Аттестация рабочего места для РГИС «ЕСУП»: когда нужна и как проводится

Бухгалтеру нужно работать с отчётностью, кадровику — оформлять сотрудников, руководителю — контролировать финансовые документы. Казалось бы, достаточно установить необходимые программы, получить логин и подключиться к системе. Но с РГИС «ЕСУП» всё несколько иначе.

Для доступа к региональной государственной информационной системе Нижегородской области учреждению необходимо выполнить требования по защите информации. В зависимости от утверждённой схемы подключения это может включать установку специальных программ, организацию защищённого канала связи, оформление документов, проверку рабочего места и проведение аттестации.

При подготовке защищённого рабочего места важно учитывать не только требования к аттестации, но и порядок организации доступа к самой информационной системе. В частности, РГИС ЕСУП подключение предполагает выполнение комплекса технических и организационных мероприятий: проверку совместимости оборудования, настройку средств защиты информации, организацию защищённого канала связи и подготовку необходимой документации. Конкретный перечень работ зависит от используемой инфраструктуры учреждения и действующих требований оператора системы. Поэтому ещё до начала аттестационных испытаний необходимо определить схему подключения и состав программно-аппаратных средств, которые будут использоваться при работе с ЕСУП.

И здесь возникает путаница. Одни специалисты говорят, что нужен полноценный аттестат соответствия. Другие предлагают установить средства защиты и оформить акт готовности. Кто прав?

Разберёмся, когда требуется аттестация рабочего места для РГИС «ЕСУП», чем она отличается от обычной проверки защищённости, как проводится и что нужно подготовить учреждению в 2026 году.

Что такое РГИС «ЕСУП» и почему для подключения нужна защита информации

РГИС «ЕСУП» — региональная государственная информационная система «Единая система учётных процессов получателей средств областного бюджета». Она создана в Нижегородской области для автоматизации бухгалтерского, бюджетного и кадрового учёта, формирования отчётности и выполнения других учётных операций.

Порядок работы системы установлен постановлением Правительства Нижегородской области от 17 ноября 2023 года № 998.

В числе пользователей находятся сотрудники государственных учреждений, финансовых подразделений, бухгалтерских служб и другие специалисты, которым предоставлены соответствующие полномочия.

В системе обрабатываются сведения, требующие защиты. Это могут быть персональные данные работников, расчёты по оплате труда, информация о финансовых операциях, бюджетных обязательствах и внутренние документы учреждений.

Представим обычную ситуацию. Бухгалтер заходит в программу со своего компьютера, на котором одновременно установлены браузер, почтовый клиент, программы удалённого доступа и разнообразные пользовательские приложения.

Если рабочая станция заражена вредоносным ПО, злоумышленник может попытаться получить учётные данные, перехватить информацию или вмешаться в работу пользователя. Причём сам сервер государственной системы при этом может оставаться защищённым.

Поэтому безопасность подключения начинается не на сервере РГИС «ЕСУП», а непосредственно на стороне учреждения. Важны конфигурация компьютера, права пользователей, защита каналов связи и порядок обращения с информацией.

Аттестация рабочего места: что это простыми словами

Аттестация автоматизированного рабочего места, или АРМ, представляет собой процедуру оценки соответствия объекта информатизации установленным требованиям безопасности информации.

Проверяется не только наличие защитных программ. Специалисты оценивают, как именно организована обработка данных, насколько корректно настроены средства защиты, какие угрозы учитываются и выполняются ли организационные мероприятия.

Например, на компьютере установлен антивирус. Но базы давно не обновлялись, пользователь работает с правами администратора, а события безопасности не регистрируются. Формально защитное ПО имеется. По существу часть защитных мер не выполняется.

Во время оценки такие недостатки должны выявляться.

При этом важно различать три процедуры:

Это не взаимозаменяемые документы. Акт готовности не становится аттестатом только потому, что в нём написано «требования выполнены».

Есть и обратная сторона: не всякий компьютер, с которого осуществляется доступ к государственной системе, обязательно должен проходить самостоятельную аттестацию как отдельный объект.

Когда необходима аттестация рабочего места для ЕСУП

Необходимость аттестации определяется статусом объекта информатизации, характером обработки данных, нормативными требованиями и документами, регламентирующими подключение к РГИС «ЕСУП».

Само по себе использование системы не даёт основания автоматически требовать отдельный аттестат на каждый компьютер.

На практике встречается несколько ситуаций.

1. Учреждение впервые подключается к РГИС «ЕСУП»

При первоначальном подключении необходимо определить, какие требования предъявляются к пользовательскому оборудованию и в каком виде нужно подтвердить их выполнение.

Организация получает или уточняет условия подключения, выбирает рабочие станции, подготавливает программное обеспечение и назначает ответственных сотрудников.

Дальнейшие действия зависят от требований оператора системы. Если предусмотрено подтверждение защищённости в форме акта оценки, необходимо пройти соответствующую проверку. Если для конкретного объекта установлена обязательная аттестация, проводится аттестационная процедура.

Нельзя подменять одно другим по собственному усмотрению.

2. Рабочее место входит в состав аттестуемой информационной системы

Допустим, учреждение использует собственную информационную систему, обрабатывающую сведения ограниченного доступа, и организует через неё взаимодействие с региональной платформой.

В такой ситуации требуется определить границы защищаемого объекта, состав компонентов и предъявляемые требования.

В аттестуемый объект могут входить серверы, рабочие станции, сетевое оборудование, средства защиты и программные компоненты. При этом аттестуется не обязательно каждый компьютер отдельно. Оценивается объект в установленных границах.

Отсюда важный практический вопрос: является ли компьютер самостоятельным объектом информатизации или компонентом более крупной системы?

Ответ влияет на состав испытаний и документацию.

3. Изменяется конфигурация ранее проверенного рабочего места

Компьютер подготовили, документы оформили, доступ предоставили. Через несколько месяцев системный администратор переустановил операционную систему или заменил программный комплекс защиты.

Можно ли работать дальше на прежних основаниях?

Не всегда.

Следует оценить, затрагивают ли изменения реализованные меры безопасности, условия аттестации или утверждённую конфигурацию защищённого рабочего места.

Особого внимания требуют:

• замена операционной системы;
• изменение средств криптографической защиты;
• перенос рабочего места в другую сетевую инфраструктуру;
• изменение схемы удалённого доступа;
• добавление новых способов обработки или передачи защищаемой информации;
• изменение границ аттестованного объекта.

Не каждое обновление приводит к повторной аттестации. Но изменения, влияющие на безопасность, нельзя оставлять без оценки и документирования.

4. Подключение выполняется через внешнюю информационную систему

Если учреждение организует обмен данными между собственным программным комплексом и РГИС «ЕСУП», требования могут распространяться не только на компьютер пользователя.

Потребуется изучить архитектуру взаимодействия: где обрабатываются сведения, какие каналы используются, какие системы принимают и передают данные.

В таком случае обычная проверка одного АРМ не решает вопрос защиты всей инфраструктуры.

Какие требования ФСТЭК действуют в 2026 году

При организации защиты государственных информационных систем необходимо учитывать действующее законодательство и нормативные документы.

Для рассматриваемой темы имеют значение следующие акты:

С 1 марта 2026 года приказ ФСТЭК № 117 заменил ранее действовавший приказ № 17. В течение 2026 года в новые требования также внесены изменения, часть которых применяется с 1 сентября 2026 года.

Это нужно учитывать при подготовке документации. Шаблон, разработанный несколько лет назад под старую нормативную базу, нельзя использовать без проверки.

При этом аттестаты соответствия информационных систем, выданные до вступления новых требований в силу, не утрачивают действительность автоматически только из-за замены приказа.

Отдельный вопрос — криптографическая защита информации. Применение шифровальных средств регулируется также требованиями и документами в сфере компетенции ФСБ России.

Обязательно ли использовать сертифицированные средства защиты

Состав и требования к средствам защиты определяются применимыми нормами, классом защищённости, моделью угроз и условиями подключения.

Если требуется сертифицированное программное обеспечение, недостаточно выбрать продукт с известным названием.

Необходимо проверить:

1. Наличие действующего сертификата соответствия.
2. Область применения и требования, на соответствие которым продукт сертифицирован.
3. Версию программного обеспечения.
4. Поддерживаемые операционные системы.
5. Совместимость с другими компонентами защищённого рабочего места.

Установка произвольной версии программы вместо предусмотренной эксплуатационной документацией может привести к несоответствию утверждённой конфигурации.

Какое оборудование и программное обеспечение используется

Для подготовки защищённого АРМ могут применяться отечественные операционные системы, средства защиты от несанкционированного доступа, антивирусные комплексы и программные продукты для организации защищённого соединения.

В проектах подключения к ЕСУП встречаются такие решения, как Astra Linux, РЕД ОС, Альт СП, Континент АП и Secret Net.

Но универсального списка «установите эти четыре программы, и аттестация пройдена» не существует. Состав ПО требуется сверять с актуальными техническими условиями подключения.

Важно: названия конкретных продуктов не означают, что все они одновременно обязательны для каждого участника ЕСУП. Решение о составе программной защиты принимается по требованиям соответствующей схемы подключения.

Подойдёт ли обычный офисный компьютер

Во многих случаях существующее оборудование можно использовать после проверки его характеристик и подготовки. Но это не гарантируется.

Сначала необходимо выяснить, поддерживает ли компьютер требуемую операционную систему и защитное ПО.

Проверяются архитектура процессора, объём оперативной памяти, накопитель, сетевые адаптеры и совместимость периферийного оборудования.

Например, компьютер может соответствовать минимальным требованиям операционной системы, но испытывать нехватку памяти при одновременной работе бухгалтерского приложения, антивируса и криптографического клиента.

Значит, оценивать нужно всю программную конфигурацию, а не характеристики одной ОС.

Как проводится аттестация рабочего места для РГИС «ЕСУП»

Если для выбранного объекта установлена необходимость аттестации, работы проводятся по соответствующему порядку, предусмотренному приказом ФСТЭК № 77.

Процесс состоит из нескольких взаимосвязанных этапов.

Этап 1. Обследование и определение границ объекта

Работа начинается не с покупки программ, а с изучения существующей инфраструктуры.

Специалист выясняет, какие компьютеры используются, кто имеет к ним доступ, где располагается оборудование, какие информационные системы взаимодействуют между собой и какие сведения обрабатываются.

Допустим, в бухгалтерии установлены четыре компьютера. Два предназначены для работы в ЕСУП, ещё два используются для почты и внутренних документов.

Нельзя автоматически считать, что все четыре машины образуют один защищаемый объект. Сначала устанавливаются границы информационной системы и схема взаимодействия.

При обследовании также выявляются недостатки: неподдерживаемая ОС, общий доступ к учётным записям, отсутствие необходимых документов или неконтролируемые способы удалённого подключения.

Результатом становится понимание того, что требуется защищать и какие работы нужно выполнить.

Этап 2. Подготовка документов

Документация определяет правила эксплуатации защищённого рабочего места.

Состав комплекта зависит от объекта и требований к нему. Обычно рассматриваются:

• технический паспорт объекта информатизации;
• сведения о программном и аппаратном обеспечении;
• схема сетевого взаимодействия;
• документы по определению требований и актуальных угроз;
• эксплуатационная документация на средства защиты;
• инструкции пользователей и администраторов;
• приказы о назначении ответственных сотрудников;
• документы, определяющие порядок предоставления доступа;
• правила обращения с ключевыми носителями и учётными данными.

Одна из частых организационных ошибок — подготовить документы отдельно от реальной конфигурации компьютера.

В техническом паспорте указана одна версия ОС, по факту установлена другая. В приказе ответственным назначен сотрудник, который уже не работает в учреждении. Схема сети не учитывает дополнительное подключение.

Подобные расхождения необходимо устранить до начала испытаний.

Этап 3. Настройка средств защиты информации

На подготовленном оборудовании устанавливаются и настраиваются средства защиты согласно проектной и эксплуатационной документации.

На этом этапе важно не только запустить программы, но и проверить их совместную работу.

Например, правила межсетевого экрана могут препятствовать установлению защищённого соединения. При этом простое отключение фильтрации ради восстановления доступа недопустимо, если соответствующая мера защиты обязательна.

Нужно разобраться в причине, согласовать необходимые сетевые взаимодействия и корректно настроить разрешённые соединения.

Параллельно выполняются меры по разграничению доступа: создаются персональные учётные записи, ограничиваются административные полномочия, проверяется парольная политика и регистрируются события безопасности.

Если применяются криптографические средства, отдельно учитываются правила их эксплуатации и обращения с ключевой информацией.

Этап 4. Предварительная проверка защищённости

Перед официальными испытаниями целесообразно проверить готовность объекта.

Оцениваются установленные компоненты, состояние обновлений, корректность защитных настроек, права пользователей и соответствие документации.

Это позволяет обнаружить нарушения заранее.

Например, установлено средство защиты от несанкционированного доступа, но контроль подключаемых устройств настроен не в соответствии с принятой политикой. Или журналирование событий работает, однако параметры хранения записей отличаются от установленных требований.

На предварительной проверке такие вопросы можно решить без повторного проведения полноценного цикла испытаний.

Этап 5. Аттестационные испытания

На этом этапе уполномоченный исполнитель проводит проверки по подготовленным программе и методикам аттестационных испытаний.

В зависимости от состава объекта исследуются организационные мероприятия, настройки технических средств и работоспособность реализованных механизмов защиты.

Применяются документальные проверки, анализ конфигураций и уязвимостей, а также другие испытания, предусмотренные утверждёнными методиками.

Проверяется не абстрактная «безопасность компьютера», а выполнение конкретных требований, установленных для данного объекта.

Например, если предусмотрено разграничение доступа, проверяется, действительно ли пользователь без соответствующих прав не может выполнять запрещённые операции.

Если предусмотрена регистрация событий, оценивается работа этого механизма и возможность анализа зарегистрированной информации.

Выявленные несоответствия фиксируются в материалах испытаний.

Этап 6. Оформление результатов

После завершения проверок подготавливается комплект аттестационных документов.

При положительном результате оформляется аттестат соответствия установленным требованиям безопасности информации.

В составе материалов, в зависимости от объекта и применимого порядка, присутствуют программа и методики испытаний, протоколы, заключение и другие предусмотренные документы.

Если испытания выявили нарушения, их необходимо устранить и выполнить необходимые повторные проверки.

Наличие договора с подрядчиком само по себе не означает успешного прохождения аттестации.

Этап 7. Эксплуатация и контроль после аттестации

Получение аттестата не завершает работу по защите информации.

Во время эксплуатации обновляется программное обеспечение, изменяются учётные записи, заменяется оборудование, возникают новые уязвимости.

Поэтому требуется поддерживать утверждённую конфигурацию, выполнять контроль защищённости, вести эксплуатационные документы и своевременно оценивать изменения.

Аттестат не является разрешением бессрочно менять настройки без учёта требований безопасности.

Какие документы нужны учреждению для начала работ

Для первоначального обращения к специалистам по информационной безопасности не обязательно иметь полностью готовый комплект документации.

Достаточно собрать исходные сведения.

Если технические условия ещё не получены, начинать с закупки лицензий рискованно.

Можно приобрести продукт, который не соответствует требованиям конкретной схемы подключения, не поддерживает имеющуюся ОС или имеет неподходящую версию.

Сколько стоит аттестация рабочего места для ЕСУП

Единого государственного тарифа на аттестацию каждого рабочего места РГИС «ЕСУП» нет. Стоимость работ определяется их составом, характеристиками объекта, количеством компьютеров и необходимостью приобретения программного обеспечения.

Прежде всего необходимо разделять расходы на подготовку защищённого АРМ и непосредственно аттестационные испытания.

Это разные виды работ, хотя подрядчик может предложить их одним договором.

Допустим, учреждение уже располагает совместимым компьютером, лицензированной ОС и частью необходимого защитного ПО. Тогда затраты будут отличаться от проекта, где рабочее место собирается с нуля.

При сравнении предложений подрядчиков нужно изучать состав работ, а не только итоговую сумму.

В коммерческом предложении должно быть понятно, что именно получит учреждение: настроенный компьютер, акт оценки выполнения требований, комплект документации или аттестат соответствия.

Если подрядчик обещает «аттестацию ЕСУП под ключ», стоит уточнить название аттестуемого объекта, применяемые требования, состав испытаний и итоговые документы.

Кто имеет право проводить аттестацию

Аттестационные работы должны выполняться организациями, соответствующими требованиям установленного порядка аттестации, в том числе в части необходимых разрешений и компетенций.

Следует различать обычную настройку рабочего места и официальную аттестацию объекта информатизации.

Установить операционную систему, настроить программное обеспечение или выполнить первоначальное обследование могут специалисты учреждения либо привлечённые исполнители в пределах имеющихся полномочий.

Для проведения аттестации нужно учитывать специальные требования к организации, выполняющей эти работы.

Перед заключением договора полезно проверить лицензию ФСТЭК на деятельность по технической защите конфиденциальной информации и наличие необходимых видов работ в её составе.

Если подрядчик занимается криптографическими средствами, следует также проверить, какие разрешения требуются для заявленных услуг.

Сам факт продажи лицензий Континент АП или Secret Net не подтверждает право организации проводить любые аттестационные работы.

Основные ошибки при подготовке рабочего места

Проблемы часто возникают не из-за отсутствия дорогого оборудования, а из-за неправильной последовательности действий.

Покупка программ до получения требований

Учреждение узнаёт, что для ЕСУП необходим защищённый компьютер, и самостоятельно закупает ПО. Позже выясняется, что требуемая версия не поддерживает выбранную операционную систему.

Решение: сначала утвердить состав оборудования и программ по условиям подключения.

Использование общих учётных записей

Несколько бухгалтеров работают под одной учётной записью. При возникновении инцидента трудно определить, кто именно выполнил конкретное действие.

Там, где требуется персональная идентификация пользователей, необходимо организовать индивидуальные учётные записи и разграничить полномочия.

Неправильная настройка защищённого канала

Криптографический клиент установлен, но соединение не устанавливается или работает нестабильно.

Возможные причины — проблемы с сетевой доступностью, параметрами соединения, ключевой информацией или совместимостью программ.

Самовольное отключение защитных механизмов здесь не решение. Нужна диагностика по согласованной схеме подключения.

Отсутствие актуальной документации

Компьютер настроен правильно, но оборудование, пользователи и защитные меры не отражены в документах.

Во время проверки это создаёт отдельную проблему: невозможно подтвердить выполнение части организационных требований.

Изменение конфигурации без оценки последствий

После подготовки защищённого рабочего места устанавливается дополнительное ПО, меняются сетевые настройки или добавляются новые пользователи.

Даже если система продолжает работать, первоначальные условия защиты могли измениться.

Частые вопросы

Нужно ли аттестовывать каждый компьютер бухгалтера?

Не обязательно. Всё зависит от утверждённой схемы подключения, границ объекта информатизации и требований к подтверждению защищённости. Если предусмотрена оценка отдельных рабочих мест, каждое подключаемое АРМ должно соответствовать установленным условиям. При аттестации более крупной системы рабочие станции могут входить в её состав.

Можно ли пройти аттестацию без замены Windows на Linux?

Возможность использования конкретной операционной системы определяется действующими требованиями подключения и совместимостью обязательных средств защиты. Для ЕСУП рассматриваются решения на базе российских ОС, включая Astra Linux, РЕД ОС и Альт СП. Использование Windows нельзя считать допустимым без проверки актуальных технических условий.

Достаточно ли установить антивирус и Континент АП?

Нет. Помимо защиты от вредоносного ПО и защищённой передачи данных могут требоваться разграничение доступа, регистрация событий безопасности, организационные документы и другие меры. Конкретный состав определяется установленными требованиями.

Сколько действует аттестат рабочего места?

Универсального срока действия для всех объектов нет. Он определяется применимым порядком, условиями аттестации и документами на конкретный объект. Важно соблюдать установленные требования к периодическому контролю и оценивать изменения конфигурации.

Можно ли выполнить подготовку своими силами?

Да, часть подготовительных работ может выполнить штатный системный администратор или специалист по информационной безопасности. Но самостоятельная настройка не заменяет аттестационные испытания, если они обязательны. Необходимо также учитывать требования к организациям, выполняющим аттестацию.

Нужно ли повторно проходить аттестацию после замены компьютера?

Замена оборудования требует оценки влияния на защищённость и соответствие аттестованной конфигурации. В зависимости от характера изменений может потребоваться дополнительная проверка или повторная аттестация. Автоматически переносить результаты с одного объекта на другой нельзя.

Чем отличается акт готовности от аттестата соответствия?

Акт готовности подтверждает выполнение определённых условий подготовки или проверки рабочего места. Аттестат соответствия оформляется по результатам установленной процедуры аттестации. Назначение и юридический статус документов различаются.

Вывод: с чего начать подготовку к аттестации ЕСУП

Главное при подключении к РГИС «ЕСУП» — правильно определить требования к защите информации. Не покупать программное обеспечение наугад, не заказывать аттестацию только по названию услуги и не считать обычную установку защитного ПО полноценным подтверждением безопасности.

Для учреждения разумная последовательность выглядит так: получить действующие условия подключения, обследовать рабочие места, определить необходимые меры защиты, подготовить оборудование и документацию, а затем пройти предусмотренную процедуру проверки.

Если требуется полноценная аттестация, она проводится в соответствии с действующим порядком и завершается оформлением установленных документов.

Самый полезный вопрос перед началом работ: какой именно документ должен подтвердить готовность нашего рабочего места к подключению РГИС «ЕСУП»?

Ответ позволит правильно выбрать состав работ, избежать лишних закупок и подготовить защищённое рабочее место без ненужных переделок.