Минцифры готовит государственную систему для выпуска сертификатов безопасности

Минцифры разработало проект постановления правительства о создании федеральной государственной информационной системы национального удостоверяющего центра, сокращённо ГИС НУЦ. Платформа объединит выпуск и прекращение действия российских сертификатов безопасности, проверку сайтов и информационных систем, подтверждение происхождения отечественного программного обеспечения и защищённое взаимодействие внутри корпоративных сетей. Документ должен вступить в силу 1 марта 2027 года.

Систему создадут на базе действующей информационной системы «Национальный удостоверяющий центр». Функции центра и оператора ГИС НУЦ предлагается закрепить за Минцифры, которое сможет передать операторские полномочия подведомственной организации. Расходы покроют из федерального бюджета, а даты создания системы и ввода в эксплуатацию в проекте пока оставили незаполненными.

Проект описывает пять видов сертификатов, и у каждого своя задача:

• сертификат самого национального удостоверяющего центра, на основе которого создаются все остальные;
• сертификат для идентификации сайтов и информационных систем и защищённого взаимодействия с ними;
• сертификат со сведениями о владельце ресурса, который подтверждает принадлежность сайта госоргану, муниципальной структуре, компании, физическому лицу или предпринимателю;
• сертификат для разработчиков программ из реестра российского программного обеспечения, подтверждающий личность автора, целостность и происхождение программы;
• сертификат для участников электронного взаимодействия внутри корпоративных систем.

Для российских пользователей это означает, что подлинность сайта, сведения о его владельце и происхождение программы будут подтверждаться сертификатами одного государственного оператора. Все они создаются на основе корневого сертификата, поэтому его утечка или компрометация ударила бы по доверию ко всем остальным.

Для создания сертификатов предусмотрены две информационные системы, одна из которых будет работать с российскими криптографическими алгоритмами, а другая с остальными. В состав платформы войдут и отдельные подсистемы:

• подсистема информационной безопасности, которая защищает хранящиеся сведения, фиксирует действия пользователей и выявляет инциденты;
• подсистема мониторинга, которая следит за доступностью и работоспособностью самой платформы;
• прочие компоненты, состав и порядок работы которых определит Минцифры.

Перед выпуском сертификата система проверит, принадлежит ли заявителю ключ идентификации, соответствующий указанному ключу аутентификации, и сверит уникальность ключа по реестру. Если появятся основания для отказа, платформа автоматически направит заявителю уведомление. Срок действия сертификата укажут при создании в соответствии с законом об электронной подписи.

Платформа будет вести реестр сертификатов, в том числе досрочно прекращённых, и проект задаёт для него несколько условий:

• реестр нужно поддерживать в актуальном состоянии;
• открытые сведения предоставляются бесплатно и без идентификации, в том числе через интернет;
• данные реестра разрешено использовать в автоматизированном режиме, чтобы другие системы проверяли статус сертификатов.

Помимо записей о сертификатах, ГИС НУЦ будет хранить реквизиты основного документа, удостоверяющего личность заявителя-физического лица, и сведения о документах, подтверждающих полномочия представителей компаний. Для российских компаний это новая зависимость, потому что сервисы, которые сверяют статус сертификатов в автоматическом режиме, будут опираться на доступность одного государственного реестра.

Оператор обязан применять средства защиты, прошедшие установленную оценку соответствия, и организационные меры, среди которых проект называет:

• разграничение прав доступа и регистрацию действий пользователей;
• реагирование на инциденты и периодические проверки состояния информационной безопасности;
• резервное копирование, в том числе записей реестра, чтобы восстановить данные при утрате или повреждении.

Технические средства, оборудование и базы данных платформы должны размещаться на территории России, а её программное обеспечение подлежит внесению в реестр российских программ, государственный репозиторий алгоритмов и программ либо реестр программ стран Евразийского экономического союза. Развивать систему планируют по мере изменения законодательства, появления новых криптографических алгоритмов и угроз, а поводом для модернизации станет рост числа заявителей, сертификатов и обращений к реестру.

Эксперты CISOCLUB отметили, что проект переводит действующий национальный удостоверяющий центр в статус полноценной государственной информационной системы с отдельными подсистемами выпуска сертификатов, защиты данных и мониторинга.

Все сертификаты строятся на корневом сертификате самого центра, поэтому защита его закрытых ключей станет главным вопросом для оператора, ведь компрометация этого ключа поставит под сомнение каждый выданный сертификат. База с реквизитами документов, удостоверяющих личность, неизбежно привлечёт интерес злоумышленников, а значит, к хранению и резервным копиям нужно относиться как к объекту повышенного риска. Открытый реестр с автоматической проверкой статуса полезен для рынка, но компаниям стоит заранее продумать, как их сервисы поведут себя при недоступности реестра.

Размещение инфраструктуры и программ в российских реестрах снижает зависимость от иностранных решений, но не отменяет регулярных проверок самого кода и процессов. Незаполненные даты ввода в эксплуатацию оставляют бизнесу время на подготовку, а разработчикам из реестра отечественного софта разумно изучить требования к сертификатам уже сейчас.

Ранее сообщалось, что правительство 3 ноября рассмотрит проект постановления о передаче Минцифры полномочий по координации внедрения искусственного интеллекта в России. Ведомству планируют поручить отслеживать развитие больших фундаментальных моделей, консультировать государственные органы по вопросам внедрения ИИ и разрабатывать меры поддержки отрасли. Пока документ находится на стадии проекта, окончательное решение по нему не принято.