В России ужесточились требования к криптозащите госсистем. За безопасностью виртуальных сред и облаков сред проследит ФСБ

Усиление киберзащиты

Для подключаемых к госсистемам сервисов усилят защиту, пишут «Ведомости». За безопасностью виртуальных и облачных сред проследят силовые структуры.

В сентябре 2026 г. Федеральная служба безопасности (ФСБ) России распространила требования по криптографической защите на внешние облачные сервисы и аппаратную часть, которые напрямую не входят в состав государственных информационных систем (ГИС), но обеспечивают их работу. Ранее требования к применению сертифицированной криптографии распространялись только на саму ГИС и входящие в нее ИТ-компоненты. Это следует из приказа ФСБ №321 от 22 августа 2026 г., опубликованного 31 августа.

Специальные правила для внешних сервисов, подключаемых через сеть, появились после принятия закона №568-ФЗ от 29 декабря 2025 г. Документ регулирует порядок создания ГИС и вводит обязанности для операторов. 18 августа 2026 г. Правительство России приняло постановление №1024, которое обязало размещать ИТ-компоненты таких сервисов в России, разграничивать ответственность заказчика и поставщика в контракте, обеспечивать резервное копирование данных и сообщать об ИТ-инцидентах. Эти правила вступили в силу 1 сентября 2026 г. Приказ ФСБ дополняет их требованиями именно к криптографической защите.

Что меняется

Сертифицированное шифрование может потребоваться как при передаче данных из ведомства в облако, так и по каналам связи внутри охраняемого контура - например, между серверами в одном центре обработки данных (ЦОД). Необходимость применения средств защиты и их класс обосновываются в модели угроз и техническом задании. Криптографическую часть этих документов для ГИС нужно согласовывать с ФСБ, а выполнение требований проверять не реже одного раза в три года. Класс средств криптографической защиты информации (СКЗИ) определяется исходя из масштаба ИТ-системы, значимости информации и возможностей предполагаемого нарушителя.

За выполнение требований отвечает владелец ГИС, уточнил «Ведомостям» представитель Минцифры. Он может обеспечить их самостоятельно или закрепить за исполнителями государственных контрактов. Распределение расходов определяется условиями контрактов. Безопасность виртуальных и облачных сред, включая контейнеры, относится к компетенции ФСБ и Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Представитель «Гостеха» сообщил, что приказ не потребует доработки платформы, поскольку она уже позволяет применять СКЗИ нужных классов. Защиту в любом случае нужно будет отдельно проектировать и согласовывать для каждой ГИС.

Оценки экспертов

Приказ расширяет периметр действовавшего регулирования: теперь облачную инфраструктуру придется учитывать в модели ИТ-угроз и при проектировании защиты, отмечает основатель и генеральный директор RUVDS Никита Цаплин. Главная сложность связана с динамичностью облака - виртуальные машины перемещаются между серверами, контейнеры создаются и удаляются, программное обеспечение (ПО) обновляется. СКЗИ при этом рассчитаны на работу в определенной программно-аппаратной среде. Поэтому могут потребоваться более стабильные и изолированные контуры.

Приказ потребует менять не алгоритмы, а ИТ-архитектуру и распределение ответственности между оператором и провайдером, считает основатель компании «Интернет-розыск» Игорь Бедеров. При аренде облачной инфраструктуры доверенную среду придется обеспечивать не только в гостевой операционной системе (ОС), но и на уровне гипервизора и средств управления. Это может подтолкнуть государственные системы от публичных облаков к государственным или частным защищенным контурам. Неясным остается и охват требований: относятся ли к внешним мощностям арендованные стойки в дата-центрах и достаточно ли для облачной базы данных защитить канал и диск, либо СКЗИ должны встраиваться в саму систему управления базами данных (БД).

Бизнес-консультант по информационной безопасности (ИБ) Positive Technologies Алексей Лукацкий предупреждает, что требования двух регуляторов могут оказаться несовместимы с доступными ИТ-решениями. Требование ФСТЭК учитывать внутреннего нарушителя при согласовании криптографической защиты с ФСБ будет подталкивать государственные системы к СКЗИ класса не ниже КС3 (высокий уровень защиты для критически важных ИТ-систем). Таких ИТ-продуктов немного, а правила их эксплуатации, по оценке эксперта, не позволяют устанавливать их в виртуальной среде. Результатом может стать формальное выполнение требований. «Государственные организации будут строить потемкинские деревни: согласовывать с одним регулятором одну модель нарушителя, с другим — другую, а приобретать то, что им доступно», — говорит Лукацкий. Альтернатива — передать проблему операторам «Гостеха» или государственной единой облачной платформы, которые будут получать согласования под конкретную архитектуру.

Влияние на проекты

Приказ вряд ли существенно повлияет на стоимость или сроки облачных проектов, считает ИБ-директор РТК-ЦОД Денис Поладьев. По его оценке, документ уточняет отдельные аспекты и область действия требований, а также гармонизирует их с другими нормативными актами, принятыми в 2026 г. У РТК-ЦОД уже есть облачная инфраструктура для размещения ГИС первого класса защищенности, а класс применяемых СКЗИ определяется отдельно на основании модели ИТ-угроз.

Прямого запрета на динамическую облачную среду приказ не содержит, отмечает бизнес-партнер по кибербезопасности Cloud.ru Юлия Липатникова. У провайдера есть аттестованное по высшему классу защищенности ГИС «Облако для критической информационной инфраструктуры (КИИ)» по требованиям ФСТЭК, а также онлайн-сервисы управления ключами и аппаратные ИТ-модули безопасности на базе сертифицированного ФСБ «Криптопро HSM». При этом виртуализация и автоматическое масштабирование усложняют защиту ИТ-оборудования и ключей и могут увеличить стоимость и сроки проектов.