Межсетевые экраны и требования ФСТЭК: типы, классы защиты, NGFW

В сертификате межсетевого экрана для системы под требованиями ФСТЭК важны два параметра: тип и класс защиты. Тип говорит, где экран стоит. Класс говорит, насколько глубоко его проверяли в лаборатории. Дальше: таблица «система, класс, уровень доверия» для ГИС, значимых объектов КИИ и ИСПДн, типы А–Д, классы 4–6 и отдельные требования ФСТЭК к NGFW, утверждённые в 2023 году.

Сертифицированный межсетевой экран - экран, прошедший сертификацию ФСТЭК России по требованиям безопасности информации. Обычный экран проверяют по Требованиям к межсетевым экранам (приказ ФСТЭК России от 9 февраля 2016 г. № 9) и профилю защиты своего типа и класса. NGFW проверяют по Требованиям к многофункциональным межсетевым экранам уровня сети (приказ ФСТЭК России от 7 марта 2023 г. № 44).

Для значимых объектов КИИ и ИСПДн нормы допускают и сертификацию на соответствие техническим условиям (заданию по безопасности).

Кому нужен сертифицированный межсетевой экран

Обязательность зависит от вида системы, и формулировки в приказах разные. В ГИС сертифицированные средства «должны применяться». Для КИИ и ИСПДн классы заданы на случай, когда такие средства применяют, но для значимых объектов КИИ есть отдельные условия по оборудованию и ПО (о них ниже).

Обязательность для ГИС. Пункт 71 Требований о защите информации в ГИС, утверждённых приказом ФСТЭК России № 117, устанавливает: для защиты информации должны применяться сертифицированные средства защиты информации. Класс средства зависит от класса защищённости системы (пункт 72): для 1 класса не ниже 4, для 2 класса не ниже 5, для 3 класса 6.

Требования № 117 действуют с 1 марта 2026 года, с 1 сентября 2026 года - в редакции приказа № 137.

Классы для КИИ и ИСПДн. Для значимых объектов КИИ классы задаёт пункт 29 Требований, утверждённых приказом ФСТЭК № 239, для ИСПДн - пункт 12 Состава и содержания мер (приказ ФСТЭК № 21). Для сертифицированных средств это не ниже 4 класса при 1 категории или уровне, не ниже 5 при 2, 6 при 3 категории КИИ и при 3 и 4 уровнях ИСПДн.

Сводная таблица:

В пунктах 29 и 12 есть и другие условия, например для средств вычислительной техники. В таблице только строки про классы и уровни доверия средств защиты. Уровни доверия пункт 12 определяет по приказу ФСТЭК № 131 от 30 июля 2018 года. Этот приказ утратил силу с 1 января 2021 года, уровни доверия теперь задают Требования, утверждённые приказом ФСТЭК России от 2 июня 2020 г. № 76.

У значимых объектов КИИ 1 категории есть ещё одно требование. При проектировании новых или модернизируемых объектов граничные маршрутизаторы с доступом в интернет выбирают из сертифицированных в части реализованных функций безопасности (пункт 29.1 Требований № 239). Если такой возможности нет, функции безопасности маршрутизатора оценивают при приёмке или испытаниях, а обоснование записывают в проектную документацию.

Если закон не требует обязательной сертификации и субъект её не выбрал, на значимом объекте КИИ допускаются средства, прошедшие оценку в форме испытаний или приёмки (пункты 28 и 29.2 Требований № 239). Такое средство должно соответствовать требованиям к функциям безопасности. Средства, не встроенные в общесистемное и прикладное ПО, должны ещё и соответствовать 6 или более высокому уровню доверия. Что считать встроенным, норма не раскрывает. Отдельный межсетевой экран по смыслу не встроен в ОС или прикладное ПО, поэтому добавка к нему применяется. Для фильтрации, встроенной в операционную систему, её нет.

Для аппаратных экранов на значимых объектах КИИ действует ещё одно правило. С 1 сентября 2024 года там нельзя использовать программно-аппаратные комплексы, купленные с этой даты и не являющиеся доверенными. Исключение - если российских доверенных аналогов нет и это подтверждено заключением Минпромторга (постановление Правительства РФ от 14 ноября 2023 г. № 1912). Один из критериев доверенного комплекса - сертификат ФСТЭК России или ФСБ России, если в комплексе реализована функция защиты информации. Поэтому аппаратный межсетевой экран для значимого объекта, купленный начиная с 1 сентября 2024 года, на практике должен быть сертифицирован, если российский доверенный аналог существует. Органам власти и заказчикам по 223-ФЗ сертификат нужен и для программного обеспечения, которое защищает их значимые объекты (пункт 2 Требований, утверждённых постановлением Правительства РФ от 22 августа 2022 г. № 1478).

Порядок такой: сначала классифицируют или категорируют систему, потом выбирают экран. Пока класс защищённости ГИС не определён, а объект КИИ не прошёл категорирование, класс экрана выбирают наугад. Как идёт категорирование, описано на странице «Категорирование объектов КИИ». Уровень защищённости персональных данных разбирает статья «Что такое ИСПДн», аттестацию ГИС - статья «Аттестация АИС, ГИС, АРМ».

Типы и уровни межсетевых экранов: А, Б, В, Г, Д

Тип определяется местом установки и трафиком, который экран видит. Определения в профилях защиты ФСТЭК одинаковы для всех трёх классов.

Типы межсетевых экранов. Профили защиты ФСТЭК (утверждены 12 сентября 2016 года) описывают пять типов: А стоит на физической границе сети, Б на логической границе, В на узле, Г на веб-сервере и контролирует HTTP, Д в промышленной сети АСУ ТП. Тип отвечает на вопрос «где стоит экран», класс 4, 5 или 6 задаёт глубину проверки.

Форму исполнения профили задают в описании объекта оценки. Тип А - программно-техническое средство, тип Б - программное или программно-техническое, тип В - программное, типы Г и Д - программное или программно-техническое. Тип Г по функции близок к WAF, но это наше сопоставление, а не формулировка ФСТЭК. Исполнение конкретного продукта смотрите в его сертификате.

В одной системе обычно нужен не один тип. Периметр закрывает тип А, опубликованные наружу веб-приложения тип Г, серверы с критичными данными тип В, технологическую сеть тип Д. Тип Б нужен там, где границы между сегментами заданы логически.

Уровни межсетевого экрана. В профилях защиты ФСТЭК уровень входит в название типа: экран уровня сети (А), уровня логических границ сети (Б), уровня узла (В), уровня веб-сервера (Г) и уровня промышленной сети (Д). Это место установки, а не уровень модели OSI. Обозначения «L3/L4» и «L7» рыночные: они говорят о глубине анализа трафика, и привязки к ним в профилях нет. Глубину анализа ФСТЭК описала для многофункциональных экранов, о них ниже. Уровень доверия - третье понятие: он идёт в паре с классом и задаёт строгость проверки продукта.

Классы защиты: что значат 4, 5 и 6

Чем меньше номер класса, тем строже требования. По профилям защиты у каждого класса свой оценочный уровень доверия (ОУД) по ГОСТ Р ИСО/МЭК 15408 и свой уровень анализа уязвимостей.

Приказы для ГИС, КИИ и ИСПДн называют только классы 4, 5 и 6. Для них ФСТЭК опубликовала 15 профилей защиты: пять типов на три класса, все утверждены 12 сентября 2016 года. Профиль маркируется, например, ИТ.МЭ.А4.ПЗ (тип А, 4 класс). Эти буква и цифра должны совпасть с вашим требованием.

Класс не измеряет скорость. Он показывает глубину проверки, которую экран прошёл в лаборатории. Экран 6 класса вполне может быть быстрее экрана 4 класса. Пригодность для системы определяет требование к классу.

Профили защиты затрагивают и сопровождение продукта. Расширение ALC_FPU_EXT.1 обязывает разработчика иметь технологию и регламент обновления ПО экрана: получение, контроль целостности, тестирование, установка и верификация обновления, а ещё уведомление потребителей и передача обновлений в испытательную лабораторию. Поэтому обновления берут у разработчика, по его эксплуатационной документации.

Не путайте с классификацией 1997 года. Руководящий документ Гостехкомиссии России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (25 июля 1997 года) устанавливает пять классов защищённости и привязывает их к классам автоматизированных систем: пятый класс для 1Д, четвёртый для 1Г, третий для 1В, второй для 1Б, первый для 1А. Это другая шкала, чем 6, 5 и 4 по профилям 2016 года. Увидев в техническом задании просто «4 класс», уточните, по какому документу.

Требования ФСТЭК к NGFW: многофункциональные межсетевые экраны

То, что рынок называет NGFW, в документах ФСТЭК называется многофункциональным межсетевым экраном уровня сети. Для него есть отдельные Требования по безопасности информации, утверждённые приказом ФСТЭК России от 7 марта 2023 г. № 44.

Три класса многофункциональных экранов по приказу ФСТЭК № 44. 6 класс - для КИИ 3 категории, ГИС и АСУ ТП 3 класса, ИСПДн 3 и 4 уровня. 5 класс - для КИИ 2 категории, ГИС и АСУ ТП 2 класса, ИСПДн 2 уровня. 4 класс - для КИИ 1 категории, ГИС и АСУ ТП 1 класса, ИСПДн 1 уровня и систем общего пользования II класса.

Уровень доверия многофункционального экрана равен классу: 6 класс даёт 6 уровень, 5 даёт 5, 4 даёт 4. Для ГИС приказ № 44 ссылается на прежние Требования (приказ ФСТЭК № 17). С 1 марта 2026 года их заменили Требования № 117, классы ГИС 1, 2, 3 остались, поэтому соответствие то же: экран 4, 5, 6 класса.

Чем многофункциональный экран отличается от обычного по требованиям:

• Обнаружение атак. Экран любого из трёх классов (6, 5 и 4) сам или с включённой сертифицированной системой обнаружения вторжений находит признаки атак по базе решающих правил и блокирует их. Он должен обнаруживать сетевое сканирование, проникновение через уязвимости, атаки на отказ в обслуживании и подбор аутентификационной информации. Экран 4 класса сверх этого должен уметь проверять ресурс по доменному имени на связь с потенциально небезопасными ресурсами (пункт 10 Требований № 44).
• Вредоносное ПО. Экран любого из трёх классов ищет вредоносное ПО в трафике по базе признаков. Экран 4 класса сверх этого должен уметь проверять файлы в изолированной среде предварительного выполнения («песочнице»), пункт 11 Требований № 44.
• Закодированный трафик. Экран должен уметь извлекать данные, инкапсулированные в преобразованном (кодированном) виде. Перечень протоколов указывают в руководстве администратора. Пакеты с кодировкой, которую экран извлечь не может, должно быть возможно блокировать.
• Отказоустойчивость. Экран 5 класса должен иметь возможность работать в отказоустойчивом кластере: конфигурация синхронизируется, при отказе основного узла резервный продолжает работу без прерывания сессий, обновление идёт поочерёдно, с откатом. Экран 6 класса сохраняет параметры настройки и восстанавливает их на другом экземпляре. Для 4 класса добавлено восстановление штатного функционирования.
• Централизованное управление. В состав экранов 5 и 4 класса входят компоненты для централизованного управления несколькими экземплярами в одной информационной системе.
• Доверенная загрузка. В составе экрана 6, 5 и 4 классов применяется средство доверенной загрузки соответствующего класса.
• Аппаратная платформа. 6 класс: ограничение доступа сетевых интерфейсов к оперативной памяти. 5 класс: аппаратная пакетная фильтрация по сетевым адресам. 4 класс: также по физическим адресам.
• Связь с мониторингом. Экран 6, 5 и 4 классов должен иметь возможность передавать зарегистрированные события безопасности в систему управления событиями безопасности информации (SIEM).

Производительность в формуляре. По приказу № 44 производитель указывает в формуляре пропускную способность и задержки в режиме пакетной фильтрации (кадры 1518 и 64 байта) и для веб-трафика в определённых производителем комбинациях включённых функций безопасности. Пока комбинации не сверены, цифры разных производителей сравнивать нельзя.

Чем NGFW отличается от UTM и WAF, разобрано в статье «NGFW, межсетевой экран, UTM и WAF: в чём разница». Как сравнить экраны по задаче, производительности и функциям и что проверить на пилоте, описано в статье «Как выбрать NGFW».

Что ещё требует ФСТЭК, кроме самого экрана

Сертифицированный экран без настройки и документов меру защиты не закрывает.

Межсетевое экранирование в методическом документе ФСТЭК 2026 года. Методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» (от 12 апреля 2026 г.) выделяет группу мер «Сегментация и межсетевое экранирование» (МСЭ.1–МСЭ.5). В базовый набор всех трёх классов защищённости входят сегментация, демилитаризованная зона, контроль сетевого доступа и фильтрация трафика (МСЭ.1–МСЭ.3).

Маскирование системы (МСЭ.4) и создание ложных систем (МСЭ.5) в базовый набор не входят: их применяют при адаптации или компенсации мер. Для первого класса к сегментации добавлено усиление, микросегментация. Для ГИС и иных информационных систем госорганов документ применяется через пункт 68 Требований № 117, для значимых объектов КИИ - через пункт 22(1) Требований № 239: там сказано, что при реализации мер применяются методические документы ФСТЭК России.

Практические требования документа:

• корректность сегментации проверяют в соответствии с эксплуатационной документацией, не реже одного раза в год;
• сегментацию реализуют за счёт межсетевых экранов и (или) многофункциональных экранов уровня сети и (или) средств однонаправленной передачи;
• демилитаризованная зона изолирована от внутренних сегментов, обрабатывающих информацию ограниченного доступа;
• фильтруются входящие и исходящие соединения, нарушения правил регистрируются;
• перечень правил межсетевого экранирования копируют в резерв.

Рекомендации ФСТЭК по защите сетевого периметра. В марте 2026 года ФСТЭК опубликовала рекомендации по защите сетевого периметра. Это рекомендации, а не приказ. Ориентиры: блокировать неразрешённый входящий и исходящий трафик, администрировать устройства с изолированных от интернета рабочих мест, не публиковать SSH, RDP и VNC на периметре и в DMZ, копировать конфигурацию не реже раза в месяц, проверять восстановление из копий не реже раза в три месяца.

Там же: вход администратора по сертификатам, а без них пароль от 15 символов; фильтрация трафика прикладного уровня через WAF в режиме противодействия атакам (это рекомендация из раздела о защите от DDoS); DMZ без прямого доступа к внутренним сегментам, кроме регламентированных взаимодействий.

Про сегментацию подробнее в статье «Плоская сеть: почему её надо делить на сегменты». Как методический документ 2026 года меняет защиту ГИС, разбирает статья «Методический документ ФСТЭК 2026: защита ГИС».

Как проверить сертификат межсетевого экрана

Перед закупкой и при проверке установленного экрана сверьте шесть вещей:

1. Запись в государственном реестре сертифицированных средств защиты информации. Так реестр назван в Положении о системе сертификации средств защиты информации (приказ ФСТЭК № 55, пункт 61). Срок действия сертификата не может превышать 5 лет (пункт 14).
2. Сертификат не приостановлен. Основания перечислены в пункте 83: изменение требований, выявленное несоответствие, прекращение технической поддержки, отсутствие которой может привести к несоответствию, и другие. Приостановить можно не более чем на 90 календарных дней (пункт 84). Пока сертификат приостановлен, заявитель прекращает производство и реализацию (пункт 85).
3. Тип в сертификате совпадает с местом установки. Экран типа В на периметре меру для периметра не закрывает.
4. Класс не ниже требуемого для вашей системы (таблица выше). Для NGFW смотрите класс по приказу № 44, для обычного экрана по профилю защиты.
5. Версия ПО и состав поставки сверены с формуляром. Применять средство нужно по эксплуатационной документации разработчика (пункт 71 Требований № 117). Регламент обновлений разработчик обязан иметь и описать в документации (ALC_FPU_EXT.1 в профилях защиты), поэтому версию и источник обновлений сверяйте с ней.
6. Есть формуляр и эксплуатационная документация. Пункт 71 Требований № 117 требует применять средства защиты в соответствии с инструкциями (правилами) по эксплуатации разработчика и поддержку безопасности разработчиком на территории России, включая выпуск обновлений.

Как выбрать экран под систему: порядок действий

1. Определите класс защищённости ГИС, категорию значимого объекта КИИ или уровень защищённости ИСПДн.
2. По таблице выше найдите требуемый класс средства и уровень доверия.
3. Определите границы, которые нужно закрыть: периметр, сегменты, узлы, веб-серверы, промышленную сеть. Каждой границе соответствует тип.
4. Решите, нужен ли многофункциональный экран. Обнаружение атак, защита от вредоносного ПО и работа с закодированным трафиком как функции самого экрана описаны только в приказе № 44. Профили обычных экранов предусматривают лишь взаимодействие с системами обнаружения вторжений и антивирусными средствами.
5. Найдите в реестре продукты нужных типа и класса и проверьте сертификат по списку выше.
6. До закупки опишите правила фильтрации и сегментацию в проектной документации.

Частые ошибки при выборе межсетевого экрана по требованиям ФСТЭК

• Смотрят на класс и забывают тип. Сертификат 4 класса на экран уровня узла не делает его пригодным для периметра.
• Сравнивают цифры из формуляров. Комбинации функций задаёт производитель, и у разных производителей они разные.
• Покупают экран до классификации системы. Потом выясняется, что нужен другой класс или тип.
• Ставят экран и не пишут документы. Порядок сегментации и фильтрации должен быть в эксплуатационной документации, иначе мера формально не реализована.
• Оставляют «временные» правила. Со временем политика фильтрации расходится с проектной и эксплуатационной документацией.
• Читают «4 класс» по РД 1997 года. Это другая шкала (см. выше).

Как мы помогаем

Кредо-С работает по лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации (реестровая запись № 00581724). Что из этого относится к межсетевым экранам:

• Защита ГИС по требованиям приказа № 117: «Защита государственных информационных систем (ГИС)».
• Значимые объекты КИИ: сначала категорирование, затем обеспечение безопасности по приказу № 239.
• Подбор, пилот и внедрение экрана: «Внедрение NGFW и межсетевых экранов».
• События с экрана в мониторинг: внедрение SIEM. Доступ администраторов к экрану: PAM.

Чтобы подобрать класс и тип под вашу систему, начните с класса защищённости ГИС, категории КИИ или уровня ИСПДн. Пришлите эти данные и схему сети через форму на этой странице - инженер подскажет, какие типы и классы экранов закрывают ваши границы.

Дата сверки норм: 12 октября 2026 года.