Сертификаты ФСТЭК и ФСБ для СЭД: зачем они нужны и как проверить
Разбираем, что дают сертификаты ФСТЭК и ФСБ российской СЭД, кому они обязательны и как проверить их актуальность перед закупкой.
Компания устанавливает СЭД, обрабатывающую персональные данные сотрудников, а через год выясняет на проверке Роскомнадзора, что система не соответствует требованиям по защите информации. Сертификаты ФСТЭК и ФСБ существуют именно для того, чтобы подтвердить: система прошла независимую проверку на соответствие требованиям безопасности до того, как попала на рынок.
Краткий вывод: сертификат ФСТЭК обязателен для СЭД, обрабатывающих государственную информацию и персональные данные высоких уровней защищённости, а сертификат ФСБ требуется при использовании криптографических средств защиты и электронной подписи.
Чем отличаются сертификаты ФСТЭК и ФСБ?
| Параметр | ФСТЭК России | ФСБ России |
|---|---|---|
| Область регулирования | Техническая защита информации | Криптографическая защита информации |
| Что подтверждает | Отсутствие недекларированных возможностей, соответствие требованиям по защите от НСД | Соответствие требованиям к средствам криптографической защиты и ЭП |
| Кому обязателен | Госорганы, операторы значимых объектов КИИ, работа с гостайной | Компании, использующие УКЭП и шифрование данных |
Какие уровни защиты существуют у сертификатов ФСТЭК?
Сертификация ФСТЭК делится на уровни доверия — от 1 (самый строгий, для систем с гостайной) до 6 (базовый уровень для коммерческих информационных систем). Для большинства коммерческих СЭД достаточен сертификат 4-го или 5-го уровня доверия, тогда как для государственных информационных систем высокого класса защищённости требуется 3-й уровень и выше.
Как проверить действительность сертификата перед покупкой СЭД?
- Запросите у вендора номер сертификата ФСТЭК или ФСБ и срок его действия
- Проверьте номер в открытом реестре сертифицированных средств защиты информации на сайте ФСТЭК России
- Уточните, распространяется ли сертификат именно на используемую версию продукта — сертификация выдаётся на конкретную версию ПО
- Проверьте, не истёк ли срок действия сертификата на момент закупки
Какие риски несёт использование несертифицированной СЭД?
Для госорганов и операторов значимых объектов критической информационной инфраструктуры (КИИ) использование несертифицированного решения может привести к отказу в аттестации информационной системы и штрафным санкциям со стороны регуляторов. Для коммерческих компаний основной риск — юридическая уязвимость при обработке персональных данных и невозможность подтвердить соответствие требованиям ФЗ-152 при проверках.
Какие российские СЭД имеют актуальные сертификаты?
Среди enterprise-решений сертификаты ФСТЭК подтверждены у TESSA (Тезис) 4-го уровня доверия, а также у ряда решений линейки ЭОС и Directum. Перед закупкой важно запрашивать актуальную выписку у вендора, поскольку сертификация выдаётся на ограниченный срок и требует переоформления при выходе новых версий продукта.
Главный вывод: сертификаты ФСТЭК и ФСБ — не формальность, а конкретная гарантия того, что система прошла независимую техническую экспертизу. Контр-вывод: наличие сертификата не заменяет собственный аудит безопасности компании — регламенты доступа и хранения данных всё равно настраивает сам заказчик.