Приказ ФСТЭК № 117 и искусственный интеллект
Приказ ФСТЭК России № 117 от 11.04.2025 действует с 1 марта 2026 года для государственных информационных систем и иных систем госорганов, государственных унитарных предприятий и учреждений; требования к искусственному интеллекту в нём — пункты 60 и 61. Проект изменений от 24.08.2026 излагает их в новой редакции и вводит меры для моделей и агентов ИИ с 1 марта 2027 года. Ниже — что сказано в тексте проекта и чем это закрывается.
Что требует проект изменений в приказ № 117
Проект: regulation.gov.ru, № 170500, вынесен 24.08.2026, вступление — 01.03.2027; на 16.10.2026 не утверждён · Проверено: 16.10.2026 — по тексту проекта.
- п. 14 «д»: в документах оператора — порядок защиты информации при использовании искусственного интеллекта;
- п. 60: модели ИИ выделяются в отдельный сегмент; привилегированный доступ в него — с усиленной многофакторной аутентификацией; доступ пользователей к моделям — с минимальными правами; регистрация и анализ действий пользователей в сегменте;
- п. 60, если модель обрабатывает информацию ограниченного доступа или выполняет значимые функции оператора: контроль доступа к моделям, фильтрация входных данных (запросов) и выходных данных (ответов), квотирование запросов, ограничение и контроль функциональности моделей;
- п. 61: «при применении агентов искусственного интеллекта, в том числе автономных агентов искусственного интеллекта» — меры, направленные на предотвращение несанкционированного воздействия на ресурсы информационной системы, а также контроль и управление правами доступа агентов по внутренним стандартам и регламентам;
- определения: искусственный интеллект — по п. 1 ст. 3 Федерального закона от 26.07.2026 № 243-ФЗ; агент ИИ — по п. 3.1.1 ГОСТ Р 71476-2024.
Где болит
У оператора государственной информационной системы (региональное ведомство, госучреждение, ГУП) агент на локальной модели уже внедрён, а у службы ИБ нет инструмента, чтобы вести журнал его вызовов, который нельзя незаметно исправить выборочно, и показать, что права агента ограничены и каждое его действие проверяется. Обычный syslog правится одной командой, и следа правки не остаётся.
Чем закрывается
ISS Ledger 117. Журнал квитанций на хеш-цепочке ГОСТ Р 34.11-2012 («Стрибог»): целостность пересчитывается посторонним однофайловым скриптом в изолированном контуре, без доверия к разработчику и без установки его ПО. Открытый код — ниже.
Открытый код · Apache-2.0 · iss-ledger-117 1.1.1
iss_ledger_117-1.1.1-py3-none-any.whl · sha256: 8d4ffe60f41ebd377c476f369655aaef5e0ac91858a3d294be37fd1e3100bc87
iss_ledger_117-1.1.1.tar.gz · sha256: 6eccef523e24fa60fed29c78866ff12afbab092bd17d51642e00d34dfcea9fa5
iss_verifier.py · sha256: 1ff894574407307d33ec99115652bcaec4e53d06189178696d0db1c767a8608f
Исходный код: https://git.isslab.ru/isslab/iss-ledger-117
Замер: контрольные векторы ГОСТ по RFC 6986 (M1, M2) проходят; автономный однофайловый проверщик для изолированных контуров.
Противоречие: журнал аудита должен иметь доказательную силу для регулятора — и не должен зависеть от закрытых серверов доверия и внешних поставщиков. Разрешение по ТРИЗ: цепочка квитанций по ГОСТ Р 34.11-2012 на чистом Python без зависимостей, целостность пересчитывается однофайловым скриптом в изолированном контуре, без доверия к разработчику.
MITR Sentinel. Исключение деструктивного вызова до исполнения — детерминированный шлюз допустимости: разрушающая операция с базой или выход за рабочую директорию не доходят до исполнителя, если совпали с образцом запрета.
Открытый код · Apache-2.0 · mcp-sentinel 1.1.2
mcp_sentinel-1.1.2-py3-none-any.whl · sha256: 681a4db59a1a44e89a2b1386ec4b4f2e1fc23c1025c295b9ebf00fd5d20901ea
mcp_sentinel-1.1.2.tar.gz · sha256: abb88978db7b34a2f1f56e0eff42bcd1365b9cc0eb17e4a4380f7815e4f1b79e
Исходный код: https://git.isslab.ru/isslab/mcp-sentinel
Замер: проверка контрактов в памяти: медиана 0,015 мс; полный цикл с записью решения в журнал на диск: медиана 22,5 мс (N=100).
Противоречие: агент должен действовать свободно, чтобы решать задачи, — и каждое его действие должно быть гарантированно безопасным. Разрешение по ТРИЗ: мысль модели остаётся свободной, а дискретный вызов инструмента проверяется отдельно от неё: открытый пакет сверяет вызов и ответ инструмента с заданными правилами и возвращает агенту причину отказа, чтобы тот не повторял недопустимое.
Граница. Что здесь утверждается, а что нет. Открытый инструмент помогает вести и проверять журнал действий ИИ; соответствия приказу он не удостоверяет — соответствие устанавливает организация и орган по аттестации. Реализация хеш-функции проходит контрольные примеры ГОСТ Р 34.11-2012 (RFC 6986), но не является сертифицированным средством криптографической защиты информации.
Правовой ориентир: ГИС, КИИ и открытый код
Приказ ФСТЭК России № 117 (утверждён 11.04.2025, зарегистрирован Минюстом 16.06.2025, в силе с 01.03.2026 взамен приказа № 17) задаёт требования к защите информации в государственных информационных системах и иных системах госорганов, ГУП и госучреждений, включая системы с ИИ (пункты 60–61). Для значимых объектов КИИ профильны 187-ФЗ и приказ ФСТЭК России № 239. Отдельной утверждённой методики сертификации программного обеспечения с технологиями ИИ по состоянию на 2026 год не принято.
- Внутренняя среда разработки. Для защиты собственного контура разработки лицензия на средства защиты информации не требуется — решение принимается руководителем по ИБ по внутренней политике организации.
- Промышленная эксплуатация на значимых объектах. Применяются действующие процедуры: подтверждение соответствия программного обеспечения по общим требованиям и аттестация информационной системы в её составе. Полностью открытая реализация и внешний проверщик целостности упрощают подтверждение доверенности решения без слепого доверия поставщику.
Изложенное — ориентир по действующим нормам, а не юридическое заключение; вывод о применимости к конкретному объекту делает организация.
Вопросы
Нужна ли лицензия ФСТЭК, чтобы применять журнал по приказу № 117?
Для внутренней защиты собственной среды разработки лицензия на средства защиты информации не требуется — решение принимает руководитель по ИБ по внутренней политике. Правовой вывод остаётся за юристом организации.
Работает ли это в изолированном (air-gapped) контуре?
Да. Реализация на чистом Python без внешних зависимостей; автономный проверщик — один файл, переносится на изолированную машину и запускается без сети. Целевые ОС — Astra Linux, РЕД ОС, Альт Линукс.
Зачем это всё и чем ИБ 3.0 отличается от привычного стека — разбор на десять минут.
Продуктовая линия целиком — кибербезопасность института. У каждого числа стоит дата замера и поверхность независимой проверки.