Серверная ОС Cloud X получила сертификат ФСТЭК для работы с ГИС и КИИ

Узкое место для регулируемых ИС — сертифицированный серверный слой. По данным CNews, платформа Cloud X закрыла его для собственной инфраструктуры: серверная ОС Cloud X OS получила сертификат ФСТЭК — тип «А», 4 класс защиты, 4 уровень доверия. Допустимое применение: ГИС до 1 класса защищенности, ИСПДн до 1 уровня, объекты КИИ до 1 категории значимости.

Профиль сертификации

• Тип: ОС общего назначения, тип «А».
• Класс защиты: 4.
• Уровень доверия: 4.
• Орган по сертификации: ЦБИ, аккредитованный ФСТЭК.
• Состав оценки: механизмы безопасности, документация, жизненный цикл продукта.
• Допустимые сценарии эксплуатации: ГИС до 1 класса защищенности включительно, ИСПДн до 1 уровня защищенности включительно, объекты КИИ до 1 категории значимости включительно.

Технологический стек и сценарии развертывания

• Назначение: серверная ОС для стабильной работы высоконагруженной инфраструктуры облака Cloud X и компонентов облачной платформы.
• Базовый слой: совместимость с экосистемой Debian.
• Пакетная база: собственная, свыше 25 тыс. пакетов, более 14 репозиториев.
• Развертывание: ISO-образы, сетевая установка, формирование типовых конфигураций.
• Интеграция: OpenStack, среды виртуализации.
• Управление обновлениями: сборка и хранение пакетов на серверах Cloud X в РФ, предварительное тестирование изменений, контролируемые релизы безопасности и минорных исправлений через репозитории Cloud X.
• Роль в инфраструктуре: среда для российских СУБД, гипервизоров, межсетевых экранов и иного инфраструктурного ПО.
• Контексты применения: серверный слой Cloud X, частные облака заказчика, собственные ЦОД, защищенные сегменты Cloud X Extender Hub с требованиями к КИИ, самостоятельная поставка как серверной ОС вне периметра Cloud X.

Чек-лист для архитектора

• Регуляторика: подтвердить достаточность 4 класса защиты и 4 уровня доверия под целевой класс ГИС, ИСПДн, КИИ.
• Совместимость: проверить интеграцию с OpenStack, гипервизорами, целевыми СУБД, межсетевыми экранами.
• Пакетная база: сверить наличие критичных upstream-пакетов Debian в репозиториях Cloud X.
• CI/CD: оценить влияние контролируемых репозиториев на конвейер обновления приложений.
• SLA: запросить параметры поддержки, окна обновлений безопасности, время реакции на инциденты.
• Vendor lock-in: оценить зависимость от собственной пакетной базы и сценарии миграции.
• Жизненный цикл: запросить дорожную карту релизов и сроки EOL для текущей версии.