Сегодня 00:09:18 () мы рассматриваем актуальные изменения в нормативной базе, касающиеся организации архивного хранения данных. Ключевым документом, вступившим в силу 1 марта 2026 года, является Приказ ФСТЭК России № 117 от . Этот нормативный акт кардинально пересмотрел подходы к защите информации, хранящейся в архивах организаций всех форм собственности.

Предыстория и цели приказа

В последние годы объём электронных архивов растёт экспоненциально, а угрозы их компрометации становятся всё более изощрёнными. ФСТЭК России поставил перед собой задачу:

• обеспечить единый уровень защиты архивных данных независимо от их носителя;
• внедрить риск‑ориентированный подход к оценке угроз;
• установить чёткие требования к шифрованию, контролю доступа и аудиту;
• создать механизмы подтверждения соответствия (сертификация, аттестация).

Для достижения этих целей приказ № 117 вводит новые обязательные положения, которые заменяют ранее действующие рекомендации и частично дублируют требования ФЗ‑152 «О персональных данных».

Ключевые изменения в требованиях к архивам

Классификация информации по уровням значимости

Архивные данные теперь должны классифицироваться по четырём уровням:

1. Уровень 1 – открытая информация (доступ без ограничений);
2. Уровень 2 – внутренняя информация (доступ только для сотрудников организации);
3. Уровень 3 – конфиденциальная информация (требует обязательного шифрования и multi‑factor аутентификации);
4. Уровень 4 – особо важная информация (подлежит хранению в изолированном, физически защищённом хранилище с постоянным мониторингом).

Обязательное шифрование данных на уровне хранения

Для всех уровней, начиная с Уровня 2, требуется применение криптографических средств защиты (КСЗ), сертифицированных ФСТЭК. Допустимы алгоритмы:

• ГОСТ Р 34.12‑2015 (Кузнечик) с длиной ключа 256 бит;
• ГОСТ Р 34.13‑2015 (Магма) с длиной ключа 256 бит;
• AES‑256 (при условии использования отечественных реализаций, прошедших сертификацию).

Управление доступом и журнал событий

Необходимо внедрить систему управления идентификацией и доступом (IAM), которая обеспечивает:

• ролевую модель доступа (RBAC) с минимальными привилегиями;
• многофакторную аутентификацию (MFA) для доступа к уровням 3 и 4;
• неизменяемый журнал всех операций чтения, записи, удаления и экспорта архивных данных (хранение журнала не менее 5 лет).

Периодический контроль целостности и восстановления

Приказ устанавливает обязательные процедуры:

• ежемесячная проверка контрольных сумм (хеш‑функций) всех архивных файлов;
• квартальное тестирование восстановления из резервных копий (RTO ≤ 4 часа для уровней 3‑4);
• ежегодный аудит соответствия требованиям приказа № 117 с привлечением аккредитованной организации.

Физическая защита архивных носителей

Для уровней 3 и 4 предъявляются дополнительные требования:

• хранение в помещениях с контролем доступа (биометрия или смарт‑карты);
• защита от несанкционированного электромагнитного излучения (ЭМИ) и температурных воздействий;
• наличие систем пожаротушения, исключающих повреждение носителей (например, инертные газы).

Последствия для организаций

Внедрение новых требований влечёт за собой ряд организационных и технических мероприятий:

• Аудит текущего состояния архива – необходимо провести инвентаризацию всех информационных активов и определить их уровень значимости.
• Обновление политик информационной безопасности – включить положения о классификации, шифровании и управлении доступом.
• Инвестиции в СЗИ – приобретение и внедрение сертифицированных криптопровайдеров, систем IAM и средств мониторинга.
• Обучение персонала – проведение тренингов по работе с новыми процедурами и ответственности за нарушение требований.
• Документирование процессов – создание СОП (стандартных операционных процедур) по резервному копированию, восстановлению и аудиту.

Несоблюдение требований приказа № 117 может повлечь административные штрафы (до 500 000 рублей для юридических лиц) и, в случае выявления утечки конфиденциальной информации, уголовную ответственность.

Рекомендации по поэтапному внедрению

1. Подготовка – формирование проектной группы, утверждение бюджета и сроков.
2. Классификация – проведение workshop‑сессий с владельцами данных для определения уровней значимости.
3. Техническая реализация – deployment СЗИ, настройка политик доступа и журналирования.
4. Пилотный запуск – тестирование на ограниченном наборе архивов (например, уровень 2).
5. Масштабирование – распространение решения на все уровни, корректировка процессов на основе обратной связи.
6. Контроль и улучшение – регулярные аудиты, обновление угрозной модели и корректировка СЗИ;

Приказ ФСТЭК России № 117 от , вступивший в силу 1 марта 2026 года, задаёт новый стандарт защиты архивной информации. Он сочетает в себе технические меры (шифрование, контроль доступа) и организационные подходы (классификация, регулярный аудит). Организации, которые своевременно адаптируются к этим требованиям, не только избегают штрафных санкций, но и повышают доверие клиентов и партнёров к своей информационной инфраструктуре.

Следует помнить, что безопасность архива – это не разовый проект, а непрерывный процесс, требующий постоянного внимания к изменяющимся угрозам и технологическим новинкам.