Путь к сертификации ФСТЭК: опыт MULTIFACTOR

Для многих ИТ-компаний в России сертификация ФСТЭК становится обязательным этапом, если продукт претендует на использование в государственных и регулируемых отраслях. Однако этот процесс — не просто бюрократическая процедура. Он напрямую влияет на архитектуру, документацию и даже сроки релизов. На примере сервиса мультифакторной аутентификации MULTIFACTOR рассмотрим, с какими вызовами сталкивается разработчик, решивший пройти сертификацию.

Подробности

Путь начинается с лицензирования самой компании-разработчика: необходимо получить лицензии ФСТЭК на деятельность по технической защите конфиденциальной информации и разработке защищённых продуктов. Параллельно готовится сам продукт: требования регулятора затрагивают не только криптографию, но и процессы сборки, управления доступом, журналирования и обновления.

Отдельный блок — испытания. Продукт проверяется на соответствие профилям защиты, оценивается устойчивость к атакам, корректность работы механизмов аутентификации. В случае с MULTIFACTOR, который включает облачную часть, потребовалась аттестация инфраструктуры: проверялись изоляция арендаторов, защита каналов передачи данных, разграничение прав администраторов.

Одной из самых сложных частей стало несколько десятков неудобных вопросов к архитектуре со стороны испытательной лаборатории. Например: как обеспечивается безопасность ключей при их генерации и хранении, что происходит при компрометации узла, как обрабатываются логи и исключается утечка чувствительных данных. Ответы на эти вопросы зачастую требовали пересмотра отдельных решений и дополнительной документации.

Важно понимать: сертификация — это не разовое событие. После получения сертификата необходимо поддерживать соответствие, обновлять документацию при выпуске новых версий и проходить периодические проверки. Для облачных сервисов добавляется аттестация инфраструктуры, которая может проводиться отдельно от сертификации самого продукта.

Что делать

Если вы планируете сертификацию ФСТЭК, вот несколько практических рекомендаций, вытекающих из опыта MULTIFACTOR:

• Заранее изучите требования регулятора к вашему классу защиты и профилю — это поможет заложить нужные механизмы в архитектуру на ранних этапах.
• Выделите отдельную команду или ответственного за сертификацию: процесс требует постоянного взаимодействия с испытательной лабораторией и подготовки большого объёма документации.
• Проведите внутренний аудит безопасности до официальных испытаний: это снизит риск неожиданных замечаний и сократит сроки.
• Особое внимание уделите облачной части: если продукт использует облако, потребуется аттестация инфраструктуры, включая изоляцию, шифрование и управление доступом.
• Будьте готовы к «неудобным вопросам» — они помогают выявить слабые места, которые лучше исправить до выхода на рынок.

Итог: сертификация ФСТЭК — это длительный и ресурсоёмкий процесс, который, тем не менее, становится конкурентным преимуществом и открывает доступ к крупным заказчикам. Опыт MULTIFACTOR показывает, что системный подход и готовность к доработкам позволяют пройти этот путь успешно.

Источник: Хабр — Информационная безопасность