Для простого корпоративного сайта-визитки, интернет-магазина подарков или личного блога в Беларуси требования к серверной инфраструктуре вполне стандартны: сервер физически должен находиться на территории РБ в соответствии с Указом Президента №60, сайт обязан быть зарегистрирован в БелГИЭ, а персональные данные покупателей должны обрабатываться с согласия пользователей согласно Закону № 99-З.
Однако как только информационная система начинает работать со специальными категориями персональных данных (медицинские диагнозы, биометрия), банковскими транзакциями, страховыми полисами или государственными реестрами, обычного виртуального хостинга становится категорически недостаточно. Вступает в силу жесткий регламент Оперативно-аналитического центра при Президенте Республики Беларусь (ОАЦ), требующий размещения ресурсов в аттестованной системе защиты информации (СЗИ). В этом руководстве мы разберем, кому по закону необходим аттестованный контур, какие существуют классы систем и как бизнесу сэкономить сотни тысяч рублей при помощи аттестованного IaaS-облака.
1. Что такое аттестат соответствия ОАЦ?
В Республике Беларусь ключевым регулятором в сфере информационной безопасности и технической защиты информации является Оперативно-аналитический центр при Президенте РБ (ОАЦ). Основным нормативным документом выступает Приказ ОАЦ № 66 «О мерах по совершенствованию защиты информации» совместно с серией государственных стандартов СТБ 34.101.
💡 Определение: Аттестат соответствия системы защиты информации (СЗИ) — это официальный государственный документ, удостоверяющий, что программно-аппаратный комплекс, серверы, каналы связи, средства шифрования и регламенты администрирования полностью соответствуют требованиям законодательства РБ по защите информации от несанкционированного доступа, утечки, искажения или уничтожения.
Без действующего аттестата соответствия эксплуатация многих типов информационных систем в Республике Беларусь запрещена законом, а нарушение влечет административную и уголовную ответственность руководства организации.
2. Кому по закону необходим аттестованный хостинг?
Обязанность размещать свои ресурсы в аттестованном защищенном контуре распространяется на следующие категории организаций и проектов:
- Государственные органы и организации с долей государства: Любые государственные порталы, ведомственные базы данных, АСУ и реестры обязаны размещаться либо в защищенном сегменте Республиканского центра обработки данных (РЦОД beCloud / G-Cloud), либо на аттестованных мощностях сертифицированных провайдеров.
- Медицинские учреждения и аптечные сети: Медицинские информационные системы (МИС), порталы записи к врачу, лаборатории и клиники обрабатывают информацию о состоянии здоровья граждан. Согласно нормам НЦЗПД и ОАЦ, медицинские данные относятся к специальной категории персональных данных высочайшего уровня конфиденциальности.
- Финтех, банки и микрофинансовые организации (МФО): Личные кабинеты заемщиков, системы онлайн-кредитования, агрегаторы платежей и факторинговые сервисы.
- Образовательные платформы и вузы: Системы дистанционного тестирования, базы дипломов и личные карточки студентов и преподавателей.
- Крупные ритейлеры и агрегаторы: B2B-порталы оптовых закупок, CRM-системы со скорингом клиентов и внутренние ERP-платформы, классифицированные как информационные системы соответствующего уровня защиты.
3. Классификация информационных систем в Беларуси
Перед созданием системы защиты информации организация обязана провести классификацию своей информационной системы в соответствии с приказом ОАЦ. Обозначение класса обычно строится по схеме (например, 3-fl, 3-rl, 2-fl):
| Элемент класса | Значение | Примеры |
|---|---|---|
| Цифра (Уровень) | Степень конфиденциальности обрабатываемой информации (от 1 до 4, где 1 — высший госсектор). | Класс 3 — наиболее распространен для коммерческих баз данных и персональных данных. |
| Буква «f» / «p» | Территориальное распределение компонентов системы. | «fl» — система с фиксированным расположением автоматизированных рабочих мест и серверов. |
| Буква «r» / «l» | Использование удаленного сетевого доступа и каналов связи общего пользования. | «rl» — система с удаленным доступом пользователей через Интернет. |
4. Обычный хостинг против аттестованного сегмента IaaS
Почему для защищенных систем нельзя использовать стандартный виртуальный сервер за 30 рублей?
| Критерий | Обычный Cloud VPS / Shared | Аттестованное облако (IaaS ОАЦ) |
|---|---|---|
| Аттестат соответствия СЗИ | Отсутствует | Официальный государственный аттестат ОАЦ |
| Сетевая защита | Программный iptables / UFW на сервере | Сертифицированные аппаратные межсетевые экраны (NGFW) |
| Защита от несанкционированного доступа (НСД) | Стандартные логи Linux | Сертифицированные СЗИ от НСД, неизменяемый аудит событий |
| Криптографическая защита | OpenSSL / Let's Encrypt (RSA/ECC) | Белорусские криптоалгоритмы (СТБ 34.101) при необходимости VPN-шлюзов |
| Физический уровень в ЦОД | Общие стойки дата-центра | Выделенный изолированный контур, СКУД с видеоконтролем 24/7 |
5. Модель разделенной ответственности: как сэкономить до 80% бюджета?
Если коммерческая компания решит аттестовать инфраструктуру своими силами «с нуля», ей придется:
- Купить и установить собственное серверное оборудование (два независимых кластера под ЦОД уровня Tier III в Минске);
- Приобрести лицензии на сертифицированные аппаратные фаерволы, СЗИ от НСД, антивирусы с сертификатами соответствия;
- Нанять специализированную компанию-лицензиата ОАЦ для разработки комплекта документации (Техническое задание, Политика безопасности, Регламенты);
- Пройти аттестационные испытания. Общая стоимость такого проекта легко превышает 80 000 – 150 000 рублей, а срок внедрения занимает от 6 до 12 месяцев.
💡 Разумная альтернатива — аренда аттестованного IaaS: Крупнейшие белорусские провайдеры (beCloud, hoster.by, A1) уже прошли государственную аттестацию своего облачного сегмента виртуализации. Арендуя виртуальную машину в этом контуре, вы автоматически закрываете все требования к физическому уровню, гипервизору и сетевому экранированию. Вам остается аттестовать лишь уровень самого веб-приложения, что в разы дешевле и быстрее.
6. Ответственность бизнеса за несоблюдение требований
Игнорирование требований законодательства в сфере защиты информации влечет суровые санкции:
- Статья 23.7 КоАП Республики Беларусь: Нарушение законодательства о защите персональных данных влечет штраф в размере до 100 базовых величин на юридическое лицо за каждый зафиксированный факт утечки или неправомерной обработки.
- Предписание регулятора (ОАЦ / НЦЗПД): Контролирующие органы вправе выдать обязательное предписание о приостановлении обработки данных или отключении серверов до устранения нарушений. Для онлайн-бизнеса это означает внезапную блокировку ресурса. Подробности читайте в обзоре «Закон о защите персональных данных в Беларуси (НЦЗПД) и хостинг».
7. Чек-лист проверки хостинг-провайдера перед заключением договора
- Действующий аттестат ОАЦ: Попросите предоставить копию аттестата соответствия СЗИ на облачную инфраструктуру. Проверьте дату окончания действия и классы защищенности, на которые он выдан.
- Специальная лицензия ОАЦ: Убедитесь, что провайдер обладает специальным разрешением (лицензией) на право осуществления деятельности по технической защите информации.
- Договор поручения на обработку персональных данных: Провайдер должен выступать уполномоченным лицом по смыслу Закона № 99-З и подписывать юридически обязывающее соглашение.
- Изоляция каналов связи и бэкапов: Уточните схему резервного копирования. Резервные копии аттестованного контура должны храниться в зашифрованном виде согласно стратегии бэкапов 3-2-1 на независимой площадке.
Заключение
Аттестованный хостинг по требованиям ОАЦ — это фундамент цифровой безопасности и юридической чистоты для любого серьезного бизнеса в Республике Беларусь. Использование готовой аттестованной IaaS-инфраструктуры позволяет компаниям избежать огромных капитальных затрат, пройти проверки регуляторов без замечаний и гарантировать 100% сохранность конфиденциальных данных клиентов.
Для проектов, не требующих государственной аттестации, подберите надежную площадку в нашем общем каталоге хостингов в Беларуси или выберите производительную виртуальную машину в рейтинге облачных VPS/VDS на платформе TopHosting.by.