Аттестация почтовых систем по приказу ФСТЭК №117: нюансы

Почему это важно для почтовой инфраструктуры

Приказ ФСТЭК №117, по данным источников, вступил в силу в марте 2026 года и заменил ранее действовавший приказ №17. Важная практическая деталь в том, что требования теперь касаются не только государственных информационных систем, но и коммерческих компаний, которые имеют доступ к защищаемым системам или данным в них: работают с государственными заказчиками, участвуют в госконтрактах или обслуживают ГИС.

Для почтовых команд это звучит довольно конкретно. Почта часто остаётся «невидимой» частью инфраструктуры: через неё идут заявки, вложения, уведомления, отчёты, доступы, переписка с подрядчиками и клиентами. Если такая система связана с регулируемым контуром, вопрос уже не только в удобстве ящиков и антиспаме, а в том, на какой инфраструктуре всё это размещено и можно ли её использовать при собственной аттестации.

Selectel заявляет, что компании могут развернуть информационные системы в аттестованном облаке и использовать его при прохождении собственной аттестации. Также сообщается, что аттестация по приказу №117 доступна для выделенных серверов в рамках услуг «Аттестованный сегмент ЦОД» и Enterprise-grade ЦОД.

Что проверить у себя без спешки

Я бы не превращал эту новость в тревожный чек-лист на вечер. Лучше спокойно открыть карту своих почтовых и смежных сервисов: где размещены почтовые серверы, системы рассылок, CRM-уведомления, журналы доставки, резервные копии и сервисы, через которые проходят персональные или служебные данные.

Если ваша организация работает с государственными заказчиками или обслуживает системы, связанные с ГИС, стоит отдельно отметить, какие компоненты почтовой инфраструктуры могут попадать в защищаемый контур. Это помогает убрать визуальный шум из обсуждения: не «вся почта срочно под регулятора», а конкретные сервисы, данные и маршруты.

По данным spbIT, необходимые средства защиты информации Selectel предоставляет по подписочной модели — без отдельной закупки и внедрения. Для небольших ИТ-команд это может быть важным фактором: меньше разрозненных решений, меньше ручной сборки, больше предсказуемости в проекте аттестации. Но финальное решение всё равно стоит принимать после сверки с вашими требованиями, архитектурой и ответственными за ИБ.

Отдельно обратите внимание на подрядчиков: агентства рассылок, интеграторов, внешние help desk-команды, сервисы аналитики. В регулируемых проектах граница ответственности часто проходит не там, где удобно бизнесу, а там, где фактически движутся данные. Это касается и компаний из смежных цифровых рынков, включая медиа, рекламу и платформенные сервисы, где почтовые цепочки могут быть частью клиентских и внутренних процессов.

Контекст: облако становится не просто «местом для серверов»

В сообщении Selectel отдельно подчёркивается изменение роли облачного провайдера. Если раньше от инфраструктуры в первую очередь ждали вычислительные ресурсы, то теперь для части бизнеса важны безопасность, соответствие требованиям регуляторов и помощь в работе с новыми технологиями.

Источники также указывают, что инфраструктура Selectel соответствует ряду российских и международных стандартов в области информационной безопасности, включая ГОСТ Р 57580 и PCI DSS, требованиям 152-ФЗ до УЗ-1, а также сертифицирована по ISO/IEC 27001, ISO/IEC 27017 и ISO/IEC 27018.

Для владельцев почтовых сервисов практический вывод простой: при выборе облака для регулируемых контуров уже недостаточно смотреть только на цену, диски и SLA. Важно заранее спрашивать у провайдера, какие аттестованные сегменты доступны, какие документы можно использовать в своей аттестации, как устроены средства защиты и можно ли разнести обычную почтовую рутину и чувствительные системы по разным контурам.

Такой подход не делает инфраструктуру сложнее — наоборот, он возвращает ощущение порядка. Когда понятно, где обычная переписка, где регулируемые данные, а где сервисы для рассылок и уведомлений, почтовая система перестаёт быть источником фоновой тревоги и становится управляемым рабочим пространством.