Почему компании переходят на сертифицированные шлюзы

Даже если в организации есть меры защиты интернет-доступа, этого недостаточно в условиях современных киберугроз. Мошеннические схемы становятся всё сложнее, вредоносное ПО проникает через легитимный трафик, а требования ФСТЭК ужесточаются.

Для компаний, обрабатывающих персональные данные, подключённых к государственным информационным системам или являющихся объектами критической информационной инфраструктуры (КИИ), использование сертифицированных средств защиты информации — не рекомендация, а обязанность. Это касается и шлюзов безопасности.

Что такое сертифицированный шлюз

Шлюз интернет-безопасности (Secure Web Gateway) — это точка входа в корпоративную сеть, через которую проходит весь входящий и исходящий веб-трафик. Он проверяет содержимое трафика, блокирует подозрительные запросы и защищает пользователей от доступа к вредоносным сайтам.

Сертифицированный шлюз — это такой шлюз, который прошёл проверку в ФСТЭК России и включён в Единый реестр сертифицированных СЗИ. Это означает, что продукт:

• реализует защиту информации согласно утверждённым требованиям,
• прошёл лабораторные испытания,
• имеет официальное подтверждение соответствия.

Пример: Solar webProxy включен в Единый реестр СЗИ (№4784 от 05.03.2024) и может использоваться в организациях, попадающих под действия законодательства в сфере информационной безопасности.

Что даёт сертификация ФСТЭК компании

Для компаний наличие сертификата — это:

• Право на легальное использование продукта в инфраструктуре, где действуют требования регуляторов (ФЗ-152, ФЗ-187, постановления правительства и др.);
• Подтверждение защищённости при внешних проверках, аудитах и аккредитациях;
• Снижение юридических рисков — при инциденте доказано, что организация использовала одобренные инструменты;
• Доступ к работе с государственными контрактами (без сертифицированного ПО — это невозможно).

Проверить наличие сертификата можно на официальном сайте ФСТЭК.

Сертификация бывает разной

Сертификация бывает двух типов — и они важны по-разному:

1. Сертификация безопасности

Подтверждает соответствие требованиям безопасности от ФСТЭК. Обычно оформляется как сертификат соответствия — именно он позволяет вносить продукт в Единый реестр СЗИ. Применяется к продуктам, защищающим информацию ограниченного доступа, персональные данные, внутренние коммуникации и т.д.

2. Сертификация соответствия стандартам

Общая процедура, подтверждающая выполнение норм ГОСТ, технических регламентов и других стандартов. Она не даёт права использовать продукт для защиты информации без сертификации ФСТЭК.

Какие технологии применяются в сертифицированных шлюзах

Шлюзы интернет-безопасности объединяют сразу несколько технологий:

1. Межсетевой экран (Firewall)

Контроль и фильтрация трафика на 3–4 уровнях модели OSI. Используется для отсечения нежеланных соединений и фильтрации по IP, портам, протоколам.

2. Веб-прокси и HTTPS-инспекция

Расшифровывает зашифрованный трафик (HTTPS), анализирует содержимое запросов и ответов. Важнейшая функция для защиты от фишинга и утечек данных.

3. Реверс-прокси

Контролирует доступ к внутренним корпоративным ресурсам извне, особенно в условиях удалённой работы.

4. Шифрование и криптография

Поддержка TLS/SSL-соединений, VPN, взаимодействие с сертифицированными СКЗИ при необходимости.

5. Антивирусная защита

Потоковая проверка трафика на вредоносные объекты, вложения, фишинговые скрипты.

6. Категоризация сайтов

Позволяет задавать политики доступа на основе типа ресурса (например, соцсети, файлообменники, VPN-сервисы и др.).

 

Пример сертифицированного шлюза: Solar webProxy

Он может использоваться в:

• государственных учреждениях,
• образовательных организациях,
• коммерческих структурах с обработкой ПДн,
• объектах КИИ и ГИС.

Архитектура и модули Solar webProxy

Solar webProxy построен по модульному принципу. Это позволяет гибко масштабировать систему и подключать только те функции, которые реально нужны заказчику.

Основные модули системы:

1. webProxy Core — центральный модуль:

• веб-прокси (HTTP, HTTPS, FTP over HTTP, SOCKS5),
• SSL-инспекция (TLS 1.2/1.3),
• категоризатор Solar webCat,
• базовый межсетевой экран (L3–L4),
• контентный анализ,
• модуль «Досье»,
• блокировщик рекламы.

2. webProxy Antivirus — модуль антивирусной фильтрации трафика по всем основным протоколам, включая проверку на лету и интеграцию с внешними антивирусами.

3. webProxy Endpoint Agent — агент для рабочих станций (Windows), перенаправляет весь трафик приложений через прокси, контролирует нестандартные клиенты, поддерживает Kerberos и NTLM, работает даже в случае отказа прокси (режим BYPASS).

4. webProxy Reverse — модуль обратного прокси:

• защищает внутренние веб-ресурсы при удалённом доступе (например, Outlook Web Access),
• блокирует выгрузку конфиденциальных файлов извне.

5. webProxy MultiProxy — модуль централизованного управления, необходимый для крупных распределённых организаций. Позволяет централизованно управлять политиками, контролировать статус применения, добавлять локальные правила.

 

Две версии — две стратегии

Solar webProxy выпускается в двух редакциях — сертифицированной и несертифицированной. Это даёт заказчику выбор: использовать стабильную и проверенную систему в регулируемой инфраструктуре или — новейшую, технологически продвинутую версию в менее критичных сегментах.

Сертифицированная версия 3.7.2:

• полностью соответствует требованиям ФСТЭК, ФСБ, Минцифры;
• прошла экспертизу и включена в реестр СЗИ;
• рекомендуема для использования в госсекторе, КИИ и ГИС;
• имеет стабильный функционал и строгий контроль изменений.

Несертифицированная версия 4.2.1:

• содержит расширенные функции фильтрации (TLS 1.3, SOCKS5, WebSocket);
• поддерживает централизованное управление, интеграцию с FreeIPA/ALD Pro;
• регулярно обновляется (3–4 раза в год);
• адаптирована под современные ОС (Astra Linux, РЕД ОС, Debian);
• включает переработанный интерфейс, улучшенные политики фильтрации, API и расширенные механизмы маршрутизации.

Кто обязан использовать сертифицированные шлюзы

• Органы государственной власти и муниципалитеты;
• Образовательные организации (в том числе школы);
• Финансовые учреждения;
• Объекты критической информационной инфраструктуры (КИИ);
• Компании, работающие с персональными данными и ГИС.

Игнорирование требований может привести к штрафам, приостановке деятельности и даже уголовной ответственности. Проверяющие органы легко определяют, используется ли сертифицированный шлюз — все решения видны в официальном реестре.