Сертифицированный ФСТЭК Битрикс24: коробка для госсектора и объектов КИИ

Что такое сертифицированная версия Битрикс24 и сертификат № 4750

Коробочный Битрикс24 редакции «Энтерпрайз» сертифицирован ФСТЭК России. Сертификат соответствия № 4750 выдан 13.12.2023 и действует до 13.12.2028.

Что подтверждает сертификат:

• программный комплекс «1С-Битрикс24» является средством защиты от несанкционированного доступа к информации, не содержащей сведений, составляющих государственную тайну;
• реализованы функции идентификации и аутентификации, управления доступом и регистрации событий безопасности;
• соответствие подтверждено по 4-му уровню доверия согласно требованиям ФСТЭК России 2020 года;
• сертификационные испытания проведены испытательной лабораторией ООО «КБ-Лаб» (аттестат аккредитации № СЗИ RU.0001.01БИ00.Б041), экспертное заключение выдано ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Разработчик - ООО «Битрикс», производитель сертифицированного дистрибутива - ООО «СИС груп». Продукт включён в реестр российского ПО Минцифры, что дополнительно подтверждает его статус отечественного программного обеспечения.

Компания 1С-Битрикс проводит аудит и тестирование защитных механизмов не только собственными силами, но и с привлечением сторонних экспертных организаций. Полученные сертификаты подтверждают соответствие современным требованиям информационной безопасности.

Сертифицированная сборка vs обычный дистрибутив: принципиальное отличие

Это ключевой момент, который часто упускают при выборе продукта. Сертифицирована специальная сборка - отдельный дистрибутив с закрытой локальной системой обновлений. Публичный дистрибутив, доступный в открытых источниках, не является сертифицированной версией, даже если запись в реестре ФСТЭК технически существует.

Коробочная версия в целом даёт полный контроль над данными: гибкое разграничение прав доступа пользователей и групп, шифрование данных, резервное копирование и восстановление, настраиваемая безопасность с доступом к серверной части. Для закрытого контура важно учитывать, что часть инструментов Битрикс24 по умолчанию обращается к облачным серверам вендора - при работе без выхода в интернет их потребуется перенастроить на внутренние серверы компании.

Если вы рассматриваете переход на коробочную версию, важно сразу уточнять у поставщика: речь идёт об обычном дистрибутиве или о сертифицированной сборке.

Кому обязательно нужна сертифицированная версия

Сертификат № 4750 (4-й уровень доверия) позволяет применять Битрикс24 Энтерпрайз в следующих категориях систем:

• Значимые объекты критической информационной инфраструктуры (КИИ) 1 категории - в соответствии с 187-ФЗ «О безопасности КИИ»;
• Государственные информационные системы (ГИС) 1 класса защищённости;
• Автоматизированные системы управления технологическими процессами (АСУ ТП) 1 класса защищённости.

Типовые заказчики сертифицированной версии:

• федеральные и региональные органы государственной власти;
• госкорпорации и организации с государственным участием;
• банки и финансовые организации под надзором регуляторов;
• объекты топливно-энергетического комплекса, транспортной инфраструктуры, здравоохранения, отнесённые к КИИ;
• организации, работающие в рамках программы импортозамещения и обязанные использовать отечественное сертифицированное ПО.

Для организаций, переходящих с зарубежных платформ в рамках импортозамещения CRM, наличие сертификата ФСТЭК является одним из обязательных критериев отбора продукта.

Путь заявки от выбора продукта до запуска в регулируемой среде включает несколько обязательных этапов:

Организация определяет категорию своей информационной системы, затем выбирает сертифицированный продукт нужного уровня доверия, получает сертифицированную сборку от авторизованного поставщика и разворачивает систему во внутреннем контуре - после чего проходит отдельную процедуру аттестации ИС.

flowchart TD
    A[Определение категории ИС: КИИ / ГИС / АСУ ТП] --> B[Выбор сертифицированного ПО: Битрикс24 Энтерпрайз, серт. № 4750]
    B --> C[Получение сертифицированной сборки через авторизованного партнёра]
    C --> D[Развёртывание на изолированном сервере внутри контура]
    D --> E[Настройка закрытой системы обновлений]
    E --> F[Аттестация информационной системы в аккредитованной организации]
    F --> G[Ввод системы в эксплуатацию]

Ограничения и что важно учесть

Сертификат соответствия ФСТЭК на программный продукт не означает автоматической аттестации вашей информационной системы. Это разные процедуры.

Что нужно понимать:

1. Сертификат на ПО - подтверждает, что продукт соответствует требованиям по безопасности на уровне 4-го уровня доверия. Выдаётся на продукт, а не на конкретную установку.
2. Аттестация ИС - отдельная процедура, которую проходит уже развёрнутая и настроенная информационная система в конкретной организации. Проводится аккредитованным органом по аттестации.
3. Эксплуатационная документация - при использовании сертифицированной версии необходимо соблюдать указания по эксплуатации, приведённые в формуляре ТУ 29176085.582929.020 ФО.

Дополнительные технические требования к инфраструктуре:

• сервер должен соответствовать минимальным требованиям для коробочного Битрикс24 (в типовых проектах - от 4 ядер процессора, от 8-12 Гб оперативной памяти, от 80-128 Гб SSD);
• система должна работать в изолированном сетевом сегменте;
• обновления поставляются по закрытому каналу - без выхода на публичные серверы вендора;
• часть функций, требующих обращения к облаку (например, отдельные ИИ-сервисы), в закрытом контуре может быть недоступна или потребует дополнительной настройки на внутренние серверы.

Также стоит учитывать, что обновление коробочной версии Битрикс24 в закрытом контуре требует отдельного регламента - автоматическое обновление через интернет в данном режиме не применяется.

Как купить и внедрить сертифицированную коробку

Сертифицированная сборка не доступна для самостоятельной загрузки через открытые каналы. Порядок получения и внедрения:

Шаг 1. Получение сертифицированного дистрибутива Сертифицированная сборка поставляется через официальных партнёров «1С-Битрикс» или непосредственно через вендора. Уточните у поставщика, что речь идёт именно о сборке, соответствующей сертификату № 4750, а не об обычном дистрибутиве.

Шаг 2. Подготовка серверной инфраструктуры Сервер готовится силами заказчика или в рамках проекта внедрения. Ключевые требования: изолированная сеть, соответствующее железо, совместимая операционная система.

Шаг 3. Установка и первоначальная настройка Развёртывание коробки, настройка ролей и прав доступа, подключение к внутренним системам (AD/LDAP, 1С и др.). Для регулируемых заказчиков рекомендуется детальное ТЗ на доработку ещё до начала работ.

Шаг 4. Настройка закрытой системы обновлений Обновления для сертифицированной сборки поставляются по закрытому каналу. Настройка этого канала - обязательный этап, который выполняется на старте.

Шаг 5. Интеграции с внутренними системами Типовые интеграции для регулируемых заказчиков: корпоративный каталог (AD/LDAP), кадровые системы, системы документооборота. Коробочная версия поддерживает REST API, Битрикс API и D7 API.

Шаг 6. Аттестация информационной системы Проводится отдельно - собственными силами организации или с привлечением аккредитованного органа. Наличие сертифицированного ПО является необходимым, но не достаточным условием для успешной аттестации.

Если вы заинтересованы в приобретении и внедрении сертифицированной версии, АС Проект как платиновый партнёр Битрикс24 поможет подобрать нужную редакцию, организовать поставку и провести внедрение под ключ. Напишите нам: sales@acp-24.ru.

Сертифицированная версия и 152-ФЗ: связь и различия

Сертификат ФСТЭК и требования 152-ФЗ «О персональных данных» - это пересекающиеся, но разные правовые контексты.

• 152-ФЗ требует хранить персональные данные граждан РФ на серверах на территории России. Коробочная версия Битрикс24, развёрнутая на собственном сервере организации в РФ, по умолчанию обеспечивает выполнение этого требования.
• Сертификат ФСТЭК подтверждает соответствие продукта требованиям по защите информации для регулируемых систем (КИИ, ГИС, АСУ ТП) - это дополнительный уровень требований поверх 152-ФЗ.

Подробнее о том, как коробочная версия помогает соблюдать требования к хранению данных, читайте в материале Коробка Битрикс24 и 152-ФЗ: почему данные держат на своём сервере.

Для организаций, которые обязаны выполнять сразу оба требования (и 152-ФЗ, и нормативы ФСТЭК по КИИ/ГИС), сертифицированная коробка Энтерпрайз - логичный выбор, закрывающий обе задачи в рамках одного продукта.

Частые вопросы