Уровни доверия ФСТЭК: 6 ступеней, приказ №76 и классы защиты СЗИ

Уровень доверия — норматив ФСТЭК России, показывающий, насколько тщательно проверены процессы разработки, производства, испытаний и поддержки конкретного средства защиты информации или средства обеспечения безопасности информационных технологий. Устанавливается приказом ФСТЭК России от 02.06.2020 №76 при сертификации СЗИ и указывается в сертификате соответствия наряду с классом защиты.

Шкала состоит из шести уровней — от 1 до 6, и здесь скрыт главный источник путаницы: уровень 1 — самый строгий, уровень 6 — самый мягкий. Открытая выписка приказа №76 формулирует это прямо: «для дифференциации требований … к средствам устанавливается 6 уровней доверия. Самый низкий уровень — шестой, самый высокий — первый».

Интуиция здесь обманывает: кажется, что чем больше номер, тем солиднее уровень, как в классе защиты СВТ или в звёздных рейтингах отелей. С уровнями доверия логика перевёрнута: чем меньше цифра, тем выше планка требований.

Формулировка «СЗИ не ниже 4 уровня доверия» в нормативке означает «уровень 4 или строже» — то есть подходят и уровни 3, 2, 1, если они у продукта есть. При обратной шкале «не ниже» интуитивно тянет двигаться к большим числам, а на деле «не ниже» здесь означает «числом не больше» — именно эта развилка и путает большинство читателей нормативки при первом знакомстве.

Полное название документа — приказ ФСТЭК России от 2 июня 2020 г. №76 «Об утверждении Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий». Основной массив требований действует с 1 января 2021 года; отдельные пункты о составе проектной документации вводились отложенно — часть с 1 января 2022 года, часть с 1 января 2028 года.

Приказ №76 — не первая версия этой системы. Он заменил приказ ФСТЭК России от 30 июля 2018 г. №131 с таким же по смыслу названием: тот утратил силу с 1 января 2021 года одновременно со вступлением в силу приказа №76. А ещё раньше, до появления самого понятия «уровень доверия», контроль отсутствия недекларированных возможностей в СЗИ регулировался руководящим документом Гостехкомиссии России 1999 года, который устанавливал 4 уровня контроля НДВ — его применение при сертификационных испытаниях прекращено с 15.08.2020.

Цепочка выглядит так: РД НДВ Гостехкомиссии (1999, 4 уровня контроля) → приказ №131 (2018, первая версия уровней доверия) → приказ №76 (2020, действующая редакция, 6 уровней доверия).

На 2026 год приказ №76 остаётся действующей нормативной базой. Более того, в мае 2026 года ФСТЭК выпустила обновлённую методику выявления уязвимостей и НДВ, впервые опубликованную в открытом доступе и прямо синхронизированную со шкалой уровней доверия по приказу №76 — то есть система не готовится к замене, а продолжает развиваться.

Уровни 1–3 относятся к закрытой части приказа №76 и применяются только для защиты информации, составляющей государственную тайну — детали требований по ним не публикуются. Уровни 4–6 составляют открытую часть документа и покрывают подавляющее большинство коммерческих СЗИ, которые применяются в значимых объектах КИИ, ГИС и ИСПДн вне контура гостайны.

↔ таблицу можно прокрутить вбок

В регуляторике ФСТЭК одновременно существуют четыре разные нумерованные шкалы, и все четыре обозначаются похожими фразами вида «N класса» или «N уровня» в одном предложении сертификата или проектной документации. Они измеряют разные вещи и относятся к разным объектам.

↔ таблицу можно прокрутить вбок

Три шкалы из четырёх — уровень доверия, класс защищённости ГИС/АС и уровень защищённости ПДн — работают по одному принципу: меньше номер, строже требование. Класс защиты СЗИ формально не исключение: старший, то есть более строгий, класс тоже обозначается меньшим номером. Путают не саму логику номеров, а то, что уровень доверия и класс защиты — это два разных измерения одного и того же продукта: одно описывает процесс его разработки и испытаний, второе — набор функций безопасности.

Оба параметра стоят рядом на одном сертификате в формулировках вида «СЗИ 4 класса, 4 уровень доверия», и это создаёт ощущение, что речь об одной шкале — хотя это две параллельные, независимо устанавливаемые характеристики.

Приказ №76 напрямую увязывает класс защиты СЗИ с минимально требуемым уровнем доверия — это дословная норма открытой выписки документа:

• «средства защиты информации 6 класса должны соответствовать 6 уровню доверия»;
• «средства защиты информации 5 класса должны соответствовать 5 уровню доверия»;
• «средства защиты информации 4 класса и средства вычислительной техники 5 класса должны соответствовать 4 уровню доверия».

Практический вывод: класс защиты и уровень доверия для младших классов СЗИ совпадают по номеру — 6 класс защиты требует 6 уровня доверия, 5 класс — 5 уровня, 4 класс — 4 уровня. Это единственное место в нормативке, где две параллельные шкалы формально стыкуются один в один по числу, и именно поэтому их особенно легко перепутать между собой в разговоре или в закупочной документации.

Приказы, которые задают требования к отдельным типам систем, не переопределяют шкалу уровней доверия — они лишь привязывают её к своим собственным категориям и классам. Схема одинаковая для КИИ и ГИС и, судя по вторичным источникам, аналогичная для ПДн.

↔ таблицу можно прокрутить вбок

Для значимых объектов КИИ норма приказа №239 дословная: 1 категории значимости соответствует не ниже 4 класса защиты СЗИ и не ниже 4 уровня доверия, 2 категории — не ниже 5 класса и 5 уровня, 3 категории — 6 класс и 6 уровень. Подробный разбор категорирования и всех требований — на странице о приказе ФСТЭК №239.

Для ГИС действует та же логика: приказ ФСТЭК №117 требует для класса К1 не ниже 4 класса защиты и уровня доверия, для К2 — не ниже 5, для К3 — 6; подробности — на странице о приказах ФСТЭК №17 и №117.

Для персональных данных схема выглядит логически идентичной, но эта связка собрана по вторичным источникам, а не по прямому чтению текста приказа ФСТЭК №21 — перед использованием в конкретном проекте её стоит сверить с текстом приказа отдельно. Разбор уровней защищённости ПДн — на странице уровни защищённости ПДн.

Похожая, но отдельная привязка действует и для АСУ ТП на критически важных объектах (приказ ФСТЭК №31) — там встречаются качественные формулировки «повышенный» и «базовый» уровень доверия без прямого указания номера УД, и это тоже требует уточнения перед проектным решением.

Требования приказа №76 сгруппированы в три блока, которые усиливаются от уровня к уровню — чем строже уровень (то есть чем меньше номер), тем шире состав обязательной документации и глубже анализ.

Требование к документации по безопасной разработке присутствует уже на самом массовом, базовом уровне 6 — с нарастающей детализацией на 5 и 4 уровнях. То есть даже минимальный открытый уровень доверия не освобождает разработчика СЗИ от элементов процесса безопасной разработки, а лишь требует их в меньшем объёме. Как эти требования соотносятся с ГОСТ Р 56939-2024 и что такое РБПО в целом — на странице РБПО и ГОСТ Р 56939.

В мае 2026 года ФСТЭК утвердила новую методику выявления уязвимостей и недекларированных возможностей в программном обеспечении — впервые опубликованную открыто (предыдущая версия 2020 года имела гриф «для служебного пользования»). Документ синхронизирован с приказом №76 и ГОСТ Р 56939-2024: виды исследований привязаны к уровням доверия, а к перечням компонентов ПО добавлено требование предоставлять их в машиночитаемом формате SBOM CycloneDX оценка — точные реквизиты самого документа методики на момент публикации статьи не выверялись отдельно, факт её существования подтверждён несколькими независимыми источниками.

Уровень доверия конкретного продукта указывается в двух местах:

• Сертификат соответствия ФСТЭК. Документ, выдаваемый по итогам сертификационных испытаний, содержит указание класса защиты и уровня доверия средства.
• Государственный реестр сертифицированных средств защиты информации ФСТЭК России — reestr.fstec.ru/reg3. Карточка записи реестра содержит номер и срок действия сертификата, тип СЗИ, класс защиты, схему сертификации, испытательную лабораторию и заявителя; уровень доверия указан отдельным полем. Поиск — по номеру сертификата или по наименованию продукта/производителя.

Если уровень доверия в карточке продукта не указан явно или запись выглядит устаревшей, стоит запросить актуальный сертификат непосредственно у вендора: реестр не всегда отражает свежие пересертификации без задержки. В каталоге классов SecRadar статус сертификации ФСТЭК виден у каждого продукта на страницах классов — например, в разделах SIEM, СЗИ от НСД и СКЗИ; там же можно сопоставить класс и уровень доверия с фактическими продуктами на рынке, а не только с текстом норматива.