АИС ЕПТ – федеральная информационная система, доступ к которой регулируется требованиями по защите информации. Подключение к АИС ЕПТ доступно только организациям, выполнившим установленный комплекс мер: аттестацию рабочего места или информационной системы, через которую осуществляется работа с порталом, применение сертифицированных средств криптографической защиты и обеспечение защищённого канала связи.

Требования предъявляются как к технической составляющей, так и к организационной. Для организаций, ранее не проходивших аттестацию, этот процесс нередко становится первым опытом взаимодействия с системой регуляторных требований ФСТЭК и ФСБ. Допущенные на начальном этапе ошибки в выборе средств защиты информации или в оформлении документации затягивают процесс подключения на несколько месяцев.

Аттестация информационных систем для доступа к порталу
Аттестация информационных систем, задействованных при работе с ЕПТ, проводится в соответствии с требованиями ФСТЭК. Аттестату соответствия должна предшествовать разработка проекта СЗИ, формирование модели угроз, проведение аттестационных испытаний. Аттестат выдаётся на срок не более трёх лет – после чего требуется переаттестация или подтверждение соответствия.

Для рабочих мест, с которых производится подключение к АИС ЕПТ, важно корректно определить границы аттестуемого объекта: включить в него все компоненты, участвующие в обработке и передаче данных, и исключить из периметра компоненты, не задействованные в работе с порталом. Неверное определение границ – одна из наиболее частых ошибок, приводящих к замечаниям на этапе испытаний.

Передача данных при работе с ЕПТ осуществляется по защищённым каналам. Шифрование каналов связи реализуется с применением криптографических средств, имеющих сертификат ФСБ России. Использование несертифицированных решений, в том числе зарубежных VPN-клиентов, не допускается – это прямое нарушение требований к технической защите информации.

Лицензия ФСБ на криптографию требуется организациям, которые самостоятельно распространяют или обслуживают криптосредства. Если организация использует услуги лицензиата (например, в рамках ИТ-аутсорсинга или сервисной модели), обязанность получать собственную лицензию может отсутствовать – это необходимо уточнять индивидуально.

Выполнение требований ФСТЭК в части защиты каналов подразумевает также межсетевое экранирование на стыке с внешними сетями, контроль состава разрешённых соединений и протоколирование сетевой активности. Защита персональных данных, если таковые обрабатываются в смежных системах, требует соблюдения положений 152-ФЗ и приказа ФСТЭК №21.

Технический комплекс мер при подключении к АИС ЕПТ включает несколько уровней:

• организационная защита информации: политики доступа, инструкции пользователей, разграничение прав
• установка и настройка сертифицированных средств криптографической защиты
• межсетевое экранирование и фильтрация трафика
• антивирусная защита рабочих мест
• аудит информационной безопасности: проверка конфигурации перед подключением

Ниже приведена типовая последовательность работ при подготовке к подключению к АИС ЕПТ с нормативной привязкой:


«Кредо-С» выполняет полный комплекс работ для подключения к АИС ЕПТ: от аудита ИБ исходной инфраструктуры до получения аттестата соответствия и настройки защищённого канала. Системный интегратор обеспечивает как технические, так и организационные меры защиты: документирование, взаимодействие с аттестационным органом, сопровождение в течение срока действия аттестата. Компания имеет опыт работы с образовательными организациями и государственными структурами, для которых доступ к порталу является регуляторным требованием.

Если организации требуется защита информации на предприятии в рамках подготовки к работе с ЕПТ – специалисты «Кредо-С» готовы провести предварительный анализ инфраструктуры и определить объём необходимых работ.