Госзащита ПО: ФСТЭК, ФСБ, КИИ

Периодически от ИБ-представителей заказчиков на проектах регулярно звучал один вопрос: «Хорошо, мы выполнили требования. Но насколько мы защищены в целом с учетом ваших сертификатов и версий? Как измерить зрелость всей системы ИБ, а не отдельных мер?» возможно не так официально, но смысл сводился к этому. Я отвечал, что вопрос не совсем мой, но молва "что я делал что-то то по ФСТЭК" опережала. И так я стал отслеживать различную нормативку по ИБ, прежде всего для моего профиля. Но вернемся к вопросам:)...

Первая часть была про «что и зачем»: почему сертификат ФСТЭК перестал быть опциональным, как устроены уровни доверия, на какие нормативные документы опираться и кто участвует в процессе. Здесь — про «как»: этапы, документы, ошибки, и что происходит с продуктом после того, как сертификат получен. Разберу формальную процедуру. Когда я наконец сел разбираться — первым делом попытался понять, где именно находится наш процесс и что происходит на каждом шаге. Оказалось, что сам по себе маршрут хорошо регламентирован...

Несколько лет назад мы с командой прошли сертификацию по ФСТЭК (Про это начал писать чуть позже продолжу ). Это когда берёшь свой программный продукт и доказываешь регулятору, что он защищён: документация, испытательная лаборатория, аттестационная комиссия, сотни технических требований. Сложно. Долго. Дорого. И вот 3 августа 2026 года выходит новость: ФСБ вводит новые требования для удостоверяющих центров, работающих с электронной подписью (ЭП). Главное — доверенные лица УЦ ФНС будут обязаны использовать информационные системы, аттестованные по приказу ФСТЭК № 117 от 11 апреля 2025 года...

Есть темы, которые в ИТ-сообществе принято обходить стороной (в корпоративном секторе). Не потому что они скучные — а потому что они пугают. ФСТЭК-сертификация — одна из них. Сначала это была не моя задача. У нас была команда, был ответственный за сертификацию, была выбрана испытательная лаборатория. Я наблюдал за процессом с административной дистанции — как это обычно и бывает у директора по развитию: знаю, что идёт, не вникаю в детали, получаю статусы на совещаниях или в кулуарах. «ФСТЭК-сертификация» в моей картине мира была строчкой в плане и зоной ответственности других людей...