Соответствие Приказу ФСТЭК России № 117, ГОСТ Р 56939-2024, Федеральному закону № 152-ФЗ и статье 1079 Гражданского кодекса Российской Федерации
Эксплуатация автономных программных агентов в государственных, финансовых и корпоративных системах Российской Федерации требует проверяемых технических механизмов с математически доказуемым результатом. С первого марта 2026 года действуют обновлённые требования Приказа Федеральной службы по техническому и экспортному контролю (далее — ФСТЭК России) от 11 апреля 2025 года № 117 о защите информации в государственных информационных системах, включая пункты 60 и 61 по контролю прикладных интерфейсов и целостности журналов регистрации событий.
Одновременно судебная практика возлагает имущественную ответственность за вред, причинённый автономной системой, на владельца платформы по аналогии с источником повышенной опасности (статья 1079 Гражданского кодекса Российской Федерации). Единственный способ доказать соблюдение регламентов и разграничить ответственность между разработчиком модели, оператором шлюза и пользователем состоит в предъявлении неизменяемой криптографической цепочки квитанций по каждому вызову.
1. Матрица нормативных требований и технических механизмов MITR
В таблице ниже каждое правовое требование сопоставлено с конкретным программным модулем шлюза, номером проектного решения и способом инструментальной проверки на стенде.
| Нормативный акт и статья | Предмет правового и технического контроля | Механизм реализации в шлюзе MITR |
Артефакт проверки и флаг прода |
|---|---|---|---|
Приказ ФСТЭК России № 117 (пункты 60–61) и ГОСТ Р 56939-2024 |
Защита прикладных программных интерфейсов от несанкционированных команд и контроль целостности журналов безопасности | Перехватчик в пути вызова mcp-sentinel 1.1.2, решатель Z3 на ступенях R4–R5 и линейный журнал iss-ledger-117 1.1.1 со сцепкой по ГОСТ Р 34.11-2012 («Стрибог-256») |
DECISION_LEDGER=on, скрипт iss_verifier.py |
| Статья 1079 Гражданского кодекса Российской Федерации | Доказательство соблюдения правил безопасности и разграничение вины при инцидентах с участием автономных систем | Криптографическая квитанция каждого допуска (UNSAT) и каждой блокировки (SAT) с внешней привязкой ко времени через блокчейн Bitcoin (OpenTimestamps) |
gate_actions.jsonl, набор /console/verify/ |
| Федеральный закон № 152-ФЗ (защита сведений о гражданах) | Предотвращение неправомерной передачи номеров банковских карт, паспортных реквизитов и карточек граждан во внешние сетевые каналы | Автоматическое редактирование и маскирование платёжных и паспортных идентификаторов в теле исходящих запросов до отправки во внешние сервисы (ADR-0073) |
PII_CARD_GUARD=on, блокировка на уровне R4 |
| Защита от перехвата инструкций (прямые и косвенные инъекции) | Исключение выполнения скрытых вредоносных команд, внедрённых в текст проверяемых договоров, писем или веб-страниц | Структурное отделение параметров от команд, фильтр красных линий и проверка происхождения фрагментов справочной базы (ADR-0068, ADR-0069, ADR-0072) |
RED_LINES_HARDENING=on, RAG_INJECTION_GUARD=on |
| Требования закрытой суверенной сети | Запрет на загрузку внешних клиентских скриптов, сторонних шрифтовых сетей, рекламных пикселей и зарубежных счётчиков | Полностью автономная статика с заголовками межсайтового разграничения (COOP: same-origin, COEP: require-corp) и локальной сборкой решателя /vendor/z3/ |
Конфигурация asi5.ru.nginx.conf, пакет MITR Опора |
2. Правовые границы заводского протокола испытаний
Публикуемые на стенде asi5.ru и в комплекте /console/verify/ метрики формируются автоматически из суточных прогонов как внутренний заводской протокол испытаний разработчика (Автономная некоммерческая организация «Научно-исследовательский институт системного синтеза», ОГРН 1267700083617, ИНН 9731161602). Настоящий протокол подтверждает техническую работоспособность механизмов фильтрации и криптожурналирования, но не заменяет государственный сертификат соответствия ФСТЭК России или Федеральной службы безопасности Российской Федерации в тех случаях, когда отраслевое законодательство требует применения сертифицированных средств защиты информации.