ФСТЭК России не будет сертифицировать ИБ-средства без техподдержки

ФСТЭК России не будет сертифицировать ИБ-средства без техподдержки

ФСТЭК России не будет сертифицировать ИБ-средства без техподдержки

Федеральная служба по техническому и экспортному контролю хочет внести изменения в свое «Положение о системе сертификации средств защиты информации». Предложенные поправки, в частности, вводят запрет на сертификацию продуктов иностранного производства, использование которых ограничено российским законодательством, а также продуктов, для которых техподдержка не предусмотрена.

Действующее на территории РФ «Положение о системе сертификации средств защиты информации» ФСТЭК утвердила приказом от 3 апреля 2018 (№ 55). Оно вступило в силу 1 августа того же года. Пользуясь случаем, регулятор решил также осовременить некоторые формулировки и внести уточнения, необходимость которых показала практика. Новый пакет поправок пока вынесен на суд общественности.

Самые большие изменения прочит новая редакция пп. 3 и 14. Первый определяет средства защиты данных, подлежащие сертификации; его предложено дополнить абзацем следующего содержания:

«Сертификация средств защиты информации иностранного производства, в отношении которых нормативными правовыми актами Российской Федерации установлены ограничения или запреты на их использование в Российской Федерации, в системе сертификации ФСТЭК России не осуществляется».

В пункт 14 (о сроках действия сертификата соответствия) ФСТЭК хочет добавить условия действия сертификата — соответствие требованиям по безопасности и гарантированная техподдержка со стороны заявителя. Также новая формулировка уточняет сроки действия сертификата соответствия, убирая ныне действующие ограничение «до пяти лет». Так, серийно производимые средства защиты предложено считать сертифицированными, если они произведены до окончания срока действия сертификата на серийное производство, а для единичного образца или партии срок действия сертификата устанавливаться не будет.

Продление срока действия сертификата новая редакция «Положения» не предусматривает. Сейчас такой вариант прописан в пункте 15, который регулятор хочет упразднить.

В раздел «Сертификационные испытания» предлагается внести изменения, четко разграничив сферы ответственности испытательных лабораторий и органов сертификации. Первым по-прежнему вменяется в обязанность подготовка испытаний: прием и изучение документации (сроки при этом более не ограничиваются), знакомство с образцами, их отбор, а также проведение испытаний и документирование результатов.

Органы сертификации теперь не будут участвовать в подготовке — только утверждать программы и методики, составленные испытательными лабораториями, а также передавать эту информацию ФСТЭК.

Формулировки раздела «Маркирование средств защиты информации» предлагается модернизировать, введя определение «идентификатор» (вместо знака соответствия). Его формат выглядит следующим образом: РОСС RU.01.ХХХХХ.ХХХХХХ, где первая группа знаков указывает на систему сертификации ФСТЭК России, вторая отображает номер сертификата соответствия (число от 00001 до 99999), третья — заводской или серийный номер образца (тоже число от 00001 до 99999). Заявитель может также добавить свое наименование, фирменный знак или имя средства защиты.

Этот идентификатор наносится на корпус изделия, съемный носитель с программным обеспечением сертифицированного средства защиты информации, а также указывается в его паспорте.

Своя нейросеть, свой сервер: Selectel показал ИИ-админа без облачных рисков

Selectel решил, что системным администраторам надоело гуглить ошибки в три часа ночи, и выкатил aish — своего ИИ-агента, встроенного прямо в серверную ОС SELECTOS. Задумка кроется в том, чтобы не таскать логи и конфиги куда-то в облако к третьим лицам, а разбираться со всем на месте, без утечек и лишних глаз.

Aish здесь позиционируется не как отдельная игрушка, а как встроенный помощник для команд эксплуатации.

Агент умеет разбираться в контексте системы: смотрит на состояние сервисов, логи, конфигурацию — то есть видит примерно то же, что видел бы живой админ. На практике это значит разбор инцидентов, поиск причины, по которой очередной сервис лёг, и рутинные операции.

Отдельно Selectel налегает на принцип согласованного исполнения: агент не творит самодеятельность. Он формирует команду, объясняет, что именно она сделает, а запускает её всё равно оператор-человек.

Главный аргумент в пользу решения — безопасность данных. Большинство ИИ-агентов на рынке сегодня облачные, а значит, контекст сессии — логи, конфиги, детали инфраструктуры — улетает к внешнему провайдеру.

Для компаний с жёсткими политиками безопасности это форменный кошмар: и утечка возможна, и аудит толком не проведёшь. Aish эту головную боль снимает: нейросеть развёрнута локально, на серверах Selectel.

Как отметил Кирилл Дмитриев, директор департамента системного ПО Selectel, aish задумывался как способ снизить порог входа в системное администрирование Linux; специально для команд, которым по политикам безопасности запрещено использовать зарубежные LLM.

При этом SELECTOS доступна в форматах ISO, QCOW2 и в виде контейнерных образов, работает на облачных и выделенных серверах, соответствующих 152-ФЗ, а благодаря Debian-базе переход на неё не требует переобучения. Команда просто пересаживается на знакомый руль, только теперь с ИИ-помощником на подхвате.

RSS: Новости на портале Anti-Malware.ru