В системе обеспечения информационной безопасности Вооруженных Сил Российской Федерации ключевую роль играет реестр средств защиты информации (СЗИ)‚ сертифицированных Министерством обороны РФ. Данный реестр ведется исключительно в интересах ведомства и регулируется внутренними нормативными правовыми актами Минобороны‚ отличаясь от гражданских реестров ФСТЭК России и ФСБ России.

Правовая основа и регулирующие документы

Деятельность по сертификации СЗИ в Минобороне РФ строится на следующих основополагающих актах:

• Федеральный закон от № 149-ФЗ «Об информации‚ информационных технологиях и о защите информации» (ст. 16‚ 17).
• Указ Президента РФ от № 1119 «Об утверждении Положения о лицензировании деятельности по разработке‚ производству‚ реализации‚ монтажу и техническому обслуживанию средств защиты конфиденциальной информации»;
• Постановление Правительства РФ от № 781 «Об утверждении Правил лицензирования деятельности…».
• Приказ Министра обороны РФ (внутренний ведомственный документ)‚ утверждающий Порядок сертификации СЗИ в Минобороне РФ и состав реестра.
• Методические документы Восьмого управления Генерального штаба ВС РФ (Служба защиты государственной тайны ВС РФ)‚ регламентирующие процедуру испытаний и оценки соответствия.

Орган по сертификации: Восьмое управление Генерального штаба ВС РФ

В соответствии с возложенными полномочиями‚ именно Восьмое управление Генерального штаба Вооруженных Сил Российской Федерации (Служба защиты государственной тайны ВС РФ) является уполномоченным органом‚ осуществляющим сертификацию средств защиты информации по требованиям безопасности информации для нужд Министерства обороны.

Функции управления включают:

1. Прием заявок на сертификацию от разработчиков/изготовителей.
2. Организацию и проведение испытаний СЗИ в аккредитованных испытательных лабораториях (ИЛ) Минобороны РФ.
3. Анализ результатов испытаний и принятие решения о выдаче/отказе в выдаче сертификата соответствия.
4. Ведение реестра сертифицированных СЗИ и контроль за соблюдением условий сертификации (в т.ч. контроль отсутствия недекларированных возможностей — НДВ).

Специфика реестра Минобороны по сравнению с реестрами ФСТЭК и ФСБ

Понимание различий критически важно для разработчиков и поставщиков оборудования:

Процедура попадания в реестр Минобороны

Этап 1: Подготовка документации и заявки

Заявитель (разработчик/изготовитель) направляет в Восьмое управление ГШ пакет документов‚ включающий:

• Заявление на сертификацию (по установленной форме).
• Техническую документацию на СЗИ (ТЗ‚ ПО‚ РЭ‚ описание алгоритмов‚ руководства).
• Документы‚ подтверждающие право на разработку/производство (лицензии ФСТЭК/ФСБ при наличии‚ свидетельства о госрегистрации ПО).
• Отчеты о предварительных испытаниях (внутренние‚ заводские).

Этап 2: Испытания в ИЛ Минобороны

Проводятся в лабораториях‚ аккредитованных именно под требования Минобороны. Программа испытаний включает:

• Функциональные испытания: соответствие заявленным функциям защиты.
• Испытания на устойчивость к воздействиям: климатические‚ механические‚ ЭМИ (по ГОСТ Р ВС / МИЛ-стандартам).
• Анализ НДВ (Недекларированных возможностей): глубокий анализ кода‚ поиск закладок‚ недокументированных интерфейсов‚ уязвимостей. Это ключевой и самый трудоемкий этап для военной сертификации.
• Испытания в составе АС: проверка взаимодействия со средой функционирования (ОС‚ СУБД‚ аппаратная платформа‚ сетевое оборудование ВС).

Этап 3: Принятие решения и внесение в реестр

По итогам испытаний формируется Акт испытаний. При положительном решении комиссии Восьмого управления ГШ выдается Сертификат соответствия СЗИ требованиям безопасности информации Минобороны РФ. Сведения о средстве вносятся во внутренний реестр.

Структура сведений в реестре (типовые поля)

Хотя реестр не является публичным‚ его структура стандартизирована для учетных целей ведомства. Типовая запись содержит:

• Регистрационный номер записи в реестре Минобороны.
• Полное наименование СЗИ (включая версию ПО/прошивки).
• Тип и класс СЗИ по классификации Минобороны (например: «Межсетевой экран класса 1»‚ «Средство доверенной загрузки типа Б»).
• Разработчик / Изготовитель (наименование организации‚ юр. адрес, *).
• Номер и дата выдачи Сертификата соответствия.
• Срок действия сертификата (обычно 3–5 лет с возможностью продления).
• Среда функционирования: сертифицированные ОС‚ аппаратные платформы‚ версии СУБД‚ с которыми гарантирована совместимость.
• Уровень контроля НДВ (глубина анализа: исходный код‚ бинарный код‚ документация).
• Примечания/Ограничения: особенности эксплуатации‚ запрет на использование определенных модулей (например‚ встроенного VPN‚ если он не сертифицирован отдельно)‚ требования к режиму эксплуатации.

Важные нюансы эксплуатации СЗИ из реестра Минобороны

Строгая привязка к конфигурации (Marking/Маркировка)

Аналогично требованиям ФСТЭК‚ каждое экземплярное изделитие СЗИ‚ поставляемое в ВС РФ‚ должно быть промаркировано (уникальный идентификатор‚ пломбирование‚ защита от подделки). В реестр вносится информация о каждой промаркированной копии. Разработчик обязан предоставлять отчетность по выпущенным и поставленным экземплярам.

Запрет на использование несертифицированных функций

Критический момент: Если СЗИ (например‚ NGFW или роутер) сертифицировано Минобороны как «Межсетевой экран»‚ но имеет встроенные модули «Антивирус»‚ «VPN»‚ «IPS»‚ которые не прошли отдельную сертификацию в Минобороне‚ их использование в автоматизированных системах ВС РФ запрещено. Инспекторы Службы защиты гостайны ВС при проверке зафиксируют нарушение режима защиты информации.

Взаимосвязь с сертификатами ФСТЭК/ФСБ

Наличие сертификата ФСТЭК или ФСБ не автоматически дает право на использование СЗИ в Минобороне. Однако:

• Наличие сертификата ФСБ на СКЗИ (например‚ VPN-модуль) часто является необходимым условием для допуска к испытаниям в Минобороне (доказательство криптографической стойкости).
• Сертификат ФСТЭК на базовую платформу (ОС‚ СУБД) упрощает аргументацию доверенности базы.

Продление и пересертификация

Сертификат Минобороны имеет ограниченный срок действия. Основания для пересертификации или внесения изменений:

1. Истечение срока действия сертификата.
2. Выпуск новой версии ПО / изменения в аппаратной части (модификация).
3. Обнаружение уязвимостей‚ требующих обновления (патчинга).
4. Изменение нормативной базы (новые Приказы Минобороны‚ ГОСТ Р ВС).
5. Изменение разработчика/изготовителя или места производства.

Процедура пересертификации может быть упрощенной (анализ изменений) или полной (повторные испытания НДВ)‚ в зависимости от глубины изменений.

Практическое значение для контрагентов (поставщиков ВС РФ)

Для организаций‚ участвующих в ГОЗ (гособоронзаказе) или поставляющих технику для нужд ВС РФ:

• Обязательное требование ТЗ: В технических заданиях на разработку/поставку АС для Минобороны жестко прописывается требование: «СЗИ должны иметь сертификат соответствия Минобороны РФ (внесены в реестр Восьмого управления ГШ)».
• Планирование сроков: Процесс сертификации в Минобороне (особенно анализ НДВ исходного кода) может занимать от 6 до 18 месяцев. Это должно быть заложено в график ГОЗ.
• Комплексный подход: Часто требуется «комбо»: СКЗИ (сертификат ФСБ) + Техническое СЗИ (сертификат Минобороны/ФСТЭК) + ОС/СУБД (сертификат Минобороны/ФСТЭК). Все компоненты должны быть совместимы по версиям‚ зафиксированным в сертификатах.
• Коммерческая тайна: Процесс взаимодействия с Восьмым управлением ГШ и материалы испытаний носят гриф «Секретно» или «Для служебного пользования». Разработчик должен иметь допуск к гостайне (лицензию ФСТЭК на деятельность по гостайне) и оформленные допуски у ключевых сотрудников.

Актуальные тенденции (на 2026 год)

• Импортозамещение аппаратной базы: Активный переход на российские процессоры (Эльбрус‚ Байкал)‚ платы (МСТА‚ Квант) и ОС (Астра Линукс SE‚ РЕД ОС‚ МСВС). Сертификация в Минобороне теперь тестируется именно на этих платформах.
• Контейнеризация и виртуализация: Появление требований к сертификации средств контейнеризации (Kubernetes-дистрибутивы) и гипервизоров для построения защищенных виртуализированных сред ВС.
• Автоматизация анализа НДВ: Внедрение инструментов статического и динамического анализа кода (SAST/DAST/IAST) в процесс сертификации для ускорения проверки больших кодовых баз.
• Единые реестры ВПК: Интеграция данных реестра Минобороны с реестрами Минпромторга и Минцифры для единого учета критических технологий.

Реестр Минобороны РФ по СЗИ — это закрытый ведомственный перечень средств‚ прошедших самую строгую в России процедуру верификации (включая глубокий анализ НДВ) для задач обороны и безопасности государства. Наличие записи в этом реестре является обязательным условием для легального применения программно-аппаратных комплексов защиты информации в автоматизированных системах Вооруженных Сил‚ на объектах Военно-промышленного комплекса и в системах ведомственной связи.

Для разработчиков путь в этот реестр лежит через лицензирование ФСТЭК (деятельность по гостайне)‚ подготовку полного пакета исходного кода и документации‚ а также длительные испытания в лабораториях Восьмого управления Генерального штаба ВС РФ. Понимание специфики этого реестра, залог успешного выполнения гособоронзаказа и сотрудничества с военным ведомством.

Примечание: Данная статья основана на открытых нормативных актах (ФЗ‚ Постановления‚ Приказы) и общедоступной информации о структуре Восьмого управления ГШ ВС РФ; Конкретные номера приказов‚ формы заявок и актуальные контакты Восьмого управления ГШ являются информацией ограниченного распространения (Для служебного пользования) и запрашиваются у кураторов ГОЗ или непосредственно в Службе защиты гостайны ВС РФ.