ФСТЭК: расшифровка аббревиатуры и как устроена сертификация СЗИ

ФСТЭК: расшифровка аббревиатуры и зачем создали ведомство

ФСТЭК расшифровывается как Федеральная служба по техническому и экспортному контролю. Это федеральный орган исполнительной власти, который отвечает за техническую защиту информации и контролирует вывоз из страны товаров и технологий двойного назначения. Когда в требованиях к серверу, программе или информационной системе упоминают «сертификат ФСТЭК», речь идёт именно об этой службе.

Службу образовали в 2004 году. Основание — указ президента от 9 марта 2004 года № 314 «О системе и структуре федеральных органов исполнительной власти». ФСТЭК создали на базе Государственной технической комиссии при Президенте России (Гостехкомиссии). Её предшественница, Гостехкомиссия СССР, работала с 1973 года и занималась противодействию иностранным техническим разведкам. Поэтому у ФСТЭК больше 30 лет накопленной методики.

Деятельностью службы руководит лично президент РФ, а не правительство. Формально ФСТЭК находится в ведении Министерства обороны, но задачи и приоритеты ей ставит глава государства. Такой статус объясняется темой: защита государственной тайны и критической информационной инфраструктуры (КИИ) касается национальной безопасности.

Ведомство создали, чтобы решать 3 задачи:

• объединить в одном органе техническую защиту информации и экспортный контроль;
• установить единые требования к средствам защиты информации (СЗИ) и вести их реестр по 6 классам защищённости;
• выдавать сертификаты на СЗИ сроком от 3 до 5 лет и лицензии для компаний, которые работают с защитой информации.

Чем занимается ФСТЭК: функции и зона ответственности

Работа ФСТЭК (Федеральной службы по техническому и экспортному контролю) делится на три направления. Первое — техническая защита информации (ТЗИ). Служба пишет требования к средствам защиты информации (СЗИ), проводит их сертификацию и заносит прошедшие испытания продукты в Государственный реестр сертифицированных средств защиты информации. В реестре СЗИ распределены по 6 классам защищённости. Сертификат выдают на срок от 3 до 5 лет.

Второе направление — экспортный контроль товаров двойного назначения. Это оборудование, программы и технологии, которые можно использовать и в гражданских, и в военных целях. Компания, которая вывозит такие товары за рубеж, должна пройти идентификацию и при необходимости получить разрешение. Правила задаёт закон 183-ФЗ «Об экспортном контроле».

Третье направление — аттестация объектов информатизации: государственных информационных систем (ГИС), выделенных помещений, серверных. Требования к защите ГИС изложены в приказе ФСТЭК №17, а к защите персональных данных — в приказе ФСТЭК №21. Если оператор не обеспечил защиту персональных данных, по 152-ФЗ ему грозит штраф до 500 тысяч рублей.

Для хостинга важнее всего сертификация средств виртуализации. Провайдеры, которые размещают ГИС или системы с персональными данными, используют сертифицированные гипервизоры и настраивают их по отдельному профилю защиты. Подробнее читайте в статье о том, что такое гипервизор.

Сотрудникам ИБ пригодятся два открытых ресурса ФСТЭК:

• Банк данных угроз безопасности информации (БДУ) — каталог угроз и уязвимостей. На него ссылаются при составлении модели угроз.
• Реестр сертифицированных СЗИ — по нему проверяют номер сертификата, срок действия и класс защищённости продукта.

Как проверить сертификат ФСТЭК на средство защиты информации — пошаговая инструкция

Прежде чем покупать или внедрять средство защиты информации (СЗИ), проверьте его сертификат в открытом реестре ФСТЭК — Федеральной службы по техническому и экспортному контролю. Это займёт 5-10 минут и убережёт от штрафа по 152-ФЗ за необеспечение защиты персональных данных. Проверка нужна перед закупкой антивируса, межсетевого экрана или системы контроля доступа для государственных информационных систем. Средства шифрования (СКЗИ) сертифицирует не ФСТЭК, а ФСБ, поэтому их проверяют по документам ФСБ.

Реестр учитывает СЗИ по 6 классам защищённости, поэтому важно сверить не только сам факт наличия записи, но и её параметры. Как проверить запись в реестре по шагам:

1. Откройте официальный сайт fstec.ru в браузере.
2. Найдите в верхнем меню раздел «Государственный реестр сертифицированных средств защиты информации» — обычно он расположен в блоке «Деятельность».
3. Введите в строку поиска номер сертификата (например, № 3839) или название продукта от производителя.
4. Откройте найденную карточку и сверьте класс защиты — для СВТ (средств вычислительной техники) это может быть класс 4, для межсетевых экранов — другой диапазон классов.
5. Проверьте уровень контроля отсутствия недекларированных возможностей (НДВ) — например, уровень 4 для систем с обработкой персональных данных.
6. Сверьте дату выдачи и срок действия сертификата: он составляет от 3 до 5 лет, после истечения запись становится недействительной.
7. Убедитесь, что производитель в карточке совпадает с тем, что указан в документации на приобретаемое СЗИ.

Если запись не найдена, проверьте написание номера сертификата и название продукта — реестр чувствителен к опечаткам. Когда сертификат действительно отсутствует или истёк, откажитесь от закупки этого СЗИ и запросите у поставщика актуальный документ. Для размещения самой информационной системы с сертифицированной защитой подберите подходящую площадку через рейтинг серверов VPS.

Сколько стоит и сколько длится сертификация СЗИ по требованиям ФСТЭК

Разработчик средства защиты информации (СЗИ) проходит два этапа: сначала испытательная лаборатория проверяет продукт на соответствие требованиям, затем ФСТЭК вносит его в реестр сертифицированных СЗИ. Сроки и цена зависят от класса защищённости — чем выше класс, тем глубже проверяют исходный код и тем дольше идут испытания.

Испытания занимают от 3 до 12 месяцев. Итоговая стоимость складывается из работы лаборатории, оформления документов и последующего инспекционного контроля — платить приходится не один раз, а весь срок действия сертификата.

Ниже — ориентировочные диапазоны по классам защищённости для средств защиты информации.

Компаниям с персональными данными необязательно проходить сертификацию самим — проще взять готовую инфраструктуру. Часть облачных провайдеров уже включает сертифицированный контур защиты в тариф VPS, разворачивая виртуальные машины на аттестованных гипервизорах (в том числе на базе VMware ESXi — прочитайте как устроена платформа VMware). Такой сервер обходится дешевле собственной сертификации и закрывает требования 152-ФЗ.

Ошибки при работе с требованиями ФСТЭК

Большинство проблем с ФСТЭК (Федеральная служба по техническому и экспортному контролю) возникает не из-за злого умысла, а из-за путаницы в терминах и невнимательности к срокам: ФСТЭК путают с ФСБ, а про окончание сертификата вспоминают слишком поздно. Компания покупает средство защиты информации (СЗИ), видит слово «сертификат» и считает вопрос закрытым, хотя многие промахи ниже встречаются почти в каждой второй компании.

Первая ошибка: путаница ФСТЭК и ФСБ

Заказчик запрашивает у поставщика не те бумаги: просит сертификат ФСБ там, где нужен документ ФСТЭК, или наоборот. Это разные ведомства с разными реестрами, и подмена документов не спасёт при проверке.

Вторая ошибка: несертифицированное СЗИ в ГИС или ИСПДн

Использование несертифицированного СЗИ в государственной информационной системе (ГИС) или в информационной системе персональных данных (ИСПДн), для которой требования предписывают сертифицированные средства, — прямое нарушение требований. Для части ИСПДн с низким уровнем защищённости сертификат не обязателен — такие случаи разобраны ниже. За необеспечение защиты персональных данных по 152-ФЗ предусмотрен штраф.

Третья ошибка: просроченный сертификат

Сертификат действует от 3 до 5 лет, а после истечения СЗИ юридически не считается защитой. Держите дату окончания в календаре и начинайте продление за 3–4 месяца до истечения.

Четвёртая ошибка: «письма соответствия» вместо реестра

Письмо от поставщика ничего не доказывает. Номер и срок сертификата проверяйте напрямую в реестре ФСТЭК.

Пятая ошибка: несовпадение класса защищённости

Классов защищённости СЗИ всего 6, и класс продукта нужно сверить с требованиями своей системы, а не ограничиваться фактом наличия сертификата.

Шестая ошибка: устная гарантия продавца

Слова продавца не заменяют проверку номера сертификата — его нужно найти в реестре самостоятельно.

Седьмая ошибка: экономия на новой сертификации

После смены версии продукта старый сертификат не покрывает новую версию, и экономия на повторной сертификации оборачивается рисками при проверке.

Если сомневаетесь, что применяете требования ФСТЭК верно, лучше свериться с профильным подрядчиком — заказать консультацию по сертификации СЗИ.

ФСТЭК, ФСБ и Роскомнадзор: чем отличаются полномочия регуляторов

Новичка путает, что за информационную безопасность в России отвечают сразу три ведомства. ФСТЭК (Федеральная служба по техническому и экспортному контролю) отвечает за техническую защиту информации: сертифицирует средства защиты информации (СЗИ) по 6 классам защищённости, проверяет межсетевые экраны, антивирусы и системы контроля доступа. Это ведомство не имеет отношения к шифрованию и не проверяет, как компания хранит персональные данные клиентов.

ФСБ (Федеральная служба безопасности) лицензирует средства криптографической защиты информации (СКЗИ) — шифраторы, VPN с российской криптографией, электронную подпись. Если сервис использует шифрование по ГОСТ, разработчик обязан получить лицензию ФСБ отдельно от сертификата ФСТЭК. Роскомнадзор контролирует соблюдение 152-ФЗ «О персональных данных»: ведёт реестр операторов персональных данных и штрафует за нарушения.

Пример, когда нужны все три регулятора сразу — облачный сервис для медицинской организации, который хранит данные пациентов и передаёт их по защищённому каналу. Такому сервису требуется: сертификат ФСТЭК на межсетевой экран и систему защиты, лицензия ФСБ на используемое шифрование и регистрация в реестре Роскомнадзора как оператора персональных данных.

Как распределены полномочия регуляторов:

• ФСТЭК — техническая защита, сертификация СЗИ, 6 классов защищённости
• ФСБ — лицензирование СКЗИ и криптографии по ГОСТ
• Роскомнадзор — надзор за 152-ФЗ и реестр операторов персональных данных
• Штраф за нарушение 152-ФЗ грозит и тем, кому сертификат ФСТЭК не нужен
• Для медицинских и финансовых сервисов часто нужны требования всех трёх ведомств одновременно

Если для соответствия требованиям ФСТЭК нужен сервер с сертифицированной защитой и российским размещением, посмотрите серверы в России и сравните, какие меры защиты предлагает провайдер.

Кому сертификат ФСТЭК не нужен

Если проект хранит минимум персональных данных и не относится к государственным или критическим информационным системам, сертификат ФСТЭК (Федеральная служба по техническому и экспортному контролю) можно не оформлять. Это касается пяти типичных случаев:

• Визитки и лендинги Сайт с формой обратной связи обрабатывает только имя и телефон — это минимальный набор персональных данных без специальных категорий вроде здоровья или биометрии.
• Интернет-магазины с внешним платёжным шлюзом Магазин, который передаёт оплату на сторонний сервис и не хранит номера карт, обходится без сертифицированных СЗИ.
• ИСПДн 3–4 уровня защищённости Информационным системам персональных данных этих уровней достаточно организационных мер по 152-ФЗ: приказ о назначении ответственного, политика обработки данных, антивирус и разграничение доступа паролями.
• Корпоративные сайты без биометрии Если сайт не обрабатывает биометрию и медицинские данные, сертификат не требуется. Штраф за нарушение 152-ФЗ наступает при утечке данных или отсутствии базовой защиты, а не при отсутствии сертификата ФСТЭК как такового.
• Проекты без гостайны и критической инфраструктуры Большинству коммерческих сайтов хватит обычного хостинга без аттестации по требованиям ведомства — она нужна только для государственных информационных систем и объектов критической инфраструктуры.

Перед выбором хостинга проверьте фактический уровень защищённости своей системы, а не покупайте сертифицированные решения на всякий случай — это сэкономит бюджет и время. Если данные всё же требуют защиты, оцените площадку по тем же критериям, по которым мы отбираем провайдеров.