СКЗИ и сертификация ФСТЭК: какие классы средств криптозащиты существуют и как выбрать сертифицированное решение

13.10.2026

Что такое СКЗИ и зачем нужны классы защиты

Средства криптографической защиты информации, сокращенно СКЗИ, это программные и аппаратные продукты, которые обеспечивают шифрование данных, электронную подпись и защиту каналов связи. В России к ним предъявляются особые требования: реализация отечественных алгоритмов ГОСТ и обязательная проверка в уполномоченных органах. Без сертифицированных СКЗИ невозможна работа с государственными информационными системами и юридически значимым документооборотом.

Классификация СКЗИ нужна, чтобы соотнести уровень защиты продукта с уровнем угроз и ценностью информации. Класс присваивается по итогам оценки, которую проводит ФСБ России, и определяет, в каких сценариях допускается применять изделие. Чем выше класс, тем жестче требования к криптографическим модулям, защите ключей и условиям эксплуатации.

Основные классы СКЗИ и где они применяются

Классы КС предназначены для защиты информации, не содержащей государственную тайну: КС1 применяется там, где нарушитель может лишь пассивно перехватывать данные, КС2 добавляет защиту от активного нарушителя вне контролируемой зоны, КС3 рассчитан на среды с возможным воздействием на технические средства. Классы КВ используются там, где повышены требования к целостности и контролю полномочий, а класс КА предназначен для наиболее критичных сценариев.

Выбор класса зависит не от желания заказчика, а от модели угроз и категории защищаемой информации. Продукт неподходящего класса не позволит пройти аттестацию, а избыточный класс означает переплату. Для корпоративных систем чаще всего требуются изделия классов КС2 и КС3.

Сертификация ФСТЭК и реестр сертифицированных средств защиты

Помимо криптографических средств, в регулируемом контуре используются другие продукты защиты: межсетевые экраны, антивирусы, системы обнаружения вторжений. Их сертифицирует ФСТЭК России, а сведения вносятся в Государственный реестр сертифицированных средств защиты информации. Реестр открыт, и перед закупкой продукта стоит проверить, действует ли сертификат и на какие уровни доверия он выдан.

Сертификат подтверждает, что изделие прошло испытания в аккредитованной лаборатории и может применяться в системах с соответствующим уровнем защищенности. У сертификата есть срок действия и область применения, а обновления продукта проходят процедуру подтверждения.

Как устроен реестр и на какие детали смотреть при выборе продуктов, разбирается в статье о государственном реестре сертифицированных средств защиты информации ФСТЭК. Материал помогает избежать ситуации, когда средство формально сертифицировано, но не подходит под задачу.

Обновление требований и что проверяет ФСБ

Требования пересматриваются с учетом новых криптографических атак и изменения ландшафта угроз, устаревшие классы выводятся из оборота, а для изделий в критической инфраструктуре вводятся дополнительные условия. Парк криптографических средств нужно периодически пересматривать: изделие, купленное пять лет назад, может уже не соответствовать действующим требованиям.

Проверки ФСБ касаются не только продуктов, но и порядка их эксплуатации: как хранятся ключевые документы, кто имеет доступ к средствам формирования ключей, соблюдаются ли формуляры. Нарушения в документации встречаются даже чаще, чем проблемы с самими СКЗИ. О том, чем отличаются классы средств криптозащиты и что проверяет ФСБ, рассказывается в материале о классах СКЗИ.

Как выбрать СКЗИ под свою задачу

Сначала определяется перечень защищаемой информации и строится модель угроз. Затем выбирается класс изделия и проверяются действующие сертификаты. После этого оцениваются эксплуатационные характеристики: поддерживаемые операционные системы, совместимость с сервисами, производительность, удобство управления ключами. Финальный шаг проверка того, что вендор обеспечивает поддержку и обновления на годы вперед.

Криптографическая защита это фундамент доверенных сервисов: от электронной подписи до защищенных каналов между филиалами. Грамотно подобранные и эксплуатируемые СКЗИ закрывают значительную часть требований регуляторов и создают базу для аттестации информационных систем.