Президиум Правительственной комиссии по цифровому развитию утвердил методические рекомендации по предъявлению требований к поставщикам вычислительной инфраструктуры и облачных платформ в части используемых ими информационных технологий и технологий обеспечения информационной безопасности.
Методические рекомендации предназначены для заказчиков ГИС, создаваемых на платформе, и должны использоваться при подготовке технических заданий для поставщиков.
В документе прописаны:
- лицензии и разрешения, которые должен иметь поставщик
- требования регуляторов в области информационной безопасности
- требования к резервированию и катастрофоустойчивости
- требования к ЦОДам, мониторингу ресурсов, режиму доступа
- требования к сертификации облачной платформы
- требования к архитектуре облачной платформы поставщика, ее подсистемам
- требования к общесистемному и прикладному ПО платформы
С методическими рекомендациями можете ознакомиться здесь
Как должна развертываться Технологическая платформа ЕЦП «ГосТех»?
Исключительно на геораспределенной инфраструктуре.
Для обеспечения возможности построения геораспределенной инфраструктуры у Поставщика должно быть не менее 3 (трех) территориально разнесенных ЦОД, 2 (два) из которых должны быть разнесены между собой на расстояние не менее 20 км. Третий (резервный) ЦОД должен быть отнесен от остальных ЦОД на расстояние не менее 100 км для обеспечения георезервирования.
Каналы связи между ЦОД Поставщика должны быть защищены средствами, реализующими алгоритмы криптографического преобразования информации, прошедшими проверку соответствия в форме сертификации.
Инфраструктура Поставщика должна обеспечивать бесперебойное функционирование и сохранность информации, обрабатываемой на вычислительных и технологических ресурсах, в следующих аварийных ситуациях:
- полное отключение электроэнергии;
- нарушение функционирования или выход из строя каналов связи;
- полный или частичный отказ технических средств, включая, в том числе сбои и отказы накопителей на жестких магнитных дисках;
- сбой в функционировании общего и (или) специального программного обеспечения.
В целях обеспечения надлежащего уровня надежности и отказоустойчивости Поставщиком должны обеспечиваться:
- необходимый уровень резервирования технических средств инфраструктуры, достаточный в случае отказа основных технических средств, для функционирования ИС в полном объеме с возможностью автоматического переключения на резервные технические средства;
- возможность организации автоматического и ручного резервного копирования данных с вычислительных и телекоммуникационных средств и общесистемного программного обеспечения, включая возможность проверки целостности резервных копий;
- автоматическое выявление недоступности или снижения показателей производительности;
- автоматическое оповещение технических служб и обслуживающего персонала о сбоях в работе технических средств, а также о снижении качества работы выделенных ресурсов и служб.
- резервирование каналов передачи информации, средств обеспечения функционирования вычислительной инфраструктуры.
- наличие комплексной системы автоматического пожаротушения, включающей системы раннего оповещения, противодымной вентиляции, установки газового пожаротушения;
- основная система сигнализации должна быть выполнена на основе адресно-аналогового оборудования;
- резервирование всех элементов инфраструктуры, оказывающих влияние на доступность оказываемых услуг;
- наличие двух полностью независимых источников бесперебойного питания, включая дизельно-генераторную систему;
- наличие круглосуточной физической охраны, комбинированного контроля доступа и удаленного видеонаблюдения;
- использование промышленных систем охлаждения и кондиционирования с резервированием, а также систем контроля температурно–влажностного режима в серверных залах;
- периодические проверки отказоустойчивости и работоспособности всех элементов инфраструктуры, включая резервные;
- наличие нескольких независимых энерговводов не ниже 2 категории;
- распределенное резервирование каналов связи.
Поставщик должен обеспечить мониторинг предоставляемых вычислительных ресурсов и ресурсов хранения данных. Мониторинг предоставляемых вычислительных ресурсов и ресурсов хранения данных необходимо обеспечивать средствами системы мониторинга информационно- технологической инфраструктуры поставщика.
Все применяемые средства криптографической защиты информации должны соответствовать требованиям ФСБ России. Поставщику необходимо обеспечивать контроль и анализ защищенности инфраструктуры с использованием специализированных средств по выявлению уязвимостей в используемом ПО и его некорректной конфигурации, влияющей на уровень защищенности, с устранением выявленных уязвимостей и (или) недостатков.