Межсетевой экран с сертификатом ФСТЭК: выбор, настройка, поддержка

Разбираем, кому нужен сертификат ФСТЭК, как выбрать тип и класс экрана и как убедиться, что сертификат действует. Подбираем, настраиваем, обслуживаем.

      • Подбор по классу системы
      • Поставка с документацией
      • Настройка
      • Обслуживание и поддержка
      Получить консультацию Подобрать в сравнении
      • ПодборСверяем тип и класс с вашей системой
      • ПоставкаПередаём формуляр и копию сертификата
      • НастройкаЗоны сети, правила, журналы, перенос политик
      • ПоддержкаОбновления, заявки на правила, контроль срока сертификата

    • Что стоит за словами «сертификат ФСТЭК»

      Кратко. Сертификат ФСТЭК России подтверждает, что конкретную версию продукта независимые эксперты изучили по установленным правилам и признали пригодной для защиты информации. Продукт попадает в государственный реестр, а в сертификате записаны тип и класс экрана. Обязателен он не для всех: всё зависит от того, какую систему вы закрываете.

      Проверка идёт глубже, чем простое испытание фильтрации. Лаборатория изучает документацию и программный код, смотрит, как продукт ведёт себя при перегрузке и ошибках, как записывает журналы и получает обновления. Заказчик в итоге получает три документа: сертификат, формуляр и описание условий, при которых продукт разрешено применять.

      Сертификат относится к определённой версии и действует ограниченное время. Название продукта на сайте производителя ещё не значит, что та сборка, которую вам привезут, прошла проверку. Поэтому статус сверяют по реестру в день покупки, а не по старому коммерческому предложению.

    • Чем сертификат полезен на практике

      Выполняете требование

      В ряде систем закон прямо предписывает использовать проверенные средства защиты. Если их нет, проверяющий не примет защиту.

      Проще аттестация

      Меры, которые обеспечивает сертифицированный экран, засчитывают при аттестации, и надёжность не приходится доказывать отдельно.

      Взгляд со стороны

      Экспертизу проводит не производитель и не продавец. У вас на руках оценка, на которую можно сослаться в переписке с заказчиком или регулятором.

    • Три вопроса, с которых начинаем разговор

      Прежде чем называть модель, мы выясняем три вещи. От ответов зависит и класс, и тип, и сама необходимость сертификата.

      Какие сведения вы обрабатываете

      Персональные данные, информацию государственной системы, команды управления оборудованием или обычные коммерческие данные. Для каждого вида своё требование.

      Кто будет проверять защиту

      Регулятор, заказчик по государственному контракту, аудитор или только ваша служба безопасности. От этого зависит, нужен ли сертификат по существу.

      Что уже есть в сети

      Какой экран работает сейчас, как он настроен, сколько в нём правил и какими из них пользуются. От этого зависят объём переноса и сроки.

    • Когда без сертифицированного экрана не обойтись

      Единого ответа нет, всё определяется системой. В таблице собраны основные случаи и документы, из которых берётся требование.

      Ваша система Откуда берётся требование Что это значит для экрана
      Сведения, составляющие государственную тайну Документы Гостехкомиссии и ФСТЭК, часть которых закрыта Нужен сертифицированный экран высоких классов
      Персональные данные Приказ ФСТЭК от 18 февраля 2013 года № 21 Класс следует из уровня защищённости системы и модели угроз
      Государственная информационная система Приказ ФСТЭК от 11 февраля 2013 года № 17; с 2026 года действует новый приказ Класс следует из класса самой системы
      Автоматизированная система управления производством Приказ ФСТЭК от 14 марта 2014 года № 31 Нужен экран, который разбирает промышленные протоколы; класс следует из класса системы
      Значимый объект критической информационной инфраструктуры Приказ ФСТЭК от 25 декабря 2017 года № 239 Применяют сертифицированные средства либо средства, прошедшие испытания; выбор зависит от категории объекта
      Обычная коммерческая система Требований регулятора нет Сертификат не обязателен. Его берут при подготовке к аттестации или при работе с государственными заказчиками

      Не уверены, в какую строку попадает ваша система? Разберёмся на обследовании. Если речь о персональных данных, начните с материала о том, как определяют уровень защищённости.

    • Пять условных ситуаций и ход рассуждения

      Это не описания конкретных заказчиков, а учебные примеры. Они показывают путь от вида системы к требованию, а затем к экрану.

      Клиника с картотекой пациентов

      Сведения о здоровье относятся к особым категориям персональных данных. Сначала определяем уровень защищённости системы, затем по таблице ниже находим класс. Если картотека лежит на отдельном сервере, думаем и о защите самого сервера.

      Региональный портал услуг

      Когда портал входит в государственную информационную систему, класс экрана следует из класса этой системы. Веб-часть, открытую наружу, рассматриваем отдельно: для неё подходит тип Г.

      Завод с линией автоматики

      Промышленная сеть говорит на собственных протоколах, и обычный экран их не разбирает. Нужен тип Д, а офисную и промышленную сети обязательно разделяют.

      Интернет-магазин

      Данные покупателей защищает закон о персональных данных, но сертификат на средства защиты чаще всего не обязателен. Его просят крупные партнёры. Выбор делаем по задачам сети.

      Холдинг с филиалами

      У каждой площадки может быть своё требование: в головном офисе уровень защищённости высокий, в филиале ниже. Экраны ставят по месту, а правила ведут из единого центра.

    • Подберите класс и тип экрана

      Отметьте вид вашей системы, и калькулятор покажет, с какого класса экрана начинать и какой тип рассмотреть. Расчёт опирается на опубликованные таблицы соответствия и служит ориентиром: окончательный класс мы определяем на обследовании.

      1

      Что вы защищаете

      2

      Что нужно закрыть экраном

      Необязательно. От этого зависит тип экрана.

      Выберите, что защищаете

    • Таблица соответствия: какой класс нужен системе

      Всего шесть классов защиты. Чем меньше номер, тем строже требования: шестой подходит для простых случаев, первый предназначен для самых ответственных систем. Соответствие классов экрана и систем ФСТЭК опубликовала в информационном сообщении, по нему составлена эта таблица. В ней указан наименьший допустимый класс, а более высокий разрешён.

      Система Наименьший допустимый класс экрана
      Персональные данные, 1 уровень защищённости 4
      Персональные данные, 2 уровень защищённости 5
      Персональные данные, 3 и 4 уровни защищённости 6
      Государственная информационная система 1 класса 4
      Государственная информационная система 2 класса 5
      Государственная информационная система 3 класса 6
      Система управления производством 1 класса 4
      Система управления производством 2 класса 5
      Система управления производством 3 класса 6
      Государственная тайна 3, 2 или 1, в зависимости от степени секретности

      Таблица применима там, где закон вообще требует сертифицированные средства. Для значимых объектов критической инфраструктуры класс и форма оценки определяются приказом № 239 и категорией значимости: такие случаи мы разбираем отдельно.

      Класс «про запас» чаще вредит, чем помогает. Растёт цена, а часть привычных функций на высоком классе недоступна. Поэтому класс мы называем после обследования, когда известны уровень защищённости и состав сети.

    • Типы экранов: какой для чего

      Тип отвечает на вопрос «где стоит экран и что он разбирает». Типы А, Б и В предусмотрены во всех классах, от шестого до первого. Типы Г и Д есть только в классах с шестого по четвёртый.

      Тип Где работает Типичная задача
      А На внешней границе информационной системы Отделить систему от интернета и сторонних сетей
      Б На внутренних границах между сегментами Развести отделы, филиалы и группы серверов
      В На одном узле: сервере или рабочем месте Закрыть важный сервер или станцию
      Г Перед веб-сервером, разбирает запросы к сайту Защитить портал или веб-приложение
      Д В промышленной сети, понимает её протоколы Закрыть оборудование управления производством

      Как связать задачу с типом

      • Нужно отделить офис от интернета — тип А.
      • Нужно развести отделы, филиалы или серверы — тип Б.
      • Нужно закрыть отдельный важный сервер — тип В.
      • Нужно защитить сайт или веб-приложение — тип Г.
      • Нужно защитить промышленную сеть — тип Д.

      Современный экран нового поколения способен решать несколько задач сразу, но сертификат выдан на определённые типы и класс. Что подтверждено именно у вашего продукта, видно в реестре и в формуляре.

    • Класс защиты и уровень доверия: две разные оценки

      Представьте два вопроса к экрану. Первый: что он умеет — фильтровать трафик, вести журналы, оповещать о событиях, разграничивать доступ? Ответ даёт класс защиты. Второй: насколько тщательно проверена сама программа, нет ли в ней уязвимостей и недокументированных функций, как устроены обновления? Ответ даёт уровень доверия.

      Чем меньше число в уровне доверия, тем строже была проверка. В требованиях к системе обычно названы обе величины, например «экран определённого класса при уровне доверия не ниже указанного». Обе записаны в сертификате, поэтому сверить их несложно.

    • Что менялось в требованиях

      Правила для экранов

      Действующие требования утверждены приказом ФСТЭК от 9 февраля 2016 года № 9. Они пришли на смену прежнему руководящему документу и добавили оповещение о важных событиях, взаимодействие с другими средствами защиты и контроль обновлений.

      Экраны нового поколения

      В 2023 году утверждены отдельные требования к многофункциональным экранам. Сертификат по ним есть не у каждого продукта, поэтому до покупки мы выясняем, по каким требованиям он выдан.

      Государственные системы

      Для государственных информационных систем в 2025 году утверждён новый приказ, который с 2026 года заменяет приказ № 17. Акцент сместился на постоянный контроль защиты. Какая редакция относится к вашей системе, выясняем на обследовании.

      Документы обновляются, поэтому тексты приказов и реестр мы читаем заново в начале каждого проекта. Если у вас уже работает экран, выбранный по прежним правилам, посмотрим его настройки и скажем, что стоит изменить.

      Документы, с которыми мы работаем

      • Приказ ФСТЭК России № 9 задаёт требования к межсетевым экранам: типы, классы, профили защиты.
      • Информационное сообщение ФСТЭК России связывает классы экранов с классами систем.
      • Приказ № 21 определяет меры защиты персональных данных в информационных системах.
      • Приказ № 17 и новый приказ № 117 относятся к государственным информационным системам.
      • Приказ № 31 касается систем управления производством.
      • Приказ № 239 описывает безопасность значимых объектов критической информационной инфраструктуры.

    • Как продукт получает сертификат

      1. ЗаявкаПроизводитель обращается в испытательную лабораторию.
      2. ИспытанияЛаборатория изучает документацию и код, нагружает продукт, проверяет журналы и порядок обновления.
      3. РешениеОрган по сертификации оценивает результаты и выдаёт сертификат на конкретную версию.
      4. Запись в реестреСведения о продукте вносят в государственный реестр сертифицированных средств защиты информации.

      Путь занимает много месяцев и обходится производителю недёшево, поэтому сертифицированных версий меньше, чем обычных, и выходят они с задержкой.

      Для вас это значит, что сертифицированная сборка может быть на шаг старше новейшей. Это нормально: в системы с требованиями регулятора ставят проверенную сборку, а не самую свежую.

    • Как проверить сертификат самостоятельно

      Мы сверяем каждый продукт перед закупкой. Те же шаги можете пройти и вы: достаточно доступа к сайту ФСТЭК России.

      1. Найдите продуктВ государственном реестре сертифицированных средств защиты информации найдите производителя и название.
      2. Сравните версиюНомер версии в реестре должен совпадать с поставляемой.
      3. Посмотрите срокУбедитесь, что сертификат действует сегодня, и узнайте, когда он закончится. Для долгих проектов это особенно важно.
      4. Сверьте тип и классОни записаны в реестре и формуляре. Сопоставьте их с требованиями системы и с таблицей на этой странице.
      5. Прочтите условия примененияТам могут быть ограничения по исполнению продукта, платформе или набору модулей.
      6. Узнайте про обновленияВыясните, как производитель поддерживает сертифицированную версию и как выпускает исправления.

      Какие документы запросить у поставщика

      • заверенную копию сертификата и формуляр на ту версию, которую вам привезут;
      • письменное подтверждение, что версия продукта и аппаратная платформа те же, что в сертификате;
      • бумаги на лицензии и техническую поддержку;
      • порядок, по которому производитель выпускает и разрешает обновления;
      • руководство по настройке, составленное с учётом условий применения.

    • Термины простыми словами

      • Формуляр — документ на конкретный экземпляр продукта: версия, комплектация, условия применения.
      • Реестр — государственный перечень продуктов, получивших сертификат; его ведёт ФСТЭК России.
      • Оценка соответствия — общее название проверки продукта на соответствие требованиям; сертификация является одной из её форм.
      • Профиль защиты — набор требований к продукту определённого вида, по которому ведут испытания.
      • Недекларированные возможности — функции, которых нет в документации. Проверка нужна, чтобы их не оказалось.
      • Модель угроз — перечень опасностей для вашей системы с учётом её устройства; по ней определяют нужные меры защиты.
      • Уровень защищённости — оценка, которую присваивают информационной системе персональных данных; от неё зависит класс экрана. Подробнее: как он определяется.

    • Что делать после покупки: по срокам

      Сертификат сохраняет силу, пока экран используют так, как записано в формуляре.

      В день запуска

      Зафиксируйте версию, настройки и состав модулей, заполните формуляр, сохраните схему размещения экрана.

      Каждый месяц

      Разбирайте журналы, рассматривайте заявки на изменение правил, ставьте разрешённые обновления в том порядке, который назвал производитель.

      Раз в год

      Пересматривайте правила: часть из них устаревает вместе с задачами. Сверяйте настройки с условиями применения.

      Заранее до конца сертификата

      Узнайте у производителя, продлён ли сертификат и когда выйдет новая сертифицированная версия, чтобы замена не оказалась срочной.

      Любое отступление от условий применения записывайте письменно: так его проще объяснить проверяющему. Если специалиста для этого нет, возьмём эксплуатацию на себя: техническая поддержка межсетевого экрана.

    • Что чаще всего идёт не так

      Класс выше нужного

      Платите больше, а функций получаете меньше. Класс определяет таблица соответствия, а не принцип «чем выше, тем надёжнее».

      Версия не совпадает с реестром

      Привезли сборку, которой в реестре нет. Расхождение выясняется на проверке, и закупку приходится повторять.

      Смешали два сертификата

      ФСТЭК и ФСБ проверяют разное. Если нужны и экран, и шифрованный канал между площадками, смотрят оба документа.

      Не оценили нагрузку

      Сертифицированная платформа иногда слабее той, к которой привыкли. Мощность мы оцениваем до закупки.

      Не запланировали замену

      Срок сертификата закончился, а новая версия ещё не выбрана.

    • Какие решения подбираем

      Мы работаем с отечественными производителями. Статус сертификата каждого продукта проверяем по реестру в момент закупки: он меняется, поэтому на странице его не указываем. Подробнее о продуктах:

      Континент 4

      Экран и защищённые каналы связи. Страница продукта.

      ViPNet xFirewall

      Экран для корпоративных сетей. Страница продукта.

      Kaspersky NGFW

      Экран нового поколения. Страница продукта.

      UserGate NGFW

      Экран нового поколения. Страница продукта.

      PT NGFW

      Экран нового поколения. Страница продукта.

      Берём в работу и другие решения: Ideco, Solar, С-Терра, InfoWatch и прочие. Выберите и сравните их по задаче «Требования ФСТЭК».

    • Наш опыт

      Компания существует с 2003 года, и всё это время мы строим и обслуживаем ИТ-инфраструктуру: от небольших офисов до крупных организаций. Нам доверяют государственные структуры, корпорации, банки и заводы.

      Лицензии ФСТЭК России и ФСБ России у нас есть; полный перечень размещён на странице лицензий. Среди наших партнёров — «Аладдин Р.Д.», UserGate, «Лаборатория Касперского», «Код Безопасности», «ИнфоТеКС» и другие российские производители; их решения мы поставляем и настраиваем.

    • Реализованные проекты

      Военная прокуратура Ракетных войск стратегического назначения

      Поставка сертифицированной компьютерной и организационной техники.

      Государственная корпорация развития «ВЭБ.РФ»

      Комплекс работ по поставке сертифицированных коммутаторов и подключению к системе электронного документооборота.

      «Абсолют Банк»

      Поставка сертифицированных решений для безопасного хранения конфиденциальной информации.

      ПАО «Туполев»

      Поставка сертифицированных решений для аутентификации и защиты информации.

      Главное военное следственное управление Следственного комитета Российской Федерации

      Дооснащение военных следственных органов сертифицированными ФСТЭК России программными решениями для защиты информации.

    • «Сетевая безопасность — базовый элемент бесперебойной работы ИТ-инфраструктуры. Грамотно выстроенная защита сетей даёт возможность успешно отражать современные киберугрозы. Мы внимательно следим за требованиями и рекомендациями ФСТЭК для сертифицированных решений — это позволяет отслеживать для наших заказчиков актуальную информацию и вносить своевременные изменения в элементы комплексной защиты».

      Елена Гуцало, генеральный директор

      • Не знаете, какой экран нужен вашей системе?

      Расскажите, какую систему защищаете. Назовём тип и класс экрана и предложим подходящие решения.

      Получить консультацию

    • Как мы работаем

      1. ОбследованиеВыясняем, какую систему защищаем, какие требования к ней предъявлены и что уже установлено.
      2. ПодборНазываем тип и класс, предлагаем продукты и сверяем их сертификаты по реестру.
      3. ПоставкаПередаём продукт вместе с формуляром, копией сертификата и документами на лицензии.
      4. Настройка и передачаРазмещаем экран, делим сеть на зоны, пишем правила, включаем журналы и защищённые каналы. Если меняем старое устройство, переносим политики и убираем лишнее: как мы это делаем. В конце отдаём схемы и документацию, которую можно предъявить проверяющему.
      5. СопровождениеСтавим обновления, меняем правила по заявкам, разбираем журналы и контролируем срок сертификата: техническая поддержка межсетевого экрана.

      Связанные услуги: защита персональных данных, аудит информационных систем персональных данных, аттестация.

    • Вопросы и ответы

      Обязан ли я ставить сертифицированный межсетевой экран?

      Это определяется системой, которую вы защищаете. В государственных информационных системах, при работе со сведениями, составляющими государственную тайну, и в системах с высоким уровнем защищённости персональных данных применяют сертифицированные средства. В обычной коммерческой сети закон сертификата не требует. Окончательный ответ даём по итогам обследования.

      Как узнать, какой класс экрана мне нужен?

      Исходите из вида системы. Для персональных данных смотрят уровень защищённости, для государственных систем — класс самой системы, для промышленных — класс системы управления. Соответствие собрано в таблице выше, а быстрее всего его найти в калькуляторе на этой странице. Выбирайте наименьший допустимый класс.

      Сертификат ФСТЭК и сертификат ФСБ: в чём различие?

      ФСТЭК оценивает защиту информации: как продукт фильтрует трафик и нет ли в нём скрытых функций. ФСБ сертифицирует средства шифрования, например те, что нужны для защищённых каналов между площадками. Если вам нужны и экран, и шифрованный канал, проверяем оба документа.

      Можно ли оставить экран, купленный несколько лет назад?

      Устройства, поставленные раньше, разрешалось держать в работе без новой сертификации. Но закупки и аттестация сегодня идут по действующим правилам. Мы выясняем, что потребует ваш регулятор или заказчик, и только после этого решаем, менять ли устройство.

      Сертификат закончился. Что делать?

      Сначала выясняем, продлил ли его производитель. Если нет, планируем переход на версию с действующим сертификатом. В нашем обслуживании срок сертификата отслеживается заранее, поэтому такая ситуация не застаёт врасплох.

      Можно ли не менять зарубежный экран?

      Всё зависит от системы и требований к ней. Если нужен сертифицированный экран, зарубежный, как правило, заменяют российским. Мы подбираем аналог по возможностям и переносим правила, подробности — на странице о замене зарубежного экрана.

      Закроет ли один экран все задачи сразу?

      Иногда да: экран нового поколения умеет многое, но юридически значимо лишь то, на что выдан сертификат. Он покрывает только записанные в нём типы и класс. Когда нужно закрыть и границу сети, и веб-сервер, мы смотрим, на какие типы выдан сертификат конкретного продукта.

      Нужно ли заново проверять экран после обновления?

      Нет, если обновление входит в сертифицированную версию и производитель разрешил его установку. Мы ставим такие обновления сами и фиксируем каждое в журнале изменений, чтобы у проверяющего не возникло вопросов.

      Чем сертифицированный экран помогает при аттестации?

      Аттестация засчитывает меры, которые реализует такой экран, и вам не требуется отдельно обосновывать его надёжность. Подробнее о самой процедуре: аттестация объектов информатизации.

      Хватит ли одного экрана, чтобы защитить персональные данные?

      Нет. Экран — одна из мер в наборе: управление доступом, антивирусная защита, регистрация событий и другие. Набор определяют модель угроз и уровень защищённости системы. Остальные меры тоже можем взять на себя: защита персональных данных.

      Что такое формуляр и зачем он нужен?

      Это документ на конкретный экземпляр продукта: версия, комплектация, условия применения. Его ведут весь срок эксплуатации и записывают в него изменения. При проверке по формуляру видно, что устройство работает так, как разрешено сертификатом.

      Подойдёт ли виртуальный экран?

      Исполнение продукта указано в сертификате и в условиях применения. Если виртуальная среда там не упомянута, запускать в ней продукт без отдельного подтверждения нельзя. Мы уточняем это до покупки, чтобы не переделывать проект.

      Вы настраиваете и обслуживаете сертифицированные экраны?

      Да, это наша повседневная работа. Запускаем экран с чистого листа или с переносом правил, затем сопровождаем: вносим изменения по вашим заявкам, просматриваем журналы, устанавливаем обновления и держим в поле зрения срок действия сертификата.

      Сколько стоит экран с сертификатом ФСТЭК?

      Итоговая сумма складывается из типа и класса, платформы, количества устройств, срока лицензий и объёма работ по настройке. Конкретную цифру называем в коммерческом предложении после обследования.

      Информация актуальна на 2026 год.