Аттестация ИСПДн в Санкт-Петербурге: чек-лист и стоимость

Что такое ИСПДн и при чём здесь ГИС «Профилактика»

ИСПДн — информационная система персональных данных: любые компьютеры и сети, где организация хранит и обрабатывает личные данные людей. Для петербургских учреждений системы профилактики это прежде всего данные несовершеннолетних: карточки обучающихся, материалы индивидуальной профилактической работы (ИПР), акты обследования условий жизни семьи, списки детей на учёте.

С 1 декабря 2025 года эти сведения обязаны передаваться в государственную систему «Профилактика» (ст. 25.2 закона № 120-ФЗ, Положение — ПП РФ № 411 от 01.04.2025). Подключение к системе требует защищённых рабочих мест: они должны соответствовать уровню защищённости УЗ-2 по требованиям ФСТЭК России. На практике это означает, что ИСПДн организации нужно привести в соответствие и подтвердить соответствие аттестацией — иначе информационный обмен не примут.

Требования при этом обновились: с 01.03.2026 действует приказ ФСТЭК России № 117 (ранее действовал № 17), а порядок защиты персональных данных в ИСПДн определяет приказ № 21 с уровнями защищённости из ПП РФ № 1119. Старые документы, «заточенные» под прежние редакции, приходится переделывать.

Кому в Санкт-Петербурге аттестация обязательна

Аттестация или оценка эффективности мер нужна там, где обрабатываются персональные данные, требующие усиленной защиты, — а для участников ГИС «Профилактика» это норма по умолчанию. По нашим заявкам, в Санкт-Петербурге и Ленобласти это:

• Школы, гимназии, колледжи и детские сады — персональные данные учеников и воспитанников, журналы ИПР, материалы КДН;
• КДН и ЗП администраций 18 районов СПб — постановления, карточки, поручения, отчётность 1-КДН;
• Органы опеки и попечительства — акты обследования, заключения, сведения о сделках с жильём детей;
• Учреждения соцзащиты (ЦСПД, СРЦ, приюты) — данные семей в социально опасном положении;
• Детские поликлиники и диспансеры — учёт несовершеннолетних в своей части;
• Коммерческие организации — клиники, кадровые и HR-системы, где обрабатываются специальные категории данных.

Чек-лист подготовки к аттестации: 12 пунктов

Пройдитесь по списку до обращения в лицензиат — каждый «нет» означает возврат и потерю недель:

1. Составлен акт классификации ИСПДн (класс системы, присвоен по приказу ФСТЭК № 17/21 и ПП № 1119).
2. Разработана модель угроз безопасности персональных данных — актуальная, а не скачанная в 2019 году.
3. Уведомление Роскомнадзора по 152-ФЗ подано и актуально: охватывает данные несовершеннолетних.
4. Назначен приказом ответственный за организацию обработки персональных данных.
5. Утверждён регламент обработки ПДн: перечень целей, сроков, лиц, порядок хранения и уничтожения.
6. Установлены сертифицированные СЗИ: антивирус, межсетевой экран, средство защиты от несанкционированного доступа.
7. Для рабочих мест с криптографией — СКЗИ по требованиям приказа ФСБ № 378.
8. Настроено журналирование событий безопасности и разграничение прав пользователей.
9. Налажено резервное копирование и восстановление данных.
10. Сотрудники проинструктированы, подписи о допуске собраны.
11. Выбран лицензированный орган по аттестации, согласованы программа и методика испытаний.
12. Система прошла испытания, оформлены заключение и аттестат соответствия.

Стоимость аттестации ИСПДн в Санкт-Петербурге

Честная вилка: аттестация ИСПДн под ключ на рынке стоит 200–350 тыс. ₽ за типовую систему (ориентир рынка по открытым предложениям лицензиатов, а не коммерческое предложение нашей компании), при тарификации «за автоматизированное рабочее место» — 30–100 тыс. ₽ за АРМ. Что именно формирует эту цену:

Наша часть в этой цепочке — подготовка: экспресс-проверка готовности бесплатно, аудит и разработка документации — от 10 000 ₽, сопровождение учётных процессов после подключения — от 6 900 ₽/мес. Работы лицензированного органа по аттестации мы не закладываем в свои цены — только помощь в их организации.

Сроки

Реалистичный срок аттестации — от 1,5 до 3 месяцев (зависит от класса системы и готовности объекта): 2–4 недели на документацию, 2–4 недели на СЗИ, 3–6 недель на испытания. Если документы в порядке — остаётся только испытания, и это самая быстрая траектория.

Типовые ошибки

• Аттестация «на бумаге» без реальных мер защиты — при первой проверке вскрывается, повторные испытания дороже первых.
• Модель угроз и акт классификации не пересмотрены после обновления требований (приказ № 117 с 01.03.2026).
• СЗИ установлены, но не настроены: журналы пустые, права «по умолчанию», пароли — общие на отдел.
• Уведомление РКН не охватывает данные несовершеннолетних — формальное основание для претензий по 152-ФЗ.
• Аттестацию начали после того, как запрос о подключении к ГИС «Профилактика» уже вернули, — сроки горят вдвойне.

Частые вопросы