С 1 марта 2026 года государственные информационные системы защищаются по новым Требованиям, утверждённым приказом ФСТЭК России № 117. Разбираем, кого касается приказ, что в нём относится к инфраструктуре виртуализации и чем он отличается от требований к самим средствам виртуализации.
Что такое приказ ФСТЭК № 117 и кого он касается
Приказ ФСТЭК России от 11 апреля 2025 года № 117 утвердил Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Он действует с 1 марта 2026 года и заменил прежний приказ № 17.
Требования применяются:
- к государственным информационным системам (ГИС);
- к иным информационным системам государственных органов, государственных унитарных предприятий и государственных учреждений;
- к муниципальным информационным системам, если иное не установлено законодательством.
Смежные случаи приказ оговаривает отдельно. Если в системе обрабатываются персональные данные, дополнительно применяются требования к их защите. Если система является значимым объектом критической информационной инфраструктуры, она защищается и по нормативным актам о КИИ, и по Требованиям. Коммерческим компаниям приказ напрямую не адресован, но его положения часто берут за ориентир при работе с государственными заказчиками.
Строгость мер зависит от класса защищённости системы — первого, второго или третьего. Класс определяет оператор по правилам, приведённым в приложении к Требованиям.
Важно: материал обзорный. Класс защищённости и перечень мер для конкретной системы определяют её оператор, служба информационной безопасности и аттестующая организация.
Что приказ № 117 требует от инфраструктуры виртуализации
Отдельного раздела о виртуализации в приказе нет, но платформу виртуализации затрагивают несколько его положений.
- Защита виртуализации и облачных вычислений названа среди базовых мер защиты — наряду с идентификацией и аутентификацией, управлением доступом, регистрацией событий безопасности, сегментацией и межсетевым экранированием.
- Отказоустойчивость. Средства, которые обеспечивают выполнение значимых функций, должны быть развёрнуты в отказоустойчивой конфигурации, позволяющей восстановить работу в установленный оператором срок. Предельное время восстановления зависит от класса: для первого — не более 24 часов, для второго — не более 7 календарных дней, для третьего — не более 4 недель.
- Резервные копии. Оператор обязан создавать резервные копии программных средств и их конфигураций.
- Удалённый доступ. Допускается при условии применения сертифицированных средств безопасной дистанционной работы и строгой аутентификации пользователей.
- Сертифицированные средства защиты. Для защиты информации применяются сертифицированные средства: для систем первого класса — не ниже 4 класса защиты и уровня доверия, второго — не ниже 5, третьего — 6.
Для платформы виртуализации это означает, что гипервизор и слой управления входят в контур защищаемой системы и рассматриваются при её аттестации.
Требования к средствам виртуализации: приказ ФСТЭК № 187
Требования к самим средствам виртуализации — гипервизору и среде управления — установлены другим документом: Требованиями по безопасности информации к средствам виртуализации, утверждёнными приказом ФСТЭК России от 27 октября 2022 года № 187. По ним средства виртуализации проходят сертификацию.
Этот документ описывает уровень доверия средства виртуализации, требования к хостовой операционной системе и состав функций безопасности: доверенную загрузку виртуальных машин, контроль целостности, изоляцию виртуальных машин, разграничение доступа, регистрацию событий безопасности и контроль информационных потоков между виртуальными машинами.
Два документа работают вместе: приказ № 117 говорит оператору, какие меры нужно реализовать в системе, а требования по приказу № 187 — каким должно быть средство виртуализации, чтобы его можно было применять в таких системах.
Что закрывается на уровне платформы
Чем больше мер реализовано в самой платформе, тем меньше наложенных средств защиты приходится добавлять. В Inscale на уровне платформы реализованы:
- Ролевая модель. Права администраторов разграничиваются ролями: один инженер создаёт снимки, другой управляет сетями, третий наблюдает за нагрузкой без права менять конфигурацию. Действия администраторов журналируются.
- Изоляция управления. Управляющие компоненты изолированы в служебных виртуальных машинах без SSH-доступа; все команды к гипервизору идут через центральный сервер.
- Внешний доступ. Встроенный шлюз размещается в ДМЗ: до авторизации доступа во внутреннюю сеть нет. Второй фактор через RADIUS включается политикой доступа.
- Журналы. События можно передавать в системы мониторинга и SIEM.
- Отказоустойчивость. При отказе сервера его виртуальные машины автоматически перезапускаются на доступных узлах кластера; центральный сервер работает в нескольких экземплярах с кворумом.
- Резервное копирование. Совместимость с системой резервного копирования заказчика проверяется на пилоте.
Inscale включён в реестр российского программного обеспечения и подан на сертификацию ФСТЭК; получение сертификата ожидается.
Переезд на российскую платформу
Соответствие требованиям начинается с переезда. В Inscale диски виртуальных машин из других платформ виртуализации загружаются при создании или изменении машины: платформа конвертирует их в свой формат. Крупную инфраструктуру переносят поэтапно, с согласованными окнами переключения. Подробнее — в статьях Миграция с VMware и Миграция с Hyper-V.
Итог
Приказ ФСТЭК № 117 адресован операторам государственных информационных систем и систем государственных организаций. От инфраструктуры виртуализации он требует защиты как базовой меры, отказоустойчивой конфигурации, резервных копий и применения сертифицированных средств защиты. Требования к самим средствам виртуализации установлены отдельно — приказом № 187.
Хотите разобрать, как платформа Inscale ложится на требования к вашей системе, — оставьте заявку.
Как платформа закрывает требования безопасности.
