Федеральная служба безопасности (ФСБ) расширила область применения стандартов криптографической защиты информации на внешние облачные платформы и аппаратные компоненты, используемые в государственных информационных системах (ГИС). Согласно новым правилам, под контроль попадают даже те элементы инфраструктуры, которые формально не входят в состав ГИС, но обеспечивают их функционирование. Это решение направлено на минимизацию рисков утечки данных при использовании мощностей сторонних провайдеров.
Новые стандарты шифрования и контроля
Согласно актуализированным нормам, сертифицированное шифрование становится обязательным как на этапе передачи данных в облачную среду, так и непосредственно внутри защищенного периметра. Выбор конкретных средств защиты и определение их класса теперь должны иметь строгое обоснование, зафиксированное в модели угроз и техническом задании.
Регламент взаимодействия с регулятором включает следующие пункты:
- Криптографический раздел документации для каждой ГИС подлежит обязательному согласованию с ФСБ.
- Техническое задание должно содержать детальное обоснование выбранных методов защиты.
- Контрольные проверки выполнения установленных требований должны проводиться не реже одного раза в три года.
Ответственность и распределение затрат
В Министерстве цифрового развития, связи и массовых коммуникаций уточнили, что ключевая ответственность за соблюдение новых норм возлагается на владельца ГИС. Тем не менее, часть технических задач может быть делегирована подрядчикам в рамках государственных контрактов.
Ответственность за соблюдение требований несет владелец ГИС. Часть обязанностей может быть передана исполнителям госконтрактов, а распределение расходов определяется условиями договоров.
Подобная схема позволяет гибко распределять нагрузку между государственными ведомствами и коммерческими поставщиками ИТ-услуг, однако требует более детальной проработки юридических аспектов в договорах.
Введение данных требований свидетельствует о стремлении регулятора стандартизировать безопасность «гибридных» инфраструктур, где государственные данные соседствуют с частными облачными решениями. В долгосрочной перспективе это может привести к росту спроса на отечественные аппаратные решения и специализированные облачные сервисы, уже имеющие необходимые лицензии и сертификаты безопасности.