Многие компании шифруют данные при передаче другу другу. В их числе банки, медицинские клиники, страховые и другие организации, которым необходимо защищать каналы связи согласно требованиям регуляторов и законодательства. Они должны использовать решения ГОСТ VPN, одобренные ФСБ.
Как выглядит технология на практике? Кому именно необходимо подключать ГОСТ VPN? И что лучше использовать: локально установленное оборудование или сервис? Обо всем этом — далее.
В каких случаях применяется
Использовать ГОСТ VPN в России необходимо многим компаниям. Такие требования содержатся в 152-ФЗ «О персональных данных», 187-ФЗ «О безопасности критической инфраструктуры РФ», положении Банка России № 672-П, ГОСТ Р 57580.1-2017, приказе Министерства энергетики № 1015, а также других законодательных и нормативных актах.
В частности, решения ГОСТ VPN сегодня обязаны применять:
- банки и страховые компании,
- операторы персональных данных,
- госучреждения,
- медицинские клиники,
- предприятия, которые относятся к критической информационной инфраструктуре,
- компании, подключенные к ГосСОПКА (Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак).
Иногда компании решают использовать ГОСТ VPN не по требованиям законодательства, а по собственному желанию. Однако зачастую оказывается, что есть более выгодные и удобные варианты. Например, функционал VPN часто входит в состав межсетевых экранов нового поколения — Next Generation Firewall (NGFW). А значит, покупать отдельное решение при его подключении уже не требуется.
Что представляет собой ГОСТ VPN
ГОСТ VPN — технология, которая позволяет организовать защищенный канал связи для передачи данных в интернете. Но есть одно важное отличие от других подобных решений: здесь используется оборудование с российскими алгоритмами шифрования, сертифицированное ФСБ России.
При этом компания может применять ГОСТ VPN в тех же сценариях, что и с обычным VPN: для передачи данных между территориально распределенными подразделениями, при подключении удаленных сотрудников к облачным ресурсам компании и т.д.
На практике такое решение создает зашифрованный туннель между клиентом и сервером. В нем шифрует передаваемые данные с помощью алгоритмов, одобренных ФСБ. Также решение расшифровывает входящий трафик, с этой целью оно использует специальные ключи шифрования.
Какие решения есть на рынке
Применять ГОСТ VPN можно двумя способами:
- подключить программно-аппаратный комплекс on-premise,
- воспользоваться услугой сервис-провайдера.
В первом случае вы устанавливаете программно-аппаратный комплекс и управляете им самостоятельно с подключением вендора. Во втором — оплачиваете услугу по защите канала связи на аутсорсе.
Решения ГОСТ VPN on-premise предлагают сразу несколько крупных вендоров. В частности, наиболее известны на российском рынке:
- ViPNet от «ИнфоТекс»,
- «Континент TLS VPN» от «Код Безопасности»,
- «С-Терра Шлюз» от «С-Терра СиЭсПи»,
- «Ideco МагПро ГОСТ-VPN» от Ideco.
ГОСТ VPN как сервис
Однако, как мы уже сказали ранее, можно не приобретать программно-аппаратные комплексы в собственность. Их можно арендовать у сервис-провайдера. Делать это позволяет постановление Правительства № 313. В нем указывается, что подключение ГОСТ VPN возможно не только с привлечением сторонней организации на разных этапах проекта, но и на основе сервисной модели.
Главный плюс такого варианта — фиксированные и предсказуемые финансовые траты. К тому же, провайдер обладает необходимыми лицензиями и сотрудниками, которые могут качественно настроить решение. К тому же, можно использовать виртуальные версии VPN (хотя подойдут они не всем).
Нужно лишь определиться с провайдером, который предоставляет готовое решение под ключ. Таким образом вы сможете:
- защитить каналы связи в инфраструктуре, которую создаете с нуля,
- подключить нужное оборудование ГОСТ VPN к уже имеющейся инфраструктуре.
В обоих случаях провайдер берет на себя ответственность за отказоустойчивость решения, а также вопросы администрирования и техподдержки программно-аппаратного решения. Клиент тратит лишь несколько часов на формулировку задач, которые необходимо выполнять с помощью ГОСТ VPN, а после только контролирует результаты. Развертывание и настройка оборудования проходит без специалистов компании-клиента либо с минимальным их привлечением.
При всех плюсах ГОСТ VPN как сервис — это не всегда лучше, чем локально установленное решение. Пример такой ситуации — когда в компании достаточно компетентных специалистов, которые готовы и умеют работать с таким оборудованием. Второй случай — если безопасность и работу с конфиденциальными данными нельзя передавать на аутсорс. Запрет может прописываться во внутренних политиках компании.