Новые правила, которые вступили в силу с 1 сентября 2026 года, расширяют круг облачных провайдеров, доступных организациям с государственными информационными системами (ГИС). Но выбор площадки — лишь одно из решений в цепочке требований, которые приходится выполнять тем, кто работает с ГИС и объектами критической информационной инфраструктуры (КИИ): от определения статуса и категории значимости до выбора модели размещения и разграничения ответственности с провайдером. О том, с чего начинать эту работу и с какими сложностями сталкиваются организации, в интервью CNews рассказал руководитель направления ИБ VK Tech Олег Бойко.

«Категорирование системы безопасности должно быть не формальным, а вдумчивым»

CNews: С 1 сентября 2026 года вступают в силу новые правила, которые создают правовую основу для размещения ГИС в облаке. Что это меняет для организаций, которые работают с ГИС и объектами КИИ?

Олег Бойко: У организаций появился заметно больший выбор облачных провайдеров для ГИС. Раньше, с точки зрения регулятора и законодательства, у федеральных, региональных и муниципальных органов власти было два варианта. Первый: Гостех, который создается под патронажем Минцифры. У него есть существенное условие: государственную информационную систему нужно строить с нуля по правилам платформы. Мало у кого стоит такая задача, системы уже существуют и работают, а создание новой с нуля требует больших затрат.

Второй вариант: разместить систему в ГЕОП, так называемом Гособлаке, куда перенесли ряд крупных информационных систем. Эта площадка рассчитана прежде всего на крупные системы.

Теперь организации могут обратиться к коммерческим облачным провайдерам, которые аттестованы и прошли оценку соответствия. Они гибко подходят к ценообразованию и работают с заказчиками разного масштаба, от крупных ведомств до небольших учреждений. Это касается не только ГИС, но и объектов КИИ.

CNews: Тысячи организаций сейчас определяют свой статус субъекта КИИ и оценивают, какие системы и объекты должны войти в контур защиты. С чего заказчику стоит начать эту работу?

Олег Бойко: Первый шаг: понять, относится ли отрасль организации к тем, где формируются объекты КИИ. Если да, дальше идет достаточно стандартный процесс.

Объект КИИ — это система, субъект КИИ — это организация, которая ею владеет. Если организация работает в одной из сфер, где могут быть субъекты КИИ, она, скорее всего, субъект и должна найти свои объекты. Как правило, это информационные системы, задействованные в важных технологических процессах с социальной или политической значимостью. Их нужно проинвентаризировать и оценить критичность по критериям социальной и экономической значимости и влияния на технологические процессы.

Затем приказом создается комиссия, и ее наличие в организации принципиально важно. Комиссия категорирует системы, организация приказом закрепляет, что у нее есть объект определенной категории, и направляет сведения во ФСТЭК.

Дальше начинается самое содержательное. ФСТЭК может запросить обоснование и предложить более высокую категорию. Чтобы ответить аргументированно, нужно хорошо знать собственные системы и качественно провести инвентаризацию: тогда организация способна показать, почему у системы вторая категория, а не первая. Категорирование требует вдумчивой работы, формальный подход здесь не работает.

CNews: Как на практике связаны между собой определение категории значимости объекта КИИ, требования к его защите и выбор инфраструктуры для размещения?

Олег Бойко: Связь простая. Чем выше категория значимости, тем больше требований предъявляет регулятор и тем больше нужно сделать, при этом самая высокая категория — первая. С инфраструктурой то же самое: чем выше категория объекта КИИ, тем выше должна быть категория площадки, на которой он размещен.

Постановление № 1024 закрепило подход, который среди облачных провайдеров существовал давно. При размещении информационной системы в облаке получается «пирог» минимум из двух слоев: инфраструктурный слой облака и сверху слой самой системы, где обрабатываются данные клиента. Считалось, что инфраструктура должна иметь категорию не ниже, чем размещаемая система: если система первой категории, инфраструктура аттестована тоже под первую.

Мы исходили из того же. Максимальные классы по ГИС, персональным данным и КИИ заложили в архитектуру заранее, чтобы закрыть любую потребность клиента. Если приходит заказчик с системой третьего класса, он сам решает, нужен ли ему максимальный уровень защиты.

«Клиент всегда приходит с желанием получить на выходе информационную систему, соответствующую требованиям»

Олег Бойко Руководитель направления ИБ, VK Tech

CNews: Какие основные сложности возникают у организаций при приведении информационных систем в соответствие требованиям по защите КИИ?

Олег Бойко: Первая сложность связана с архитектурой. Нередко систему, которую нужно привести в соответствие с требованиями регулятора, приходится переписывать целиком. Это дорого, потому что меняются процессы обработки информации внутри нее. Раньше требования предъявлялись к средствам защиты, теперь речь идет о сегментации и о том, где размещены сервисы и данные: критичные данные должны находиться в особо защищенном сегменте.

Поэтому почти наверняка потребуются сегментация и новая структура хранения. Обычно данные равномерно распределены по всей системе, и это удобно: они «горячие», их быстро берут, обрабатывают и выдают результат. Но если злоумышленник пробил периметр, он так же быстро их забирает, потому что все лежит рядом. Альтернатива: отдельное быстрое хранилище, где собраны все чувствительные данные и откуда системы и сервисы получают их по запросу. Такое хранилище тоже стоит больших денег.

Вторая сложность связана с сертифицированными средствами защиты информации. Они стоят недешево, особенно высокопроизводительные, а кластерное исполнение ради отказоустойчивости удваивает цену. Когда мы создавали VK Secure Cloud, основные капитальные затраты пошли на сетевую безопасность: сертифицированные межсетевые экраны, системы обнаружения вторжений и другие средства. В облаке заказчику не нужно нести эти расходы самому, он сразу начинает пользоваться сервисом.

CNews: Насколько выбор модели размещения — собственная инфраструктура, частное облако или аттестованное публичное облако — влияет на сроки и трудоемкость выполнения требований?

Олег Бойко: В инфраструктуре заказчику предстоит закупка, как правило, конкурентная, а это долгий путь: добиться выделения бюджета, провести торги, поставить и настроить оборудование, которое далеко не простая коробка, а затем обеспечить эксплуатацию и поддержку.

В облаке все устроено иначе. Клиент присылает запрос на доступ, и в течение суток мы передаем ему инструкцию по подключению и настройке средств криптографической защиты информации. После аутентификации он получает инфраструктуру как сервис: виртуальные машины за межсетевыми экранами, которые у нас включены по умолчанию. Если нужно взаимодействие с внешними сетями, клиент подает заявку, и мы настраиваем дополнительные средства защиты, межсетевой экран или систему обнаружения вторжений.

Разница заметна в сроках. В органах власти бюджетирование, закупка и настройка, по нашему опыту, занимают до года, а в облако можно прийти через сутки и начать работать. Сам сервис, разумеется, тоже придется купить, но заказчик не занимается ни внедрением средств защиты, ни их настройкой, ни эксплуатацией: все это уже входит в его состав.

CNews: При переходе в облако возникает вопрос распределения ответственности между заказчиком и провайдером. Как на практике должна быть организована эта граница?

Олег Бойко: Здесь работает классическая матрица разделения зон ответственности. Облачные сервисы предоставляются в трех вариантах. Первый — инфраструктура как сервис (IaaS): клиент получает мощности, процессор, память, диск. Второй — платформенные сервисы (PaaS): например, контейнеризация или база данных как сервис. Третий — готовый сервис (SaaS): например, почта, где клиент пользуется самим приложением, а инфраструктурные элементы вроде баз данных его не касаются. По мере движения от IaaS к SaaS провайдер берет на себя все большую часть ответственности.

Мы обеспечиваем физическую инфраструктуру: центры обработки данных (ЦОД) с их соответствием требованиям, системы контроля и управления доступом (СКУД), видеонаблюдение. Дальше мы отвечаем за серверы, инфраструктурные сервисы и сервисы безопасности, включая межсетевые экраны и средства криптографической защиты информации (СКЗИ).

В модели IaaS клиент создает виртуальную машину, и начиная с нее зона ответственности его: он устанавливает прикладное ПО, загружает данные, отвечает за информационную систему. В модели PaaS мы отвечаем еще и за виртуальную машину с операционной системой, а на клиенте остаются небольшая настройка базового сервиса и данные. В модели SaaS мы отвечаем за все, а на клиенте лежат только правила пользования сервисом и данные.

Например, почтовый сервис нельзя использовать для спам-рассылок, и такие условия прописаны в правилах. Операционная система и прикладное ПО при этом остаются нашей зоной, потому что сервис предоставляем мы.

CNews: Как VK Cloud помогает заказчикам сократить сроки и трудоемкость выполнения требований по КИИ? Что в этом процессе уже можно взять в готовом виде?

Олег Бойко: Клиент получает готовую инфраструктуру: заходит в облако и разворачивает прикладное ПО и собственную информационную систему. Инфраструктурные средства безопасности мы уже реализовали: криптографию, межсетевое экранирование, системы обнаружения вторжений, систему сбора и корреляции событий. Заказчику остается безопасность самой системы.

Клиент всегда приходит за результатом, за системой, которая соответствует требованиям. Вокруг этой задачи выстраивается цепочка процессов: проектирование, подключение к облаку, архитектура размещения, выбор дополнительных средств защиты, которые нужно установить.

В VK Secure Cloud заказчику стоит подумать об антивирусе для виртуальных машин, о защите веб-приложений от атак из интернета, о песочнице для проверки почтового трафика и, если нужно, о средствах обнаружения и реагирования на конечных точках (EDR). Остальная инфраструктурная безопасность у нас уже есть.

Вместе с заказчиком мы определяем, что сделано, что предстоит и где мы можем помочь. Например, антивирус можно развернуть как сервис внутри облака, уведомления мы настроим. Такая работа под ключ интересна и нам, и клиентам, запросов на нее много, и мы готовы ими заниматься.

CNews: Какие меры инфраструктурной безопасности и требования регуляторов к облаку уже реализованы на стороне провайдера и что заказчик получает в готовом виде?

Олег Бойко: В готовом виде заказчик получает защищенную инфраструктуру. Когда мы проектировали облако, модель угроз согласовывали с ФСБ и ФСТЭК. ФСБ потребовала поставить шлюзы высокого класса для взаимодействия со сторонними площадками: чем выше класс (КС1, КС2, КС3), тем защищеннее криптографический шлюз. Формальных требований на тот момент еще не было, но мы обсудили их с регуляторами и заложили в архитектуру СКЗИ вплоть до класса КВ, а к таким средствам предъявляются жесткие требования по размещению.

Клиенты часто спрашивают, можно ли разместить у нас собственные СКЗИ. Можно, в том числе оборудование класса КВ. Межсетевые экраны у нас есть как сервис, но некоторые заказчики просили поставить свой экран, чтобы управлять им самостоятельно. Это противоречило нашей архитектуре: весь трафик проходит через наши экраны с правилами фильтрации по заявкам ведомства или потребителя и с нашими собственными правилами. Решение мы нашли: такой экран можно разместить так, чтобы он не влиял на других клиентов, ведь у нас настоящее коммунальное облако.

Весь стек отечественный: оборудование из реестра и ПО нашей разработки, сертифицированное в системе сертификации ФСТЭК. Оно обеспечивает логическую изоляцию, проверенную регулятором, поэтому на одном оборудовании мы размещаем разных клиентов. Выделенные серверы тоже доступны, но стоят дороже. В итоге клиенту остается заботиться только о безопасности своей информационной системы, и здесь мы тоже готовы помочь.

CNews: Как VK Tech развивает облачную платформу с учетом требований к ГИС и КИИ? Какие возможности VK Cloud сегодня наиболее востребованы у организаций, которым необходимо обеспечить соответствие этим требованиям?

Олег Бойко: Мы развиваем платформу по нескольким направлениям. Клиент может распределить информационную систему между площадками или вынести на другую площадку резервное копирование. Сейчас мы готовимся к аттестации по новым требованиям, в которых появилось много процессных норм. После этого инфраструктурный слой будет закрыт полностью, и мы сможем расти выше, в сторону платформенных и готовых сервисов, которые будем предоставлять клиентам в аттестованном виде.

Отдельная тенденция связана с искусственным интеллектом: с размещением нейросетей и агентов в аттестованном периметре. Задача интересная, потому что решение должно быть изолированным для разных клиентов, чтобы они могли пользоваться такими сервисами из своих государственных информационных систем и объектов КИИ.

Что касается спроса, сегодня клиенты в основном смотрят на слой IaaS и хотят получить его в аттестованном виде. Но запросов на размещение нейросетей и агентов становится все больше. Задачи приходят с самого верхнего уровня: ведомственные программы цифровой трансформации, ключевые показатели по использованию ИИ в органах власти.

CNews: Какие задачи VK Tech считает приоритетными в развитии облачной инфраструктуры для регулируемых отраслей?

Олег Бойко: Отвечу со стороны безопасности, за которую отвечаю. С этой позиции приоритетов два: отказоустойчивость и появление в облаке ИИ-сервисов в безопасной обвязке, которая нужна ведомствам.

Во втором направлении главная задача связана с развитием ИИ-платформ и платформенных сервисов для нейросетей. Клиенту нужен законченный сервис, чтобы ему не приходилось писать собственных агентов. Такой сценарий мы уже проработали: готового агента можно взять и пользоваться.

Запросы пока самые простые. Первый: расшифровка записей и краткое изложение. После видеоконференции запись нужно перевести в текст, а лучше сразу получить суть и компактный итог. Второй: автоматизация рутины, прежде всего ответов на письма. Например, приходит письмо по электронному или межведомственному документообороту (МЭДО), и ответ нужно подготовить быстро. Агент собирает данные и готовит проект ответа. Раньше на это уходила неделя, теперь в лучшем случае два часа. Пользователь расходует токены, то есть ресурс, на котором работают нейросети, зато быстро получает результат и может отчитаться об исполнении или о плане работы.

Интерес к таким сервисам большой, и мы движемся в этом направлении.