Сертифіковані засоби захисту: коли потрібен експертний висновок і де перевірити перелік

Купуючи продукт для безпеки, компанія рано чи пізно впирається в питання: чи достатньо, що він «хороший і популярний»? Для звичайного бізнесу — так. Для тих, хто працює з державними ресурсами чи відомостями, охорону яких вимагає закон, — ні: там потрібне офіційне підтвердження відповідності. Розберемо, коли воно обов'язкове, як його перевірити й що робити решті.

Сертифіковані засоби захисту інформації: що ховається за словом

У побуті «сертифікований» означає одне: виріб пройшов офіційну перевірку та внесений до державного реєстру дозволених. Насправді документів, які дають таке право, кілька, і називаються вони по-різному. Тому в договорі краще писати не «сертифікований», а точно: який саме документ, ким виданий, на яку модель і версію.

Слово має ще одну ваду — воно створює ілюзію гарантії. Офіційна перевірка підтверджує властивості виробу за певних умов, а не якість вашого впровадження. Продукт із бездоганним документом, залишений із заводськими налаштуваннями й без нагляду, боронить рівно стільки ж, як і будь-який інший у тому самому стані.

Три шляхи підтвердження відповідності

Донедавна їх було два. Тепер три — а про третій знають одиниці:

Два застереження. Для державної таємниці міжнародний маршрут закритий — там потрібен український експертний висновок. І будь-який документ стосується конкретної версії продукту, а не бренду взагалі.

Технічні подробиці маршрутів і реєстрів розібрано у статті Засоби і системи ТЗІ.

Офіційний перелік: де перевірити й на що дивитися

Вироби з підтвердженою відповідністю вносять до Переліку засобів технічного захисту інформації, дозволених для державних інформаційних ресурсів. Формує та оприлюднює його Держспецзв'язку — на власному сайті й на порталі відкритих даних.

Перевіряючи запис, дивіться на чотири речі:

1. Модель і версія. Найчастіша пастка: висновок виданий на версію 4.2, а постачальник привозить 4.6.
2. Номер документа й дата. Він має існувати поза комерційною пропозицією.
3. Строк дії. Прострочений документ означає, що виріб перестав бути дозволеним.
4. Сфера застосування. Виріб дозволяють під певні умови й категорії відомостей.

Окремо пам'ятайте: реєстрів насправді два. Технічна частина — окремо, криптографія — окремо. Міжмережевий екран, який ще й шифрує канал, стає предметом одразу двох оцінювань.

Воєнний стан і строки дії висновків

Тут є нюанс, який рятує чимало проєктів. Через воєнний стан експертна рада ухвалила рішення: висновки на засоби ТЗІ, строк дії яких сплив після 24 лютого 2022 року, продовжуються на період дії воєнного стану. Те саме стосується атестатів і декларацій, зареєстрованих під час війни.

Практичний висновок подвійний. З одного боку, формально прострочений документ може бути чинним. З іншого — перевіряти все одно доводиться: статус запису дивляться в чинному переліку, а не зі слів продавця. Постачальник, який на питання про строк відповідає «та там усе продовжили», підстави не має — має її лише запис у реєстрі.

Найважливіший нюанс: оцінюють будинок, а не цеглину

Ось де компанії помиляються найчастіше:

Застосування дозволених виробів не звільняє від оцінювання захищеності системи в цілому.

Тобто дозволений продукт — це цеглина. Оцінюють будинок. Що саме означає «оцінити будинок», залежить від контуру:

• Системи (ІКС). Із 2025 року діє ризик-орієнтована модель: цільовий профіль безпеки, оцінювання його реалізації та авторизація з безпеки. Раніше створені комплексні системи з підтвердженою відповідністю працюють далі. Як це влаштовано — у статтях КСЗІ простими словами та Як створюється КСЗІ.
• Приміщення (ОІД). Тут порядок лишився колишнім: категоріювання, комплекс технічного захисту, атестація (технічний захист інформації).

Купити правильну коробку й на цьому спинитися — найдорожчий зі способів «зекономити»: гроші витрачено, а допуску немає.

Скільки триває підтвердження й від чого залежить

Точних строків у прайсі немає, і це чесно: тривалість визначають чотири речі.

• Складність виробу. Просте рішення з вузькою функцією проходить швидше за платформу з десятком модулів.
• Готовність документації. Половина затримок виникає тут: технічні умови, опис функцій безпеки, методики випробувань доводиться переписувати.
• Результат випробувань. Виявлені розбіжності повертають виробника на доопрацювання, і цикл повторюється.
• Черга та ресурс лабораторій. Це зовнішній чинник, на який замовник не впливає.

Практичний висновок для покупця: закладайте час у графік проєкту заздалегідь. Рішення «купимо в грудні, а в січні вже працюємо» в регульованій сфері збувається рідко.

Кому це потрібно, а кому — ні

Потрібно, якщо ви:

• обробляєте відомості з обмеженим доступом або державні інформаційні ресурси;
• є об'єктом критичної інформаційної інфраструктури;
• виконуєте роботи чи постачаєте рішення таким організаціям — тоді вимога переходить на вас через договір.

Не потрібно як обов'язкова умова, якщо ви звичайний бізнес без державних ресурсів. Ви вільні обирати продукти за функціональністю, ціною й підтримкою. Орієнтир якості тут інший — не український висновок, а міжнародні практики: ISO 27001, вимоги партнерів, репутація виробника.

Сучасні засоби захисту інформації: як обирати, коли обов'язку немає

Тут виникає дилема, про яку мовчать комерційні пропозиції: дозволений не означає найновіший. Документ прив'язаний до версії, а перевірка триває місяцями, тому в реєстрі часто живуть старіші збірки, ніж ті, які вже вийшли у виробника. Регульована сфера змушена платити цю ціну — стабільність допуску важливіша. Решті компаній платити її нема сенсу.

Критерії, за якими справді варто дивитися:

• швидкість реакції виробника — як швидко виходить оновлення після появи нової загрози;
• поведінковий аналіз, а не лише перелік відомого шкідливого коду;
• журнали й вивантаження: чи заберете ви події до власного сховища;
• підтримка й документація зрозумілою мовою, з розумним часом відповіді;
• санкційна чистота — походження продукту та його компонентів;
• вартість володіння: години інженера, а не лише ліцензія;
• зрілість самого виробника: власний сертифікат ISO 27001 говорить більше за слайд із перевагами.

Обраний набір фіксують у Заяві про застосовність, а логіку вибору — в оцінці ризиків. Огляд усіх груп продуктів — у статті про засоби.

Засоби захисту інформаційної безпеки: чому так кажуть

Формулювання «засоби захисту інформаційної безпеки» — розмовне: захищають не безпеку, а самі відомості. Але коли його вживають у технічному завданні, зазвичай мають на увазі повний комплекс: продукти, налаштування, правила й людей, які все це ведуть.

Тому, побачивши таке формулювання в договорі, уточніть предмет. Постачання коробок і побудова робочої системи — різні роботи з різними цінниками й різними критеріями приймання.

Чи можна поєднувати дозволені й звичайні продукти

Можна — питання лише в тому, де саме проходить межа контуру. Усередині системи, на яку поширюються нормативні вимоги, застосовують те, що дозволено. Решта інфраструктури живе за власними правилами.

Звідси прийом, який економить бюджет: винести за межі регульованого контуру все зайве. Тестове середовище, маркетингові сервіси, гостьовий Wi-Fi можна відділити сегментацією — і тоді вимоги накриють вужчу зону, а не всю компанію разом із кавомашиною.

Головне — описати межу документально. Аргумент «ми думали, ця частина сюди не входить» під час оцінювання марний: межу визначає ваш власний опис контуру, а не усні домовленості.

Питання постачальнику перед підписанням

П'ять коротких питань відсіюють половину проблем:

1. На яку саме модель і версію виданий документ — і що ви привезете?
2. Який його номер, дата й строк дії — покажіть запис у чинному переліку.
3. Що станеться після оновлення продукту: документ лишиться чинним?
4. Криптографічна частина підтверджена окремо?
5. Хто відповідає за налаштування й супровід — і скільки годин на місяць це забирає?

Відповідь «усе гаразд, ми давно на ринку» жодне з цих питань не закриває.

П'ять помилок закупівлі

• Вірити слову «сертифікований» без документа. Питайте номер, дату, версію та строк — і перевіряйте запис самостійно.
• Купувати виріб, а не результат. Критерій приймання «продукт постачено» нічого не гарантує; критерій «система пройшла оцінювання» — гарантує.
• Забувати про версії. Оновили продукт — перевірте, чи лишилися ви в межах підтвердженого. Виняток є лише для антивірусних баз: для них передбачено окремий порядок оновлення.
• Плутати два реєстри. Криптографічна частина підтверджується окремо від технічної.
• Ігнорувати походження. Продукт під санкціями, знайдений під час перевірки, коштує дорожче за будь-яку економію на закупівлі.

Спільна риса всіх п'яти — рішення ухвалюють про покупку, а не про експлуатацію. Питання «хто це вестиме, як ми перевіримо документ і що станеться після оновлення» дешевше поставити до підписання рахунку.