Компания предлагает систему защищённого документооборота, VPN-шлюз или программу для электронной подписи. В описании крупными буквами написано «Сертифицировано ФСБ России». Покупатель видит государственный сертификат и делает простой вывод. Раз ФСБ проверила программу, значит, с безопасностью всё в порядке.
Но сертификат может относиться не ко всему приложению, а к отдельной криптографической библиотеке. Причём только к определённой версии, конкретной сборке и установленным условиям эксплуатации. Обновили программу, перенесли в облако или изменили конфигурацию, и прежние документы уже не обязательно подтверждают соответствие новой системы требованиям безопасности.
Главное различие заключается в том, что ФСБ не выдаёт универсальный сертификат «безопасного программного обеспечения». Ведомство подтверждает соответствие конкретных средств защиты информации установленным требованиям, прежде всего в области криптографии.
Разберём основные виды сертифицированного ПО, классы защиты КС1, КС2, КС3, КВ и КА, требования к государственным и корпоративным системам, а также способы проверить сертификат до покупки продукта.
Сертификация средств защиты информации, лицензирование криптографической деятельности и требования к государственным системам регулируются разными нормативными актами. Перед внедрением СКЗИ необходимо учитывать назначение системы, модель угроз, действующие требования и эксплуатационные ограничения конкретного продукта.
Какие сертификаты ФСБ бывают на программное обеспечение
Для начала нужно разделить программные продукты по назначению. Криптографическая защита файлов, создание электронной подписи и работа удостоверяющего центра решают разные задачи. Соответственно, отличаются и требования, которым должны соответствовать средства.
| Категория | Какие программы входят | Что проверяют |
|---|---|---|
| Средства криптографической защиты информации | Криптопровайдеры, шифраторы, криптографические библиотеки, VPN-комплексы | Соответствие требованиям к криптографической защите информации |
| Средства электронной подписи | Программы создания и проверки ЭП, компоненты управления ключами | Соответствие требованиям к средствам электронной подписи |
| Средства удостоверяющего центра | Программные комплексы выпуска и управления сертификатами ключей проверки ЭП | Соответствие требованиям к средствам УЦ |
| Средства доверенной третьей стороны | Комплексы проверки действительности электронных подписей и сертификатов | Соответствие специализированным требованиям к средствам доверенной третьей стороны |
| Средства защиты государственной тайны | Специализированные программные и программно-аппаратные средства | Соответствие требованиям к защите сведений, составляющих государственную тайну |
Перечисленные категории не являются пятью взаимоисключающими видами сертификатов. Один продукт может выполнять несколько функций и соответствовать нескольким группам требований. В сертификате должны быть указаны конкретные подтверждённые характеристики.
Средства криптографической защиты информации
СКЗИ представляют собой программные, аппаратные или программно-аппаратные средства, которые используют криптографические преобразования для защиты информации.
Криптография позволяет шифровать данные, проверять их целостность, создавать электронные подписи и выполнять другие операции, необходимые для защиты информации.
На практике к СКЗИ относятся криптографические библиотеки, программные шифраторы, средства защиты каналов связи, криптопровайдеры и специализированные комплексы для работы с ключами.
Например, «КриптоПро CSP» представляет собой криптографический провайдер, который может использоваться различными прикладными программами. Для отдельных версий и исполнений продукта выданы сертификаты ФСБ. При этом сертификат на криптопровайдер не превращает каждое использующее его приложение в самостоятельно сертифицированное средство защиты.
Другой пример связан с программными VPN-комплексами. Сертифицированное СКЗИ может защищать передаваемые данные криптографическими методами. Но наличие сертификата не гарантирует отсутствие уязвимостей веб-интерфейса управления, ошибок авторизации или неправильных настроек сети.
Поэтому сертификат нужно рассматривать как подтверждение соответствия установленным требованиям в определённых границах, а не как гарантию безопасности всей инфраструктуры.
Средства электронной подписи
Средства электронной подписи создают и проверяют подписи, применяемые при электронном документообороте, взаимодействии с государственными системами и других юридически значимых операциях.
Требования к таким средствам определяет приказ ФСБ России № 796 от 27 декабря 2011 года. Документ регулирует, в частности, операции создания и проверки ЭП и требования к противодействию установленным моделям атак.
В отличие от обычной криптографической библиотеки, средство электронной подписи может выполнять дополнительные функции, связанные с представлением подписываемой информации и подтверждением пользователем операции создания подписи.
Сертифицированное средство ЭП может быть программным или программно-аппаратным. Последний вариант встречается, например, в решениях с защищёнными носителями ключей.
Здесь существует частая путаница. Сертификат соответствия средства электронной подписи и сертификат ключа проверки электронной подписи представляют собой разные документы.
Сертификат соответствия относится к программному или аппаратному средству. Сертификат ключа проверки ЭП связывает открытый ключ с владельцем и используется для проверки электронной подписи.
Получение квалифицированной электронной подписи не означает, что все установленные на компьютере программы автоматически прошли сертификацию ФСБ.
Средства удостоверяющих центров
Удостоверяющие центры используют специализированные программные комплексы для выпуска сертификатов ключей проверки электронной подписи, выполнения предусмотренных законом операций с сертификатами и обеспечения работы инфраструктуры доверия.
Требования к средствам УЦ также установлены приказом ФСБ № 796. Программные комплексы должны соответствовать определённым требованиям к защите информации и противодействию установленным угрозам.
Сертификация программного комплекса удостоверяющего центра не равна аккредитации самого удостоверяющего центра.
Аккредитация относится к организации, её деятельности и выполнению предусмотренных законодательством условий. Сертификация касается технического средства.
Кроме того, сертификат на криптографический компонент комплекса не подтверждает автоматически соответствие всего программного обеспечения удостоверяющего центра.
Средства доверенной третьей стороны
Доверенная третья сторона участвует в проверке электронных подписей и подтверждении юридически значимых обстоятельств электронного взаимодействия.
Для технических средств доверенной третьей стороны действуют специальные требования, утверждённые приказом ФСБ № 556 от 4 декабря 2020 года.
Такие комплексы могут включать криптографические модули, средства электронной подписи и компоненты проверки сертификатов.
Отдельные функции, например проверка статуса сертификата, не делают любую программу средством доверенной третьей стороны. Значение имеют назначение комплекса и применимые нормативные требования.
Приказы № 796 и № 556 в действующих редакциях имеют установленный срок действия до 1 января 2027 года. Разработчикам и заказчикам, планирующим сертификацию или внедрение после указанной даты, необходимо учитывать последующие нормативные изменения.
Средства защиты государственной тайны
Отдельную область составляют средства защиты сведений, отнесённых к государственной тайне.
В такой сфере действуют специальные требования к разработке, сертификации и эксплуатации средств защиты информации. В частности, приказ ФСБ № 564 от 13 ноября 1999 года регулирует систему сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну.
Не каждый сертифицированный криптографический продукт предназначен для защиты секретных сведений.
Например, сертификат может прямо указывать, что СКЗИ предназначено для защиты информации, не содержащей государственной тайны. Такой документ нельзя считать разрешением применять продукт для работы с секретными сведениями.
Полные сведения о специализированных средствах и условиях их применения не обязательно публикуются в открытом доступе.
Классы сертификатов ФСБ. КС1, КС2, КС3, КВ и КА
В описании криптографических продуктов часто встречаются обозначения КС1, КС2, КС3, КВ и КА. Иногда покупатели воспринимают классы как оценку качества шифрования. Например, считают, что КС3 использует более стойкий алгоритм, чем КС1.
На практике классы описывают требования к способности СКЗИ противостоять определённым моделям атак. Значение имеют возможности потенциального нарушителя, условия эксплуатации, доступ к техническим средствам и другие факторы.
Общая пятиступенчатая классификация представлена в рекомендациях по стандартизации Р 1323565.1.012-2017. Классы расположены по возрастанию требований.
| Класс | Какие возможности нарушителя учитываются | Практический смысл |
|---|---|---|
| КС1 | Атаки в рамках базовой модели угроз, в частности извне контролируемой зоны | Применяется при соответствующей модели угроз и выполнении установленных требований |
| КС2 | Дополнительно учитываются атаки из контролируемой зоны без физического доступа к аппаратной среде СКЗИ | Повышаются требования с учётом возможностей нарушителя внутри контролируемой зоны |
| КС3 | Учитываются атаки с физическим доступом к аппаратным средствам СКЗИ и среде его функционирования | Предусматриваются более строгие требования к защите и условиям эксплуатации |
| КВ | Учитывается привлечение специалистов по анализу СКЗИ, побочных сигналов и недокументированных возможностей прикладного ПО | Требуется противодействие более квалифицированному и технически оснащённому нарушителю |
| КА | Дополнительно учитывается использование для атак недокументированных возможностей аппаратных и программных компонентов среды СКЗИ | Наиболее высокий класс общей пятиступенчатой системы |
Таблица передаёт различия на основе моделей угроз, предусмотренных действующими требованиями к криптографической защите государственных информационных систем. Полное содержание классов определяется соответствующими нормативными документами.
Классы нельзя механически переводить в обещания вроде «КС1 защищает от хакеров из интернета», а «КА гарантирует защиту от спецслужб». Ни один класс не даёт абсолютной гарантии противодействия любому нарушителю.
Например, криптографический продукт класса КА не защитит от сотрудника, который имеет законный доступ к расшифрованным сведениям и передаёт их посторонним. СКЗИ не предназначены для устранения всех рисков, связанных с действиями авторизованных пользователей.
Почему встречаются классы КВ1, КВ2 и КА1
В российской нормативной базе встречается не только пятиступенчатая классификация.
В требованиях к отдельным категориям криптографических средств, включая средства электронной подписи, используются обозначения КС1, КС2, КС3, КВ1, КВ2 и КА1.
В рекомендациях по криптографической защите персональных данных 2008 года также встречается такая классификация.
Противоречия здесь нет. Документы разрабатывались для разных задач и используют собственные формулировки требований.
Поэтому обозначение КВ1 нельзя без дополнительных пояснений приравнивать ко всем требованиям класса КВ из другого документа. Аналогично наличие обозначения КА1 не позволяет самостоятельно сделать вывод о соответствии всем действующим требованиям класса КА.
При выборе средства нужно сопоставлять не только буквенно-цифровой класс, но и конкретный нормативный документ, которому соответствует продукт.
Какой класс СКЗИ нужен для государственной информационной системы
Для государственных информационных систем и ряда других информационных систем действуют специальные правила выбора криптографической защиты.
11 сентября 2026 года вступил в силу приказ ФСБ России № 321 от 22 августа 2026 года. Документ заменил приказ ФСБ № 117 от 18 марта 2025 года и расширил сферу регулирования.
Помимо государственных информационных систем, систем государственных органов, государственных унитарных предприятий и государственных учреждений, требования распространяются на определённые случаи использования технических средств, программ для ЭВМ и баз данных в соответствии с частью 5.1 статьи 13 Федерального закона № 149-ФЗ.
Новый приказ устанавливает базовый минимально допустимый класс СКЗИ с учётом уровня значимости информации и масштаба информационной системы.
| Уровень значимости информации | Вся РФ или два и более субъекта РФ | Один субъект РФ | Муниципальное образование или предусмотренные приказом объекты |
|---|---|---|---|
| Высокий | КВ | КС3 | КС2 |
| Средний | КС3 | КС3 | КС1 |
| Низкий | КС2 | КС1 | КС1 |
Таблица показывает исходные минимальные классы. Итоговый класс может оказаться выше из-за конкретной модели угроз и особенностей информационной системы.
Предположим, государственная информационная система работает в пределах одного субъекта РФ и обрабатывает сведения среднего уровня значимости. По базовой таблице необходим класс КС3.
Однако при проектировании недостаточно посмотреть на одну строку таблицы. Требуется оценить актуальные угрозы, характеристики среды функционирования СКЗИ и особенности взаимодействия с другими системами.
Приказ также допускает определение класса для отдельных сегментов информационной системы. Для взаимодействия граждан с системой предусмотрены специальные условия, при которых класс применяемого СКЗИ может отличаться от класса, определённого для системы в целом.
Следовательно, утверждение «для государственной системы всегда требуется КС3» неверно. В одних условиях достаточно КС1, в других необходимы КВ или КА.
При проектировании подобных систем полезно сверяться непосредственно с требованиями ФСБ, поскольку таблица не заменяет остальные положения приказа № 321.
Чем сертификат ФСБ отличается от сертификата ФСТЭК и лицензии
На рынке программного обеспечения одновременно встречаются сертификаты ФСБ, сертификаты ФСТЭК, лицензии, свидетельства о регистрации программ и документы об аккредитации.
Внешне документы могут выглядеть одинаково убедительно, но юридическое значение различается.
| Документ | Что подтверждает | Чего не гарантирует |
|---|---|---|
| Сертификат ФСБ | Соответствие определённого средства защиты установленным требованиям в компетенции ФСБ | Безопасность любой программы, использующей средство |
| Сертификат ФСТЭК | Соответствие продукта требованиям безопасности в компетенции ФСТЭК | Автоматическое соответствие криптографическим требованиям ФСБ |
| Лицензия ФСБ | Право организации или предпринимателя заниматься определёнными лицензируемыми видами деятельности | Сертификацию всех выпускаемых программ |
| Запись в реестре российского ПО | Включение продукта в реестр по установленным критериям | Криптографическую стойкость и соответствие требованиям ФСБ |
| Сертификат ключа проверки ЭП | Принадлежность ключа проверки электронной подписи определённому владельцу | Сертификацию используемого программного обеспечения |
Может ли программа одновременно иметь сертификаты ФСБ и ФСТЭК
Да. Продукт может реализовывать криптографическую защиту и дополнительные механизмы безопасности, для которых предусмотрены разные системы сертификации.
Например, комплекс информационной безопасности может включать межсетевой экран, систему разграничения доступа и криптографический модуль. Для отдельных компонентов или функций могут потребоваться разные подтверждения соответствия.
Однако наличие сертификата ФСТЭК на межсетевой экран не означает, что криптографические функции автоматически прошли сертификацию ФСБ.
Обратное также верно. Сертификат ФСБ на СКЗИ не подтверждает соответствие всего комплекса требованиям ФСТЭК к межсетевым экранам.
Отдельный сертификат не всегда требуется на каждый компонент. Конкретные требования зависят от архитектуры, назначения и условий применения продукта.
Нужна ли разработчику лицензия ФСБ
Сертификация продукта и лицензирование деятельности регулируются отдельно.
Лицензирование определённых видов деятельности с шифровальными средствами предусмотрено Федеральным законом № 99-ФЗ и постановлением Правительства РФ № 313 от 16 апреля 2012 года.
Требования могут распространяться на разработку, производство, распространение и обслуживание криптографических средств, а также на другие перечисленные в законодательстве работы и услуги.
При этом действуют исключения и специальные условия. Например, правовой режим зависит от характера деятельности и того, какие именно работы выполняет организация.
Поэтому нельзя считать, что любой программист, использующий шифрование в приложении, обязан получить лицензию ФСБ.
Лицензия, выданная компании, не заменяет сертификацию программного продукта. А покупатель сертифицированного средства не получает автоматически право заниматься всеми лицензируемыми видами криптографической деятельности.
Сертификат ФСБ не равен включению в реестр российского ПО
Российский реестр программного обеспечения решает другие задачи. Он подтверждает включение продукта в установленный перечень при выполнении соответствующих критериев.
Программный продукт может находиться в российском реестре без сертификата ФСБ. Также наличие сертификата ФСБ не доказывает включение программы в реестр российского ПО.
Если закупка требует одновременно отечественного происхождения программного обеспечения и сертифицированной криптографической защиты, проверять придётся оба условия.
Как проверить сертификат ФСБ перед покупкой программы
Самая распространённая ошибка покупателей заключается в том, что наличие сертификата проверяют по рекламной карточке продукта. Поставщик указывает номер документа или размещает изображение сертификата, после чего заказчик считает вопрос закрытым.
Но номер сертификата ничего не говорит о том, подходит ли конкретная версия программы для выбранной инфраструктуры.
Проверяем реальный сертификат
Для примера можно рассмотреть сертификат ФСБ № СФ/124-4961, выданный 23 июля 2024 года на СКЗИ «Рутокен ЭЦП 3.0». Срок действия указан до 1 мая 2027 года.
Документ распространяется на конкретные варианты исполнения устройства. Для вариантов 10 и 12 подтверждён класс КС1, а для варианта 20 класс КС2.
Одновременно подтверждено соответствие требованиям к средствам электронной подписи по приказу ФСБ № 796 для указанных классов.
Практический вывод достаточно интересный. Даже продукты одной линейки, продаваемые под общим названием, могут иметь разные подтверждённые классы защиты.
Поэтому формулировка «Рутокен ЭЦП 3.0 сертифицирован по КС2» без указания исполнения способна ввести покупателя в заблуждение.
В другом примере, на сайте «КриптоПро» опубликованы отдельные сертификаты на различные исполнения и редакции «КриптоПро CSP». Среди них есть продукты классов КС1 и КС3 с разными сроками действия.
Нельзя выбирать криптопровайдер только по названию семейства. Проверять необходимо конкретную редакцию и исполнение.
Где искать сертификаты ФСБ
ФСБ публикует сведения о сертифицированных средствах защиты информации. Для проверки используется открытая выписка из перечня средств защиты информации, сертифицированных ФСБ России.
Проверку можно начать на сайте ЦЛСЗ ФСБ, где размещаются сведения о сертификации и лицензировании.
Дополнительно производители сертифицированных средств часто публикуют копии сертификатов, формуляры и информацию об изменениях.
При отсутствии актуальных сведений в открытом перечне целесообразно запросить подтверждение у разработчика и компетентного органа. Отсутствие продукта в старой или неполной копии перечня само по себе не доказывает, что сертификат никогда не выдавался.
При проверке удобно пользоваться следующим списком.
- Номер сертификата. Сверьте регистрационный номер, дату выдачи и наименование системы сертификации.
- Название продукта. Проверьте точное наименование, включая редакцию и исполнение.
- Владелец сертификата. Убедитесь, что документ относится к заявленному продукту и организации.
- Класс защиты. Найдите конкретные требования, по которым продукт прошёл сертификацию.
- Срок действия. Проверьте дату окончания и наличие последующих решений.
- Разрешённые функции. Убедитесь, что подтверждены именно необходимые криптографические операции.
- Условия эксплуатации. Сверьте требования к платформе, конфигурации, ключам и другим компонентам.
- Статус изменений. Узнайте, распространяется ли сертификат на установленную сборку.
Почему формуляр иногда важнее самого сертификата
Сертификат обычно содержит общие сведения об объекте сертификации, сроке действия, классе защиты и нормативных требованиях.
Но конкретные условия применения продукта могут быть раскрыты в формуляре и эксплуатационной документации.
Формуляр представляет собой технический документ, связанный с определённым исполнением средства. В зависимости от продукта он позволяет установить сведения о комплектации, допустимых конфигурациях, особенностях эксплуатации и применимых изменениях.
Для программного СКЗИ могут иметь значение версия операционной системы, архитектура процессора, используемые библиотеки и требования к рабочей среде.
Например, если криптопровайдер сертифицирован для определённых условий работы под Windows, сертификат нельзя автоматически распространять на его сборку для Linux.
Похожая проблема возникает при переносе СКЗИ в контейнер или виртуальную машину. Техническая возможность запустить программу в новой среде не означает, что такая конфигурация входит в подтверждённые условия эксплуатации.
В некоторых случаях сертифицированное средство может применяться в виртуализированной инфраструктуре. Но возможность должна соответствовать документации и другим применимым требованиям.
Что происходит после обновления сертифицированного ПО
Разработчики регулярно исправляют ошибки и уязвимости. Однако изменение программного обеспечения способно затронуть характеристики, которые исследовали при сертификации.
Не каждое обновление обязательно требует полного повторения сертификационных испытаний. Для отдельных изменений могут проводиться дополнительные исследования и оформляться соответствующие решения.
Показательный пример связан со средствами «Валидата». В январе 2026 года разработчик сообщил о положительных заключениях по результатам контрольных тематических исследований отдельных сборок продуктов «Валидата CSP», «Валидата Клиент» и «Валидата Криптосервер».
Для указанных сборок были определены дополнительные условия и срок допустимой эксплуатации.
Практический смысл заключается в том, что действительность сертификата и допустимость определённой версии продукта не всегда сводятся к одной дате на первой странице документа.
При обновлении необходимо проверять, охватывают ли сертификат, формуляр и связанные решения новую версию.
Как проверить подлинность установочного файла
Наличие сертификата ФСБ не гарантирует, что скачанный из интернета установочный файл является подлинным.
Злоумышленник может распространять подделку известного криптопровайдера или модифицированную сборку программы.
В Windows можно вычислить контрольную сумму файла с помощью PowerShell.
Get-FileHash -Path "C:Downloadssetup.exe" -Algorithm SHA256
Полученный SHA-256 необходимо сравнить с контрольной суммой, опубликованной поставщиком через доверенный канал.
Дополнительно можно проверить цифровую подпись исполняемого файла.
Get-AuthenticodeSignature -FilePath "C:Downloadssetup.exe" | Format-List *
PowerShell покажет сведения о подписи и её статусе. Статус Valid означает, что проверка подписи прошла успешно в рамках используемых механизмов доверия.
Однако даже действительная подпись файла не гарантирует отсутствие вредоносных функций и не подтверждает соответствие сертификату ФСБ.
Проверка подлинности дистрибутива и проверка сертификации продукта решают разные задачи. Для безопасного внедрения нужны обе.
Частые вопросы о сертификатах ФСБ
Обязательно ли получать сертификат ФСБ на программу с шифрованием?
Нет. Само наличие функций шифрования не означает обязательную сертификацию любого приложения. Требования зависят от назначения программы, обрабатываемой информации, сферы применения и нормативных актов. Для отдельных государственных и регулируемых систем использование сертифицированных СКЗИ обязательно.
Нужен ли сертификат ФСБ обычному VPN?
Не каждому VPN необходим сертификат ФСБ. Если система обязана использовать сертифицированные криптографические средства, выбранное VPN-решение должно соответствовать применимым требованиям. Для обычного использования VPN наличие такой обязанности не следует автоматически из самой технологии.
Можно ли использовать OpenSSL вместо сертифицированного СКЗИ?
Если нормативные требования конкретной системы предусматривают сертифицированное ФСБ СКЗИ, обычная установка OpenSSL не заменяет соответствующий сертифицированный продукт. Если обязательная сертификация не требуется, применение OpenSSL возможно при соблюдении остальных требований безопасности.
Можно ли сертифицировать программу для Linux?
Да. Программные криптографические средства могут проходить сертификацию для эксплуатации в Linux. Необходимо учитывать конкретный дистрибутив, версию, архитектуру и условия применения. Сертификат на исполнение для Windows не распространяется автоматически на исполнение для Linux.
Сколько действует сертификат ФСБ?
Срок действия определяется конкретным сертификатом и правилами соответствующей системы сертификации. Универсального срока для всех категорий продуктов нет. Дополнительно нужно учитывать решения о приостановлении, отмене или изменениях условий применения сертификата.
Нужно ли заново сертифицировать программу после обновления?
Не обязательно после каждого обновления. Изменения могут потребовать дополнительных исследований, оформления изменений или новой сертификации. Для конкретной версии нужно проверять сертификат, формуляр и соответствующие решения уполномоченных органов.
Можно ли применять сертифицированное СКЗИ в облаке?
Возможность зависит от сертифицированного исполнения, поддерживаемой архитектуры, условий эксплуатации и применимых требований к системе. Наличие сертификата на программу не означает автоматического разрешения запускать её в любой виртуальной машине, контейнере или облачной инфраструктуре.
Защищает ли сертификат ФСБ от неизвестных уязвимостей?
Нет. Сертификат подтверждает соответствие установленным требованиям в пределах проведённой оценки. Неизвестные уязвимости, ошибки реализации, проблемы сторонних компонентов и неправильные настройки могут сохраняться даже у сертифицированного средства.
Если приложение использует сертифицированную криптобиблиотеку, считается ли всё приложение сертифицированным?
Нет. Сертификат относится к определённому объекту сертификации и условиям его применения. Использование сертифицированной библиотеки не означает автоматического подтверждения соответствия всей прикладной системы. Необходимо проверить границы сертифицированного средства и условия интеграции.
Вывод. Как выбирать программное обеспечение с сертификатом ФСБ
Сертификат ФСБ не является универсальным знаком безопасности программы. Его ценность зависит от конкретного продукта, подтверждённых функций, класса защиты и условий эксплуатации.
Для криптографических средств необходимо проверить класс СКЗИ. Для средств электронной подписи и удостоверяющих центров дополнительно действуют специализированные требования. Если программное обеспечение предназначено для государственных информационных систем, выбор класса зависит от действующих нормативных требований и модели угроз.
Начинать закупку лучше не с поиска продукта максимального класса, а с определения того, какая информация нуждается в защите, какие угрозы актуальны и какие требования распространяются на систему.
После выбора продукта необходимо проверить сертификат, конкретную версию, формуляр, допустимые условия эксплуатации и статус изменений.
Если поставщик демонстрирует сертификат на один компонент, но обещает защиту всей платформы, такое заявление требует дополнительной проверки. Сертифицированная криптография может быть надёжной частью системы безопасности, но не способна заменить защищённую архитектуру, правильные настройки, управление доступом и своевременное устранение уязвимостей.
Главное правило простое. Покупайте не абстрактный сертификат ФСБ, а конкретное средство, соответствие которого подтверждено для вашей задачи и условий эксплуатации.
