Какие средства защиты информации нужны
Класс защиты СЗИ, уровень доверия и класс средств вычислительной техники — по уровню защищённости ИСПДн, классу государственной системы или категории значимости объекта КИИ. Требования установлены приказами ФСТЭК России от 18.02.2013 № 21, от 11.04.2025 № 117 и от 25.12.2017 № 239.
Основание: пункт 12 приказа № 21 — приказ ФСТЭК России от 18.02.2013 № 21.
Класс защиты и уровень доверия — разные вещи
Класс защиты задаёт набор функций безопасности для конкретного вида средства: у межсетевого экрана он один, у антивируса другой. Уровень доверия (приказ ФСТЭК России от 02.06.2020 № 76) — глубина проверки самого средства и его разработчика; шкала общая для всех видов. В сертификате указаны обе характеристики, и требованиям должны отвечать обе. В обеих шкалах 1 — самый строгий, 6 — самый мягкий.
Требования по режимам
| Режим и уровень | Класс СЗИ | Уровень доверия | Класс СВТ |
|---|---|---|---|
| ИСПДн, УЗ-1 | не ниже 4 | не ниже 4 | не ниже 5 |
| ИСПДн, УЗ-2 | не ниже 5 | не ниже 5 | не ниже 5 |
| ИСПДн, УЗ-3 | 6 | 6 | не ниже 5 |
| ИСПДн, УЗ-4 | 6 | 6 | не ниже 6 |
| ГИС, К1 | не ниже 4 | не ниже 4 | — |
| ГИС, К2 | не ниже 5 | не ниже 5 | — |
| ГИС, К3 | 6 | 6 | — |
| Значимый объект КИИ, 1 категория | не ниже 4 | не ниже 4 | не ниже 5 |
| Значимый объект КИИ, 2 категория | не ниже 5 | не ниже 5 | не ниже 5 |
| Значимый объект КИИ, 3 категория | 6 | 6 | не ниже 5 |
ИСПДн — пункт 12 приказа ФСТЭК России от 18.02.2013 № 21 (в редакции приказа ФСТЭК России от 14.05.2020 № 68). ГИС — пункт 72 приказа ФСТЭК России от 11.04.2025 № 117; требований к классу средств вычислительной техники он не содержит. КИИ — пункт 29 приказа ФСТЭК России от 25.12.2017 № 239.
Виды средств: где искать класс и тип
Класс из таблицы выше приложить не к чему, пока не известно, какие классы и типы вообще предусмотрены для нужного вида средства. Это установлено отдельным актом на каждый вид. Тип выбирается не по классу системы, а по месту применения средства — за оператора его подобрать нельзя.
Что ещё учесть
- Сертификация обязательна не везде. Статья 19 152-ФЗ требует средств, прошедших оценку соответствия; сертификация — одна из её форм, и требования пункта 12 приказа № 21 к классам действуют, когда оператор применяет именно сертифицированные средства. В государственных системах и на значимых объектах КИИ требования к применяемым средствам строже.
- Запрет по Указу № 250. С 1 января 2025 года организациям из пункта 6 Указа Президента Российской Федерации от 01.05.2022 № 250 — включая субъектов КИИ — запрещено использовать средства защиты информации, происходящие из недружественных государств либо от подконтрольных им производителей.
- Действующий сертификат. Проверять вид средства, класс, уровень доверия и срок действия сертификата удобно по реестру сертифицированных средств защиты информации ФСТЭК России — до закупки, а не после.
- Угрозы 1 и 2 типов. Если в модели угроз они признаны актуальными, пункт 11 приказа № 21 предусматривает дополнительные меры — проверку программного обеспечения на отсутствие недекларированных возможностей и тестирование на проникновение.
Калькулятор носит справочный характер. Итоговый состав средств защиты определяется моделью угроз, архитектурой системы и принятыми организационными мерами.