Не максимальный набор «на всякий случай»
Задача – подобрать конкретные криптографические компоненты под вашу задачу и применимые требования. Более высокий класс защиты или аппаратный модуль оправданы не всегда.
Нет услуг
СКЗИ, PKI и HSM
СКЗИ, PKI и HSM
Подбираем и внедряем криптографические компоненты под конкретную задачу: сертифицированные СКЗИ нужного класса, использование инфраструктуры открытых ключей (PKI) – на базе стороннего или собственного удостоверяющего центра, – и аппаратные модули безопасности (HSM) для защиты ключей и криптографических операций.
Границы услуги
Если нужен конкретный компонент под конкретный канал
Если задача – спроектировать и построить собственный удостоверяющий центр организации целиком, для этого есть отдельная, более глубокая услуга «Проектирование PKI и удостоверяющего центра».
Компоненты решают разные задачи
СКЗИ, PKI и HSM в зависимости от проекта используются по отдельности или вместе.
Требуемый класс – не субъективная оценка
Определяется применимым нормативным режимом и характеристиками конкретной системы, а не тем, «насколько важны» данные.
Когда актуально
Когда актуально
Особенно актуально в следующих ситуациях.
Нужна сертифицированная криптография
VPN, электронный документооборот, взаимодействие с государственными системами, персональные данные при выбранных мерах защиты.
Нужны сертификаты TLS/mTLS
Для аутентификации серверов и сервисов, взаимодействия между системами – без обязательного построения собственного удостоверяющего центра.
Нужна защита закрытых ключей выше программной
Для критичных операций подписи, корневых и других высокоценных ключей – там, где предусмотрено архитектурой решения или применимыми требованиями.
Истекают сертификаты или лицензии
Срок действия сертификатов PKI, коммерческих лицензий или сертификатов соответствия СКЗИ истекает, а статус инфраструктуры не отслеживается системно.
Переход на отечественную криптографию
В рамках импортозамещения.
С чего начинаем
С чего начинаем
Отсутствие готового понимания – стартовая точка, а не препятствие.
- Не знаете, какой класс СКЗИ нужен? Определяем применимый нормативный режим для конкретной системы и требуемый класс в его рамках – например, для ИСПДн это уровень защищённости и актуальные типы угроз по приказу ФСБ № 378.
- Есть сертификаты, но непонятно, как управлять? Начинаем с инвентаризации: сколько сертификатов используется, где выпущены, когда истекают, кто отвечает за перевыпуск.
- Не уверены, нужна ли аппаратная защита ключей? Не для каждой задачи HSM оправдан экономически – оцениваем соотношение риска компрометации ключа и стоимости решения.
- Более высокий класс СКЗИ или наличие HSM не делают систему автоматически более защищённой в целом – эти компоненты закрывают конкретный риск, а не заменяют остальные меры защиты информации.
Смежные задачи
Как это соотносится с соседними услугами
Несколько услуг относятся к криптографии, но на разной глубине и с разной задачей.
Шифрование данных
Отвечает на вопрос, нужна ли вообще сертифицированная криптография и что защищать.
СКЗИ, PKI и HSM
Отвечает на вопрос, как это реализовать технически, подбирая готовые компоненты под задачу.
Проектирование PKI и УЦ
Если нужен собственный удостоверяющий центр организации – отдельная, более глубокая работа: сначала проектирование архитектуры и защиты корневых ключей, затем создание и ввод в эксплуатацию.
Три компонента
СКЗИ, PKI и HSM – в чём разница
Эти три компонента решают разные задачи и в зависимости от проекта используются по отдельности или вместе.
СКЗИ. Программное, аппаратное или программно-аппаратное средство, реализующее криптографические алгоритмы – шифрование, электронную подпись, хеширование. Имеет класс защиты – КС1, КС2, КС3, КВ1, КВ2 или КА1 – который определяется применимым нормативным режимом и характеристиками системы. Для ряда сценариев требуется сертифицированное решение конкретного класса, а не любое доступное.
PKI. Совокупность процессов и технических средств для выпуска, распространения, проверки и отзыва сертификатов открытых ключей. Обеспечивает доверие между сторонами: сервер подтверждает, что он тот, за кого себя выдаёт, подпись подтверждает подлинность документа. Может опираться на сертификаты стороннего удостоверяющего центра – не обязательно строить собственный.
HSM. Специализированное аппаратное средство для защищённого хранения ключей и выполнения криптографических операций в защищённой среде. Снижает риск извлечения ключевого материала при компрометации серверной инфраструктуры, но не заменяет контроль доступа к криптографическим операциям. Может быть оправдан для защиты корневых ключей PKI, высокоценных операций подписи и централизованных криптографических сервисов.
Форматы работы
Форматы работы
От подбора компонента до сопровождения.
01
Подбор и внедрение СКЗИ
- Определение необходимого класса защиты, выбор продукта, интеграция в существующие каналы и системы – VPN, электронный документооборот, защищённое взаимодействие между системами
02
Внедрение и настройка PKI
- Выпуск и управление сертификатами на базе стороннего удостоверяющего центра или существующей инфраструктуры, настройка TLS/mTLS, интеграция с потребляющими системами
03
Внедрение HSM
- Подбор и настройка аппаратного модуля для защищённого хранения ключей и выполнения криптографических операций под конкретную задачу
04
Сопровождение
- Контроль сроков действия и перевыпуска сертификатов PKI, коммерческих лицензий, контроль актуальности сертификатов соответствия СКЗИ; поддержка при проверках регулятора
Процесс
Как мы выстраиваем работу
От определения задачи до передачи в сопровождение.
Определяем задачу и применимые требования.
Какой канал или процесс защищаем, какой класс СКЗИ нужен, требуется ли PKI или HSM для этой задачи.
Анализируем существующую инфраструктуру.
Какие СКЗИ уже используются, есть ли собственная PKI, каковы сроки действия сертификатов и лицензий.
Проектируем состав решения.
Компоненты, точки интеграции, необходимость HSM, процессы жизненного цикла сертификатов.
Подбираем продукты.
Сертифицированные решения нужного класса с учётом совместимости с действующей инфраструктурой и бюджета.
Внедряем поэтапно.
С тестированием на ограниченном контуре перед полным развёртыванием.
Настраиваем процессы сопровождения.
Мониторинг сроков действия сертификатов, регламент перевыпуска и отзыва, порядок действий при компрометации ключа.
Передаём в сопровождение.
Регулярная поддержка, перевыпуск сертификатов, продление лицензий, контроль актуальности сертификатов соответствия и помощь при проверках.
Результат
Что вы получаете
Понятный набор результатов вне зависимости от состава решения.
- Определённый и обоснованный класс СКЗИ под задачу
- Внедрённые и настроенные криптографические компоненты в нужном сочетании
- Настроенные процессы контроля жизненного цикла сертификатов и ключей
- Материалы, подтверждающие выполнение применимых криптографических требований
- Регулярное сопровождение с контролем сроков действия сертификатов PKI, коммерческих лицензий и сертификатов соответствия применяемых СКЗИ
Особенности и ограничения
Особенности и ограничения
Честно фиксируем границы того, что решают эти компоненты.
Класс – не «безопаснее вообще»
Требуемый класс определяется применимым нормативным режимом и характеристиками системы; избыточный класс может увеличивать стоимость и сложность эксплуатации без дополнительной пользы.
PKI требует постоянных процессов
Не разового внедрения: незамеченный просроченный сертификат может остановить работу сервиса так же, как атака.
HSM не защищает процессы вокруг
Защищает ключ внутри устройства, но не от избыточных прав на использование ключа или отсутствия резервного модуля.
Плановые события нужно закладывать заранее
Продление лицензии, истечение сертификата PKI, пересмотр сертификата соответствия СКЗИ, замена HSM – планировать в бюджет и график, а не разбирать по факту сбоя.
Эскалация
Эскалация при компрометации ключа или сертификата
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика, ответственных за криптографическую инфраструктуру, порядок их замещения; целевое время реагирования на подтверждённую компрометацию; порядок отзыва скомпрометированного сертификата, вывода ключа из использования, его замены и уведомления затронутых сторон; порядок действий, если ответственное лицо недоступно.
Границы ответственности
Настройка компонентов, сопровождение и консультации по инцидентам, связанным с криптографией, входят в услугу. Юридические и репутационные последствия компрометации, а также решения о дальнейших действиях принимает заказчик самостоятельно.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Доля критичных систем и каналов, защищённых СКЗИ обоснованного класса
- Доля сертификатов, для которых настроен автоматический контроль срока действия и заблаговременное уведомление об истечении
- Время от подтверждения компрометации до отзыва соответствующего сертификата и/или вывода ключа из использования и его замены
- Доля критичных ключей, для которых реализован предусмотренный проектом способ защищённого хранения, включая HSM там, где его применение обосновано
- Статус выполнения применимых криптографических требований
- Что не используем как показатель эффективности: количество выданных сертификатов или внедрённых СКЗИ само по себе – оно не отражает, насколько эти компоненты реально защищают критичные процессы
- Конфиденциальность: по возможности операции с закрытыми ключами выполняются в инфраструктуре заказчика или внутри HSM без передачи ключевого материала исполнителю
- Если доступ исполнителя необходим, его объём, роли, журналирование и порядок обращения с материалами фиксируются до начала работ – NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды, согласованное место обработки и хранения, ограниченный срок хранения с возвратом или уничтожением по окончании работ
Регуляторный контекст
Регуляторный контекст
Общие вопросы лицензирования криптографической деятельности и применимости сертифицированной криптографии – по 152-ФЗ, 63-ФЗ и Положению о лицензировании, утверждённому Постановлением Правительства РФ № 313, – подробно разобраны на странице «Шифрование данных».
Класс СКЗИ
Класс СКЗИ (КС1, КС2, КС3, КВ1, КВ2, КА1) определяется применимым нормативным режимом и характеристиками конкретной системы. Для операторов персональных данных, выбравших криптографические средства защиты, минимальный класс определяется приказом ФСБ России № 378 в зависимости от установленного уровня защищённости персональных данных и актуальных типов угроз.
Приказ ФСБ России № 321
Для ГИС, иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений, а также иных случаев, входящих в сферу действия приказа ФСБ России от 22.08.2026 № 321, с 11 сентября 2026 года применяется установленный им порядок определения минимально допустимого класса СКЗИ. Этим приказом признаётся утратившим силу приказ ФСБ России от 18.03.2025 № 117. Если класс СКЗИ определяли до 11 сентября 2026 года, применялся порядок, действовавший на тот момент.
Классы КВ1, КВ2, КА1
По приказу № 321 минимальный класс определяется исходя из уровня значимости защищаемой информации и масштаба информационной системы, а модель угроз в определённых случаях требует повышения класса. Классы КВ1, КВ2 и КА1 предусматривают более высокий уровень требований. Сам по себе высокий класс СКЗИ не означает, что система обрабатывает сведения, составляющие государственную тайну, – для систем с государственной тайной действует отдельный нормативный и разрешительный режим.
HSM не выделен отдельным требованием
HSM как отдельная категория устройств не выделен самостоятельным нормативным требованием – он используется как техническое решение для реализации мер защиты ключей, а необходимость его применения определяется моделью угроз и требованиями к конкретному СКЗИ или к защите ключей удостоверяющего центра.
Материалы внедрения могут использоваться как документы, подтверждающие принятые меры защиты. Подтверждением полного соответствия нормативным требованиям сам по себе факт использования СКЗИ, PKI или HSM не является.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → предварительное определение задачи → договор и NDA → анализ существующей криптографической инфраструктуры и определение применимых требований → проектирование состава решения → внедрение → передача в сопровождение.
Объём и договор
Объём услуги определяется числом защищаемых каналов и систем, необходимым классом СКЗИ, составом компонентов (СКЗИ, PKI, HSM) и объёмом интеграции с существующей инфраструктурой. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации при инцидентах.
Сроки
Ориентировочные сроки: анализ и определение требований – от 1 до 3 недель; подбор и внедрение компонентов – от 3 до 8 недель, в зависимости от масштаба и необходимости HSM.
Стоимость
Стоимость зависит от количества защищаемых каналов, необходимого класса СКЗИ, состава компонентов и объёма сопровождения. Фиксируется до начала работ.
Почему IST
Почему IST
Обоснованный подбор компонентов, а не максимальный набор.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензия ФСБ
На разработку, производство и распространение шифровальных (криптографических) средств, а также на выполнение работ и оказание услуг в области шифрования информации.
Отдельная услуга по PKI и УЦ
Если задача шире точечного внедрения компонентов.
Реальная модель угроз
Работаем с сертифицированными отечественными средствами и подбираем решения с учётом реальной модели угроз, а не максимального набора «на всякий случай».
Полный цикл
От шифрования данных и подбора криптографических компонентов до проектирования и создания удостоверяющих центров.
Вопросы
Частые вопросы
Чем это отличается от услуги проектирования УЦ?
Эта услуга – про подбор и внедрение конкретных криптографических компонентов под определённую задачу, в том числе с использованием сертификатов стороннего удостоверяющего центра. Проектирование PKI и УЦ – отдельная, более глубокая работа для тех, кому нужен собственный центр выпуска сертификатов со своей архитектурой доверия.
Нам обязательно нужен HSM?
Не всегда. Для многих задач достаточно программной защиты ключей. HSM может быть оправдан для защиты корневых ключей, высокоценных операций подписи или там, где это предусмотрено архитектурой решения. Решение обосновываем по результатам анализа, а не предлагаем по умолчанию.
Как понять, какой класс СКЗИ нам нужен?
Требуемый класс определяется применимым нормативным режимом и характеристиками конкретной системы, а не тем, «насколько важны» данные субъективно. Для ИСПДн учитываются уровень защищённости и актуальные типы угроз, для государственных информационных систем действуют отдельные правила. Проводим этот анализ на этапе определения требований.
Можно ли использовать PKI без собственного УЦ?
Да. Для многих задач – TLS/mTLS, аутентификация сервисов – достаточно сертификатов стороннего удостоверяющего центра. Собственный УЦ нужен, когда организации требуется самостоятельно управлять доверительной моделью, политиками выпуска и отзыва.
Что будет, если сертификат истечёт незаметно?
Сервис может перестать работать или показывать ошибку доверия – эффект сопоставим с инцидентом. Контроль сроков действия сертификатов – часть услуги, а не факультативная опция.
Обсудить подбор криптографических компонентов
Расскажите о задаче – оценим, какой класс СКЗИ нужен
Какой канал или процесс нужно защитить, есть ли уже действующая криптографическая инфраструктура, какие требования применимы. Первичная оценка – бесплатно, до 30 минут, без подключения к инфраструктуре.