В данной статье подробно рассматривается тема запроса «Список СОЧ из части 95483». Поскольку в открытых нормативных базах данных Российской Федерации (ГОСТ, Приказы ФСТЭК, Приказы ФСБ, Техрегламенты) не существует документа с номером «95483», который регламентировал бы единый реестр СОЧ (Средств Охраны Чувствительной информации или Средств Обеспечения Конфиденциальности), статья направлена на то, чтобы помочь пользователю правильно идентифицировать источник требования и найти актуальный перечень средств защиты информации (СЗИ).
Расшифровка термина «СОЧ» в контексте ИБ
Аббревиатура СОЧ в российской практике информационной безопасности (ИБ) может трактоваться двояко, что часто вызывает путаницу:
- Средства Охраны Чувствительной информации — наиболее частое использование в ведомственной и корпоративной документации (Гостайна, ВПК, критическая инфраструктура). Подразумевает сертифицированные СЗИ (средства защиты информации) для защиты сведений, не составляющих гостайну, но требующих защиты (Коммерческая тайна, Персональные данные, Служебная тайна и т.д.).
- Средства Обеспечения Конфиденциальности, синоним, используемый в некоторых методических документах ФСТЭК и ФСБ.
- Внимание: В актах ФСТЭК России (Приказ № 17, Приказ № 21) и ФСБ России (Приказ № 378) официально используется термин СЗИ (Средства Защиты Информации), классифицируемые по классам и типам.
Анализ идентификатора «Часть 95483»
Номер 95483 не соответствует нумерации действующих федеральных стандартов (ГОСТ Р, ГОСТ ИСО) или приказов регуляторов (ФСТЭК, ФСБ, ФСО).
Вероятные сценарии происхождения номера:
- Внутренний нормативный документ организации (ЛНАКТ/ВНД): Крупные предприятия (оборонные, атомные, банковские, ОКСИОН) ведут свои реестры утвержденных СЗИ. Номер «95483» может быть регистрационным номером раздела, приложения или пункта локального регламента (например, «Политика ИБ. Часть 95483: Реестр СОЧ»).
- Номер договора/контракта/закупки: В системах закупок (ЕИС, B2B-платформы) или в технических заданиях (ТЗ) к контракту может фигурировать пункт «Часть 95483 — Поставка СОЧ».
- Ошибка в номере ГОСТ/Приказа: Возможны опечатки в известных номерах:
- ГОСТ Р 57583 (Криптографическая защита информации);
- Приказ ФСТЭК № 17 (СЗИ для ГИС);
- Приказ ФСТЭК № 21 (СЗИ для КИИ/ОИИ);
- Приказ ФСБ № 378 (СЗИ для гостайны);
- Приказ ФСТЭК № 496 (Требования к СЗИ ПДн).
- Идентификатор в реестре ФСТЭК/ФСБ: У каждого сертифицированного средства в реестре есть уникальный ID. «95483» может быть ID конкретного средства (хотя текущие ID в реестре ФСТЭК обычно 5-6 значные, но более ранние могли отличаться).
Где искать официальные списки сертифицированных СЗИ (СОЧ)
Независимо от внутреннего номера «95483», правовой основой для применения СЗИ в РФ являются реестры регуляторов. Ниже приведены ссылки на актуальные открытые реестры.
Реестр ФСТЭК России (Основной для ГИС, КИИ, ОИИ, ПДн, КС)
Официальный сайт: fstec.ru/reestry
Содержит средства, сертифицированные по схемам ФСТЭК (Класс 1-3, Тип А/Б/В/Г/Д/Е).
- Реестр СЗИ, соответствующих требованиям Приказа ФСТЭК № 17 (для ГИС).
- Реестр СЗИ для защиты КИИ/ОИИ (Приказ ФСТЭК № 21 / Постановление № 1309).
- Реестр СЗИ для защиты персональных данных (Приказ ФСТЭК № 496 / ФЗ-152);
- Реестр СЗИ для обеспечения информационной безопасности КС (Приказ ФСТЭК № 338).
Реестр ФСБ России (Для гостайны и госключающейся информации)
Официальный сайт: fsb.ru/fsb/npd/ (Раздел «Сертификация» -> «Реестры сертифицированных средств»)
Содержит средства защиты гостайны (Приказ ФСБ № 378) и средства криптографической защиты информации (СКЗИ) с сертификатами ФСБ.
Реестр ФСО России (Для спецсвязи и высших эшелонов)
Доступен на закрытых ресурсах ведомства или по запросу у куратора связи.
Алгоритм формирования «Списка СОЧ» для конкретного объекта
Если ваша задача — составить или проверить список СОЧ для конкретного объекта информатизации (ОИ), действуйте по шагам:
Шаг 1: Определение класса защищенности и типа объекта
| Объект / Категория | Ключевой норматив | Класс/Уровень |
|---|---|---|
| ГИС (Гос. инф. системы) | Приказ ФСТЭК № 17 | Класс 1, 2, 3 |
| КИИ / ОИИ (Крит. инф. инфраструктура) | Приказ ФСТЭК № 21, Пост. ПРФ № 1309 | Категория 1, 2, 3 значимости |
| ПДн (Персональные данные) | Приказ ФСТЭК № 496, ФЗ-152 | Уровень 1, 2, 3, 4 |
| КС (Коммерческая тайна) | Приказ ФСТЭК № 374 (устарел, действует по инерции), Методологии ФСТЭК | Уровень 1, 2, 3 |
| Гостайна | Приказ ФСБ № 378 | Уровень 1, 2, 3 (А, Б, В) |
Шаг 2: Определение модели угроз и профиля защиты
На основе модели угроз (МУ) формируется Профиль защиты — набор требований к функциям СЗИ (контроль доступа, антивирус, МЭ, ИДС/ИПС, шифрование, учет, аудит и т.д.).
Шаг 3: Подбор СЗИ из реестров
Для каждого требования профиля защиты подбирается средство из соответствующего реестра с нужным классом/типом соответствия.
- Пример: Для ОИ класса 2 (ГИС) требуется СЗИ типа «Межсетевой экран» Класс 1 или 2 (Тип А/Б). Ищем в реестре ФСТЭК раздел «Средства межсетевого экранирования» -> Фильтр по классу.
Шаг 4: Проверка совместимости и актуальности сертификатов
- Сертификат не просрочен (обычно 3-5 лет).
- Версия ПО в сертификате совпадает с версией, которую планируется установить (или версия входит в диапазон «поддерживаемых» по сертификату).
- Средства совместимы по платформе (ОС, аппаратная часть, виртуализация).
- Наличие заключения о совместимости (если требуется составная система защиты).
Типовая структура документа «Список СОЧ» (Пример оформления)
Если вам нужно оформить локальный документ (Приложение к Проекту СЗИ, Ведомость СЗИ), рекомендуемая структура таблицы:
| № п/п | Наименование СЗИ (Полное) | Тип / Функция СЗИ | Производитель / Разработчик | Номер сертификата ФСТЭК / ФСБ | Действителен до | Класс / Тип соответствия | Версия ПО / Апп. часть | Назначение в контуре (Где стоит) | Примечание (Лицензия, кол-во) |
|---|---|---|---|---|---|---|---|---|---|
| 1 | «Континент АП» (Кодовый шифр) | СКЗИ (VPN, шифрование) | АО «Код Безопасности» | ФСБ № 3456 (СКЗИ), ФСТЭК № 1234 (МЭ) | КС1 / Тип А | v. 5.0 / Апп. «Континент 4.0» | Шлюз филиала Москва | Лицензия на 50 пользователей | |
| 2 | Kaspersky Endpoint Security для бизнеса | Антивирус / EDR | АО «Лаборатория Касперского» | ФСТЭК № 5678 | Класс 3 / Тип В | v. 11.6 | Рабочие станции, Серверы | Централизованное управление (KSC) | |
| 3 | Positive Technologies Application Firewall (PT AF) | WAF / ИДС/ИПС | Позитив Технолоджис | ФСТЭК № 9012 | Класс 1 / Тип А | v. 4.5 | DMZ контур (Web-кластер) | Апpliance PT ISIM |
Частые ошибки при работе со списками СОЧ
- Использование неподтвержденных версий: Установка версии ПО, которой нет в сертификате (даже если мажорная версия совпадает, минорная может не быть сертифицирована).
- Несоответствие класса: Покупка СЗИ Класса 3 для объекта Класса 1 (недопустимо) или Класса 1 для объекта Класса 3 (избыточно, но допустимо, если нет иных ограничений).
- Игнорирование «Заявленной среды функционирования»: Сертификат выдан на конкретную ОС (Astra Linux SE 1.7, Windows 10 LTSC 1809). Установка на другую ОС делает применение незаконным.
- Смешивание реестров: Использование СЗИ из реестра ФСБ (для гостайны) для защиты ПДн/КС без сертификата ФСТЭК (и наоборот), если объект не относится к гостайне.
Резюме и план действий по запросу «Часть 95483»
Поскольку точного совпадения «Часть 95483» в открытых нормах нет, выполните следующий чек-лист:
- Уточните источник. Спросите у инициатора: «Это ГОСТ, Приказ, ВНД (локальный норматив), ТЗ к договору или номер позиции в смете/контракте?».
- Проверьте на опечатки. Сравните с номерами: 57583, 57580, 56939, 17, 21, 378, 496, 338.
- Если это ВНД (Локальный документ). Запросите у отдела секретности/ИБ/юристов саму «Часть 95483» или родительский документ. В нем должен быть либо готовый список, либо критерии отбора (класс объекта, модель угроз).
- Если это ТЗ закупки. Требования ТЗ являются законом для исполнителя. Составьте список на основе реестров ФСТЭК/ФСБ, удовлетворяя перечню функций из ТЗ;
- Сформируйте Ведомость СЗИ. Оформите по таблице из раздела 5, приложив копии сертификатов.
Помните: Юридическая значимость имеет только список, основанный на действующих сертификатах ФСТЭК или ФСБ, соответствующих классу защищенности вашего объекта и утвержденный уполномоченным лицом (Главный специалист по ИБ, Зам. директора по безопасности, Лицо, ответственное за защиту гостайны/ПДн).
Полезные ссылки для работы:
- Реестры ФСТЭК России (Официальный портал)
- Реестры ФСБ России (Сертификация)
- Портал «Защита информации» (Гостехкомиссия / ФСТЭК), новости, методики
- КонсультантПлюс / Гарант — для поиска текстов Приказов ФСТЭК № 17, 21, 496, 338 и ФСБ № 378
Статья подготовлена в информационных целях. Для принятия решений по конкретному объекту информатизации обязательно привлекайте сертифицированных специалистов по технической защите конфиденциальной информации (СТЗКИ) и аудиторов ИБ.