Информационная безопасность при работе с АИС ЕПТ
АИС ЕПТ – федеральная информационная система, доступ к которой регулируется требованиями по защите информации. Подключение к АИС ЕПТ доступно только организациям, выполнившим установленный комплекс мер: аттестацию рабочего места или информационной системы, через которую осуществляется работа с порталом, применение сертифицированных средств криптографической защиты и обеспечение защищённого канала связи.
Требования предъявляются как к технической составляющей, так и к организационной. Для организаций, ранее не проходивших аттестацию, этот процесс нередко становится первым опытом взаимодействия с системой регуляторных требований ФСТЭК и ФСБ. Допущенные на начальном этапе ошибки в выборе средств защиты информации или в оформлении документации затягивают процесс подключения на несколько месяцев.
Организационная защита информации для Единого портала тестирования
Аттестация информационных систем для доступа к порталу
Аттестация информационных систем, задействованных при работе с ЕПТ, проводится в соответствии с требованиями ФСТЭК. Аттестату соответствия должна предшествовать разработка проекта СЗИ, формирование модели угроз, проведение аттестационных испытаний. Аттестат выдаётся на срок не более трёх лет – после чего требуется переаттестация или подтверждение соответствия.
Для рабочих мест, с которых производится подключение к АИС ЕПТ, важно корректно определить границы аттестуемого объекта: включить в него все компоненты, участвующие в обработке и передаче данных, и исключить из периметра компоненты, не задействованные в работе с порталом. Неверное определение границ – одна из наиболее частых ошибок, приводящих к замечаниям на этапе испытаний.
Выполнение требований ФСТЭК и ФСБ по защите каналов
Передача данных при работе с ЕПТ осуществляется по защищённым каналам. Шифрование каналов связи реализуется с применением криптографических средств, имеющих сертификат ФСБ России. Использование несертифицированных решений, в том числе зарубежных VPN-клиентов, не допускается – это прямое нарушение требований к технической защите информации.
Лицензия ФСБ на криптографию требуется организациям, которые самостоятельно распространяют или обслуживают криптосредства. Если организация использует услуги лицензиата (например, в рамках ИТ-аутсорсинга или сервисной модели), обязанность получать собственную лицензию может отсутствовать – это необходимо уточнять индивидуально.
Выполнение требований ФСТЭК в части защиты каналов подразумевает также межсетевое экранирование на стыке с внешними сетями, контроль состава разрешённых соединений и протоколирование сетевой активности. Защита персональных данных, если таковые обрабатываются в смежных системах, требует соблюдения положений 152-ФЗ и приказа ФСТЭК №21.
Технические меры защиты информации при подключении
Технический комплекс мер при подключении к АИС ЕПТ включает несколько уровней:
- организационная защита информации: политики доступа, инструкции пользователей, разграничение прав
- установка и настройка сертифицированных средств криптографической защиты
- межсетевое экранирование и фильтрация трафика
- антивирусная защита рабочих мест
- аудит информационной безопасности: проверка конфигурации перед подключением
Ниже приведена типовая последовательность работ при подготовке к подключению к АИС ЕПТ с нормативной привязкой:
| Этап | Содержание работ | Нормативная база |
|---|
| 1. Обследование ИС | Анализ состава оборудования, ПО, каналов связи; определение границ аттестуемого объекта | ФСТЭК: приказы №17, №21; методические документы по аттестации |
| 2. Разработка модели угроз | Идентификация актуальных угроз, определение нарушителя | Методика оценки угроз ФСТЭК 2021 г. |
| 3. Проектирование СЗИ | Выбор и обоснование средств защиты, разработка техпроекта | ГОСТ Р 51583, требования ФСТЭК к классу защиты СЗИ |
| 4. Внедрение СКЗИ | Установка и настройка сертифицированных криптосредств, организация защищённого канала | ФСБ: ПКЗ-2005, требования к СКЗИ классов КС1–КВ |
| 5. Аттестационные испытания | Проверка соответствия реализованных мер требованиям; составление протоколов и заключения | ФСТЭК: национальный стандарт ГОСТ РО 0043-003 |
| 6. Получение аттестата | Выдача аттестата соответствия сроком до 3 лет; уведомление оператора ЕПТ | 187-ФЗ (при наличии ПДн — 152-ФЗ) |
«Кредо-С» выполняет полный комплекс работ для подключения к АИС ЕПТ: от аудита ИБ исходной инфраструктуры до получения аттестата соответствия и настройки защищённого канала. Системный интегратор обеспечивает как технические, так и организационные меры защиты: документирование, взаимодействие с аттестационным органом, сопровождение в течение срока действия аттестата. Компания имеет опыт работы с образовательными организациями и государственными структурами, для которых доступ к порталу является регуляторным требованием.
Если организации требуется защита информации на предприятии в рамках подготовки к работе с ЕПТ – специалисты «Кредо-С» готовы провести предварительный анализ инфраструктуры и определить объём необходимых работ.
Подключиться к ИС ЕПТ
