RooX выложила в открытый доступ структурированную модель Приказа ФСТЭК №117 для машинного анализа соответствия

Компания RooX разработала набор структурированных материалов по Приказу ФСТЭК №117, предназначенных для упрощения анализа соответствия информационных систем новым регуляторным требованиям. Приказ и рекомендации к нему были декомпозированы на отдельные требования и оформлены в виде markdown-файлов, удобных для использования в современных ИИ-инструментах.

Приказ ФСТЭК России от 11 апреля 2025 года № 117 утвердил требования о защите информации, содержащейся в государственных информационных системах, и с 1 марта 2026 года заменил приказ № 17. В апреле 2026 года к приказу вышел методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационной системе». Вместе это больше 450 тысяч знаков сплошного текста с таблицами.

Подготовленные RooX материалы в сочетании с документацией или исходным кодом конкретной системы могут использоваться для машинного анализа соответствия системы мерам, указанным в Приказе: где покрыто, где есть пробелы, где спорные трактовки. Также их можно использовать для подготовки к аудиту и проработки требований при проектировании новых решений.

Репозиторий материалов опубликован на российской платформе GitVerse: https://gitverse.ru/rooxteam/117-fstec-md

Текст приказа разложен по пунктам: отдельный файл на пункт внутри трёх разделов приказа. Методический документ разложен по мерам защиты — файл на меру, код и название меры стоят в имени файла: ИАФ, УПД, РСБ, АВЗ, СОВ, МСЭ, ЗКУ, ЗБД, ЗКС, ЗВТ, ЗПИ и другие, всего 17 групп и 96 мер. Благодаря такой нарезке требование становится отдельной единицей: его можно процитировать, сослаться на него в проектном документе или передать в инструмент анализа.

Ключевая особенность — ручная валидация разметки. После использования ИИ для первичной декомпозиции структура требований была вручную проверена специалистами RooX, что позволяет снизить риск некорректных трактовок и «галлюцинаций» при дальнейшем анализе.

Мы занимаемся разработкой систем аутентификации и авторизации, и напрямую нас касается лишь часть требований Приказа 117. Тем не менее мы сознательно провалидировали разметку всего документа целиком. Нам важно, чтобы такие материалы можно было использовать не только внутри отдельных проектов, но и шире — как основу для корректного и воспроизводимого анализа соответствия во всей отрасли кибербезопасности.

Алексей Хмельницкий

генеральный директор RooX