Защищённые системы: аттестация и 152-ФЗ

Аттестуется не система — аттестуется система вместе с защитой и документами

Частая катастрофа госпроектов: система разработана, работает, принята — а аттестовать её нельзя. Безопасность собирались «прикрутить потом», и «потом» оказалось перепроектированием на месяцы. Аттестация проверяет триаду: архитектуру защиты, реализованные меры и документацию, бьющуюся с реальностью. Мы строим все три слоя с первого дня. В нашем кейсе госзаказчика система прошла аттестацию с первого захода — после предыдущего подрядчика, сдавшего «работающее», но неаттестуемое.

Классификация и модель угроз: фундамент, который экономит миллионы

Всё начинается с обоснованной классификации: уровень защищённости ИСПДн, класс ГИС. Занизить — риск отказа и ответственности. Завысить «на всякий случай» — лишние миллионы на сертифицированные средства. В отзыве руководителя медицинской ИС пересчёт завышенного уровня вдвое сократил бюджет на СЗИ. Модель угроз по методикам ФСТЭК превращает класс в конкретику: актуальные угрозы, типы нарушителей, векторы. Из неё вырастают все решения по защите — обоснованные, а не «на глаз».

Защита в архитектуре: меры живут в системе с рождения

Требования ФСТЭК ложатся в архитектуру, а не приклеиваются поверх. Сегментация сети и контуров. Разграничение доступа по ролям с идентификацией. Журналирование событий безопасности. Криптозащита каналов и хранения там, где предписана. Сертифицированные средства защиты подбираются из реестров без избыточности — под класс, а не «всё лучшее сразу». Разработчики и безопасники у нас говорят на одном языке, потому что это одна команда.

Документация с натуры: комиссия сверяет — и сходится

Главная причина провалов на аттестации — документы, живущие отдельно от системы. Скачанные шаблоны политик, регламенты «в вакууме», настройки, не совпадающие с описанием. Наш комплект пишется с натуры: акт классификации, модель угроз, техпаспорт, политики, ОРД, инструкции ролей — всё бьётся с реальными настройками. В отзыве начальника отдела ИБ комиссия «открывала регламенты, сверяла — и всё сходилось». Это не удача, это метод работы.

Аттестация, сопровождение и границы честности

Аттестационные испытания проводят лицензиаты ФСТЭК — таково требование закона, и мы работаем с ними в отлаженной связке: готовим систему и комплект, сопровождаем испытания, закрываем замечания до положительного заключения. После аттестата жизнь продолжается: поддержание соответствия при изменениях, переаттестация по срокам, мониторинг. Рядом наш гос-стек: сайты и порталы, ГИС, СМЭВ-интеграции — кейсы в тройке ниже. Защищённые системы — работа для команды, где безопасность не услуга, а способ строить.