С 1 марта 2026 года вступил в силу Приказ ФСТЭК №117. Он обязателен для государственных систем, унитарных предприятий и организаций, которые с ними работают.
Сразу о границах. ВЕРДИКТ не заменит вам NGFW или SIEM-систему. Мы не обучим ваш персонал и не напишем политику безопасности. Для полного комплаенса вам нужны профильные интеграторы.
Но Приказ №117 впервые вводит жёсткие требования к использованию искусственного интеллекта (пункт 61) и требует непрерывного мониторинга защищённости (пункт 60). ВЕРДИКТ даёт архитектурный фундамент, чтобы внедрение автоматизации и ИИ не заблокировал ваш отдел безопасности.
Где именно мы помогаем
Три направления, где ВЕРДИКТ помогает выполнить технические требования регулятора.
1. Где проходит граница ИИ (Пункт 61)
Что требует закон. Технологии ИИ должны быть доверенными. Приказ запрещает автономные изменения алгоритмов и требует жёстко определить форматы взаимодействия с моделями. Введён прямой запрет на облачные ИИ-сервисы при обработке информации ограниченного доступа.
В чём проблема. Когда языковая модель сама выбирает, какой инструмент вызвать, для регулятора это чёрный ящик: неизвестно, кто и что ей разрешил. Сертифицировать его не получится.
Что даёт ВЕРДИКТ. Ставится у вас, из архива. Во время работы ВЕРДИКТ обращается наружу только туда, куда укажете вы: поручения — на ваши адреса, описание процесса — в ваш репозиторий и только по явному действию. Модель может участвовать в выборе следующего шага, но своих полномочий не определяет. Перечень уместного считают правила до обращения к модели и передают ей как входные данные, а не как рекомендацию. Сам шаг выполняется только при сошедшихся условиях, а ответ, для которого условия не сошлись, записывается вместе с причиной отказа и не выполняется. Аудитору вы показываете не обещание, а границу: перечень допустимого и сам выбор лежат в записи рядом.
2. Данные для непрерывного мониторинга (Пункт 60)
Что требует закон. Обязательный непрерывный мониторинг по ГОСТ Р 59547-2021. Операторы обязаны рассчитывать показатель защищённости (КЗИ) раз в полгода и отчитываться об инцидентах в течение 5 рабочих дней.
В чём проблема. При сбое в распределённой архитектуре записи разбросаны по десяткам сервисов, и сбор доказательной базы для отчёта занимает недели.
Что даёт ВЕРДИКТ. Ход каждой операции записывается по мере исполнения: какие шаги были допустимы и какие условия не сошлись у остальных, что выбрано и по правилам какой версии, какие поручения ушли наружу и что изменилось — со старым и новым значением. Это связная запись, а не разрозненные строки в журналах, и её можно отправлять в вашу систему мониторинга — по адресу, который задали вы.
3. Предсказуемость при инцидентах
Что требует закон. Сохранение управляемости процессов при возникновении угроз.
В чём проблема. Если модель или внешний сервис отвечает ошибкой на середине сложной операции, часть шагов остаётся выполненной, а часть — нет. Разбор вручную приводит к потере данных и нарушениям логики.
Что даёт ВЕРДИКТ. Обратное действие описано там же, где само действие, и при сбое отмена идёт по описанию, а не разбирается вручную. Результат каждого обратного действия проверяется правилами. Отмена при этом тоже может не дойти до конца — например, если исчерпаны попытки или требуется человек, — и тогда её исход назван в записи, а не остаётся неизвестным. А откат, который на деле ничего не отменяет, проверка находит ещё до выпуска.
Технологическая база для регулятора
ВЕРДИКТ не удерживает модель — она может предложить что угодно. Работает другое: уместное определяют правила до обращения к ней, а выбранный шаг всё равно проходит условия исполнения.
С ВЕРДИКТОМ вы сможете документально и технически показать проверяющему три вещи:
- Где проходит граница ИИ: какие шаги правила сочли допустимыми и что выбрала стратегия.
- Почему система приняла конкретное решение в любой момент времени.
- Как процесс доводит сбой до конца: что отменено и чем это закончилось.