Сертификат ФСТЭК для Astra Linux 1.8 по 1-му классу: что это меняет для объектов КИИ
Astra Linux SE 1.8 получила сертификат ФСТЭК по 1-му классу защищённости. Разбираем, что это означает для дорожных карт импортозамещения на объектах КИИ 1-й категории.
Astra Linux SE 1.8 получает сертификат ФСТЭК по 1-му классу защищённости - расширяются возможности применения на значимых объектах КИИ 1-й категории
В начале апреля ФСТЭК опубликовал сертификат на Astra Linux Special Edition 1.8 - и не по второму классу защищённости, как было у предыдущих версий, а по первому. Это не просто обновление строчки в реестре: первый класс - максимальный уровень для операционных систем в российской классификации, и именно он требуется для применения на значимых объектах КИИ первой категории.
Для нас это событие не абстрактное. В январе, когда выходил релиз 1.8, мы написали, что торопиться ставить новую версию на prod-объекты КИИ до появления сертификата не стоит. Сертификат появился. Пора доставать дорожные карты.
Почему класс защищённости имеет значение
Классы защищённости средств вычислительной техники - это требования ФСТЭК, которые определяют, какое ПО можно применять на каком объекте. Упрощённо: чем выше категория значимости объекта КИИ, тем выше должен быть класс защищённости используемых СЗИ и ОС.
Для объектов КИИ третьей и второй категорий второго класса достаточно - и с этим у Astra 1.7.x всё было нормально. Но для первой категории нужен первый класс. И вот здесь до сих пор стояла стена.
На практике это означало, что организации с объектами КИИ первой категории находились в неудобной ситуации: Astra 1.7.x де-факто является стандартом для импортозамещения ОС, но формально не подходит для самых критичных объектов. Некоторые выходили из положения, оставляя на этих объектах либо сертифицированные версии предыдущих поколений с продлённой поддержкой, либо решения от других отечественных разработчиков с нужным сертификатом.
Теперь эта история закрыта.
Что меняется в дорожных картах
У нас сейчас несколько клиентов - субъектов КИИ с объектами первой категории, для которых мы ведём аудит и сопровождение импортозамещения. Во всех случаях выбор ОС для таких объектов был либо заморожен в ожидании сертификата, либо решался в пользу альтернатив с первым классом. Апрельское событие меняет ситуацию для обеих групп.
Для тех, кто ждал. Можно двигаться дальше. Блокер снят. Это означает, что проекты внедрения, которые стояли на паузе именно из-за отсутствия сертификата, можно разблокировать. На практике - обновить дорожную карту, расставить конкретные сроки, запускать тестовые стенды.
Для тех, кто выбрал альтернативу. Здесь интереснее. Если альтернатива уже внедрена и работает - менять её ради Astra 1.8 нет смысла. Но если она только на стадии пилота или ещё не выбрана окончательно - стоит вернуться к сравнению и учесть новые вводные.
Для всех. Сертификат выдан на конкретную сборку. Это значит, что при обновлении пакетов нужно следить за тем, чтобы не выйти за границы сертифицированной конфигурации - иначе формально сертификат перестаёт действовать. Это не новое требование, но о нём регулярно забывают.
Что нас беспокоит в практической части
Сертификат первого класса - это хорошая новость, но она не отменяет вопросы, которые мы поднимали в январе. Техническая зрелость 1.8 на реальном железе всё ещё выясняется в процессе: ядро 6.1 принесло улучшения, но и новые грабли. PARSEC стал чуть более предсказуемым - но «чуть» остаётся в силе.
Несколько наблюдений, которые теперь включаем в разговор с каждым клиентом перед планированием внедрения 1.8 на объекты первой категории:
Первое - тестовый стенд обязателен. Объект первой категории - это не место для первого знакомства с новой ОС. До начала любого перехода нужен стенд, максимально близкий к боевой конфигурации, с реальными приложениями и нагрузкой. Это банально, но часть организаций всё ещё считает тестирование «лишним этапом».
Второе - мандатный доступ требует отдельного внимания. PARSEC на объектах первой категории, как правило, включён в полную силу - и именно здесь концентрируются сюрпризы при переходе. Всё, что работало без мандатных меток, надо проверять заново.
Третье - документация на конфигурацию. При проверках ФСТЭК на объектах первой категории инспекторы смотрят на конфигурацию ОС особенно внимательно. Как мы видели на прошлой внеплановой проверке, документ, не отражающий реальное состояние системы, работает против вас. Это касается и параметров Astra: все отступления от стандартной конфигурации должны быть задокументированы и обоснованы.
Четвёртое - сроки обновления сертифицированной конфигурации. Если вендор выпустит обновление безопасности, которое изменит сертифицированную сборку, организации нужно понимать, как она будет управлять переходом. Это не страшно, но об этом надо думать заранее.
Где мы сейчас
Несколько клиентов уже попросили актуализировать их дорожные карты с учётом нового сертификата. На ближайшие недели запланированы встречи для пересмотра планов: где-то это разблокирует проекты, где-то - поднимет вопрос о том, стоит ли переигрывать уже сделанный выбор.
Пока очевидно одно: дедлайн по импортозамещению на объектах КИИ никуда не делся, а выбор сертифицированных ОС для первой категории стал чуть менее болезненным. Это не повод расслабиться - это повод убрать один из аргументов для затягивания решений.