Израильский вендор стал первым иностранным поставщиком для значимых IT-систем

Израильская Check Point стала первым иностранным вендором, чей продукт получил сертификацию Федеральной службы по техническому и экспортному контролю по четвертому уровню доверия, указано в полученном компанией сертификате (есть у “Ъ”). Это значит, что ее сертифицированные межсетевые экраны смогут использоваться для защиты объектов критической информационной инфраструктуры (КИИ) и государственных IT-систем, не осуществляющих обработку сведений с гостайной, и в промышленных сетях.

Система сертификации ФСТЭК по уровням доверия действует с 2018 года, а летом 2020 года к ней добавились ограничения, которые сложно преодолеть зарубежным вендорам, говорит руководитель отдела консалтинга IT-безопасности Step Logic Денис Пащенко. Для сертификации необходимо предоставлять исходные коды российским лабораториям, проводить тестирование на уязвимости, причем методики испытаний ограничены для распространения и не все иностранные вендоры могут их получить, отмечает он. Большинство иностранных компаний получают сертификат шестого уровня, для которого предоставление кода не требуется, проводятся лишь функциональные испытания, добавляет менеджер по сертификации Trend Micro Russia Светлана Ашкинази.

Сертификация длится больше года, так что у всех производителей сертифицируются старые межсетевые экраны: у той же Check Point уже вышла новая версия после сертифицированной, отметил эксперт по IT-безопасности Денис Батранков. По словам одного из собеседников “Ъ”, аналогичную сертификацию сейчас также проходят межсетевые экраны конкурирующей компании Fortinet.

Важность сертификации выросла в связи с требованиями импортозамещения на объектах критической информационной инфраструктуры (оборонные предприятия, банк и т. д.).

В сентябре вступили в силу нормы, которые затрудняют использование для защиты КИИ несертифицированных решений.

С сертификатом Check Point получает существенное преимущество на рынке средств защиты объектов КИИ, полагает Денис Пащенко. Разрешенные продукты иностранных вендоров существенно облегчат переход на отечественное ПО и оборудование, подтверждает специалист Softline по защите КИИ Максим Прохоров. Используя только отечественные решения, не всегда можно найти оборудование нужной производительности и функционала, способное работать со сложными системами, отмечают в Step Logic.

Клиенты, которые следят за темой, скорее всего, будут готовиться к дальнейшему ужесточению требований и заранее переходить на чисто отечественные средства защиты, отмечает представитель Step Logic.

Однако, уточняет он, жизненный цикл таких продуктов составляет три—пять лет, поэтому заказчики вполне могут успеть вложиться в зарубежное решение, тем более что закон не имеет обратной силы и уже внедренное решение менять не заставят. Первый замдиректора «Ланит-Интеграции» Олег Головко также считает, что «далеко не все российские заказчики предпочтут использовать иностранный продукт». По его мнению, российские решения для IT-безопасности «вполне конкурентоспособны».

Действительно, ФСТЭК уже разработала следующее обновление требований, в которых для получения сертификата будут необходимы отечественные комплектующие, говорит один из источников “Ъ”: «Если сейчас иностранным решениям можно пройти сертификацию, реализовав тестирование и предоставив исходные коды для проверки, то после следующего обновления требований этого может оказаться недостаточно». По окончании действия полученного сертификата, отмечает он, Check Point должна будет пройти новую сертификацию по более жестким требованиям.

Читать статью на сайте «Коммерсантъ».