В коммерческих предложениях облачных провайдеров рядом стоят слова «защищенное», «сертифицированное», «аттестованное» и «соответствует требованиям ФСТЭК». Для руководителя, который впервые выбирает площадку под значимый объект критической информационной инфраструктуры (КИИ) или государственную информационную систему (ГИС), они звучат одинаково. Ниже — о том, что такое аттестованное облако, чем оно отличается от обычного и как читать предложение провайдера, чтобы не перепутать одно с другим.

Аттестат выдают на объект информатизации целиком: на площадку, сегмент инфраструктуры или систему. Его получают по итогам аттестационных испытаний, которые проводит организация с лицензией ФСТЭК. Порядок задает приказ ФСТЭК России от 29.04.2021 № 77. Аттестат подтверждает, что конкретный объект в конкретных границах соответствует требованиям по защите информации для заявленного класса или категории. Выдают его на весь срок эксплуатации объекта, а соответствие подтверждают периодическим контролем.

Сертификат получают разработчики на отдельное изделие: средство защиты информации, операционную систему, платформу виртуализации. У сертификата есть уровень доверия по приказу ФСТЭК № 76, всего их шесть, первый из них высший. Для ГИС класса К1, систем персональных данных уровня УЗ-1 и значимых объектов КИИ первой категории применяют средства не ниже четвертого уровня. Документ описывает продукт и ничего не говорит о том, как этот продукт настроен и эксплуатируется на конкретной площадке.

«Соответствует требованиям ФСТЭК» без реквизитов документа означает самооценку провайдера. Она может быть честной, но проверить ее нечем.

Отсюда главное различие. Облако с сертифицированными средствами защиты и аттестованное облако закрывают разные задачи. В первом случае провайдер покупает и устанавливает проверенные изделия. Во втором — независимая лаборатория проверяет площадку как единое целое, включая настройки, процессы и документы, и фиксирует результат в аттестате с номером, датой и границами.

Обычное облако провайдера решает свои задачи: быстро выделить ресурсы, масштабировать нагрузку, платить по факту потребления. Меры защиты в нем тоже есть, часто серьезные. Их состав и качество подтверждает сам провайдер. Для систем вне регулируемого периметра обычное облако остается актуальным выбором. Для ГИС площадка должна быть аттестована, для значимых объектов КИИ аттестат площадки так же ложится в доказательную базу при оценке соответствия объекта.

Строка про изоляцию требует пояснения. Аттестованное облако провайдера бывает устроено по-разному: часть площадок размещает заказчиков на общих ресурсах с логическим разделением, часть выделяет под каждого отдельное оборудование. Оба варианта могут быть аттестованы. Поэтому «аттестованное облако» и «публичное облако» не синонимы: аттестованный контур с аппаратной изоляцией по смыслу уже не публичный.

Аттестат соответствия похож на паспорт площадки, и читать его стоит по полям.

Классы и категории. Аттестат перечисляет, под какие системы подходит площадка. Для ГИС это классы защищенности К1, К2 и К3. С 1 марта 2026 года их определяет приказ ФСТЭК № 117. Для систем персональных данных это уровни защищенности от УЗ-1 до УЗ-4 по постановлению Правительства № 1119 и приказу ФСТЭК № 21. Для значимых объектов КИИ — категории значимости от первой до третьей по постановлению № 127 и приказу ФСТЭК № 239. Один аттестат может покрывать несколько категорий систем сразу. Организации, у которой рядом с государственной системой работает значимый объект КИИ, это дает одну площадку вместо двух.

Границы. К аттестату прилагаются технический паспорт объекта информатизации и акт классификации. Из них видно, какие центры обработки данных, сегменты сети и компоненты входят в аттестованный контур. Адрес размещения указывают в сведениях, которые направляют во ФСТЭК. Если у провайдера несколько площадок, аттестат может покрывать одну из них.

Срок действия и реквизиты. Здесь указаны номер, дата выдачи и наименование органа по аттестации. Аттестат выдают на срок эксплуатации объекта, но действует он при условии периодического контроля. Протоколы контроля направляют во ФСТЭК. С 1 сентября 2026 года порядок контроля уточнен приказом ФСТЭК № 60: в нем конкретизировано содержание протокола, а для аттестованных ГИС введено обязательное тестирование на проникновение.

Состав стека. В аттестованном контуре программное обеспечение проверяют по реестру российских программ Минцифры, а оборудование — по реестру радиоэлектронной продукции Минпромторга. Саму площадку с 1 марта 2026 года можно сверить с реестром центров обработки данных, который ведет Минцифры. Из аттестата не видно, кто разрабатывает ключевые компоненты платформы. Это отдельный вопрос к провайдеру: от ответа зависят сроки обновлений и повторной сертификации.

Три вещи, которые от аттестата ждут напрасно.

Аттестат площадки не аттестует систему заказчика. Он подтверждает соответствие инфраструктуры и служит доказательной базой по этому слою. Систему, развернутую поверх инфраструктуры, заказчик аттестует отдельно, и к этой работе стоит готовиться заранее.

Субъект КИИ и оператор ГИС отвечают перед регулятором при любой модели размещения. Провайдер берет на себя работы по инфраструктурному слою, и их объем фиксируют в договоре.

Аттестат не гарантирует, что площадка останется неизменной. Платформа развивается и средства защиты обновляются, а при существенных изменениях проводят дополнительные испытания. Поэтому в договоре отдельно описывают, как провайдер уведомляет заказчика об изменениях и что делают стороны при его приостановлении.

Шесть формулировок, которые встречаются чаще всего, и что за ними стоит.

Общее правило: за каждой формулировкой из левой колонки должен стоять документ с номером. Если документа нет, формулировка остается описанием, и опираться на нее при аттестации собственной системы не получится.

«За последние два года запросы от заказчиков изменились. Раньше спрашивали, защищенное ли у нас облако, и ответ укладывался в презентацию. Теперь спрашивают номер аттестата, его границы и комплект документов, который мы передадим для их собственной аттестации. Это правильный разговор: он идет по документам, и обе стороны понимают, что именно подтверждено, а что остается на стороне заказчика»

Вот как перечисленные поля выглядят в документах одной площадки. У аттестованного облака VK Secure Cloud аттестат соответствия № 3740.00024.2026 от 20.02.2026. В поле «классы и категории» у него три позиции: государственные информационные системы класса К1, системы персональных данных уровня УЗ-1 и значимые объекты КИИ до первой категории значимости. В поле «границы» в периметр входят платформа виртуализации, объектное хранилище и система резервного копирования. Эти компоненты разрабатывает VK Tech. Под каждого заказчика выделяют изолированный аппаратный контур в дата-центре вендора. В поле «документы для заказчика» значатся модели угроз, формуляры инфраструктуры и копия аттестата.

У того же вендора видна и разница между аттестатом и сертификатом. Частное облако VK Private Cloud устанавливают в контуре заказчика. Аттестата у него нет, есть сертификат ФСТЭК № 4857 от 24.09.2024, действующий до 24.09.2029. Сертификат подтверждает платформу как изделие, а контур, собранный на этой платформе, заказчик аттестует сам, с привлечением лицензиата ФСТЭК и под свои классы. Это два документа для двух моделей размещения.

1. Номер, дата и орган по аттестации: документ существует и его можно запросить.
2. Классы и категории: ваша система попадает в перечень, класс не ниже требуемого.
3. Границы: площадка, сегменты и компоненты, на которых будет работать ваша система, входят в аттестованный контур.
4. Контроль: как провайдер подтверждает соответствие после выдачи аттестата и как уведомляет заказчика об изменениях.
5. Комплект для вашей аттестации: что именно провайдер передает и в какой срок.

Если на все пять вопросов есть ответ с документом, слово «аттестованное» в предложении означает ровно то, что должно.