Как выстроить доверенную ИТ-инфраструктуру: эксперты АРПП назвали главные принципы

Практические приоритеты построения доверенной ИТ-инфраструктуры обсудили на сессии АРПП «Отечественный софт» — «Своя крепость. Как выстроить доверенную ИТ-инфраструктуру организации», которая прошла 19 мая на площадке ЦИПР в Нижнем Новгороде. 

Модератором дискуссии выступил Ренат Лашин, исполнительный директор АРПП «Отечественный софт». «Вступление 1 марта 2026 года в силу 117-го приказа ФСТЭК усилило внимание к комплексной защите информационных систем: безопасность необходимо обеспечивать не только на уровне программного обеспечения, но и на уровне аппаратной базы, процессов доступа и человеческого фактора. Именно поэтому сегодня важно обсуждать доверенную инфраструктуру как единую систему, где сбой одного элемента может повлиять на устойчивость всей организации», — отметил Ренат Лашин. 

Основными приоритетами при построении ИТ-инфраструктуры участники сессии назвали: замену корпоративного центра сертификации Майкрософт (MS CA (CS)), настройку подсистем идентификации и аутентификации, организацию удаленного доступа в недоверенной среде и защиту чувствительных данных на носителях информации. Отдельное внимание спикеры уделили сертификации ПО для АСУ ТП и промышленной автоматизации по требованиям ФСТЭК России, а также отказоустойчивости телеком-инфраструктуры предприятия в условиях внутренних и внешних киберугроз.

Российские разработчики, члены АРПП «Отечественный софт», рассказали, как нормативные требования к доверенной инфраструктуре реализуются на практике: в продуктах, сетевой архитектуре, промышленной автоматизации и проектах крупных заказчиков. 

Сергей Груздев, генеральный директор «Аладдин Р.Д.», связал выполнение 117-го приказа ФСТЭК с устранением системных точек отказа в инфраструктуре. По его словам, одна из таких точек — Microsoft CA, от которой зависит доверенное взаимодействие внутри корпоративной ИТ-среды. «Одна из ключевых точек отказа — Microsoft CA. Это корпоративный нотариус, который обеспечивает доверенное взаимодействие. Если его выключить, в течение суток вся инфраструктура развалится: домен-контроллеры перестанут доверять друг другу», — отметил спикер. 

Об аппаратно-программной основе защищенной информационной системы говорил Александр Фильченков, руководитель управления серверных и сетевых систем «Гравитон». Среди ключевых задач он назвал отказ от привязки к физическому рабочему месту, переход к виртуальным рабочим средам и централизованное управление доступом в закрытом контуре: «Классическая инфраструктура, когда выделяются механические рабочие места, становится очень сложно управляемой и масштабируемой. Когда все находится в единой инфраструктуре, это выгоднее с точки зрения экономики и, самое главное, скорости реагирования на инциденты».

Кирилл Силкин, заместитель генерального директора «Атомик Софт», рассказал о сертификации промышленного программного обеспечения по требованиям ФСТЭК и изменениях, с которыми сталкиваются разработчики SCADA-систем: от работы с испытательными лабораториями до перестройки процессов сборки и анализа кода в доверенной среде. По замечанию эксперта, «пройдя процедуру сертификации продуктов в ФСТЭК, мы получаем доверие, подтвержденное регулятором. Наше ПО не содержит закладок, отрабатывает ряд алгоритмов, а мы как вендор обеспечиваем анализ и исправление уязвимостей. Все это складывается в одну копилку, по сути, в доверие».

Тему доверия на уровне доступа продолжил Александр Калита, директор департамента проектирования «Газинформсервис». Эксперт говорил о центрах сертификации, многофакторной аутентификации на основе сертификатов и рисках разрозненных методов проверки пользователя в крупных ИТ-инфраструктурах. «В разных точках ИТ-инфраструктуры применяются различные методы аутентификации. Все это приводит к тому, что в структуре возникают заведомо слабые места. И, как показывает практика, злоумышленники обращают внимание именно на эти места», — поделился Александр Калита.

От темы пользовательского доступа дискуссия перешла к устойчивости коммуникационной инфраструктуры. «Мы часто забываем про голос. А зря: по последним данным, голосовой трафик на фиксированной связи вырос примерно на 14%», — подчеркнул Александр Аверкиев, технический директор, архитектор решений «Искра Технологии». По словам эксперта, голосовая связь остается критичным элементом деловой коммуникации, а атаки на IP-телефонию могут приводить не только к блокировке звонков, но и к подмене данных и фродовому трафику. В качестве одного из инструментов защиты он выделил SBC, который помогает сохранять часть трафика при атаках, шифровать голосовые соединения и блокировать мошеннические действия.

Эльман Бейбутов, директор по развитию бизнеса UserGate, озвучил результаты аналитического исследования характера актуальных угроз и киберинцидентов у российских заказчиков в 2025 году: «39% организаций зафиксировали нарушения работы сайтов и веб-приложений, 34% — утечки данных, 32% — инциденты с сетевым оборудованием, 31% — попытки шифрования или блокировки информационных систем. Наиболее тяжелые последствия связаны с инцидентами, которые затрагивают непрерывность работы: шифрованием и блокировкой систем, атаками через подрядчиков, компрометацией учетных записей и нарушением работы критичных сервисов. Такие инциденты требуют не только обнаружения, но и быстрой локализации, восстановления и заранее отработанных процедур реагирования. Для госсектора особенно заметен риск блокировки систем: в сегменте B2G такие инциденты отметили 40% респондентов. Для бизнеса ключевой ущерб чаще связан с простоем, потерей данных, репутационными и регуляторными последствиями», — заключил Эльман Бейбутов.

Практику крупного заказчика представил Владимир Золотов, директор по ИТ АО «Гринатом». Эксперт рассказал о построении доверенной инфраструктуры «Росатома»: защищенном корпоративном облаке, корпоративной сети передачи данных, импортозамещении каталога, технологического удостоверяющего центра Microsoft CA и проектах в области удаленного доступа. «Основная ценность в том, что мы собрали экосистему из различных компонентов, которая позволяет считать этот доступ доверенным с точки зрения требований регулятора».

По мнению экспертов, рост требований к защите информационных систем усиливает спрос не на отдельные средства защиты, а на комплексные проекты по перестройке инфраструктуры: с учетом регуляторики, импортозамещения, управления доступом и отказоустойчивости критичных сервисов. Важно не откладывать переход, а готовиться к нему заранее.