Ведомствам теперь придется применять сертифицированную ФСБ криптографию не только внутри своих информационных систем, но и на подключаемых извне облачных сервисах и оборудовании, которые в состав этих систем не входят, но обеспечивают их работу. Так следует из приказа ФСБ № 321 от 22 августа, опубликованного 31 августа, пишут «Ведомости». Раньше правило касалось только самой государственной информационной системы (ГИС) и ее компонентов.
Отдельные нормы для внешних сервисов понадобились после декабрьского закона № 568-ФЗ о порядке создания ГИС. Развивая его, правительство 18 августа приняло постановление 1024: оно обязало размещать компоненты таких сервисов в России, разделять ответственность заказчика и поставщика в контракте, копировать данные и сообщать об инцидентах. Постановление заработало 1 сентября, приказ ФСБ добавляет к нему криптографию.
Шифрование может понадобиться и при отправке данных в облако, и внутри защищаемого контура — вплоть до обмена между серверами одного дата-центра. Класс средств криптозащиты (СКЗИ) выбирается по масштабу системы, ценности сведений и возможностям нарушителя, а криптографический раздел модели угроз для ГИС нужно согласовывать с ФСБ и проверять раз в три года. Отвечает за это владелец ГИС — сам или через подрядчиков, пояснил «Ведомостям» представитель Минцифры. Доработка платформы «Гостеха» не потребуется, сообщил изданию ее представитель.
Гендиректор RUVDS Никита Цаплин в связи с этим в комментарии «Ведомостям» усмотрел трудность в подвижности облака: машины кочуют между серверами, контейнеры создаются и удаляются, а СКЗИ рассчитано на фиксированную среду. Бизнес-консультант Positive Technologies Алексей Лукацкий предупредил, что требования двух регуляторов не стыкуются с рынком. По его словам, ФСТЭК требует учитывать внутреннего нарушителя, то есть того, кто уже имеет доступ к системе, и при согласовании криптозащиты с ФСБ это выведет госсистемы на СКЗИ класса не ниже КС3, а таких продуктов мало и правила эксплуатации не позволяют ставить их в виртуальной среде. Основатель компании «Интернет-розыск» Игорь Бедеров считает, что менять придется архитектуру и распределение ответственности, а госсистемы уйдут из публичных облаков в защищенные контуры.
Ранее японский центр сертификации GlobalSign начал отзывать SSL-сертификаты у российских компаний. В Минцифры тогда уверяли, что сайты будут недоступны лишь «непродолжительное время», а IT-специалисты предупреждали, что переход на отечественный аналог расширит возможности слежки.
