СОРМ переводят на постоянный технический аудит

Минцифры разработало проект приказа, устанавливающего требования к защите систем оперативно-разыскных мероприятий (СОРМ) от несанкционированного доступа. Документ распространяется на технические, программные и программно-технические средства, используемые уполномоченными госорганами. Приказ должен вступить в силу 1 марта 2027 года.

Проект формализует правила эксплуатации СОРМ и заметно ужесточает требования к контролю доступа. Для пользовательских учетных записей предлагаются пароли длиной не менее 12 символов, для технологических — не менее 15. Пароль должен включать буквы разных регистров, цифры и специальные символы, действовать не более 90 дней и не совпадать с восемью предыдущими. После пяти неудачных попыток входа учетная запись должна блокироваться без автоматической разблокировки.

Отдельный блок посвящен сетевой безопасности. Компоненты СОРМ запрещается анонсировать в открытом интернете, а доступ к ним должен строиться через межсетевые экраны и ограниченное число контролируемых точек подключения. Разрешается использовать только защищенные протоколы — HTTPS, SSH, SFTP, SNMPv3 и TLS 1.2 или более новые версии. Удаленный доступ к портам обслуживания допускается только для мониторинга и контроля конфигураций, причем его порядок должен согласовываться с уполномоченным органом в сфере безопасности. Журналы таких подключений потребуется хранить не менее 12 месяцев.

Проект также предусматривает детальное протоколирование действий внутри системы. Регистрации подлежат попытки аутентификации, изменение полномочий и профилей пользователей, создание и блокировка учетных записей, действия администраторов, запуск сторонних программ, подключения внешних устройств и сетевые соединения. Система должна фиксировать не только дату и время события, но и его источник, результат, пользователя или процесс, связанный с операцией. Данные о событиях несанкционированного доступа предполагается хранить год и передавать на пульт управления по HTTPS в формате JSON.

Перечень контролируемых операций включает изменения системных файлов и конфигураций, запуск потенциально опасных программ — в частности, sudo, su, iptables, gcc, make, rm и kill, — вызов командных оболочек, установку пакетов, перезагрузку серверов, изменение журналов и управление службами. Такой подход превращает СОРМ в объект постоянного технического аудита: любые действия, способные повлиять на конфигурацию или устойчивость комплекса, должны оставлять формализованный след.

В документе впервые подробно описываются меры для виртуальной инфраструктуры. Они включают контроль администраторов гипервизоров, изоляцию сетевых потоков, проверку целостности виртуальных машин и файлов-образов, резервное копирование контейнеров и данных, а также ограничение перемещения виртуальных машин только на контролируемые технические средства. Сам комплекс должен размещаться в запираемом шкафу или серверном корпусе, исключающем свободный доступ к аппаратным компонентам.

Практический эффект приказа будет зависеть от итоговой редакции и механизмов контроля исполнения. Однако уже сейчас очевидно, что операторам связи и поставщикам СОРМ придется пересмотреть процедуры управления учетными записями, удаленного обслуживания, обновления ПО, резервного копирования и реагирования на инциденты. Одновременно документ задает единый технический формат обмена сведениями о событиях безопасности между СОРМ и государственным пультом управления.