Сертификация ФСТЭК и уровни доверия: полный разбор 6-ступеней.

Зачем нужны уровни доверия в сертификации ФСТЭК

Когда продукт или система защиты информации выходит на рынок — просто иметь надпись «сертифицировано ФСТЭК» уже недостаточно. Нужно понимать — на каком уровне доверия сертификация прошла. Это как в строительстве: не просто «дом построен», а «дом рассчитан на нагрузку 1000 тонн». Уровни доверия помогают ответить на вопросы: где можно применять средство защиты, какие угрозы оно выдержит, и насколько серьёзный объект оно может обслуживать.H2. Что такое уровень доверия и как он оформлен

Определение уровня доверия

Уровень доверия (УД) — это характеристика средства защиты информации (СЗИ) или средства обеспечения безопасности информационных технологий, отражающая, насколько серьёзные требования к нему предъявлены: от разработки и испытаний до эксплуатации.

В документе Приказ ФСТЭК России № 76 от 02.06.2020 прямо сказано: “Для дифференциации требований … к средствам устанавливается 6 уровней доверия. Самый низкий — шестой, самый высокий — первый.”

Почему именно 6 уровней?

Потому что система безопасности в разных сценариях требует разного уровня надёжности. Чем важнее информация или инфраструктура, тем выше требования. Разделение на шесть шагов позволяет настраивать баланс: от решений для спокойных задач до систем, обслуживающих государственную тайну.H3. Как уровни применяются на практике

Например:

• УД 6 — для объектов с низким уровнем угроз (например, системы 3-ей категории КИИ, ИСПДн 3-4 уровней защищённости).
• УД 4 — для первой категории значимости объектов КИИ, ГИС 1 класса, ИСПДн 1 уровня защиты.
• УД 1-3 — для систем, обрабатывающих информацию, составляющую государственную тайну.

Подробно о каждом уровне доверия
Уровнь 6

Самый «базовый». Подходит для средств, которые защищают системы с наименьшими требованиями к безопасности. Например: ЗО КИИ третьей категории, ИСПДн 3-4 уровней.

Если ваш продукт рассчитан на крупную госинфраструктуру — этого уровня недостаточно.

Уровень 5

Средний уровень. Подходит для задач чуть серьёзнее: ЗО КИИ 2-ой категории, ГИС 2 класса, ИСПДн 2 уровня.

Если мы с вами работаем с бизнесом, который обрабатывает конфиденциальную информацию, но не гостайну — УД 5 может быть оптимальным.

Уровень 4

Высокий уровень доверия. Подходит для объектов первой категории значимости: ГИС 1 класса, КИИ 1 категории, ИСПДн 1 уровня защиты.

Вот именно такие решения чаще всего заявляют производители, ориентированные на госсектор.

Уровни 1-3

Три самых высоких. Они применяются когда требуется защита гостайны, работы с системами первой линии.

Если ваш продукт или система предназначены для таких сценариев — готовьтесь к серьёзным требованиям и высокой экспертизе.H2. Как уровни доверия связаны с классами защиты и другими параметрами

Связь с классами защиты СЗИ и СВТ

В нормативке установлено соответствие: «СЗИ 6 класса соответствуют УД 6», «СЗИ 5 класса — УД 5», «СЗИ 4 класса и СВТ 5 класса — УД 4».

То есть: если вы производите средство защиты, важно понимать — каким классом защиты оно обладает, и каким уровнем доверия должно соответствовать.

Связь с категориями объектов (КИИ, ГИС, ИСПДн, АСУ-ТП)

Документы ФСТЭК показывают: требования к уровню доверия зависят от категории объекта, где средство будет применяться.

Например: на объекте первой категории КИИ нужно решение минимум УД 4. А на объекте третьей категории — может быть и УД 6.H2. Почему важно правильно выбрать уровень доверия
Несоответствие ведёт к рискам

Если поставить средство УД 6 на объект первой категории КИИ — это как поставить замок от гаража на банковский сейф. Формально есть, но не соответствует уровню угрозы. Это риск отказа при проверке или отказа контролирующего органа.

Правильный уровень доверия — конкурентное преимущество

Если вы разработчик средства УД 4 или выше — вы сразу попадаете в сегмент решений для госсектора и критически важных объектов. Это открывает рынок и доверие. Стоимость и сроки возрастают с уровнем

Чем выше уровень доверия — тем больше испытаний, экспертиз, больше требований к сопровождению. Это значит больше времени и денег. Но — и больше потенциальных контрактов.

Как подготовиться к сертификации по уровню доверия
Оценка требуемого УД

Первое, что нужно сделать: определить, где будет применяться решение. Категория объекта? Класс защиты? Тогда — какой УД нужен? Поглядите таблицы ФСТЭК.H3. Подготовка продукта под нужный уровень

Если требуется УД 4, продукт должен соответствовать классу СЗИ 4, иметь соответствующую документацию, испытания, сопровождение.H3. Выбор лаборатории, оформление, планирование экспертиз

Нужно обратиться в аккредитованную лабораторию, провести испытания, подготовить сопроводительные документы. Чем выше уровень доверия — тем строже экспертиза.

Заключение

Уровни доверия — это не просто цифры. Это мост между вашим продуктом и тем, где он может применяться. Чем серьёзнее задача защиты — тем выше должен быть уровень доверия. Если вы создаёте средство, которое будет работать с госданными или КИИ — ориентируйтесь на УД 4-1. Если вы работаете с бизнесом, менее критичными задачами — может быть УД 5-6. Главное — выбрать правильно с самого начала: иначе ресурс, деньги и время могут быть потрачены впустую. Как сказал бы Билл Гейтс: «Без ясной карты доверия продукт остаётся брёвном, плывущим в море безопасности — лучше выбрать курс заранее».

FAQ

1. Сколько уровней доверия у ФСТЭК и что они означают?

Уровней доверия — шесть: от 6 (самый низкий) до 1 (самый высокий). Они показывают, насколько серьёзные требования предъявлены к средству защиты информации.

2. Если средство сертифицировано по УД 6 — можно ли его использовать на серьезных объектах?

В большинстве случаев — нет. УД 6 подходит для менее критичных систем. Если объект первой категории КИИ или гостайна — потребуется УД 4 или выше.

3. Как проверить, какой УД у сертификата?

В сертификате соответствия указана строка «уровень доверия» или «УД». Его можно проверить в реестре ФСТЭК или по публикации производителя.

4. Чем отличается УД 4 от УД 5?

УД 5 — более лёгкий уровень, подходит для объектов 2-ой категории значимости; УД 4 — более серьёзный, уже для первой категории. Требования по испытаниям и безопасности выше.

5. Можно ли начинать разработку без понимания нужного УД?

Можно, но крайне рискованно. Лучше сразу определить УД, под который вы будете идти. Иначе потребуется переработка и дополнительные затраты.