Межсетевой экран по требованиям ФСТЭК России

Российские компании и госорганы обязаны применять сертифицированные средства защиты периметра сети: это условие законной работы с гостайной, персональными данными и критической инфраструктурой. Сертификат ФСТЭК подтверждает, что решение прошло независимую проверку и выдерживает конкретные классы угроз. Ошибка в выборе класса защиты оборачивается лишними затратами или санкциями при проверке. В статье расскажем, как устроена сертификация межсетевых экранов в России, какие классы защиты существуют и на что смотреть при выборе решения для своей сети.

Межсетевой экран по ФСТЭК — что это такое

Межсетевой экран — это программное или программно-аппаратное решение, которое проверяет сетевой трафик и пропускает или блокирует его по заданным правилам. Отметка «ФСТЭК» рядом с названием продукта означает, что регулятор подтвердил: конкретный межсетевой экран прошел независимые испытания и соответствует установленному профилю защиты.

Требования регулятора периодически меняются, и вендору приходится заново подтверждать соответствие. На регулируемый периметр можно законно ставить только сертифицированный межсетевой экран с актуальным документом.

Какими бывают сертифицированные межсетевые экраны

Классификация строится на двух основаниях: конструктивное исполнение устройства и профиль защиты, который определяет точку сети, где оно работает. Обозначения у этих оснований разные, и путать их не стоит.

Вариации межсетевых экранов по классификации ФСТЭК России

По конструктивному исполнению ФСТЭК разделяет решения на три вида. От выбора вида зависит, кто отвечает за оборудование и сроки поставки при внедрении:

• Программный вариант устанавливается на уже имеющийся сервер и не требует закупки отдельного оборудования.
• Аппаратный вариант представляет собой специализированное устройство на границе сети с начинкой под фильтрацию трафика.
• Программно-аппаратный вариант поставляется готовым сервером с настроенным ПО, и собирать связку самостоятельно не нужно.

Виды межсетевых экранов ФСТЭК России по профилю защиты

У профиля защиты пять типов, и каждый закрывает свою точку периметра. Отдельно стоит понятие NGFW: межсетевой экран нового поколения сочетает фильтрацию портов с анализом трафика на уровне приложений и чаще всего сертифицируется по профилю типа «А».

Строгого соответствия между типом исполнения и профилем защиты нет. Для периметра крупной организации чаще берут профиль типа «А», а для сегментации сети используют тип «Б».

Какими нормативными актами регулируется защита сети межсетевым экраном

Регулирование строится на двух треках: ФСТЭК отвечает за технические требования к продукту, а ФСБ отвечает за криптографическую часть при шифровании трафика по ГОСТ. Одно устройство может проходить сертификацию сразу в двух ведомствах.

Требования ФСТЭК к межсетевым экранам

Приказ ФСТЭК России от 9 февраля 2016 года № 9 закрепляет эти нормы и обязателен для решений, поставленных в эксплуатацию после 1 декабря 2016 года. Часть профилей для высших классов закрыта грифом ДСП. Приказ описывает, что межсетевой экран ФСТЭК обязан делать для защиты регулируемой сети. Три требования встречаются в проверках чаще остальных.

• Межсетевой экран ведет таблицы состояний соединений и определяет статус каждого сетевого потока перед решением по трафику.
• Решение фильтрует трафик по узлам отправителя и получателя, протоколам и портам, проверяя пакеты по таблице состояний.
• При сбое устройство переходит в аварийный режим и возвращается к штатной работе без участия администратора.

Приказы ФСТЭК и ФСБ, регулирующие защиту сетей

Защиту сети по ФСТЭК на техническом уровне регулирует приказ № 9 от 2016 года. Как только продукт добавляет шифрование по ГОСТ, вступает приказ ФСБ России от 9 февраля 2005 года № 66 (ПКЗ-2005). Этот документ вводит понятие СКЗИ и задает методику присвоения классов защиты криптошлюзам и VPN-решениям.

Для заказчика это раздельная приемка документов: сертификат ФСТЭК подтверждает фильтрацию трафика, а сертификат ФСБ подтверждает класс криптостойкости шифрования. Продукты с обоими сертификатами, как АПК «ЗАСТАВА», закрывают оба требования одним внедрением.

Классы защищенности межсетевых экранов (КС1, КС2, КС3)

КС1, КС2 и КС3 обозначают классы криптографической стойкости СКЗИ по методике ФСБ для встроенного шифрования. Профиль защиты самого экрана по линии ФСТЭК классифицируют отдельно, буквами от «А» до «Д».

АПК «ЗАСТАВА» сертифицирован ФСБ России сразу по классам КС1, КС2 и КС3. Благодаря этому не приходится подбирать отдельное решение под каждый уровень защищенности каналов.

Что сертификация ФСТЭК и ФСБ дает бизнесу

Сертификация снимает с бизнеса юридические и технические риски и открывает доступ к госзаказам, недоступным без сертификата. Одним организациям сертификат открывает доступ к тендерам, для других это единственный оставшийся вариант защиты после ухода зарубежных производителей.

Что дает сертификация ФСТЭК и ФСБ

Без сертификата организация не может участвовать в госзакупках. Закон обязывает выбирать средства защиты из реестра сертифицированных решений при закупках по 44-ФЗ или 223-ФЗ. Сертификация меняет и практическую сторону эксплуатации решения. Три следствия чаще всего недооценивают на этапе выбора:

• Сертифицированный межсетевой экран проходит независимые испытания до выхода на рынок.
• При проверке регулятора актуальный сертификат закрывает вопрос о правомерности используемого средства защиты.
• Обновления проходят подтверждение соответствия и не выводят продукт из легального поля.

Чем российский межсетевой экран отличается от зарубежных аналогов

Большинство зарубежных производителей после 2022 года не может пройти эту сертификацию: они свернули присутствие на рынке и прекратили техподдержку уже поставленного оборудования. Организации, которые продолжают его эксплуатировать, остаются без обновлений сигнатур и патчей уязвимостей.

Госорганы обязаны по закону использовать отечественные IT-решения, и это подталкивает к выбору российского оборудования независимо от ухода зарубежных вендоров. Частные компании переходят по тем же причинам: техподдержка внутри страны и отсутствие риска внезапного отключения от обновлений.

Переход на сертифицированные решения ускорился, потому что альтернативы физически не осталось: обновлений от ушедших вендоров нет, поддержки тоже нет. Угрозы никуда не делись.

Эксперты АПК «ЗАСТАВА»

Когда сертифицированный межсетевой экран обязателен

Обязательность сертифицированного межсетевого экрана определяют категория данных и тип инфраструктуры: персональные данные, гостайна, значимые объекты критической инфраструктуры. Список обязанных не совпадает с интуитивным представлением о «крупном бизнесе»: школа или музей подпадают под требование так же, как федеральное ведомство.

Где применяются сертифицированные межсетевые экраны

Сертифицированный межсетевой экран обязателен там, где сеть передает персональные данные, гостайну или относится к значимым объектам критической инфраструктуры. Федеральный закон № 152-ФЗ «О персональных данных» требует надежной защиты этой категории информации.

На практике граница проходит по составу данных: компания без единой госзаявки обязана сертифицировать периметр, если в ее CRM хранятся телефоны и адреса клиентов. Учреждение с обезличенными данными формально может обойтись без сертификата, хотя так почти никто не делает: слишком высока цена ошибки при проверке.

Каким организациям и когда необходим межсетевой экран ФСТЭК России

Закон перечисляет категории организаций, обязанных обеспечивать сертифицированную защиту периметра независимо от объема данных:

• Образовательные учреждения хранят персональные данные учащихся и родителей, поэтому обязаны сертифицировать периметр.
• Многофункциональные центры обрабатывают данные заявителей по десяткам госуслуг сразу.
• Медицинские организации подпадают под требование из-за особой категории данных о здоровье пациентов.
• Государственные ведомства и министерства работают с информацией ограниченного доступа, поэтому обязаны использовать только сертифицированные решения.

Компании без гостайны и обязанности защищать персональные данные формально могут обойтись без сертифицированного решения. Дальновидные организации выбирают его заранее, потому что миграция под давлением проверки обходится дороже планового внедрения.

Сертифицированный межсетевой экран по ФСТЭК

Получите консультацию по внедрению: разберем профиль защиты, класс СКЗИ и сроки под вашу инфраструктуру до старта проекта.

Получить консультацию

Как выбрать межсетевой экран по требованиям ФСТЭК

Выбор начинается с определения категории данных и класса защиты, которые нужны сети. Пропуск этого шага часто приводит к покупке решения с неподходящим профилем защиты. После того как класс защиты определен, решения сравнивают по практическим параметрам эксплуатации. Пять критериев обычно решают исход выбора:

1. Пропускная способность должна учитывать пиковую нагрузку с запасом на рост трафика.
2. Совместимость с инфраструктурой определяет, потребуется ли перестраивать топологию сети.
3. Встроенный модуль ГОСТ VPN снимает необходимость отдельно закупать криптошлюз.
4. От срока действия сертификата зависит, сколько лет решение можно эксплуатировать законно.
5. Доступность техподдержки внутри страны влияет на скорость реакции при инциденте.

Совпадение всех пяти критериев встречается редко. Выбор сводится к компромиссу между стоимостью, сроками поставки и запасом производительности.

АПК «ЗАСТАВА» — сертифицированный МЭ по ФСТЭК с ГОСТ VPN

АПК «ЗАСТАВА» — это программно-аппаратный комплекс, который объединяет межсетевой экран нового поколения и сертифицированный ФСБ криптошлюз ГОСТ VPN в одном устройстве. Продукт имеет действующие сертификаты и ФСТЭК, и ФСБ России.

Как межсетевой экран нового поколения, комплекс анализирует трафик на уровне приложений. Это позволяет разрешить работу мессенджера в целом и заблокировать в нем передачу файлов, вместо того чтобы отключать сервис полностью.

Функционал ГОСТ VPN в составе «ЗАСТАВА» строит зашифрованные каналы связи между офисами, дата-центрами и облаком по алгоритмам, сертифицированным ФСБ России. Отдельного производителя криптошлюзов для этого привлекать не нужно.

От требований ФСТЭК к готовому решению: АПК «ЗАСТАВА»

Сертификация межсетевого экрана по требованиям ФСТЭК России переводит закон в конкретный чек-лист: профиль защиты, класс СКЗИ, дата сертификата и функциональные возможности. Организация, которая сверяет его на этапе выбора поставщика, экономит бюджет и время.

АПК «ЗАСТАВА» закрывает оба регуляторных трека одним устройством: межсетевой экран нового поколения с сертификатом ФСТЭК и криптошлюз ГОСТ VPN с сертификатом ФСБ. Организации это дает одну закупку вместо двух.

Частые вопросы и ответы