Серверы для КИИ: требования ФСТЭК

Российский корпоративный и государственный ИТ-сектор переживает самую масштабную трансформацию в своей истории. Эпоха глобализации и использования стандартизированного западного оборудования на критически важных объектах подошла к концу. Фундаментом новой реальности стал Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры», а катализатором — Указ Президента РФ № 166, который запрещает использование иностранного программного обеспечения и оборудования на значимых объектах КИИ с 1 января 2026 года. В этих условиях выбор аппаратной платформы становится не просто вопросом гигагерц и терабайтов, а вопросом национальной безопасности и соответствия закону. В этой статье мы подробно разберем требования к КИИ, процесс категорирования и дадим исчерпывающее руководство по тому, как выбирать серверы КИИ и легитимное оборудование для КИИ.

Что такое КИИ и почему к ней такое внимание?

Критическая информационная инфраструктура (КИИ) — это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления технологическими процессами (АСУ ТП), функционирующие в 14 стратегически важных отраслях. К ним относятся: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера, топливно-энергетический комплекс, атомная, оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленность и сфера регистрации прав на недвижимость.

Если сервер, управляющий конвейером на металлургическом заводе или базой данных в кардиоцентре, выйдет из строя в результате хакерской атаки (или срабатывания программной «закладки» иностранного вендора), это может привести к экологической катастрофе, многомиллиардным убыткам или человеческим жертвам. Именно поэтому государство через регуляторов (ФСТЭК и ФСБ) взяло эти объекты под жесткий контроль.

Категорирование объектов КИИ: фундамент для выбора оборудования

Прежде чем закупать оборудование для КИИ, субъект (организация) обязан провести категорирование своих систем в соответствии с Постановлением Правительства РФ № 127. Этот процесс определяет, насколько жесткие требования к КИИ будут применяться в дальнейшем.

Критерии значимости

Специально созданная комиссия на предприятии оценивает возможные последствия компьютерного инцидента по ряду показателей:

• Социальные: ущерб жизни и здоровью людей, нарушение работы систем жизнеобеспечения.
• Политические: нарушение работы органов государственной власти.
• Экономические: прямой финансовый ущерб, снижение налоговых отчислений.
• Экологические: выброс опасных веществ в окружающую среду.

Три категории ЗОКИИ

По результатам оценки объекту присваивается одна из трех категорий значимости, где первая — самая высокая (последствия федерального масштаба), а третья — самая низкая (последствия локального характера). Если система не дотягивает до пороговых значений, она признается незначимым объектом КИИ. От присвоенной категории напрямую зависит, какие серверы КИИ вам придется покупать, и какие классы средств защиты информации (СЗИ) на них устанавливать.

Требования к КИИ со стороны ФСТЭК России

Главным нормативным документом, определяющим технические требования к КИИ, является Приказ ФСТЭК России № 239. Этот документ описывает меры по обеспечению безопасности значимых объектов КИИ. В контексте серверного оборудования нас интересуют несколько ключевых аспектов.

Уровни доверия

ФСТЭК ввела систему «Уровней доверия» к средствам технической защиты информации и средствам обеспечения безопасности ИТ. Чем выше категория вашего объекта КИИ, тем более высокий уровень доверия должен быть у оборудования и софта.

• Для ЗОКИИ 3 категории допускается использование средств 6 уровня доверия.
• Для ЗОКИИ 2 категории требуются средства не ниже 5 уровня доверия.
• Для ЗОКИИ 1 категории (самых критичных) — не ниже 4 уровня доверия.

Получение сертификата по уровню доверия означает, что исходный код микропрограмм (BIOS/UEFI, BMC) был проверен в аккредитованных лабораториях на предмет отсутствия недекларированных возможностей (НДВ) — тех самых программных «закладок».

Аппаратные модули доверенной загрузки (АМДЗ)

Базовые требования к КИИ предписывают обеспечить контроль целостности программного обеспечения до загрузки операционной системы. Для этого серверы КИИ должны оснащаться АМДЗ (например, «Соболь», «Аккорд», «Максим»). Это физическая плата или интегрированный чип, который проверяет целостность микрокода материнской платы и загрузочных секторов. Если хакер или вирус попытается изменить прошивку сервера, АМДЗ заблокирует загрузку и подаст сигнал тревоги.

Серверы КИИ: каким должно быть аппаратное обеспечение в 2026 году

Выбирая оборудование для КИИ, ИТ-директор находится в узком коридоре юридических ограничений. Использовать серверы HPE, Dell, Lenovo, Cisco или Huawei на значимых объектах КИИ в 2026 году незаконно. Что же остается?

1. Реестр Минпромторга (ЕРРРП)

Первый и самый важный фильтр: серверы КИИ обязаны присутствовать в Едином реестре российской радиоэлектронной продукции. Наличие записи в этом реестре подтверждает, что оборудование произведено на территории РФ, а уровень локализации соответствует требованиям Постановления Правительства № 719. При выборе сервера обращайте внимание на балльную систему: чем больше баллов набрал сервер, тем глубже уровень его локализации (пайка материнских плат, разработка отечественного BMC-контроллера).

2. Архитектура процессоров: x86 или российские чипы?

Сегодня на рынке представлены два направления:

• Серверы на базе архитектуры x86 (Intel/AMD): Составляют подавляющее большинство предложений из реестра. Российские вендоры (Аквариус, YADRO, Гравитон, DEPO) используют иностранные чипы, но устанавливают их на материнские платы собственной разработки с собственными прошивками BIOS. Это позволяет сохранить высокую производительность и 100% совместимость с существующим корпоративным софтом, выполнив при этом требования к КИИ.
• Серверы на отечественных процессорах (Эльбрус, Байкал): Обладают наивысшим уровнем доверия, так как архитектура процессора разработана в РФ. Это безальтернативный выбор для КИИ 1 категории в оборонном секторе и системах управления государством. Однако миграция на такие серверы КИИ требует перекомпиляции программного обеспечения (под архитектуру VLIW или ARM).

3. Отказоустойчивость корпоративного уровня

Оборудование для КИИ должно обеспечивать не только безопасность, но и доступность (Availability) сервисов. Приказы ФСТЭК требуют резервирования критичных узлов.Поэтому серверы КИИ в обязательном порядке должны иметь:

- Резервированные блоки питания (по схеме 1+1 или 2+2) с возможностью горячей замены.

- Аппаратные RAID-контроллеры с защитой кэша от потери питания (BBU/Flash-backed).

- Резервированные модули охлаждения.

- Датчики вскрытия корпуса (Chassis Intrusion), которые отправляют лог в систему безопасности при попытке физического проникновения внутрь сервера.

Программно-аппаратные комплексы (ПАК) как стандарт импортозамещения

В реалиях 2026 года закупать отдельно железо и отдельно софт для объектов КИИ — рискованная затея. В процессе интеграции могут вылезти проблемы несовместимости драйверов, что сорвет сроки аттестации объекта. Регуляторы и рынок пришли к концепции ПАК.

Доверенный ПАК — это готовое решение, где серверы КИИ из реестра Минпромторга уже на заводе протестированы и интегрированы с сертифицированными операционными системами (например, Astra Linux Special Edition 1.7 с включенным мандатным контролем доступа) и системами виртуализации (zVirt, ПК СВ «Брест»). Приобретая ПАК, включенный в реестр Минцифры, субъект КИИ получает решение «под ключ», которое гарантированно пройдет аттестацию ФСТЭК.

Как выбрать оборудование для КИИ: пошаговый чек-лист ИТ-директора

Если перед вами стоит задача модернизации ЦОД в рамках 187-ФЗ, следуйте этому алгоритму:

1. Поднимите Акт категорирования. Точно выясните, какие системы относятся к ЗОКИИ и какую категорию они имеют. От этого зависит необходимый уровень доверия СЗИ.
2. Проведите сайзинг. Рассчитайте необходимую мощность (CPU, RAM, IOPS дисков) для работы ваших СУБД (например, PostgreSQL) и бизнес-приложений.
3. Подберите железо в ЕРРРП. Откройте сайт ГИСП (Минпромторг) и найдите серверы КИИ, которые удовлетворяют вашим техническим расчетам. Проверьте срок действия заключения Минпромторга (оно должно быть действительно на момент поставки).
4. Проверьте совместимость. Убедитесь, что выбранное оборудование для КИИ имеет официальные сертификаты совместимости с той операционной системой и системой резервного копирования (RuBackup, Кибер Бэкап), которые вы планируете использовать.
5. Заложите АМДЗ и СКЗИ. Не забудьте включить в спецификацию аппаратные модули доверенной загрузки и, при необходимости передачи данных по открытым каналам, аппаратные шифраторы (ГОСТ-VPN).
6. Требуйте высокий SLA. Закупайте оборудование только у тех интеграторов и вендоров, которые обеспечивают техническую поддержку 24⁄7 и имеют локальные склады ЗИП (запчастей) в вашем регионе.

Последствия и штрафы за несоблюдение требований

Государство не оставило бизнесу возможности спустить вопрос безопасности на тормозах. Контроль осуществляют прокуратура, ФСТЭК и ФСБ. Если проверка выявит, что требования к КИИ не выполнены, или на значимом объекте используется запрещенное иностранное оборудование, последствия будут катастрофическими.

В лучшем случае это административные штрафы по статье 19.7.13 КоАП РФ (до 500 000 рублей) и предписание приостановить эксплуатацию информационной системы до устранения нарушений (что означает остановку бизнеса). В худшем случае (если произойдет инцидент, повлекший ущерб) вступает в силу статья 274.1 Уголовного кодекса РФ. Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в КИИ, наказывается лишением свободы на срок до 10 лет.

Заключение

Выбор и внедрение серверного оборудования для критической информационной инфраструктуры — это не стандартная процедура ИТ-закупки, а комплексный проект по обеспечению непрерывности и безопасности бизнеса в строгом правовом поле. Оборудование для КИИ должно быть не просто мощным, оно обязано быть легитимным, доверенным и отечественным. Внимательно изучайте требования к КИИ, опирайтесь на результаты категорирования и отдавайте предпочтение готовым программно-аппаратным комплексам от ведущих российских вендоров. Чтобы избежать ошибок проектирования и проблем с аттестацией ФСТЭК, доверяйте подбор, поставку и настройку инфраструктуры КИИ профильным системным интеграторам, обладающим соответствующими лицензиями и глубокой инженерной экспертизой.