Требования по криптографической защите ГИС распространены на внешние облачные сервисы и устройства

Приказом Федеральной службы безопасности (ФСБ) требования по криптографической защите распространены на внешние облачные сервисы и аппаратную часть, которые напрямую не входят в состав государственных информационных систем (ГИС), но обеспечивают их работу.

Ранее требования к применению сертифицированной криптографии распространялись только на саму ГИС и входящие в неё IT-компоненты.

Теперь сертифицированное шифрование может потребоваться как при передаче данных из ведомства в облако, так и по каналам связи внутри охраняемого контура — например, между серверами в одном центре обработки данных (ЦОД). Необходимость применения средств защиты и их класс обосновываются в модели угроз и техническом задании. Криптографическую часть этих документов для ГИС нужно согласовывать с ФСБ, а выполнение требований проверять не реже одного раза в три года. Класс средств криптографической защиты информации (СКЗИ) определяется исходя из масштаба IT-системы, значимости информации и возможностей предполагаемого нарушителя.

За выполнение требований отвечает владелец ГИС. Он может обеспечить их самостоятельно или закрепить за исполнителями государственных контрактов. Распределение расходов определяется условиями контрактов. Безопасность виртуальных и облачных сред, включая контейнеры, относится к компетенции ФСБ и Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Документ касается ГИС, иных ИС госорганов, ИС государственных унитарных предприятий и государственных учреждений.

Приказ не распространяется на информационные системы администрации президента, Совбеза, Федерального Собрания, правительства РФ, Конституционного и Верховного Судов, ФСБ, а также на ИС, содержащие сведения, составляющие государственную тайну.

Источник: CNews

Изображение для иллюстрации. Источник: Wikimedia. Лицензия: CC BY-SA 3.0