Аттестация АРМ после замены компьютера, операционной системы или средств защиты: когда нужны повторные испытания

Аттестация АРМ после замены компьютера или операционной системы — вопрос, с которым сталкиваются организации при обновлении рабочих мест, модернизации информационных систем и замене средств защиты информации. Компания уже получила аттестат соответствия ФСТЭК, но оборудование устарело, необходимо перейти на другую ОС или установить новое программное обеспечение. Сохраняется ли действующий аттестат? Нужно ли заново проводить испытания и оформлять документы?

С 1 сентября 2026 года ответы на эти вопросы существенно изменились. Приказ ФСТЭК России от 27.02.2026 № 60 внес поправки в порядок аттестации, утверждённый приказом от 29.04.2021 № 77. Теперь модернизация оборудования и изменение архитектуры системы защиты не всегда означают необходимость повторной аттестации всего объекта информатизации.

Компания «МинпромХелп» разбирает, какие изменения требуют дополнительных испытаний, когда необходима полная повторная аттестация, как сохранить действующий аттестат и какие документы нужно актуализировать после модернизации АРМ.

Что изменилось в правилах аттестации АРМ с сентября 2026 года

Прежде всего необходимо разграничить аттестацию отдельного автоматизированного рабочего места и аттестацию информационной системы, частью которой оно является. АРМ может быть самостоятельным объектом информатизации или компонентом более крупной системы. Поэтому порядок действий зависит не только от заменяемого компьютера, но и от границ объекта, указанных в аттестационных документах.

Основной документ, регулирующий проведение аттестационных испытаний, — приказ ФСТЭК России № 77. С 1 сентября 2026 года действует его новая редакция, утверждённая приказом № 60.

Дополнительные испытания вместо полной повторной аттестации

Обновлённый пункт 33 приказа № 77 предусматривает дополнительные аттестационные испытания при модернизации объекта информатизации, если:

• Изменилась архитектура системы защиты информации, включая виды или типы используемых программных и программно-технических средств.
• Изменилась структура системы защиты, состав или расположение компонентов объекта.
• Отдельные программные или программно-технические средства были исключены.
• В состав объекта добавлены аналогичные средства либо выполнена их замена.

При таких изменениях проводятся дополнительные испытания, а сведения о модернизации включаются в технический паспорт. Само действие аттестата соответствия не прекращается.

Вместе с тем пункт 33.3 устанавливает отдельное основание для полной повторной аттестации: повышение класса защищённости, уровня защищённости или категории значимости объекта информатизации.

Таким образом, новая редакция позволяет проверять изменённые компоненты без обязательного повторения полного цикла аттестации во всех случаях модернизации.

Когда нужна повторная аттестация после замены компьютера или ОС

Решение определяется характером изменения, фактической конфигурацией объекта и требованиями применимых документов. Необходимо проверить, затрагивает ли замена функции безопасности, состав системы защиты, модель угроз и условия эксплуатации.

Изменение АРМ	Что необходимо оценить	Возможные действия
Замена компьютера на аналогичный	Соответствие новой конфигурации аттестованному объекту	Дополнительные испытания изменённого компонента и актуализация технического паспорта
Замена жёсткого диска или SSD	Изменение состава оборудования и сохранение настроек защиты	Документирование замены и определение необходимости дополнительных испытаний
Переход на другую операционную систему	Совместимость СЗИ, права доступа, политики безопасности, актуальные угрозы	Дополнительные испытания изменённых компонентов
Обновление ОС без изменения архитектуры защиты	Затрагиваются ли функции безопасности и аттестованная конфигурация	Проверка изменений, документирование и контроль защищённости; объём испытаний определяется по результатам оценки
Замена антивируса или другого СЗИ	Изменение типа средства защиты, функций и настроек	Дополнительные аттестационные испытания
Добавление рабочих мест или перенос компонентов	Изменение структуры и границ аттестованного объекта	Дополнительные испытания с учётом новой структуры
Повышение класса защищённости системы	Новые требования к защите информации	Полная повторная аттестация по пункту 33.3 приказа № 77

Таблица отражает типовые сценарии. Окончательное решение принимается после анализа конкретного объекта, технического паспорта, аттестата и состава изменений.

Замена компьютера: можно ли сохранить прежний аттестат

Да, при соблюдении предусмотренных требований действующий аттестат может сохраняться. Например, организация заменяет устаревший системный блок на современный компьютер, восстанавливает необходимую конфигурацию защиты и проводит дополнительные испытания изменённого компонента.

Для этого необходимо сопоставить параметры нового оборудования с аттестационными материалами, проверить работу защитных механизмов и актуализировать технический паспорт.

Важно учитывать, что установка аналогичного компьютера не означает автоматического сохранения всех результатов прежних испытаний. Даже при совпадении назначения оборудования могут измениться прошивка, драйверы, аппаратные интерфейсы и другие характеристики, влияющие на безопасность.

Замена операционной системы: какие риски возникают

Переход с одной ОС на другую затрагивает не только установленное программное обеспечение. В новой системе могут иначе работать управление доступом, регистрация событий безопасности, антивирусная защита, механизмы обновления и средства контроля целостности.

При такой модернизации необходимо:

• Проверить совместимость используемых средств защиты с новой ОС.
• Уточнить сведения о сертификатах соответствия применяемых СЗИ и поддерживаемых конфигурациях.
• Проверить права пользователей, настройки безопасности и регистрацию событий.
• Оценить необходимость актуализации модели угроз.
• Провести предусмотренные дополнительные испытания изменённых компонентов.
• Обновить техническую и эксплуатационную документацию.

При этом обычное обновление безопасности и полный переход на другую операционную систему нельзя оценивать одинаково. Объём необходимых действий зависит от того, какие элементы аттестованной конфигурации затронуты.

Дополнительные аттестационные испытания: порядок проведения и документы

Приказ ФСТЭК № 60 дополнил порядок аттестации пунктами 33.1–33.3. Они определяют методы дополнительных испытаний и требования к оформлению результатов.

Согласно пункту 33.1, дополнительные испытания изменённых компонентов проводят следующими методами:

• Функциональное тестирование. Проверяется выполнение установленных функций безопасности после изменения оборудования или программного обеспечения.
• Анализ уязвимостей. Проверяются изменённые компоненты на наличие уязвимостей, которые могут повлиять на защищённость информации.

Проверка должна охватывать именно изменённые компоненты и их влияние на защищённость объекта, а не произвольный набор технических тестов.

Какие документы оформляются после модернизации АРМ

Результаты дополнительных испытаний оформляются отчётом или протоколом в соответствии с пунктом 33.2 приказа № 77.

В документах должны отражаться сведения об объекте, составе используемых средств, аттестате соответствия, специалистах, сроках и результатах функционального тестирования и анализа уязвимостей.

Документ	Назначение
Технический паспорт объекта	Фиксация изменений состава оборудования, программного обеспечения и системы защиты
Документы об изменениях	Подтверждение причин, объёма и содержания модернизации
Актуализированные схемы и перечни	Отражение фактического состава АРМ и компонентов информационной системы
Отчёт или протокол дополнительных испытаний	Подтверждение результатов функционального тестирования и анализа уязвимостей
Эксплуатационная документация	Фиксация актуальных настроек защиты и порядка эксплуатации

Состав вспомогательных документов зависит от характера модернизации. Если изменения затронули модель угроз, проект системы защиты или другие исходные материалы, необходимо оценить необходимость их актуализации.

Отдельно следует учитывать требования к организации, проводящей испытания. В предусмотренных приказом № 77 случаях привлекается орган по аттестации с соответствующей лицензией ФСТЭК на техническую защиту конфиденциальной информации. Для отдельных государственных органов предусмотрена возможность выполнения работ собственными подразделениями при соблюдении установленных условий.

Подробнее о различиях между аттестацией и лицензированием — в статье «Лицензия ФСТЭК или аттестация информационной системы: что действительно нужно компании».

Как сохранить аттестат соответствия ФСТЭК после модернизации

Аттестат соответствия по приказу № 77 выдаётся на весь срок эксплуатации объекта информатизации. Однако это не освобождает владельца от обязанности поддерживать защиту информации и проводить периодический контроль.

С 1 сентября 2026 года пункт 32 приказа № 77 предусматривает представление отчёта по результатам контроля уровня защищённости не реже одного раза в три года. Отчёт направляется во ФСТЭК или её территориальный орган в течение пяти рабочих дней после завершения контроля.

Периодический контроль предусматривает анализ уязвимостей и тестирование на проникновение. Его необходимо отличать от дополнительных аттестационных испытаний, проводимых в связи с модернизацией конкретных компонентов.

Непредставление необходимых отчётов и выявление несоответствий могут стать основанием для приостановления действия аттестата в установленном порядке.

Что учитывать владельцам государственных информационных систем

С 1 марта 2026 года действует приказ ФСТЭК России от 11.04.2025 № 117, заменивший прежние требования приказа № 17 к защите государственных информационных систем.

При этом пункт 3 приказа № 117 прямо сохраняет действительность аттестатов соответствия, выданных до вступления новых требований в силу.

Поэтому сам переход на приказ № 117 не означает, что организация обязана немедленно заново аттестовать все действующие ГИС. Однако при модернизации необходимо учитывать обновлённые требования защиты и порядок дополнительных испытаний.

Детальный разбор перехода — в статье «Приказ ФСТЭК № 117 в 2026 году: новые требования к защите ГИС».

Практический алгоритм действий для организации

1. Определить границы аттестованного объекта. Проверить, является АРМ самостоятельным объектом или компонентом информационной системы.
2. Зафиксировать изменения. Составить перечень заменяемого оборудования, обновляемого ПО и средств защиты.
3. Оценить влияние на безопасность. Проверить архитектуру защиты, функции безопасности, совместимость и применимые требования.
4. Определить объём испытаний. Установить необходимость дополнительных испытаний или полной повторной аттестации.
5. Провести необходимые проверки. Выполнить функциональное тестирование и анализ уязвимостей изменённых компонентов.
6. Актуализировать документацию. Отразить модернизацию и результаты испытаний в техническом паспорте.
7. Продолжить контроль защищённости. Соблюдать требования периодического контроля и предоставления отчётности.

Если модернизация касается значимого объекта КИИ, необходимо дополнительно учитывать требования законодательства о критической информационной инфраструктуре, в том числе соответствующую категорию значимости.

Подробнее — в материале «Категорирование объектов КИИ: требования и порядок проведения».

Частые вопросы об аттестации АРМ после замены оборудования

Нужно ли заново аттестовывать АРМ после замены компьютера?

Не всегда. С 1 сентября 2026 года замена оборудования в пределах модернизации аттестованного объекта может требовать дополнительных испытаний изменённых компонентов без полной повторной аттестации. Решение зависит от состава изменений и требований приказа № 77.

Можно ли заменить Windows на Linux без потери аттестата?

Такая замена требует оценки изменений программной среды, совместимости средств защиты и соответствия требованиям безопасности. При предусмотренной модернизации проводятся дополнительные испытания. Сам факт перехода на Linux не является безусловным основанием для прекращения действия аттестата.

После установки нового антивируса нужны повторные испытания?

Если изменяется тип средства защиты или соответствующий компонент системы защиты, необходимо руководствоваться пунктом 33 приказа № 77. В предусмотренных случаях проводятся дополнительные испытания с последующим документированием результатов.

Сколько действует аттестат соответствия ФСТЭК?

По приказу № 77 аттестат выдаётся на весь срок эксплуатации объекта информатизации при соблюдении установленных требований. При этом владелец обязан поддерживать защищённость объекта и проводить периодический контроль.

Можно ли модернизировать АРМ без участия организации, проводившей первоначальную аттестацию?

Применимый порядок не устанавливает универсального требования обращаться исключительно к прежнему исполнителю. Однако дополнительные аттестационные испытания должны проводиться уполномоченными специалистами или организациями с соблюдением требований приказа № 77.

Помощь МинпромХелп при модернизации и аттестации АРМ

Замена одного компьютера может оказаться сравнительно простой процедурой, а обновление операционной системы или архитектуры защиты — потребовать дополнительной технической подготовки. Чтобы избежать ненужных расходов, необходимо сначала установить объём обязательных мероприятий.

Компания «МинпромХелп» оказывает содействие в подготовке автоматизированных рабочих мест и информационных систем к аттестации и дополнительным испытаниям. Помогаем проанализировать изменения, проверить документы, оценить применимость требований ФСТЭК и организовать необходимое сопровождение.

Если ваша организация планирует заменить оборудование, перейти на другую ОС, внедрить новые средства защиты или расширить аттестованную систему, рекомендуем провести предварительную оценку до начала модернизации.

Получить консультацию по аттестации АРМ и подготовке к дополнительным испытаниям можно на сайте компании «МинпромХелп»: https://reest-878.ru/.

Нормативные источники

• Приказ ФСТЭК России от 29.04.2021 № 77 — порядок организации и проведения работ по аттестации объектов информатизации.
• Приказ ФСТЭК России от 27.02.2026 № 60 — изменения порядка аттестации, вступившие в силу 1 сентября 2026 года.
• Приказ ФСТЭК России от 11.04.2025 № 117 — требования к защите государственных информационных систем и других предусмотренных документом систем.
• Официальный сайт ФСТЭК России — нормативные и методические материалы ведомства.