Компании, которые работают с персональными данными, государственными информационными системами или другой информацией ограниченного доступа, предъявляют повышенные требования не только к функциональности программного обеспечения, но и к его защищенности.
Для таких организаций существует сертифицированная версия «1С-Битрикс24», прошедшая испытания на соответствие требованиям безопасности информации ФСТЭК России. Разберемся, что дает такая сертификация, в каких случаях она может потребоваться и чем использование сертифицированного продукта отличается от обычного внедрения Битрикс24.
Для таких организаций существует сертифицированная версия «1С-Битрикс24», прошедшая испытания на соответствие требованиям безопасности информации ФСТЭК России. Разберемся, что дает такая сертификация, в каких случаях она может потребоваться и чем использование сертифицированного продукта отличается от обычного внедрения Битрикс24.
Что такое сертификация ФСТЭК
ФСТЭК России устанавливает требования в области технической защиты информации и участвует в системе сертификации средств защиты и программного обеспечения.
В ходе сертификационных испытаний проверяется соответствие продукта установленным требованиям безопасности. При этом сертификация программного обеспечения и проверка информационной системы организации — не одно и то же.
Сертификат подтверждает характеристики конкретного программного продукта и его сертифицированной версии, тогда как безопасность всей информационной системы зависит также от серверной инфраструктуры, настроек доступа, используемых средств защиты, организации рабочих мест и других компонентов.
В ходе сертификационных испытаний проверяется соответствие продукта установленным требованиям безопасности. При этом сертификация программного обеспечения и проверка информационной системы организации — не одно и то же.
Сертификат подтверждает характеристики конкретного программного продукта и его сертифицированной версии, тогда как безопасность всей информационной системы зависит также от серверной инфраструктуры, настроек доступа, используемых средств защиты, организации рабочих мест и других компонентов.
Сертифицирован ли Битрикс24
Да. Версия «Энтерпрайз» программного комплекса «1С-Битрикс24» прошла сертификационные испытания в соответствии с требованиями по безопасности информации, установленными приказом ФСТЭК России №76 от 2 июня 2020 года.
Для программного комплекса «1С-Битрикс24» выдан сертификат №4750. На момент подготовки статьи срок его действия установлен до 13 декабря 2028 года, а на официальной странице «1С-Битрикс» актуальной сертифицированной версией указана 25.750.0.
Сертификацию также прошел программный комплекс «1С-Битрикс: Управление сайтом»: для него действует сертификат №4751 с тем же сроком действия.
Для программного комплекса «1С-Битрикс24» выдан сертификат №4750. На момент подготовки статьи срок его действия установлен до 13 декабря 2028 года, а на официальной странице «1С-Битрикс» актуальной сертифицированной версией указана 25.750.0.
Сертификацию также прошел программный комплекс «1С-Битрикс: Управление сайтом»: для него действует сертификат №4751 с тем же сроком действия.
Кому может понадобиться сертифицированная версия
Необходимость использования сертифицированного программного обеспечения определяется не просто отраслью компании, а характером обрабатываемой информации, категорией информационной системы, моделью угроз и требованиями законодательства.
Вопрос использования сертифицированного ПО может возникать, например, при создании и эксплуатации:
Отдельные требования устанавливаются Федеральным законом №152-ФЗ «О персональных данных», Федеральным законом №187-ФЗ «О безопасности критической информационной инфраструктуры», приказами ФСТЭК №17, №21, №31, №239 и другими нормативными документами.
Поэтому само наличие у компании персональных данных еще не означает, что ей автоматически требуется именно сертифицированная версия Битрикс24. Требования необходимо определять исходя из конкретной информационной системы и актуальной модели угроз.
Вопрос использования сертифицированного ПО может возникать, например, при создании и эксплуатации:
- государственных информационных систем;
- информационных систем персональных данных;
- значимых объектов критической информационной инфраструктуры;
- автоматизированных систем управления технологическими процессами;
- систем, в которых обрабатывается информация ограниченного доступа.
Отдельные требования устанавливаются Федеральным законом №152-ФЗ «О персональных данных», Федеральным законом №187-ФЗ «О безопасности критической информационной инфраструктуры», приказами ФСТЭК №17, №21, №31, №239 и другими нормативными документами.
Поэтому само наличие у компании персональных данных еще не означает, что ей автоматически требуется именно сертифицированная версия Битрикс24. Требования необходимо определять исходя из конкретной информационной системы и актуальной модели угроз.
Сертификат ФСТЭК и 152-ФЗ — это не одно и то же
Федеральный закон №152-ФЗ требует обеспечить безопасность персональных данных при их обработке. Однако выполнение требований законодательства не сводится к покупке одного сертифицированного программного продукта.
Необходимо определить уровень защищенности информационной системы персональных данных, актуальные угрозы и перечень организационных и технических мер защиты.
Приказ ФСТЭК России №21 предусматривает применение сертифицированных средств в определенных ситуациях в зависимости от уровня защищенности и выбранных мер. В других конфигурациях обязательного требования использовать исключительно сертифицированное программное обеспечение может не быть.
Поэтому правильнее рассматривать сертифицированный Битрикс24 как один из компонентов защищенной информационной системы, а не как универсальное подтверждение соответствия всей организации требованиям 152-ФЗ.
Необходимо определить уровень защищенности информационной системы персональных данных, актуальные угрозы и перечень организационных и технических мер защиты.
Приказ ФСТЭК России №21 предусматривает применение сертифицированных средств в определенных ситуациях в зависимости от уровня защищенности и выбранных мер. В других конфигурациях обязательного требования использовать исключительно сертифицированное программное обеспечение может не быть.
Поэтому правильнее рассматривать сертифицированный Битрикс24 как один из компонентов защищенной информационной системы, а не как универсальное подтверждение соответствия всей организации требованиям 152-ФЗ.
Чем сертифицированная версия отличается от обычной
Ключевое отличие заключается в том, что сертифицированная версия поставляется и эксплуатируется в соответствии с условиями сертификации.
В пакет сертификации входят, в частности, физический носитель с образом сертифицированного продукта, формуляр, заверенная копия сертификата, электронный ключ для доступа к обновлениям, комплект документации и доступ к сертифицированной технической поддержке.
Для сохранения защищенности продукта важно соблюдать установленный порядок эксплуатации и своевременно устанавливать поддерживаемые обновления безопасности. «1С-Битрикс» отдельно указывает, что исправления уязвимостей выпускаются для актуальных поддерживаемых версий продукта.
Это отличает сертифицированное внедрение от стандартной установки коробочного Битрикс24, где компания свободнее управляет конфигурацией, но при этом не может автоматически распространять действие сертификата на произвольно измененную систему.
В пакет сертификации входят, в частности, физический носитель с образом сертифицированного продукта, формуляр, заверенная копия сертификата, электронный ключ для доступа к обновлениям, комплект документации и доступ к сертифицированной технической поддержке.
Для сохранения защищенности продукта важно соблюдать установленный порядок эксплуатации и своевременно устанавливать поддерживаемые обновления безопасности. «1С-Битрикс» отдельно указывает, что исправления уязвимостей выпускаются для актуальных поддерживаемых версий продукта.
Это отличает сертифицированное внедрение от стандартной установки коробочного Битрикс24, где компания свободнее управляет конфигурацией, но при этом не может автоматически распространять действие сертификата на произвольно измененную систему.
Сертификация программного обеспечения и аттестация информационной системы
Эти понятия часто путают.
Сертификация относится к программному продукту или средству защиты и подтверждает его соответствие установленным требованиям.
Аттестация проводится уже для конкретной информационной системы организации.
При аттестации анализируется не только используемое ПО, но и инфраструктура в целом: серверы, рабочие места, сетевое оборудование, средства защиты, помещения, организационные процедуры и действия персонала.
Поэтому даже использование сертифицированного Битрикс24 само по себе не означает, что созданная на его базе информационная система автоматически является аттестованной.
Сертификация относится к программному продукту или средству защиты и подтверждает его соответствие установленным требованиям.
Аттестация проводится уже для конкретной информационной системы организации.
При аттестации анализируется не только используемое ПО, но и инфраструктура в целом: серверы, рабочие места, сетевое оборудование, средства защиты, помещения, организационные процедуры и действия персонала.
Поэтому даже использование сертифицированного Битрикс24 само по себе не означает, что созданная на его базе информационная система автоматически является аттестованной.
Можно ли дорабатывать сертифицированный Битрикс24
Коробочная версия Битрикс24 позволяет значительно изменять и расширять систему: разрабатывать собственные модули, интегрировать внешние сервисы, изменять бизнес-процессы и подключать дополнительное программное обеспечение.
Однако при работе с сертифицированной конфигурацией любые изменения необходимо оценивать с точки зрения условий сертификата и требований к конкретной информационной системе.
Если организация должна подтвердить соответствие определенным требованиям ФСТЭК, неконтролируемая модификация программного окружения может потребовать дополнительного анализа и согласования.
Поэтому архитектуру такого проекта желательно определять до начала разработки, а не после того, как Битрикс24 уже глубоко кастомизирован.
Однако при работе с сертифицированной конфигурацией любые изменения необходимо оценивать с точки зрения условий сертификата и требований к конкретной информационной системе.
Если организация должна подтвердить соответствие определенным требованиям ФСТЭК, неконтролируемая модификация программного окружения может потребовать дополнительного анализа и согласования.
Поэтому архитектуру такого проекта желательно определять до начала разработки, а не после того, как Битрикс24 уже глубоко кастомизирован.
Что необходимо учитывать при внедрении
Если организация рассматривает сертифицированный Битрикс24, проект стоит начинать не с установки CRM, а с анализа требований к будущей информационной системе.
Необходимо определить:
Только после этого имеет смысл проектировать конфигурацию Битрикс24 и определять, требуется ли сертифицированная поставка.
Необходимо определить:
- Какие данные будут обрабатываться в Битрикс24.
- Относится ли система к ИСПДн, ГИС, КИИ или иной регулируемой категории.
- Какие требования предъявляются к уровню ее защищенности.
- Требуется ли сертифицированное программное обеспечение.
- Где будет размещена система и какие средства защиты будут использоваться.
- Какие интеграции и доработки планируются.
- Как будет организовано обновление и сопровождение системы.
Только после этого имеет смысл проектировать конфигурацию Битрикс24 и определять, требуется ли сертифицированная поставка.
Сертифицированный Битрикс24 — часть комплексной защиты
Наличие сертификата ФСТЭК подтверждает, что определенная версия программного комплекса прошла предусмотренные сертификационные испытания. Однако безопасность корпоративной системы всегда складывается из нескольких компонентов.
Важно не только используемое программное обеспечение, но и архитектура инфраструктуры, разграничение прав доступа, защита серверов, резервное копирование, учет действий пользователей, обновления, средства информационной безопасности и организационные процедуры.
Поэтому для компаний с повышенными требованиями к информационной безопасности сертифицированный Битрикс24 следует рассматривать как основу для построения защищенной системы, а не как готовое решение всех вопросов соответствия требованиям законодательства.
Если вашей компании необходимо внедрение Битрикс24 с учетом повышенных требований к информационной безопасности, мы можем помочь определить подходящую архитектуру решения, требования к лицензии и возможности дальнейшей интеграции и доработки системы.
Важно не только используемое программное обеспечение, но и архитектура инфраструктуры, разграничение прав доступа, защита серверов, резервное копирование, учет действий пользователей, обновления, средства информационной безопасности и организационные процедуры.
Поэтому для компаний с повышенными требованиями к информационной безопасности сертифицированный Битрикс24 следует рассматривать как основу для построения защищенной системы, а не как готовое решение всех вопросов соответствия требованиям законодательства.
Если вашей компании необходимо внедрение Битрикс24 с учетом повышенных требований к информационной безопасности, мы можем помочь определить подходящую архитектуру решения, требования к лицензии и возможности дальнейшей интеграции и доработки системы.
