После вступления приказа в силу у руководителей и специалистов по информационной безопасности возникает вопрос: нужно ли обучать сотрудников информационной безопасности?
Короткий ответ: да, требования №117 предусматривают повышение уровня знаний пользователей по вопросам защиты информации, обучение и практические тренировки.
При этом данные требования распространяются не только на специалистов по информационной безопасности: пользователи информационных систем также должны участвовать в мероприятиях по защите информации в объеме, определенном организацией во внутренних документах.
Рассмотрим, что именно требует приказ ФСТЭК №117 от сотрудников, как часто нужно проверять знания пользователей и какое обучение можно использовать для выполнения требований.
Что такое приказ ФСТЭК №117
Приказ ФСТЭК России от 11 апреля 2025 года №117 утвердил требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений.
Документ зарегистрирован в Минюсте России 16 июня 2025 года, регистрационный номер 82619, и вступил в силу 1 марта 2026 года. В 2026 году требования уже применяются, а с 1 сентября 2026 года действует ряд изменений, внесенных приказом ФСТЭК России №137.
Организациям больше недостаточно один раз разработать документы по защите информации. Необходимо выстроить работающую систему защиты, в которой участвуют в том числе сотрудники, использующие информационные системы.
Кого касается приказ ФСТЭК №117
Требования распространяются на государственные информационные системы и иные информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений.
Поэтому, прежде чем применять отдельное требование приказа к конкретному сотруднику, необходимо определить:
- является ли ваша организация субъектом, на которого распространяются требования приказа;
- относится ли конкретная информационная система к области применения приказа;
- какую роль сотрудник выполняет в отношении информационной системы;
- какие требования установлены внутренними стандартами и регламентами по защите информации.
Это важно и с точки зрения выбора обучения: программа обучения для рядового пользователя и программа для специалиста по защите информации — разные задачи.
Требует ли приказ ФСТЭК №117 обучения сотрудников?
Да. Приказ №117 предусматривает мероприятия, направленные на повышение уровня знаний пользователей по вопросам защиты информации.
В частности, оператор должен обеспечить проведение: лекций, семинаров, обучающих игр по вопросам защиты информации, имитационных рассылок электронных писем для оценки устойчивости пользователей к социальной инженерии, тренировок пользователей, практической отработки мероприятий по защите информации, мероприятий по формированию навыков защиты информации.
К специалистам по защите информации предъявляются отдельные требования к квалификации. Они должны иметь профильное образование в области ИБ или пройти профессиональную переподготовку, а также своевременно повышать свою квалификацию. Если у сотрудника нет профильного образования, получить необходимую подготовку можно в рамках профессиональной переподготовки по информационной безопасности.
Наиболее востребованные направления обучения для специалистов по защите информации для выполнения требований приказа № 117 :
- Курс повышения квалификации по информационной безопасности
- Курс переподготовки по технической защите конфиденциальной информации
- Курс повышения квалификации для обеспечения безопасности КИИ
Что приказ №117 говорит о пользователях информационных систем
Отдельно стоит обратить внимание на пункт 22 Требований.
Подразделения и работники, использующие информационные системы, должны участвовать в мероприятиях и принятии мер по защите информации в объеме, установленном оператором во внутренних стандартах и регламентах по защите информации.
То есть рядовой пользователь не обязательно является специалистом по информационной безопасности. Но он является участником системы защиты. Например, сотрудник может:
- работать с учетной записью;
- получать доступ к информационной системе;
- обрабатывать информацию ограниченного доступа;
- пользоваться электронной почтой;
- открывать вложения и ссылки;
- работать с внешними носителями;
- использовать рабочее или мобильное устройство;
Поэтому организация должна определить, какие правила защиты информации применяются к конкретной категории пользователей и какие знания им необходимы в их ежедневной работе.
Какое обучение информационной безопасности нужно сотрудникам организации
Для обычного пользователя нет необходимости превращать обучение в углубленный технический курс для специалиста по информационной безопасности. Важно сформировать практические навыки безопасной работы. В программу обучения сотрудников стоит включить основные темы.
Основы информационной безопасности. Сотрудник должен понимать, что такое информационные активы, какие существуют основные угрозы, почему необходимо защищать учетные данные, что такое компьютерный инцидент и как действия пользователя влияют на безопасность организации.
Фишинг и социальная инженерия. Это один из наиболее актуальных блоков. Сотрудник должен уметь распознавать подозрительные электронные письма, поддельные страницы авторизации, вредоносные вложения, подозрительные ссылки, сообщения от имени руководителя, попытки получить пароль или код подтверждения, а также другие методы социальной инженерии.
Пароли и учетные записи. В курсе следует разобрать требования к паролям, безопасное хранение учетных данных, многофакторную аутентификацию, правила работы с корпоративной учетной записью и действия при подозрении на компрометацию аккаунта.
Работа с конфиденциальной информацией. Сотрудник должен понимать, какую информацию можно передавать, кому можно предоставлять доступ, какие каналы передачи допустимы, как работать с документами и съемными носителями, а также что делать при ошибочной отправке документа.
Безопасная работа с электронной почтой. Полезно отрабатывать реальные сценарии: получение письма, проверка отправителя, оценка ссылки, проверка вложения, принятие решения и сообщение об инциденте. Такой формат значительно ближе к реальной работе пользователя, чем изучение большого количества теории.
Действия при инциденте информационной безопасности. Сотрудник должен знать, что считается подозрительным событием, когда необходимо сообщить специалистам по ИБ, кому направлять сообщение, какие действия нельзя выполнять самостоятельно и что делать после открытия подозрительного файла или ссылки.
Как часто нужно обучать сотрудников по приказу ФСТЭК №117
Пункт 57 устанавливает, что способы повышения уровня знаний пользователей по вопросам защиты информации, периодичность и формы оценки уровня знаний должны быть определены во внутренних регламентах по защите информации.
При этом оценка уровня знаний должна проводиться не реже одного раза в три года или после компьютерного инцидента, произошедшего у оператора.
Если у пользователя отсутствуют необходимые знания по вопросам защиты информации, для него должно быть организовано повторное прохождение обучающих курсов по вопросам защиты информации.
Это важное отличие от подхода «подписали инструктаж и забыли». Система должна предусматривать не только обучение, но и оценку знаний пользователей.
Обучение сотрудников по приказу ФСТЭК №117: что должно быть в системе
На практике систему обучения сотрудников по приказу ФСТЭК №117 можно выстроить следующим образом.
Определить категории пользователей
Определить необходимые знания и навыки
Закрепить порядок обучения во внутренних документах
Провести обучение
Провести практические тренировки
Проверить знания
Зафиксировать результаты
Повторить обучение при необходимости
Такой подход позволяет связать обучение с системой защиты информации организации.
Нужно ли проводить обучение в форме повышения квалификации или переподготовки?
Здесь необходимо разделять обучение пользователей и профессиональную подготовку специалистов по защите информации. Приказ №117 предусматривает разные требования для этих категорий.
Для рядовых пользователей речь идет о повышении уровня знаний, обучении, тренировках и проверке знаний.
А вот для работников структурного подразделения по защите информации установлено отдельное требование к квалификации.
Требование к специалистам по защите информации: кого касается профессиональная переподготовка
Пункт 20 приказа №117 устанавливает, что работники структурного подразделения или специалисты по защите информации должны обладать компетенциями, необходимыми для выполнения своих функций.
При этом не менее 30% работников структурного подразделения по защите информации должны иметь профессиональное образование в области информационной безопасности либо пройти профессиональную переподготовку в области информационной безопасности.
Например, если в подразделении по защите информации работают 10 человек, вопрос выполнения требования о 30% предполагает наличие как минимум трех работников, соответствующих указанному критерию.
При этом считать нужно именно работников подразделения по защите информации, а не всех сотрудников организации. Требование не означает, что 30% всех сотрудников организации должны пройти профессиональную переподготовку по информационной безопасности.
Чем отличается обучение пользователей от профессиональной переподготовки
| Параметр | Обучение пользователей | Подготовка специалистов |
|---|---|---|
| Цель | Повышение знаний по защите информации | Формирование профессиональных компетенций |
| Основные темы | Основы ИБ на рабочем месте | Организация процессов защиты информации |
| Практические навыки | Безопасная работа с ИС | Выполнение функций по защите информации |
| Формат | Обучение, тренировки пользователей | Профессиональная переподготовка |
| Подтверждение | Проверка знаний | Документ установленного образца |
Поэтому перед выбором курса нужно сначала определить, кого именно вы обучаете и для какой задачи.
Можно ли обучать сотрудников онлайн
Формат обучения следует выбирать исходя из требований организации, программы и поставленной задачи. Для массового обучения пользователей удобным вариантом может быть дистанционный курс, дополненный:
- тестированием;
- практическими заданиями;
- регулярной проверкой знаний.
При этом внутренние регламенты организации должны определять применяемые способы повышения знаний, периодичность и формы оценки.
Что проверить перед выбором курса по информационной безопасности
Если вы выбираете курс повышения квалификации по информационной безопасности для сотрудников, не стоит ориентироваться только на количество часов. Проверьте несколько пунктов.
Соответствует ли программа категории сотрудников
Курс для пользователя информационных систем и курс для специалиста по защите информации представляют собой разные продукты с разным уровнем сложности и глубиной материала.
Есть ли практические задания
Сотрудник должен не только знать определения фишинга и угроз информационной безопасности, но и уметь распознавать подозрительные письма и возникающие угрозы.
Предусмотрена ли проверка знаний
Тестирование позволяет получить объективную оценку результатов и выявить сотрудников, которым требуется повторное обучение.
Можно ли документировать результаты
Для организации важно иметь подтверждение прохождения обучения и результаты проверки знаний в соответствии с установленным внутренним порядком.
Формат обучения
Следует уточнить, можно ли проводить обучение дистанционно, без длительного отрыва сотрудников от работы и в необходимом объеме для всех категорий персонала.
Что изменилось для пользователей после вступления приказа №117
Ключевое изменение в подходе состоит в том, что пользователь информационной системы рассматривается как участник системы защиты информации.
Поэтому задача организации — не просто выдать сотруднику инструкцию и получить его подпись. Необходимо создать систему, в которой пользователь:
- знает правила безопасной работы;
- понимает основные угрозы;
- умеет распознавать подозрительные действия;
- знает порядок сообщения об инцидентах;
- участвует в тренировках;
- периодически подтверждает свои знания.
Именно поэтому обучение сотрудников становится частью процесса обеспечения информационной безопасности.
Обучите сотрудников по требованиям информационной безопасности
Готовый курс для организаций и пользователей информационных систем. Это не перегруженная теория, а практический инструмент для снижения рисков, связанных с человеческим фактором.
Программа включает:
изложение материала без сложной технической терминологии;
реальные сценарии фишинга и социальной инженерии;
обучение безопасной работе с корпоративной информацией;
тестирование знаний;
кейсы и практические задания;
возможность массового обучения сотрудников;
документы, подтверждающие прохождение обучения;
адаптацию программы под внутренние требования организации.
Мы предлагаем как обучение сотрудников, так и профессиональную переподготовку специалистов по защите информации. Поможем подобрать программу под вашу категорию сотрудников и задачи организации.
Оставьте заявку на курс повышения квалификации по информационной безопасности. Наш специалист уточнит количество сотрудников, их роли и требования к подтверждению обучения и предложит оптимальный вариант для вашей организации.