Хранилище для госсектора: импортозамещение, реестр Минцифры и ФСТЭК

Хранилище для госучреждений с 1 января 2025 года выбирают по новым правилам: Указ Президента № 166 от 30.03.2022 запрещает использовать иностранное ПО на значимых объектах критической информационной инфраструктуры (КИИ). Для ИТ-руководителя госоргана это означает конкретную задачу: перевести систему хранения на российское решение, которое пройдёт проверку при закупке, аттестации и аудите ФСТЭК.

При этом просто купить любую российскую СХД недостаточно. Комплаенс хранилища для госсектора держится на трёх требованиях, и каждое закрывает свой нормативный документ. Ниже — практический разбор: какая нормативка действует, что она предъявляет к системе хранения данных, и чек-лист для проверки решения перед закупкой.

Требования к хранилищу в госсекторе

Объектное хранилище для государственных систем — это система хранения неструктурированных данных (файлов, бэкапов, образов, документов, медиаконтента) в виде объектов с уникальными идентификаторами, доступная по протоколу HTTP через API. В отличие от файловых и блочных СХД, объектное хранилище масштабируется горизонтально до петабайтов и миллиардов объектов и работает через S3 API — стандарт де-факто для облачных приложений.

Хранилище для госсектора должно одновременно соответствовать трём группам требований: быть в реестре российского ПО Минцифры, иметь сертификат ФСТЭК нужного уровня и поддерживать защиту по классу системы. Решение, которое закрывает только одно из трёх, не пройдёт ни закупку, ни аттестацию. Вот эти требования:

• Российское ПО. Хранилище должно быть в едином реестре российского программного обеспечения. Без этого госзаказчик по 44-ФЗ не вправе его закупить при наличии отечественного аналога.
• Сертификация ФСТЭК. Средства защиты информации в значимых объектах КИИ и государственных информационных системах (ГИС) обязаны иметь сертификат ФСТЭК. Для хранилища критичен уровень доверия — он определяется классом системы.
• Защита и изоляция. Для части систем (ГИС высоких классов, объекты КИИ первой категории) требуется работа в закрытом контуре без выхода в интернет (air-gap), а также шифрование, разграничение доступа и неизменяемое хранение.

Конкретный уровень доверия и меры защиты зависят от класса ГИС и категории КИИ вашей системы. ИСПДн с низким уровнем защищённости и значимый объект КИИ первой категории предъявляют к хранилищу разные требования. Поэтому первый шаг — определить класс и категорию своей системы, и только потом подбирать решение.

Реестр российского ПО Минцифры

Единый реестр российских программ для ЭВМ и баз данных (ЕРРП) — перечень ПО, признанного отечественным, который ведёт Минцифры на основании Постановления Правительства РФ № 1236 от 16.11.2015. Для госсектора реестр не формальность, а условие закупки: по 44-ФЗ заказчик ограничен в приобретении иностранного ПО и при наличии российского аналога обязан его использовать.

Реестр закрывает три задачи для ИТ-руководителя:

• Подтверждает страну происхождения продукта — закупка проходит без обоснования невозможности импортозамещения.
• Гарантирует совместимость с российскими ОС: одно из требований — поддержка минимум двух отечественных операционных систем из того же реестра, что для хранилища означает работу на Astra Linux и других российских ОС.
• В реестр включаются как программные продукты, так и программно-аппаратные комплексы (ПАК) — «железо плюс ПО» в одной записи, что важно при поставке СХД под ключ.

VK Object Storage в поставке on-premise внесён в реестр российского ПО Минцифры. Это высокопроизводительное и отказоустойчивое S3-хранилище собственной разработки VK Tech, проверенное на масштабах свыше 450 ПБ.

Для госсектора хранилище чаще нужно on-premise — в собственном или ведомственном ЦОД, а не в публичном облаке. VK Object Storage поставляется как ПАК или как ПО, разворачивается в инфраструктуре заказчика и остаётся под его полным контролем. Совместимость с реестром и российскими ОС сохраняется в обоих вариантах.

Наличие в реестре — необходимое, но не достаточное условие. Реестр отвечает на вопрос «российское ли это ПО», но не на вопрос «защищённое ли оно». За это отвечает второе требование — сертификация ФСТЭК.

Сертификация ФСТЭК и КИИ

Сертификат ФСТЭК подтверждает, что средство защиты информации соответствует требованиям безопасности по установленному уровню доверия. Уровни доверия регулирует Приказ ФСТЭК № 76 от 02.06.2020: всего их шесть, шестой — низший, первый — высший. Для систем хранения в госсекторе ключевой уровень — УД4: это потолок для систем без гостайны.

УД4 применяется в значимых объектах КИИ первой категории, ГИС первого класса защищённости, ИСПДн первого уровня защищённости и АСУ ТП первого класса. Уровни доверия 1–3 предназначены исключительно для систем, обрабатывающих сведения с государственной тайной.

Уровень доверия — прямое следствие категорирования. ГИС защищают по Приказу ФСТЭК России № 117, вступившему в силу с 1 марта 2026 года. Он ввёл процессный подход: числовой показатель защищённости информации (КЗИ) и непрерывный контроль вместо разовой аттестации. Область применения охватывает информационные системы госорганов, унитарных предприятий и госучреждений. Объекты КИИ категорируются по 187-ФЗ и Постановлению Правительства № 127 от 08.02.2018, результаты направляются во ФСТЭК. Значимые объекты получают категории 1, 2 или 3 (ЗОКИИ); меры защиты для них задаёт Приказ ФСТЭК № 239 от 25.12.2017 (в редакции от 28.08.2024): средства защиты обязаны иметь сертификат ФСТЭК, а система — взаимодействовать с ГосСОПКА.

Сводная таблица — рабочий ориентир при подготовке закупки:

VK Object Storage в поставке on-premise имеет сертификат соответствия ФСТЭК России № 4890 от 12.12.2024 по 4-му уровню доверия (УД4). Сертификат покрывает значимые объекты КИИ до первой категории включительно, ГИС первого класса защищённости и ИСПДн первого уровня защищённости. Точный требуемый уровень всё равно зависит от категорирования конкретной системы.

Air-gap и закрытый контур

Air-gap — режим работы системы в физически или логически изолированном сегменте сети без подключения к интернету. Для значимых объектов КИИ и ГИС высоких классов изоляция обязательна по Приказу ФСТЭК № 239: внешние каналы связи закрываются как потенциальный вектор атаки.

Это предъявляет к хранилищу конкретные технические требования. Установка, активация и работа должны идти без обращения к внешним лицензионным серверам или облачным сервисам вендора. Новые версии и патчи устанавливаются из локального источника. Изоляция сегментов внутри инфраструктуры позволяет разграничить контуры разной критичности.

При этом хранилище не должно терять в функциональности. VK Object Storage в закрытом контуре сохраняет полный набор функций безопасности: разграничение доступа через ACL и IAM, шифрование at-rest и in-transit, Object Lock для неизменяемого хранения, версионирование объектов и аудит-логи операций с бакетами — всё работает локально, без обращения во внешние сервисы.

Отдельный сценарий — хранение чувствительных данных в закрытом контуре. Медицинские информационные системы, персональные данные пациентов, диагностические снимки часто требуют именно air-gap и высокого уровня защищённости ИСПДн. Объектное хранилище подходит для таких задач: снимки и архивы удобно держать как объекты с неизменяемым хранением и аудитом доступа.

Импортозамещение СХД

После Указа № 166 от 30.03.2022 импортозамещение систем хранения в госсекторе стало обязательным: с 31.03.2022 госкомпаниям запрещено закупать иностранное ПО для значимых объектов КИИ, с 01.01.2025 — использовать его на ЗОКИИ. Указ № 250 от 01.05.2022 дополнил это требованиями к информационной безопасности. Dell EMC, NetApp, HPE сократили присутствие на российском рынке, прекратив прямые поставки и поддержку: продлить лицензии и сервисные контракты на иностранные СХД для госсектора невозможно.

Внутри рынка объектные хранилища (S3) — наиболее востребованный сегмент в 2025 году. Причина в совместимости: приложения, написанные под Amazon S3 API, переезжают на российское объектное хранилище без переписывания кода. Федеральное казначейство выбрало российское S3-хранилище через совместное тестирование, ориентируясь на импортозамещение и геораспределённые ЦОД. В другом проекте 300 ТБ резервных копий мигрировали из зарубежного облака с экономией 30%.

Внедрение под ключ

Внедрение хранилища для госорганизаций VK Tech ведёт полностью под ключ — от аудита инфраструктуры до запуска в эксплуатацию. Поставка возможна как ПАК или как ПО на оборудование заказчика, с прозрачным TCO в одном договоре.

На этапе установки настраиваются функции безопасности под требования системы: Object Lock (WORM) блокирует объекты от изменения и удаления на заданный срок — это закрывает требования к защите бэкапов и юридически значимых данных от подмены и шифровальщиков. Дополнительно настраиваются шифрование, разграничение доступа, версионирование и аудит-логи.

Горизонтальное масштабирование без даунтайма позволяет наращивать ёмкость по мере роста данных без остановки сервиса. Гео-репликация по ЦОД обеспечивает катастрофоустойчивость: копии объектов хранятся в разных дата-центрах. После запуска система готова к аттестации ГИС или проверке как объекта КИИ: сертифицированные средства защиты и меры по Приказу № 239 уже настроены.

Решение VK Tech

VK Object Storage в поставке on-premise закрывает все три требования комплаенса одновременно. В отличие от Ceph и MinIO, это собственная разработка VK Tech без open-source движков, с сертификатом ФСТЭК и поддержкой air-gap-развёртывания. Зрелость технологии подтверждается масштабом публичной инсталляции в VK Cloud: более 400 ПБ данных и свыше 95 млрд объектов. Тот же движок поставляется on-premise для госструктур.

Чек-лист для проверки любого хранилища перед закупкой:

• ✅ Реестр Минцифры — в едином реестре российского ПО
• ✅ Сертификат ФСТЭК — № 4890 от 12.12.2024, уровень доверия УД4: ГИС К1, КИИ 1 кат., ИСПДн УЗ1
• ✅ Собственная разработка — без Ceph и MinIO, код контролируется вендором
• ✅ Российские ОС — работает на x86 и Astra Linux из реестра
• ✅ S3 API — совместимость с Amazon S3, миграция без переписывания приложений
• ✅ Air-gap — развёртывание в изолированном ЦОД без интернета, офлайн-обновления
• ✅ Безопасность — ACL, IAM, шифрование at-rest/in-transit, Object Lock (WORM), версионирование, аудит-логи
• ✅ Масштабирование — горизонтальное, без даунтайма
• ✅ Гео-репликация — копии объектов по разным ЦОД
• ✅ Форма поставки — ПАК или ПО, прозрачный TCO в одном договоре

Заключение

Хранилище для госучреждений выбирают не по одному критерию, а сразу по трём. Реестр Минцифры подтверждает происхождение и совместимость с российскими ОС. Сертификат ФСТЭК закрывает требования к защите. Категория КИИ и класс ГИС задают конкретные меры — от сертифицированных СЗИ до работы в закрытом контуре. Решение, которое проходит по всем трём, идёт на закупку и аттестацию без переделок.

Конкретный уровень доверия не универсален: для систем без гостайны потолок — УД4, для систем с гостайной нужны уровни 1–3. Порядок действий для ИТ-руководителя: определить класс и категорию системы, сверить кандидата с таблицей и чек-листом — и только потом выбирать поставку.