Какие требования к защите ГИС помогает выполнять Security Capsule SIEM
Приказ ФСТЭК России от 11.04.2025 № 117 (в редакции приказа ФСТЭК России от 08.05.2026 № 137) — действующая нормативная основа защиты информации в государственных информационных системах. Мониторинг информационной безопасности закреплён в нём как самостоятельное мероприятие. Ниже — какие мероприятия и меры защиты информации помогает выполнять SC SIEM и за счёт какой функциональности.
Сертификат соответствия ФСТЭК России № 4735 от 01.11.2023 · Требования доверия (4), ТУ · реестровая запись Минцифры России № 1139
Нормативная база актуализирована по состоянию на 07.09.2026.
Приказ ФСТЭК России № 117 в ред. № 137
Приказ ФСТЭК России от 11.04.2025 № 117 «Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», в редакции приказа ФСТЭК России от 08.05.2026 № 137. Изменения, внесённые приказом ФСТЭК России № 137 от 08.05.2026, в основной части вступили в силу 01.09.2026.
Методический документ ФСТЭК России от 12.04.2026
«Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» — детализация мероприятий и мер, применяемых при реализации требований приказа № 117.
Архивный документ
Приказ ФСТЭК России № 17 от 11.02.2013 — утратил силу с 01.03.2026
Приводится для исторического сопоставления с ранее действовавшими требованиями. Выданные ранее аттестаты соответствия сохраняют действие в предусмотренных законодательством случаях, однако приказ № 17 более не является действующей нормативной основой для новых проектов.
25 позиций
Реализует — 4
Поддерживает выполнение — 12
Частично — 9
Организационная мера — 0
Приказ ФСТЭК России № 117 в ред. № 137 и методический документ ФСТЭК России от 12.04.2026
14 из 14Мероприятия и меры защиты информации, при реализации которых применяются функциональные возможности SC SIEM. Изменения, внесённые приказом ФСТЭК России № 137 от 08.05.2026, в основной части вступили в силу 01.09.2026.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| МБОбеспечение мониторинга информационной безопасности | Организация и осуществление мониторинга информационной безопасности информационной системы: сбор, обработка и анализ данных о событиях безопасности, сопоставление событий с характеристиками угроз безопасности информации, контроль и анализ действий пользователей, выявление нарушений безопасности информации и своевременное информирование ответственных лиц. | SC SIEM обеспечивает централизованный сбор событий от подключённых источников (агентский и безагентский сбор), нормализацию и потоковую корреляцию, онлайн-мониторинг событий и инцидентов, индикатор активности и статистику по площадкам, уведомления ответственных лиц по email, Telegram и через webhook. Организация процесса мониторинга, назначение ответственных и регламенты реагирования определяются оператором информационной системы. | Сборщик, Коррелятор, Консоль, Модуль оповещений | Поддерживает выполнение |
| РСБ.1Определение событий безопасности и данных о них, подлежащих регистрации | Централизованное получение и обработка событий безопасности от определённых оператором источников: средств защиты информации, серверов, автоматизированных рабочих мест, телекоммуникационного оборудования, программного обеспечения и средств удалённого доступа. | SC SIEM реализует технический механизм приёма и обработки событий: настраиваемый список источников, приём по syslog (UDP/514, TCP/5140), сбор с агентами (аудит Windows, Sysmon, auditd) и без них, разбор и нормализация с выделением полей события. Перечень событий, подлежащих регистрации, определяет оператор информационной системы. | Сборщик, Коррелятор, Консоль | Поддерживает выполнение |
| РСБ.2Анализ событий безопасности и реагирование на них | Автоматизированный анализ и корреляция событий из различных источников, выявление признаков компьютерных атак и инцидентов безопасности, использование результатов анализа уязвимостей и данных средств обнаружения вторжений, формирование уведомлений и поддержка процессов реагирования. | SC SIEM реализует потоковую корреляцию и автоматизированный анализ событий, выявление инцидентов по правилам корреляции, обнаружение индикаторов компрометации (IoC, IoCs Finder), обогащение данными Threat Intelligence, карточку инцидента с управлением жизненным циклом (статусы, назначение пользователя или группы, сроки, комментарии), ИИ-поддержку анализа и ИИ-расследование. Собственно реагирование выполняется силами и процессами организации. | Коррелятор, IoCs Finder, Threat Intelligence, Модуль ИИ | Поддерживает выполнение |
| РСБ.3Генерация временных меток при регистрации событий безопасности | Обработка, отображение и сохранение временных меток событий безопасности. | SC SIEM обрабатывает, отображает и сохраняет временные метки событий, использует их при корреляции, поиске, построении timeline расследования и ретроспективном анализе. Определение источника надёжного времени и синхронизация системного времени компонентов информационной системы обеспечиваются оператором. | Сборщик, Хранение | Частично |
| РСБ.4Требования к сбору, хранению и защите данных о событиях безопасности | Централизованный автоматизированный сбор, запись и хранение событий безопасности, объединение сведений от различных источников в едином хранилище, корреляция событий по времени, разграничение доступа к сведениям и их использование при расследовании инцидентов. | SC SIEM реализует централизованный сбор и запись событий в единое хранилище, буферизацию потока, долговременное хранение в соответствии с настроенной политикой хранения и доступной ёмкостью хранилища, разграничение доступа к событиям и инцидентам средствами ролевой модели SC SIEM, штатное резервное копирование баз данных и оперативный поиск по накопленным событиям. | Хранение, Консоль, Поисковый слой | Реализует |
| РСБ.5Реагирование на сбои при регистрации событий безопасности | Контроль состояния компонентов сбора и обработки событий, выявление сбоев, отображение информации о состоянии подключений и уведомление администратора о нарушениях функционирования механизмов сбора, обработки или хранения событий. | SC SIEM отображает состояние сервисов и подключений к серверам корреляции и источникам, статистику баз данных событий и инцидентов, сообщения об ошибках подключения и синхронизации правил, ведёт системный журнал. Порядок реагирования на сбои определяется эксплуатирующей организацией. | Консоль, Коррелятор | Поддерживает выполнение |
| ЗКУ.4Мониторинг процессов и состояния устройства | Сбор и анализ событий о запуске процессов, выполнении команд, сетевых соединениях, операциях с файлами, попытках аутентификации, удалённом доступе и изменениях конфигурации конечных устройств. | SC SIEM обеспечивает сбор и корреляцию событий контроля процессов, сетевых соединений и операций с файлами на конечных узлах Windows (аудит Windows, Sysmon) и Unix-подобных систем (auditd). Полнота покрытия определяется составом установленных агентов, настройками аудита в источниках и перечнем подключённых узлов. | Сборщик, агенты конечных узлов | Частично |
| ВиртуализацияРегистрация событий безопасности в средах виртуализации и контейнеризации | Регистрация и анализ событий безопасности, формируемых платформами виртуализации и контейнеризации. | SC SIEM обеспечивает централизованный приём, нормализацию и корреляцию событий от платформ виртуализации и контейнеризации при настроенной передаче журналов в систему. Настройка выгрузки журналов на стороне платформы выполняется оператором. | Сборщик, Коррелятор | Частично |
| Контроль ПУЗКонтроль действий пользователей и привилегированных учётных записей | Сбор, хранение, поиск, анализ и корреляция событий доступа и административных действий, включая действия, выполняемые с использованием привилегированных учётных записей. | SC SIEM обеспечивает контроль изменений в Active Directory и Group Policy с выделением важных и критичных событий, корреляцию событий входа, повышения привилегий и изменения полномочий, поиск и ретроспективный анализ по накопленным событиям. Действия пользователей самой SC SIEM фиксируются в журнале действий. | Контроль AD, Коррелятор, Журнал действий | Поддерживает выполнение |
| УязвимостиИспользование результатов выявления уязвимостей при анализе событий безопасности | Получение и использование результатов сканирования на уязвимости, определение критичности уязвимостей и затронутых активов, применение информации об уязвимостях при анализе событий и расследовании инцидентов. | SC SIEM принимает и отображает результаты сканирования уязвимостей, строит статистику и распределение уровней опасности, рейтинги уязвимых узлов, служб и ПО, связывает уязвимости с проверенными узлами и позволяет использовать эти данные в правилах корреляции и при расследовании. Проведение сканирования и устранение уязвимостей выполняются организацией. | Уязвимости, Коннектор сканеров | Поддерживает выполнение |
| РетроспективаРетроспективный анализ событий безопасности и расследование компьютерных инцидентов | Проведение ретроспективного анализа событий безопасности и расследование компьютерных инцидентов. | SC SIEM реализует ретроспективный анализ: повторную обработку архивных событий актуальным набором правил корреляции, разделение текущих и архивных событий, поиск по накопленным данным, карточку события и карточку инцидента с timeline расследования. | Ретроспективный анализ, Коррелятор, Консоль | Реализует |
| ОтчётностьФормирование отчётности по результатам мониторинга информационной безопасности | Формирование отчётности по результатам мониторинга информационной безопасности. | SC SIEM формирует техническую и доказательную базу для отчётности: вывод виджетов из разделов системы, пользовательские виджеты, печать и сохранение в PDF, экспорт сведений о событиях и инцидентах в JSON, передача инцидентов во внешние системы через webhook. Состав и периодичность отчётности устанавливаются организацией. | Отчёты, Консоль | Поддерживает выполнение |
| ГосСОПКАПоддержка взаимодействия с ГосСОПКА | Поддержка процессов выявления компьютерных атак, реагирования на компьютерные инциденты и взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. | SC SIEM содержит функциональность подготовки и отправки уведомлений о компьютерных инцидентах в НКЦКИ по электронной почте и через API, получения регистрационного номера и обмена сообщениями с НКЦКИ из карточки инцидента. Присоединение к инфраструктуре ГосСОПКА, организация защищённого канала связи и применение СКЗИ обеспечиваются оператором. | ГосСОПКА | Поддерживает выполнение |
| ИИОбеспечение защиты информации при использовании искусственного интеллекта | Реализация мер защиты информации при применении технологий искусственного интеллекта в информационной системе, включая требования к архитектуре, разграничению доступа, защите передаваемых данных и режиму эксплуатации ИИ-компонентов. | SC SIEM содержит средства ИИ-поддержки анализа событий и инцидентов. При использовании ИИ-компонентов система может входить в контур реализации соответствующих мер защиты, однако выполнение требований к безопасности применения ИИ определяется архитектурой, режимом эксплуатации, разграничением доступа, защитой передаваемых данных и иными организационными и техническими мерами. | Модуль ИИ, Журнал действий | Частично |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.
Приказ ФСТЭК России № 17 от 11.02.2013 — утратил силу с 01.03.2026
11 из 11Архивная таблица. Приводится для сопоставления с ранее действовавшими требованиями и для проектов, аттестованных до 01.03.2026. Не является действующей нормативной основой для новых проектов.
| Код меры / мероприятие | Требование НМД | Как помогает SC SIEM | Модуль SC SIEM | Степень |
|---|---|---|---|---|
| ИАФ.1Идентификация и аутентификация пользователей, являющихся работниками оператора | Идентификация и аутентификация пользователей и инициируемых ими процессов. | SC SIEM обеспечивает уникальные учётные записи, парольную и двухфакторную аутентификацию, блокировку по числу неверных попыток и по неактивности — в части пользователей и компонентов самой SC SIEM. Идентификация и аутентификация пользователей защищаемой информационной системы обеспечиваются её собственными механизмами и специализированными средствами защиты. | Консоль, Пользователи | Частично |
| ИАФ.2Идентификация и аутентификация устройств | Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных. | SC SIEM идентифицирует подключённые источники событий (имя источника, syslog-тег, площадка) и обеспечивает взаимную аутентификацию собственных модулей по токенам и TLS-сертификатам — в части пользователей и компонентов самой SC SIEM. | Сборщик, Сервис конфигурации | Частично |
| ИАФ.4Управление средствами аутентификации | Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае их утраты и (или) компрометации. | SC SIEM обеспечивает управление паролями и двухфакторной аутентификацией, блокировку и разблокировку учётных записей, управление токенами и сертификатами взаимодействия модулей — в части пользователей и компонентов самой SC SIEM. | Консоль, Пользователи | Частично |
| УПД.1Управление учётными записями пользователей | Управление (заведение, активация, блокирование и уничтожение) учётными записями пользователей, в том числе внешних пользователей. | SC SIEM обеспечивает создание, редактирование, блокирование и удаление учётных записей, группы пользователей и контроль срока активности — в части пользователей и компонентов самой SC SIEM. Управление учётными записями защищаемой информационной системы выполняется её средствами; SC SIEM обеспечивает мониторинг соответствующих событий. | Консоль, Пользователи | Частично |
| УПД.2Реализация модели управления доступом | Реализация необходимых методов, типов и правил разграничения доступа. | SC SIEM реализует ролевую модель с правами на разделы и виджеты и группы пользователей — в части пользователей и компонентов самой SC SIEM. Разграничение доступа в защищаемой информационной системе обеспечивается её собственными механизмами. | Консоль, Роли | Частично |
| РСБ.1Определение событий безопасности, подлежащих регистрации, и сроков их хранения | Определение событий безопасности, подлежащих регистрации, и сроков их хранения. | SC SIEM предоставляет средства настройки перечня источников и типов регистрируемых событий, а также сроков горячего хранения и хранения архивных копий. Сам перечень событий и сроки устанавливаются оператором. | Консоль, Хранение | Поддерживает выполнение |
| РСБ.2Определение состава и содержания информации о событиях безопасности, подлежащих регистрации | Определение состава и содержания информации о событиях безопасности, подлежащих регистрации. | SC SIEM реализует нормализацию и разбор событий с выделением полей: дата и время, узел-источник, программа, учётная запись, адреса и порты источника и назначения, протокол, хеш-суммы, класс и критичность. Состав отображаемых и сохраняемых полей настраивается. | Сборщик, Коррелятор, Консоль | Реализует |
| РСБ.3Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения | Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения. | SC SIEM реализует централизованный сбор и запись событий в единое хранилище, буферизацию потока и долговременное хранение в соответствии с настроенной политикой хранения и доступной ёмкостью хранилища, включая архивные копии для ретроспективного анализа. | Сборщик, Очередь сообщений, Хранение | Реализует |
| РСБ.5Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них | Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них. | SC SIEM обеспечивает онлайн-мониторинг событий и инцидентов, поиск и фильтрацию, карточку инцидента с управлением жизненным циклом, уведомления по email, Telegram и через webhook. Реагирование выполняется силами и процессами организации. | Консоль, Модуль оповещений | Поддерживает выполнение |
| РСБ.7Защита информации о событиях безопасности | Защита информации о событиях безопасности. | SC SIEM обеспечивает разграничение доступа к событиям и инцидентам средствами собственной ролевой модели, размещение баз данных на выделенных серверах с ограничением сетевого доступа, резервное копирование и фиксацию действий пользователей в журнале действий. | Хранение, Консоль, Журнал действий | Поддерживает выполнение |
| п. 18Выявление инцидентов и реагирование на них | Обнаружение и идентификация инцидентов, информирование пользователей и администраторов, анализ инцидентов, включая определение источников и причин возникновения, а также оценку их последствий. | SC SIEM реализует выявление инцидентов по правилам корреляции и формирует техническую базу для их анализа: карточка инцидента с исходными событиями, связанными узлами и учётными записями, timeline расследования, ретроспективный анализ. Организация процесса реагирования — за оператором. | Коррелятор, Консоль, Модуль оповещений | Поддерживает выполнение |
По заданным условиям поиска и фильтрации в этом документе ничего не найдено.