ГК Softline о том, что нужно знать о новых правилах для российских сертификатов безопасности
Изображение: OpenAI
Минцифры опубликовало проект приказа, который впервые подробно описывает работу системы сертификатов безопасности Национального удостоверяющего центра (НУЦ). Рассказываем о том, как изменения могут повлиять на работу организаций в этом секторе.
Документ «Об утверждении требований к сертификатам безопасности национального удостоверяющего центра, порядку создания, выдачи, использования и прекращения действия таких сертификатов» должен вступить в силу 1 марта 2027 года. Общественное обсуждение продлится до 25 сентября 2026 года. Документ, который разработало министерство, нужен для перевода положений 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» в конкретную техническую и организационную процедуру. Для практического использования норм необходимо установить требования непосредственно к сертификатам: какие сведения они содержат, как создаются, выдаются, используются и прекращают действовать.
Фактически речь идет о формировании доверенного контура, с помощью которого можно подтверждать подлинность информационной системы или сайта, владение ими, принадлежность российского ПО конкретному разработчику, а в перспективе и возможность удостоверять участников корпоративного электронного взаимодействия. НУЦ также должен вести реестр выданных и прекращенных сертификатов и проверять уникальность ключей аутентификации.
В ГК Softline мы считаем, что ключевая задача проекта заключается в том, чтобы сделать новую инфраструктуру пригодной для массового применения. Это особенно важно для сервисов, где недостаточно просто установить защищенное соединение. Необходимо еще доказать, с какой именно системой, программой или участником происходит взаимодействие.
Предлагаемый подход в целом продолжает привычную логику: есть сертификат, ключевая пара, удостоверяющий центр, проверка действительности сертификата и возможность его досрочного прекращения. Соответственно, для пользователей самой криптографической логики изменений не происходит.
Нововведения прежде всего связаны с тем, что именно теперь удостоверяется и кем. Пользователям, которые попадут в новый контур, придется учитывать дополнительные процедуры получения сертификата безопасности НУЦ, подтверждения владения соответствующим ключом идентификации, контроля срока действия и статуса сертификата.
Предусматривается также ведение открытого реестра сертификатов, включая информацию о досрочно прекращенных. Для разработчиков ПО появляется отдельный сценарий подтверждения целостности и российского происхождения программы, а для корпоративных систем появляется возможность использовать сертификаты для аутентификации участников и организации защищенного взаимодействия. Поэтому на практике изменения затронут прежде всего инфраструктуру доверия и процессы управления ключами, а не повседневную работу обычного пользователя.
Изменения также могут повлиять на работу удостоверяющих центров, так как появляется новый централизованный уровень доверия, связанный непосредственно с НУЦ. При этом не стоит говорить о вытеснении обычных удостоверяющих центров. Сертификаты безопасности НУЦ решают более узкую задачу и встраиваются в отдельный контур аутентификации и защищенного взаимодействия.
Мы в ГК Softline считаем, что для удостоверяющих центров и интеграторов это одновременно новый рынок и дополнительная зона ответственности. В частности, потребуются решения для интеграции с новыми механизмами НУЦ, управления сертификатами, проверки их статуса и автоматизации жизненного цикла. Особенно интересен сегмент корпоративного взаимодействия и российского ПО, поскольку предусматриваются соответствующие типы сертификатов.
Кроме того, централизация повышает требования к совместимости и безопасности инфраструктуры. Компании, которые сегодня строят собственные схемы доверия, будут вынуждены учитывать новый национальный механизм там, где он станет обязательным или экономически целесообразным. В ГК Softline мы полагаем, что для рынка удостоверяющих центров изменения могут означать перераспределение ролей. Часть функций стандартизируется вокруг НУЦ, а дополнительная ценность центров смещается в сторону интеграции, управления сертификатами и сервисов вокруг этой инфраструктуры.
