Владелец интернет-магазина получает от подрядчика письмо: для соответствия 152-ФЗ нужно закупить сертифицированные средства защиты информации, иначе при проверке Роскомнадзора будет штраф. В смете - антивирус за 180 тысяч рублей в год, межсетевой экран за 400 тысяч и работы по внедрению еще на полмиллиона. Прежде чем подписывать, стоит задать один вопрос: какой уровень защищенности у информационной системы сайта и точно ли закон требует именно сертифицированные СЗИ, а не набор организационных мер, который стоит на порядок дешевле.
Короткий ответ: для подавляющего большинства сайтов - интернет-магазинов, клиник, школ, сайтов услуг, самозанятых с формой заявки на сайте - сертифицированные средства защиты информации не обязательны. Обязательность привязана не к отрасли и не к обороту компании, а к типу информационной системы и уровню ее защищенности. Дальше разберемся, кому сертифицированные СЗИ из реестра ФСТЭК нужны по закону, кому хватит организационных мер, сколько стоит сертифицированное оборудование в деньгах и на чем чаще всего разводят интеграторы.
Похожая история происходит со школами и медицинскими центрами: подрядчик по обслуживанию сайта видит форму записи с телефоном и датой рождения ребенка и без разбора уровня защищенности предлагает тот же комплект - сертифицированный антивирус, межсетевой экран, аттестацию. В части случаев это оправдано, в части - нет, и разница решается не спором, а конкретными документами: актом классификации и моделью угроз для конкретной системы, а не общим ощущением, что персональные данные это всегда опасно и требует максимального набора техники.
Что такое сертифицированные средства защиты информации и чем они отличаются от обычных
Средство защиты информации, или СЗИ, - общее название для программ и устройств, которые защищают данные: антивирусы, межсетевые экраны, системы обнаружения вторжений, средства защиты от несанкционированного доступа, средства криптографической защиты. Сертификация означает, что конкретная версия продукта прошла испытания в аккредитованной лаборатории и подтвердила соответствие требованиям ФСТЭК России или ФСБ России - в зависимости от типа средства и того, что именно оно защищает.
На практике у многих известных продуктов есть две версии. Крупные разработчики антивирусов продают обычные коммерческие лицензии и отдельно - сертифицированные, с теми же функциями, но с формуляром, сертификатом соответствия и обычно более высокой ценой. Разница не всегда в самой защите, а в документах: сертифицированная версия подтверждена независимой лабораторией и включена в реестр, обычная - нет. Для сайта, где физически не хранится государственная тайна и нет обязанности проходить аттестацию, эта разница часто не имеет практического значения для реального уровня безопасности.
Кто выдает сертификат, тоже имеет значение. ФСТЭК России сертифицирует средства защиты от несанкционированного доступа, антивирусы, межсетевые экраны и системы обнаружения вторжений. ФСБ России отвечает за средства криптографической защиты - те самые СКЗИ на основе ГОСТ. Путаница между этими двумя ведомствами - частый источник ошибок в технических заданиях: интегратор может предложить продукт, сертифицированный не тем ведомством, которое требуется для конкретной задачи, и формально требование не будет закрыто, даже если деньги уже потрачены.
Отдельная категория - средства криптографической защиты, СКЗИ. Речь про шифрование каналов связи и хранения данных сертифицированными алгоритмами, обычно на основе ГОСТ. Обычное HTTPS-соединение с рядовым TLS-сертификатом к этой категории не относится и сертификации не требует - это стандартная веб-практика, а не СКЗИ в смысле законодательства о защите информации. Когда криптографическая защита становится обязательной по закону, а когда достаточно обычного шифрования канала, подробно разобрано в статье про криптографическую защиту персональных данных.
Реестр ФСТЭК: как проверить сертификацию СЗИ
У ФСТЭК России есть открытый реестр сертифицированных средств защиты информации на официальном сайте ведомства. В нем можно проверить: действует ли сертификат конкретной версии продукта, для какого класса защиты он выдан, кто производитель и когда истекает срок действия. Проверка занимает несколько минут, если известно точное название продукта и версия.
Смысл проверки в том, что сертификат выдается на конкретную версию и сборку продукта, а не на бренд в целом. Антивирус условной марки может быть сертифицирован в одной версии, а в следующей сертификат еще не получен или уже просрочен - и тогда формально это уже не сертифицированное СЗИ, даже если продавец продолжает называть его именно так. Компании, которым сертификация действительно нужна, регулярно сталкиваются с ситуацией, когда программа обновилась автоматически и вышла из-под действия сертификата, а никто этого не заметил.
Второй момент - класс защиты. У сертифицированных СЗИ есть классы, и не любой сертифицированный продукт годится для любой системы: продукт для класса защиты, достаточного для коммерческой ИСПДн, может не подходить для государственной информационной системы, и наоборот - переплата за избыточный класс не редкость. Продавец, который предлагает первое попавшееся сертифицированное решение без привязки к уровню защищенности конкретной системы, либо не разобрался в задаче, либо сознательно упрощает продажу в свою пользу.
Практический пример: компания получает предложение купить сертифицированный межсетевой экран определенной модели. Прежде чем платить, стоит открыть реестр на сайте ФСТЭК, найти нужную позицию по названию производителя и модели, свериться с указанным сроком действия сертификата и классом защиты. Если позиции в реестре нет вовсе, а продавец ссылается на то, что сертификация в процессе, - это не сертифицированное средство защиты информации, а обещание сертификации, и подписывать акт приемки как за готовое решение рано.
Кому сертифицированные средства защиты информации обязательны по закону
Государственные информационные системы
Если сайт или сервис официально отнесен к государственной информационной системе - региональный портал госуслуг, ведомственная система с обработкой данных граждан по государственному контракту, муниципальный сервис записи - применение сертифицированных средств защиты информации закреплено требованиями к защите информации в государственных системах, которые устанавливает приказ ФСТЭК России от 11 февраля 2013 года № 17. Для обычного коммерческого сайта такая ситуация - редкость: если компания не выступает государственным или муниципальным заказчиком системы и не действует по прямому поручению органа власти, к государственным системам ее ресурс не относится, независимо от того, сколько персональных данных он собирает.
ИСПДн с высоким уровнем защищенности
Для информационных систем персональных данных требование к сертифицированным средствам жестко привязано к уровню защищенности, который определяется по постановлению правительства № 1119 от 1 ноября 2012 года. Чем выше категория обрабатываемых данных, чем больше субъектов и чем актуальнее угрозы взлома через недекларированные возможности системного или прикладного программного обеспечения, тем выше уровень - от УЗ-4, низшего, до УЗ-1, высшего. Обязательность сертифицированных СЗИ практически всегда возникает на верхних уровнях, УЗ-1 и в части случаев УЗ-2, когда актуальны угрозы, связанные именно с недекларированными возможностями ПО.
Большинство коммерческих сайтов - интернет-магазины без обработки специальных категорий данных, сайты услуг, небольшие клиники, школы - попадают в УЗ-3 или УЗ-4. На этих уровнях состав организационных и технических мер, который определяет приказ ФСТЭК России от 18 февраля 2013 года № 21, не обязывает закупать именно сертифицированные средства защиты. Определить, к какому уровню относится конкретная система, помогает разбор в статье о классификации ИСПДн: без этого шага разговор о необходимости сертифицированных СЗИ лишен смысла, потому что требование зависит от уровня защищенности, а не от самого факта работы с персональными данными.
Отдельный случай - подрядчики, которые обрабатывают персональные данные по договору поручения с государственным заказчиком: разработчик, хостинг-провайдер, call-центр на аутсорсе. Если по условиям договора подрядчик обязан соблюдать те же требования, что и заказчик, обязанность по сертифицированным средствам защиты переходит и на него - это фиксируется прямо в договоре поручения, а не подразумевается по умолчанию. Условия, на которых работает такой подрядчик, стоит проверять до подписания, а не после того, как выяснится нехватка сертифицированного оборудования.
Уровни защищенности персональных данных: от чего зависит требование к СЗИ
Постановление № 1119 связывает уровень защищенности с несколькими факторами: категорией персональных данных - специальные, биометрические, общедоступные, иные, количеством субъектов, чьи данные обрабатываются, и типом актуальных угроз. Ниже - упрощенная логика того, как это обычно выглядит на практике для типичных коммерческих информационных систем.
| Уровень защищенности | Типичный случай | Сертифицированные СЗИ |
|---|---|---|
| УЗ-4 | Интернет-магазин, сайт услуг: имя, телефон, email, без специальных категорий данных | Не требуются, достаточно организационных и базовых технических мер |
| УЗ-3 | Клиника, школа, кадровый учет: данные большего числа субъектов или с элементами специальных категорий | Как правило, не требуются, если угрозы недекларированных возможностей ПО неактуальны |
| УЗ-2 | Крупные системы с данными о состоянии здоровья, биометрией, большим числом субъектов | Требуются при актуальности угроз, связанных с недекларированными возможностями ПО |
| УЗ-1 | Государственные и крупные ведомственные системы, специальные категории данных в большом объеме | Требуются |
Таблица дает общее направление, а не готовый ответ: конкретный уровень определяется через модель угроз и акт классификации, которые составляются для каждой системы отдельно, а не берутся по аналогии с похожим бизнесом. Полный разбор требований по постановлению 1119 - в статье о постановлении 1119 и уровнях защищенности.
Когда для сайта достаточно организационных мер
Для УЗ-3 и УЗ-4, а туда попадает большинство коммерческих сайтов, закон не требует сертифицированного оборудования. Набор мер обычно выглядит так: приказ о назначении ответственного за обработку персональных данных, положение об обработке ПДн, модель угроз для конкретной системы, разграничение прав доступа к базе и админке сайта, обычный, несертифицированный антивирус на серверах и рабочих местах, регулярное обновление ПО, резервное копирование и парольная политика.
Пример: интернет-магазин собирает имя, телефон и адрес доставки через форму заказа. Он относится к УЗ-4, и требования закрываются документами, разграничением доступа в CMS и обычным антивирусом - без закупки сертифицированных решений. У стоматологической клиники с электронной картой пациента ситуация сложнее: данные о здоровье относятся к специальной категории, и уровень чаще поднимается до УЗ-3 или УЗ-2 в зависимости от числа пациентов и способа хранения карт. Но даже здесь сертифицированные СЗИ становятся обязательными не автоматически, а только при конкретных актуальных угрозах, которые фиксируются в модели угроз, а не предполагаются на всякий случай.
У школы похожая развилка: электронный дневник и данные об успеваемости - это персональные данные, но не специальная категория, а количество субъектов ограничено контингентом одного учреждения. В большинстве случаев это тоже УЗ-3 или УЗ-4, и требования закрываются документами, регламентом доступа к электронному журналу для педагогов и обычным антивирусом на компьютерах в учительской, а не отдельным сертифицированным комплексом оборудования. У кадровой службы обычной компании картина похожая: данные сотрудников, включая паспортные данные и иногда сведения о здоровье для больничных, хранятся на внутреннем сервере или в облачной 1С. Категория данных здесь может подняться до специальной, если считать сведения о здоровье, но при ограниченном числе сотрудников и отсутствии актуальных угроз недекларированных возможностей ПО уровень обычно не поднимается выше УЗ-2, а чаще остается на УЗ-3.
Модель угроз - не формальность для галочки, а документ, из которого следует, какие меры реально нужны именно этой системе. Как ее составить и почему нельзя скопировать чужую модель один в один, разобрано в статье про модель угроз безопасности персональных данных.
Сколько стоят сертифицированные средства защиты информации: порядок цен
Даже когда сертифицированные СЗИ действительно нужны, полезно понимать порядок цен, чтобы отличить рыночное предложение от накрутки. Сертифицированная версия антивируса для рабочей станции или сервера обычно стоит от 3 до 8 тысяч рублей за лицензию в год - дороже обычной коммерческой версии, но не кардинально. Сертифицированный межсетевой экран, программно-аппаратный комплекс, для среднего предприятия обходится в 150-500 тысяч рублей за устройство плюс ежегодная техподдержка около 15-20 процентов от стоимости. Сертифицированное СКЗИ на рабочее место - от 10 до 20 тысяч рублей за лицензию.
Отдельная статья расходов - работы: проектирование системы защиты, внедрение, настройка, а для государственных систем еще и аттестация ИСПДн лицензированным органом. Совокупная смета для системы, которой сертификация действительно нужна по закону, может уйти в диапазон от 500 тысяч до нескольких миллионов рублей в зависимости от масштаба. Для сайта на УЗ-4, где вопрос закрывается документами и организационными мерами, это уже не адекватная цена, а переплата в разы.
После введения оборотных штрафов бизнес стал нервознее реагировать на любые предложения про защиту информации, и это на руку продавцам сертифицированного оборудования: страх утечки конвертируется в закупку, формально не связанную с реальным требованием закона к конкретной системе. Проверка уровня защищенности перед подписанием сметы стоит на порядок дешевле, чем сама смета, и часто снимает большую часть статей расходов сразу.
На практике разброс цен у разных интеграторов на один и тот же комплект бывает в 2-3 раза при формально одинаковом техническом задании: один включает в смету только оборудование и лицензии, другой добавляет проектирование, обучение персонала и годовое сопровождение, третий сразу закладывает аттестацию, которая для конкретной системы может не требоваться вовсе. Сравнивать сметы имеет смысл только после того, как определен уровень защищенности и понятно, какие позиции в смете обязательны, а какие - опциональны.
На чем разводят интеграторы при продаже СЗИ
Схема первая - продажа сертифицированного решения туда, где закон требует организационных мер. Интегратор проводит аудит, находит отсутствие антивируса или межсетевого экрана и сразу предлагает сертифицированную версию, не объясняя, что для УЗ-4 достаточно обычной коммерческой лицензии. Разница в цене может составлять сотни тысяч рублей в год без разницы в реальной защите.
Схема вторая - навязанная аттестация ИСПДн. Аттестация обязательна для государственных информационных систем и добровольна для большинства коммерческих. Компании без ГИС и без прямого требования заказчика продают ее как обязательный этап, хотя по факту это отдельная коммерческая услуга органа по аттестации, а не требование закона к обычному сайту.
Схема третья - путаница между шифрованием канала и сертифицированной криптографией. HTTPS с обычным TLS-сертификатом закрывает требование к защите канала передачи данных для подавляющего большинства сайтов. Продавец, который настаивает на сертифицированном СКЗИ ради того, чтобы у сайта был замок в адресной строке браузера, либо путает разные требования, либо продает лишнее. Технические требования к шифрованию на сайтах с ПДн подробно разобраны в статье про SSL и требования ФСТЭК и ФСБ.
Схема четвертая - продажа продукта с истекающим или уже истекшим сертификатом по цене полноценного сертифицированного решения. Проверка через реестр ФСТЭК занимает пять минут и снимает вопрос сразу: если продавец уклоняется от того, чтобы назвать точный номер сертификата и версию продукта, это повод насторожиться.
Схема пятая - аудит, который завышает уровень защищенности системы, чтобы обосновать более дорогую смету. Отличить обоснованный вывод от завышенного помогает независимая проверка: запросить акт классификации и модель угроз, на основании которых сделан вывод об уровне, а не поверить на слово презентации с красивыми диаграммами.
Схема шестая - продажа подписки на сертифицированное решение с автопродлением по завышенной цене без предупреждения, что тот же функционал в базовой коммерческой версии стоит в несколько раз дешевле и подходит для уровня защищенности конкретной системы. Через год-два разница накапливается в заметную сумму, а расторгнуть договор с автопродлением сложнее, чем не подписывать его сразу.
Частые ошибки при выборе средств защиты информации для ПДн
Даже когда решение о закупке принято обоснованно, типичные ошибки повторяются от компании к компании:
- Закупка сертифицированных СЗИ без предварительной классификации системы и определения уровня защищенности - деньги потрачены, а формальное требование могло оказаться совсем другим.
- Отсутствие модели угроз: без нее невозможно обоснованно сказать, актуальны ли угрозы, от которых зависит обязательность сертификации.
- Покупка сертифицированной версии продукта без проверки, что сертификат действует именно на используемую версию и сборку программы.
- Смешение требований к государственным информационным системам и к обычной коммерческой ИСПДн - это разные правовые режимы с разным набором обязательных мер.
- Дорогое техническое решение при отсутствии базовых организационных мер: сертифицированный антивирус не заменяет приказ о назначении ответственного, положение об обработке ПДн и разграничение доступа.
- Разовая покупка без пересмотра: система меняется, добавляются новые формы и интеграции, а требования к защите годами остаются прежними на бумаге.
- Доверие презентации интегратора без запроса первичных документов - акта классификации и модели угроз, из которых должен следовать вывод о необходимости сертификации.
Что делать: порядок действий для сайта
Порядок, который снимает большую часть вопросов про сертифицированные средства защиты информации, выглядит так:
- Проверить, относится ли информационная система сайта к государственной. Для обычного коммерческого сайта ответ почти всегда - нет.
- Провести классификацию ИСПДн: определить категорию обрабатываемых данных, количество субъектов и актуальные угрозы.
- Определить уровень защищенности по постановлению 1119 и зафиксировать его в акте классификации.
- Составить модель угроз для конкретной системы, а не скопировать чужую с похожего сайта.
- Для УЗ-3 и УЗ-4 без актуальных угроз, связанных с недекларированными возможностями ПО, закрыть требования организационными мерами и обычными техническими средствами, без сертификации.
- Для государственных систем и УЗ-1, УЗ-2 с актуальными угрозами подбирать средства только по реестру ФСТЭК, с проверкой номера сертификата и версии продукта.
- Не подписывать смету на сертифицированное оборудование, пока не зафиксирован реальный уровень защищенности системы в документах.
Весь путь от классификации до итогового решения о наборе мер занимает у большинства коммерческих сайтов от одной до нескольких недель, если этим занимается кто-то один, а не разные подрядчики, которые не видят общей картины. Дольше всего обычно тянется не техническая часть, а сбор внутренней информации: какие формы есть на сайте, какие данные уходят в CRM и рассылки, кто из сотрудников имеет доступ к базе.
В большинстве случаев вопрос про сертифицированные СЗИ решается не покупкой оборудования, а документами: актом классификации, моделью угроз и положением об обработке персональных данных, которые показывают, что уровень защиты выбран обоснованно, а не наугад и не под давлением коммерческого предложения. Если нужно разобраться, какой именно набор документов и технических мер закрывает требования закона для конкретного сайта, на 152fzpro.ru занимаются доработкой сайтов и подготовкой документов под 152-ФЗ, без продажи оборудования, которое системе не требуется.
Частые вопросы
Нужны ли сертифицированные СЗИ обычному интернет-магазину?
Для подавляющего большинства сайтов - интернет-магазинов, клиник, школ, сайтов услуг - сертифицированные средства защиты не обязательны. Требование зависит не от отрасли, а от уровня защищенности информационной системы. Большинство коммерческих сайтов относится к УЗ-3 или УЗ-4, и на этих уровнях достаточно организационных мер и обычных, несертифицированных технических средств.
Для каких систем закон обязательно требует сертифицированные средства защиты?
Обязательность закреплена для государственных информационных систем по приказу ФСТЭК № 17 и для информационных систем персональных данных с высоким уровнем защищенности - УЗ-1 и в части случаев УЗ-2, когда актуальны угрозы недекларированных возможностей программного обеспечения. Для обычного коммерческого сайта без статуса государственной системы это, как правило, не применяется.
Где посмотреть, действует ли сертификат на средство защиты?
У ФСТЭК России есть открытый реестр на официальном сайте, где можно проверить конкретную версию продукта: действует ли сертификат, для какого класса защиты он выдан и когда истекает срок. Сертификат выдается на конкретную версию и сборку, а не на бренд в целом, поэтому после обновления продукт может выйти из-под действия сертификата.
Нужна ли сертифицированная криптозащита для обычного сайта на HTTPS?
Нет. Обычное HTTPS-соединение с рядовым TLS-сертификатом закрывает требование к защите канала передачи данных для подавляющего большинства сайтов и сертификации не требует - это стандартная веб-практика, а не средство криптографической защиты в смысле закона. Продавец, который настаивает на сертифицированном СКЗИ ради замка в адресной строке браузера, скорее всего продает лишнее.
