Акт классификации информационной (автоматизированной) системы — это основной документ, фиксирующий результат определения класса защищенности объекта информатизации (ОИ). На основании этого акта разрабатывается модель угроз, подбираются средства защиты информации (СЗИ) и проводится аттестация объекта. С 2021 года форма и порядок заполнения акта строго регламентированы Приказом ФСТЭК России от № 77 («Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации, не составляющей государственную тайну»).

Нормативная правовая основа

Ключевым документом, устанавливающим обязательность составления акта, является Приложение № 3 к Приказу ФСТЭК № 77. Именно в этом приложении утверждена форма акта классификации.

• Приказ ФСТЭК № 77 (ред. от ), основной регламент процедуры аттестации.
• Руководящие документы ФСТЭК (РД ФСТЭК) — используются для обоснования класса (например, «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»).
• Специальные требования и рекомендации по технической защите конфиденциальной информации — для систем, обрабатывающих конфиденциальную информацию (КИ).

Когда и зачем нужен Акт классификации?

Акт классификации является обязательным приложением к пакету документов, который орган по аттестации направляет в ФСТЭК России (территориальный орган) в электронном виде в течение 5 рабочих дней после подписания Аттестата соответствия (п. 27 Приказа № 77).

Пакет включает:

1. Копию Аттестата соответствия ОИ.
2. Копию Технического паспорта на ОИ.
3. Копию Акта классификации информационной (автоматизированной) системы (по форме Приложения № 3).
4. Копию Акта категорирования значимого объекта (для объектов КИИ).

Важно: Без корректно заполненного акта классификации невозможно пройти процедуру аттестации и получить положительное заключение.

Структура Акта классификации (по Приложению № 3 к Приказу № 77)

Форма акта не содержит жестко заданных ячеек как в бланке строгой отчетности, однако ФСТЭК устанавливает обязательные реквизиты, которые должны быть раскрыты в документе. Ниже приведена структура, соответствующая типовому образцу, используемому аккредитованными лабораториями и органами по аттестации.

Шапка документа

• Наименование документа: «АКТ классификации автоматизированной системы (АС)».
• Номер и дата: Присваивается по внутреннему делопроизводству организации-заказчика или органа по аттестации (например, № * от ..202* г.).
• Место составления: Город *.
• Гриф секретности/конфиденциальности: Устанавливается в соответствии с политикой безопасности организации (например, «Конфиденциально», «Для служебного пользования», гриф «Секретно» — если АС обрабатывает ГТ).

Сведения об объекте информатизации (ОИ)

Основание для классификации (Ссылки на документы)

В акте обязательно указываются документы, на основании которых проводилась классификация:

• Техническое задание на создание/модернизацию АС.
• Описание технологического процесса обработки информации в АС.
• Разрешительная система доступа (модель разграничения доступа, матрица прав).
• Схемы сетевой топологии АС.
• Документы, регламентирующие состав охраняемой информации (Перечень ПДн, Перечень сведений, составляющих коммерческую тайну и т.д.).
• Акт категорирования объекта КИИ (если ОИ входит в состав КИИ).

Результат классификации (Ключевой раздел)

Здесь фиксируется итоговый класс защищенности (для ГТ) или уровень защищенности / класс (для КИ/ПДн) в соответствии с применяемым руководящим документом.

Вариант А: АС обрабатывает информацию, не составляющую ГТ (КИ, ПДн, Коммерческая тайна)

Используются РД ФСТЭК (Классификация АС: 1-й, 2-й, 3-й класс для ГТ — НЕ ПРИМЕНЯЕТСЯ для КИ). Для КИ/ПДн применяются требования к уровням защищенности (УЗ) по модели угроз или классы по специальным руководствам (например, К1, К2, К3 для технической защиты КИ).

Пример формулировки: «В соответствии с Руководящим документом ФСТЭК «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и разработанной Моделью угроз, данной АС присвоен 2-й класс защищенности (или Уровень защищенности 2 (УЗ2) / Класс К2, в зависимости от используемой методологии).»

Вариант Б: АС обрабатывает Государственную тайну (ГТ)

Классификация проводится строго по Приказу ФСТЭК № 17 и ГОСТ Р 57580-2017. Присваивается 1-й, 2-й или 3-й класс защищенности.

Обоснование класса (Аргументация)

Это самый важный раздел для экспертов ФСТЭК. Необходимо прописать, почему присвоен именно этот класс:

• Категория объекта (КИИ, ГИС, ОИВ, иной ОИ).
• Тип и категория угроз (из банка данных угроз ФСТЭК).
• Наличие/отсутствие сетевых интерфейсов (подключение к Интернету, корпоративным сетям, телефонным сетям).
• Количество пользователей, их категории (администраторы, операторы, удаленные пользователи).
• Требования регуляторов (ФСТЭК, ФСБ, Банк России, Минцифры).

Подписи и утверждение

Акт подписывается уполномоченными лицами организации-владельца ОИ (заказчика) и представителями органа по аттестации (если акт составляется в составе аттестационных работ).

Генеральный директор
ООО "Ромашка"
______________________ /Иванов И.И./
«___» _____________ 202* г.


Руководитель органа по аттестации
ФБУ "Центр "
______________________ /Петров П.П./
«___» _____________ 202 г. М.П.

Примечание: Фамилии, инициалы и номера печатей в примере выше замаскированы (*). В реальном документе указываются реальные данные.

Образец заполнения фрагмента Акта (Визуализация)

Типичные ошибки при заполнении (Почему ФСТЭК возвращает на доработку)

На основе практики взаимодействия с территориальными органами ФСТЭК, можно выделить ключевые ошибки:

1. Несоответствие формы Приложению № 3. Использование старых бланков (до Приказа № 77) или произвольных форм без обязательных реквизитов.
2. Отсутствие обоснования класса. Фраза «Присвоен 2-й класс» без ссылки на конкретные пункты РД ФСТЭК, модель угроз и характеристики АС (наличие Интернета, кол-во пользователей, категория ПДн).
3. Конфликт с Актом категорирования. Если ОИ входит в состав КИИ, класс защищенности в Акте классификации должен соответствовать категории значимости (1-я категория -> высокие требования / 1-й класс или УЗ1). Расхождение данных — 100% возврат.
4. Неверный выбор методологии. Применение классификации для ГТ (1/2/3 класс по Приказу № 17) к системам, обрабатывающим только КИ/ПДн (где используются УЗ 1-4 или К1-К3).
5. Отсутствие подписи руководителя организации-владельца. Акт подписан только аттестаторами, но не утвержден Генеральным директором (или лицом, замещающим его).
6. Неактуальные входные данные. Ссылки на устаревшие версии Технологического процесса, Модели угроз или Перечня ПДн, не соответствующие реальному состоянию АС на момент аттестации.

Особенности для разных типов объектов

Объекты КИИ (Критическая информационная инфраструктура)

• Акт классификации составляется параллельно с Актом категорирования (Приложение № 2 к Приказу № 77 / Постановление Правительства № 127).
• Класс защищенности напрямую зависит от категории значимости (1, 2, 3 категория).
• Обязательно наличие раздела об обосновании соответствия требованиям к защите КИИ (Приказ ФСТЭК № 17, № 239).

Автоматизированные системы управления технологическими процессами (АСУ ТП)

• Специфика: наличие контроллеров (ПЛК), SCADA-серверов, промышленных протоколов (Modbus, OPC UA).
• Классификация учитывает невозможность установки стандартных агентов СЗИ на контроллеры (компенсирующие меры).
• Часто требуется разделение на зоны безопасности (Первичный контур, Вторичный контур, Корпоративная сеть) с разными классами/уровнями.

Незначительные объекты / Малые АС

• Если АС не является КИИ, ГИС, ОИВ и обрабатывает малый объем ПДн/КИ, может присваиваться 3-й класс (УЗ3/УЗ4).
• Допускается упрощенная форма акта, но обязательные реквизиты (Приложение № 3) сохраняются.

Порядок хранения и передачи

• Оригинал акта хранится в организации-владельце ОИ (в делах по защите информации / аттестации).
• Копия (скан/электронный документ с ЭП) передается в орган по аттестации для включения в отчет о проделанных работах.
• Орган по аттестации направляет копию в ФСТЭК России (территориальный орган) в срок 5 рабочих дней после подписания Аттестата соответствия (п. 27 Приказа № 77).
• Срок хранения — не менее срока действия Аттестата соответствия (обычно 3-5 лет) или до переаттестации.

Перед передачей акта в орган по аттестации (или самостоятельной отправке в ФСТЭК, если аккредитованы сами) проверьте:

• [ ] Соответствует ли форма требованиям Приложения № 3 к Приказу ФСТЭК № 77?
• [ ] Указаны ли все входные документы (Техпроцесс, Модель угроз, РСД, Перечни инф.) с номерами версий и датами?
• [ ] Четко сформулирован результат (Класс / Уровень / Категория)?
• [ ] Приведено ли подробное обоснование с ссылками на пункты РД ФСТЭК и характеристики системы?
• [ ] Нет ли противоречий с Актом категорирования (для КИИ) и Техническим паспортом?
• [ ] Стоят ли подписи Генерального директора (владельца) и представителей органа по аттестации?
• [ ] Соответствует ли гриф секретности акта грифу обрабатываемой информации?

Грамотно составленный Акт классификации — это залог успешного прохождения аттестации и отсутствия претензий со стороны регулятора (ФСТЭК России). Рекомендуется составлять его в тесном взаимодействии между специалистами заказчика (администраторами безопасности, владельцами процессов) и экспертами аккредитованного органа по аттестации.

Данная статья подготовлена на основе актуальной на г. нормативной базы (Приказ ФСТЭК № 77, Приказ ФСТЭК № 17, Постановление Правительства РФ № 127). Текст носит информационный характер. Для подготовки конкретного юридического документа обратитесь к аккредитованному органу по аттестации или юристу в области информационной безопасности.