Выбираем межсетевой экран: почему так важна сертификация ФСТЭК России?

Межсетевые экраны, сертифицированные ФСТЭК России, получают все больше признания в сфере защиты сетей. Сертификация - это оценка соответствия продукции или услуг установленным нормативными документами. Она может проводиться как по добровольной, так и по обязательной основе. Полученный сертификат соответствия подтверждает качество и безопасность продукции для потребителя.

Зачем же нужны эти сертифицированные средства защиты и какую гарантию они предоставляют пользователям? Давайте разберемся в этом.

Зачем нужна сертификация межсетевых экранов

Нормативные требования к сертификации средств защиты информации находятся в законодательстве, включая Федеральный закон "О техническом регулировании" и Постановление Правительства РФ "О сертификации средств защиты информации". Важно отметить, что для средств защиты информации возможна только обязательная сертификация, гарантирующая безопасность обрабатываемых данных. Получение сертификата соответствия является обязательным, и он становится неотъемлемой частью продукции.

ФСТЭК России, Министерство обороны РФ, ФСБ России и Служба внешней разведки РФ являются органами, ответственными за сертификацию средств защиты информации. Сертификационные испытания проводятся в аккредитованных испытательных лабораториях.

Межсетевые экраны, сертифицированные ФСТЭК России, могут использоваться для защиты информации в государственных и корпоративных информационных системах. Сертификаты выдаются на срок до пяти лет и требуют периодической проверки при продлении.

Актуальные требования ФСТЭК России к безопасности информации для сертифицированных межсетевых экранов были утверждены приказом от 9 февраля 2016 года № 9, заменив устаревшие требования из «Руководящего документа. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».

Какие требования ФСТЭК России предъявляет к межсетевым экранам

Новые требования включают в себя ряд существенных изменений. Во-первых, добавлены новые функции безопасности, такие как оповещение о критических событиях, приоритезация информационных потоков, взаимодействие с другими системами защиты информации и маркирование присутствия межсетевого экрана. Во-вторых, многие функции были усилены, такие как контроль и фильтрация, идентификация и аутентификация, регистрация событий, тестирование и контроль целостности межсетевого экрана, а также администрирование.

Дополнительно, приказом ФСТЭК России от 2 июня 2020 года № 76 были введены требования уровней доверия (УД) к техническим средствам защиты информации, включая межсетевые экраны. Для разграничения требований было установлено 6 уровней доверия. На каждом уровне доверия определены соответствующие уровни контроля и исследований для выявления уязвимостей и скрытых возможностей.

Типы межсетевых экранов с оценкой от ФСТЭК России

ФСТЭК России определила 5 типов межсетевых экранов в зависимости от способа их интеграции.

• Тип «А» (межсетевой экран уровня сети). Программно-аппаратное устройство, устанавливаемое на периметре защищаемой информационной системы или между физическими границами ее сегментов.
• Тип «Б» (межсетевой экран уровня логических границ сети). Программное или программно-аппаратное устройство, устанавливаемое на логическом периметре защищаемой информационной системы или между логическими границами ее сегментов.
• Тип «В» (межсетевой экран уровня узла). Программное устройство, устанавливаемое на хосте (мобильном или стационарном) информационной системы.
• Тип «Г» (межсетевой экран уровня веб-сервера). Программное или программно-аппаратное устройство, устанавливаемое на веб-сервере или на периметре сегмента таких серверов. Он обеспечивает контроль и фильтрацию HTTP-трафика.
• Тип «Д» (межсетевой экран уровня промышленной сети). Программное или программно-аппаратное устройство, устанавливаемое в автоматизированных системах управления технологическими процессами. Он обеспечивает контроль и фильтрацию промышленных протоколов передачи данных.

Каждому межсетевому экрану также присваивается один из 6 классов защиты, начиная от 6-го, как самого низкого.

Классификация межсетевых экранов в системе сертификации ФСТЭК наглядно

Федеральная служба технического и экспортного контроля разработала методические документы под названием «Профили защиты» для каждого типа межсетевого экрана и каждого класса защиты. Эти документы учитывают требования стандарта ГОСТ Р ИСО/МЭК 15408 «Информационная технология». Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» и подробно определяют требования безопасности к межсетевым экранам, разработанным ФСТЭК России. Профили защиты, начиная с третьего класса межсетевых экранов, имеют гриф секретности.

Как выбрать межсетевой экран и когда это нужно

В 2022 году Федеральная служба технического и экспортного контроля (ФСТЭК России) отозвала многие сертификаты на межсетевые экраны из-за того, что заявители, планирующие покинуть российский рынок, не могли выполнить обязательства по технической поддержке своих продуктов на территории Российской Федерации.

Это требование закреплено законодательно и обязует заявителей своевременно устранять недостатки и уязвимости своих средств защиты информации, информировать пользователей о них, выпускать обновления и патчи ПО, а также обновлять эксплуатационную документацию. В связи с этим становится важным выбирать продукцию от отечественных производителей.

Основной причиной внедрения сертифицированных межсетевых экранов является необходимость контроля и фильтрации сетевых потоков для защиты конфиденциальной информации, такой как государственная или коммерческая тайна.

Кроме того, можно выделить следующие причины:

• защита информационной сети или ее сегментов от несанкционированного доступа;
• соответствие требованиям регуляторов по обеспечению безопасности информационной системы;
• беспокойство о репутационных рисках в случае возникновения инцидентов безопасности. 

При выборе подходящего типа межсетевых экранов, сертифицированных согласно требованиям, следует руководствоваться классом автоматизированной системы и степенью конфиденциальности обрабатываемой информации.

Список сертифицированных межсетевых экранов, удовлетворяющих требованиям, и их производителей можно найти в открытом реестре средств защиты информации на официальном сайте ФСТЭК России. Среди этих сертифицированных межсетевых экранов присутствует программно-аппаратный межсетевой экран нового поколения (NGFW) Ideco UTM ФСТЭК, который соответствует следующим требованиям:

• 4-ый уровень доверия;
• профили защиты межсетевых экранов типа а и типа б четвертого класса защиты;
• профиль защиты средств обнаружения вторжений уровня сети четвертого класса. 

Ideco UTM ФСТЭК оснащен различными механизмами безопасности, включая:

• межсетевое экранирование;
• систему обнаружения и предотвращения вторжений;
• контроль приложений;
• контентную фильтрацию;
• контроль доступа и другие.

Он представлен в двух программно-аппаратных исполнениях: Ideco MX ФСТЭК и Ideco MX+ ФСТЭК, отличающихся производительностью и поддерживаемым количеством пользователей.