С 1 сентября для облачных сервисов ГИС введены обязательные требования ФСБ по криптозащите

ФСБ распространила требования по криптографической защите на внешние облачные сервисы и аппаратную часть, которые напрямую не входят в состав ГИС, но обеспечивают их работу. Ранее такие требования применялись только к самой системе и её компонентам, пишут Ведомости со ссылкой на приказ ФСБ № 321 от 22 августа, опубликованного 31 августа.

Специальные правила для подключаемых через сеть внешних сервисов появились после принятия закона № 568-ФЗ от 29 декабря 2025 года, который регулирует порядок создания ГИС и вводит обязанности для операторов. После этого правительство 18 августа 2026 года приняло постановление № 1024, которое обязало размещать компоненты таких сервисов в России, разграничивать ответственность заказчика и поставщика в контракте, обеспечивать резервное копирование данных и сообщать об инцидентах. Эти правила вступили в силу 1 сентября, а приказ ФСБ дополняет их требованиями к криптографической защите, отмечается в документе.

Сертифицированное шифрование может потребоваться как при передаче данных из ведомства в облако, так и по каналам связи внутри охраняемого контура, например между серверами в одном ЦОД, следует из приказа. Необходимость применения средств защиты и их класс обосновываются в модели угроз и техническом задании. Криптографическую часть этих документов для ГИС нужно согласовывать с ФСБ, а выполнение требований проверять не реже одного раза в три года, говорится в документе. Класс СКЗИ определяется по масштабу системы, значимости информации и возможностям предполагаемого нарушителя.

За выполнение требований отвечает владелец ГИС, уточнил представитель Минцифры. Ответственное лицо может обеспечить их самостоятельно или закрепить за исполнителями госконтрактов, а распределение расходов определяется условиями контрактов. Безопасность виртуальных и облачных сред, включая контейнеры, относится к компетенции ФСБ и ФСТЭК, добавил он.

Представитель «Гостеха» сообщил, что приказ не потребует доработки платформы, поскольку она уже позволяет применять СКЗИ нужных классов, однако защиту в любом случае нужно будет отдельно проектировать и согласовывать для каждой ГИС.

Правительство обновит образовательные программы по ИБ: в перечне — компьютерная безопасность, криптография и противодействие техразведке

Основатель и гендиректор RUVDS Никита Цаплин отметил, что приказ расширяет периметр действовавшего регулирования, но теперь облачную инфраструктуру придется учитывать в модели угроз и при проектировании защиты. Главная сложность, по его словам, связана с динамичностью облака: виртуальные машины перемещаются между серверами, контейнеры создаются и удаляются, а ПО обновляется, тогда как СКЗИ работает в определенной программно-аппаратной среде. Поэтому могут потребоваться более стабильные и изолированные контуры.

Бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий предупреждает, что требования двух регуляторов могут оказаться несовместимы с доступными решениями. По его словам, требование ФСТЭК учитывать внутреннего нарушителя при согласовании криптографической защиты с ФСБ будет подталкивать госсистемы к СКЗИ класса не ниже КС3. Таких продуктов немного, а правила эксплуатации не позволяют устанавливать их в виртуальной среде. Результатом может стать формальное выполнение требований, говорит Лукацкий: государственные организации будут согласовывать с одним регулятором одну модель нарушителя, с другим – другую, а приобретать то, что им доступно. Другой вариант – передать проблему операторам «Гостеха» или государственной единой облачной платформы.

Основатель компании «Интернет-розыск» Игорь Бедеров считает, что приказ потребует менять архитектуру и распределение ответственности между оператором и провайдером. При аренде облачной инфраструктуры доверенную среду, по его мнению, придется обеспечивать не только в гостевой ОС, но и на уровне гипервизора и средств управления. Это может подтолкнуть госсистемы от публичных облаков к государственным или частным защищенным контурам. Неясным Бедеров считает и охват требований: относятся ли к внешним мощностям арендованные стойки в ЦОД и достаточно ли для облачной БД защитить канал и диск либо СКЗИ должны встраиваться в саму СУБД.

Директор по информационной безопасности «РТК-ЦОД» Денис Поладьев отметил, что приказ вряд ли повлияет на стоимость или сроки облачных проектов, уточняя отдельные аспекты и область действия требований. У «РТК-ЦОД», по его словам, уже есть облачная инфраструктура для размещения ГИС первого класса защищенности, а класс применяемых СКЗИ определяется отдельно на основании модели угроз.

Прямого запрета на динамическую облачную среду приказ не содержит, отмечает бизнес-партнер по кибербезопасности Cloud.ru Юлия Липатникова. По ее словам, у провайдера есть аттестованное по высшему классу защищенности ГИС облако, а также сервисы управления ключами и аппаратные модули безопасности на базе сертифицированного ФСБ «Криптопро HSM». При этом виртуализация и автоматическое масштабирование усложняют защиту оборудования и ключей и могут увеличить стоимость и сроки проектов, считает Липатникова.