Мобильные приложения для госорганов: как совместить требования ФСТЭК и удобство для пользователя

С 1 марта 2026 года вступил в силу приказ ФСТЭК №117. Документ объёмом 184 страницы заменил старый приказ 2013 года и ужесточил требования к защите информации в государственных информационных системах. Мобильные приложения для госорганов оказались в центре внимания: теперь они должны работать на российских операционных системах, хранить данные в изолированных «песочницах» и блокировать копирование в публичные облака. При этом приложение обязано оставаться удобным для всех — от студента до пенсионера. Разбираем, как совместить несовместимое.

Ответ за 30 секунд:

Приказ ФСТЭК №117 действует с 1 марта 2026 года. Мобильные приложения для госорганов обязаны хранить данные в изолированных «песочницах», блокировать копирование в публичные облака и работать на российских мобильных ОС — Android и iOS под вопросом. Для UX действуют ГОСТ Р 702.5.009-2024 и принципы доступности: контрастность, крупные тач-зоны, поддержка скринридеров. Главное правило: безопасность не должна убивать удобство. Подобрать финансовые инструменты для разработки можно на маркетплейсе FINLEO.

Что изменил приказ ФСТЭК №117 для мобильных приложений?

Приказ ФСТЭК №117 вступил в силу 1 марта 2026 года и заменил приказ №17 от 2013 года. Документ расширяет зону контроля: теперь под него попадают не только государственные информационные системы, но и внутренние системы госорганов, включая бухгалтерские решения вроде 1С.

Какие требования предъявляются к мобильным устройствам?

Из контекста приказа и методических рекомендаций следует, что мобильные устройства должны работать на российских мобильных операционных системах. Android и iOS использовать будет нельзя. Это конкретное требование, а не рекомендация. Если у вас больше 10 мобильных устройств, нужна система управления ими — MDM-решение.

Как должны храниться данные?

Мобильные приложения обязаны хранить информацию в изолированных «песочницах». Копирование данных в публичные облака запрещено. Привязка личных учётных записей к служебному софту блокируется. Все средства защиты информации должны быть сертифицированы ФСТЭК и иметь поддержку в России. Зарубежные решения без локальной поддержки запрещены. Какие ещё требования вводит новый ГОСТ, читайте отдельно.

Как приказ меняет подход к защите информации?

Приказ вводит процессный подход к защите. Вместо формального соответствия требованиям — динамичная модель управления безопасностью на основе цикла планирования, реализации, оценки и улучшения. Метрики: Кзи (защищённость) рассчитывается каждые 6 месяцев, Пзи (зрелость) — каждые 2 года. Организации обязаны создать трёхуровневую документацию: политику, стандарты и регламенты ИБ. Не менее 30% специалистов должны иметь профильное образование.

Базовые меры расширены до 18 групп, включая виртуализацию, облака, контейнеры, IoT, веб-технологии, API и мобильные устройства. Обязательны NGFW на периметре, WAF для веб-приложений, EDR на конечных точках, антивирус с sandbox, мониторинг уязвимостей с ежемесячным сканированием и устранением критических уязвимостей за 24 часа.

Почему подрядчики становятся частью периметра безопасности?

Развитие крупных IT-проектов сформировало сложные экосистемы. На платформе «ГосТех» в 2026 году функционируют 52 ведомственные и региональные системы, ещё 30 в разработке. В развитии АИС ФНС «Налог-3» участвуют более 350 подрядных организаций. Каждая организация в такой экосистеме становится участником процессов сопровождения ГИС. Оператор должен быть уверен не только в личности пользователя, но и в том, что подключение идёт с доверенного рабочего места. Именно поэтому новые требования ФСТЭК уделяют особое внимание удалённому доступу.

Какие требования к UX предъявляются к госприложениям?

Безопасность не должна превращать приложение в неудобный ребус. Для государственных сервисов действуют свои стандарты удобства.

Что требует ГОСТ Р 702.5.009-2024?

Стандарт устанавливает требования к показателям качества мобильных приложений. Ключевые пункты: приложение должно демонстрировать только необходимую для выполнения задач информацию, сообщения об ошибках должны предлагать пути решения, раздел «Помощь» должен быть доступен из основного меню, все элементы интерфейса должны быть такого размера, чтобы пользователь мог однозначно нажать на них без увеличительного стекла. Приложение должно быть адаптировано для людей с ограниченными возможностями: полная поддержка динамического шрифта и голосового ввода.

Как обеспечить доступность для всех пользователей?

Госуслугами пользуется и 18-летний студент, и 80-летняя бабушка. Ошибка в проектировании — это не просто упавшая конверсия, это тысячи людей, не получивших помощь вовремя. Принципы доступности (A11y) должны быть на уровне ДНК: контрастность, размеры тач-зон, поддержка скринридеров — это не «допы», а условие выхода в продакшн.

Как снизить когнитивную нагрузку?

Используйте «прогрессивное раскрытие» — не вываливайте на пользователя все 500 услуг сразу. Чистое пространство (white space) — это не мода, а инструмент снижения тревожности. UX-тексты должны быть особенно лаконичны. В Редполитике Госуслуг есть отдельные разделы про тексты в личном кабинете, в приложениях и в услугах.

Чек-лист для разработки безопасного и удобного госприложения

1. Проверьте, попадаете ли вы под приказ ФСТЭК №117.
2. Убедитесь, что мобильные устройства работают на российских ОС.
3. Настройте изолированные «песочницы» для хранения данных.
4. Заблокируйте копирование данных в публичные облака.
5. Используйте только сертифицированные ФСТЭК средства защиты.
6. Проверьте интерфейс на соответствие ГОСТ Р 702.5.009-2024.
7. Обеспечьте доступность: контрастность, тач-зоны, скринридеры.
8. Сделайте тексты лаконичными и понятными.
9. Проведите тестирование с реальными пользователями разных возрастов.

Разработка мобильных приложений для госорганов — это не про «нарисовать красиво». Это про баланс между безопасностью и удобством. Приказ ФСТЭК №117 задал жёсткие рамки, но именно в этих рамках рождаются решения, которыми действительно можно пользоваться. Главное — не забывать, что за каждым экраном стоит живой человек.

Как FINLEO помогает бизнесу с финансовыми продуктами?

FINLEO — это финансовый маркетплейс для бизнеса, который помогает компаниям подбирать банковские гарантии, лизинг, кредиты и страхование по одной заявке.

• Страхование — сравните условия 20+ страховых компаний, включая СМР, ДМС и страхование грузов.
• Лизинг — сравните аванс, срок и график платежей от 30+ лизинговых компаний.
• Банковские гарантии — персональные менеджеры помогут получить гарантию даже в сложных случаях.
• ИИ-решения для бизнеса — подберите нейросети и сервисы автоматизации под задачи вашей компании.

FINLEO — финансовый маркетплейс для бизнеса. Подберите финансовые инструменты для разработки и внедрения IT-решений.