Selectel и VK Cloud с сертификатом ИЛ2: перенос нагрузки КИИ в сертифицированное облако

Selectel и VK Cloud в этом году получили сертификаты соответствия требованиям к защищённости ИЛ2 (второй уровень защищённости по классификации ФСТЭК). Для рынка это не сенсация - такой сертификат давно есть у Сберклауда и ряда других игроков - но для наших задач это конкретный рабочий повод: один из клиентов, субъект КИИ второй категории, начал перенос части нагрузки в облако, и теперь у него появился выбор за пределами одного провайдера.

Мы сопровождаем миграцию в рамках managed-сервиса, и ниже - то, что обнаружилось в процессе.

Что такое ИЛ2 и зачем он нужен

Уровни защищённости информационных систем (УЗ1-УЗ3) - это классификация по постановлению Правительства № 1119 применительно к персональным данным, и ИЛ2 - уровень, который требуется для государственных ИС и ряда ИСПДн с ПДн специальных категорий. Для субъектов КИИ отдельная история: им нужна аттестация самой информационной системы по требованиям приказа ФСТЭК № 239, и облако-провайдер здесь выступает как площадка, на которую накладываются дополнительные требования.

Грубо говоря: сертификат ИЛ2 у провайдера - это необходимое, но не достаточное условие. Аттестовывать надо саму ИС клиента, которая размещается на этой площадке. Провайдер с ИЛ2 снимает часть головной боли при аттестации (техническая защищённость площадки задокументирована и проверена), но не заменяет её.

Это первое, что пришлось объяснять на стороне клиента: менеджер проекта искренне полагал, что сертификат провайдера = аттестованная система. Нет.

Как шёл перенос

Клиент - промышленный субъект КИИ, вторая категория значимости. Часть нагрузки - не значимые объекты КИИ (корпоративные сервисы, аналитика, тестовые окружения), часть - объект КИИ, для которого нужна аттестация.

По нескатегоризованным сервисам перенос прошёл относительно гладко. Selectel для этого клиента выбрали по ценовому фактору и наличию managed PostgreSQL с нужной версией. Инфраструктурно Selectel сейчас сильнее, чем год назад: сравнивали провайдеров в декабре и тогда их managed-сервисы оценивали как более скромные, но за семь месяцев картина изменилась заметно. Managed Kubernetes у Selectel всё ещё моложе, чем у Yandex Cloud, но для workloads этого клиента достаточен.

По значимому объекту КИИ всё сложнее, и здесь начинаются нюансы.

Аттестация: что реально требуется

Перечислю то, с чем пришлось разбираться по ходу работы.

Модель угроз. Это не шаблон из интернета и не документ «на подпись». Для объекта КИИ модель угроз разрабатывается по БДУ ФСТЭК, и она должна учитывать специфику именно облачного размещения: угрозы виртуализации, угрозы мультиарендности, действия привилегированного персонала провайдера. Не все аттестующие организации умеют это делать для облачной модели - часть работает с шаблонами под on-premise.

Разграничение ответственности с провайдером. Провайдер закрывает физическую безопасность и безопасность гипервизора. Всё выше стека - сеть виртуальных машин, ОС, приложения, управление доступом - зона ответственности клиента. Это должно быть явно прописано в договоре, и нужно убедиться, что аттестующая организация получила от провайдера необходимые документы о безопасности инфраструктурного слоя.

SLA и его интерпретация. Вот здесь возникает интересное расхождение. У Selectel в публичных условиях SLA на виртуальные машины - 99,95%, что выглядит прилично. Но в контексте аттестации значима не только цифра доступности, а то, как прописаны исключения: плановые работы, форс-мажор, «недоступность по вине клиента». При детальном разборе договора с юристом клиента выяснилось несколько пунктов, которые в случае инцидента делают компенсацию по SLA фактически недостижимой. Это не уникальная история для Selectel - у большинства провайдеров похожая конструкция. Но при аттестации это надо учитывать в оценке рисков доступности.

Требования к резервному копированию. Приказ ФСТЭК № 239 требует обеспечить восстановление. Managed-бекапы провайдера не всегда покрывают требования по RPO/RTO для значимых объектов КИИ. У клиента пришлось настраивать дополнительный независимый бекап в отдельный бакет с другим регионом хранения.

Реальная готовность провайдеров

Сертификат ИЛ2 - это один документ, а готовность к реальной работе с аттестованными объектами КИИ - другое. Что мы видим на практике у двух провайдеров, получивших сертификат.

Selectel. Техническая поддержка достаточно компетентна по вопросам инфраструктуры, но запросы уровня «нам нужно подтверждение мер защиты по пункту X приказа 239» обрабатываются медленно и требуют эскалации. Документация по безопасности инфраструктуры есть, но найти её нетривиально. Выделенный технический аккаунт-менеджер для таких проектов нужен - без него всё идёт через общую поддержку с соответствующими сроками.

VK Cloud. Опыта с ними на аттестационных проектах в этом году у нас пока меньше, но по документации ситуация несколько лучше - у них есть специализированный раздел для госсегмента и КИИ с нужными формами. Это снижает время на сбор документального пакета.

Общий вывод: получение сертификата ИЛ2 - это событие на стороне провайдера, и оно реально расширяет выбор площадок для размещения. Но готовность к работе с аттестованными ИС - это зрелость процессов, документации и людей, и она приходит позже. Пока что это требует дополнительных усилий на стороне интегратора.

Что это значит для нашей работы

Мы сейчас видим рост запросов на перенос в сертифицированное облако от клиентов, которые раньше держали значимые объекты КИИ исключительно on-premise. Облако с ИЛ2 становится реальной альтернативой - не для всех случаев, но для тех, где объект не требует физической изоляции первой категории.

Перенос при этом не стал проще с точки зрения регуляторики - аттестационный процесс тот же самый. Но инфраструктурно это снимает часть задачи с плеч клиента: физическая защита и безопасность гипервизора документально подтверждены. Это уже что-то.