1%8B, 2026-10-21

Колонка Максима Сысоева в TAdviser: как связать требования к защите корпоративной системы с их основаниями, документами и ответственными до выбора поставщика.

TAdviser опубликовал колонку исполнительного директора Forward Максима Сысоева о том, как формировать требования к защите корпоративной информационной системы при ее закупке.

Отправная точка — пункт технического задания «все компоненты должны быть российскими и сертифицированными». Участники проекта понимают его по-разному: одни имеют в виду происхождение ПО, другие сертификат средства защиты, третьи совместимость с ОС. Автор предлагает для каждого требования связать пять вещей: что защищаем, откуда возникает требование, как его выполняем, чем подтверждаем результат и кто за него отвечает.

Основные положения колонки:

1. Сначала определяют границы системы. В системе расчетов с клиентами участвуют приложение, база данных, личный кабинет, платежный сервис и средства администрирования, и одного описания функций приложения для выбора мер защиты мало.
2. Важность системы для выручки не присваивает ей категорию значимости КИИ. В отрасли связи системы тарификации и расчетов с абонентами включены в перечень типовых отраслевых объектов КИИ (распоряжение Правительства РФ № 360-р), но категорию определяют по правилам постановления № 127.
3. Категория значимости объекта КИИ, уровень защищенности персональных данных, класс защиты и уровень доверия средства защиты — разные шкалы. Одинаковые цифры в их обозначениях не переводятся одна в другую.
4. У каждого пункта ТЗ должно быть основание: норма закона, анализ угроз, внутренний стандарт, условие договора. Требование закона нельзя снять ради экономии, а скопированный из прежней закупки пункт нельзя обсуждать, пока его основание не восстановлено.
5. Документы подтверждают разные свойства. Запись в реестре российского ПО говорит о происхождении программы и не заменяет сертификат по требованиям безопасности информации. АСР, учитывающие объем услуг связи, подлежат обязательной сертификации как средства связи (постановление № 113), и этот вопрос решается отдельно от категории КИИ.
6. Коммерческие предложения сравнивают по одинаковому объему ответственности: лицензии и поддержка в одном предложении и развертывание, настройка защиты, документация и участие в испытаниях в другом дают разную цену при одинаковых сертификатах.
7. Требования пересматривают после запуска: появляются интеграции, меняются данные и компоненты, вступают в силу отложенные нормы.

Вывод автора: фраза «нам нужно все сертифицированное» может быть только началом обсуждения. До выбора поставщика нужно определить, какие меры и подтверждения требуются для конкретной системы, на каких основаниях и кто отвечает за их выполнение.

Полный текст — на [сайте TAdviser](https://www.tadviser.ru/index.php/%D0%A1%D1%82%D0%B0%D1%82%D1%8C%D1%8F:%D0%9D%D0%B0%D0%BC_%D0%BD%D1%83%D0%B6%D0%BD%D0%BE_%D0%B2%D1%81%D1%91_%D1%81%D0%B5%D1%80%D1%82%D0%B8%D1%84%D0%B8%D1%86%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%BD%D0%BE%D0%B5:_%D0%BA%D0%B0%D0%BA_%D1%81%D1%84%D0%BE%D1%80%D0%BC%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D1%82%D1%8C_%D1%82%D1%80%D0%B5%D0%B1%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F_%D0%BA_%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D0%B5_%D0%BA%D0%BE%D1%80%D0%BF%D0%BE%D1%80%D0%B0%D1%82%D0%B8%D0%B2%D0%BD%D0%BE%D0%B9_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D0%BE%D0%B9_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D1%8B).