Как проверить, что корпоративная система подходит под требования ИБ и импортозамещения?
Выбираем систему для ИТ-службы и других отделов. Служба безопасности просит подтвердить, что система российская и пройдёт проверку, но не говорит, какие документы нужны. На что смотреть и что запросить у вендора?
20 октября 2026
обновлено: 3 ноября 2026
44
3 мин
Ответ
Проверьте главное: запись в едином реестре российского ПО с нужным классом, установку в вашем контуре или в облаке на территории России, разграничение доступа, журналы действий пользователей и совместимость с российскими ОС. Какие из этих требований для вас обязательны, зависит от того, кто вы: госзаказчик, субъект критической информационной инфраструктуры (КИИ) или оператор персональных данных.
Какие нормы применяются
Требования задают четыре группы норм:
- Закупки по 44-ФЗ и 223-ФЗ. Запрет на закупку иностранного ПО теперь установлен постановлением Правительства от 23.12.2024 № 1875. Российское происхождение подтверждает номер записи в едином реестре российских программ. Запрет распространяется и на облачные услуги.
- Значимые объекты КИИ. С 1 сентября 2025 года 187-ФЗ обязывает использовать на них ПО из реестра в порядке и в сроки, которые устанавливает Правительство (ч. 3 ст. 9). Указ Президента от 30.03.2022 № 166 с 1 января 2025 года запрещает госорганам и заказчикам использовать на таких объектах иностранное ПО.
- Персональные данные. 152-ФЗ требует записывать, хранить и обрабатывать данные граждан России в базах на территории России (ч. 5 ст. 18), устанавливать правила доступа и регистрировать действия с данными (ст. 19).
- Требования ФСТЭК. Для значимых объектов КИИ приказ ФСТЭК № 239 устанавливает обязательные классы защиты для средств защиты информации (п. 29). Для государственных информационных систем с 1 марта 2026 года действует приказ ФСТЭК № 117 вместо приказа № 17.
Нормы влияют и на выбор между облаком и своим контуром, как при внедрении SimpleOne ITSM в ГК Softline: сначала предполагали облачное решение, но запрет регулятора «хранить данные на стороне третьего лица при обслуживании критической инфраструктуры» сделал «необходимым развертывание локальной инфраструктуры».
Что проверить у системы
Подтверждение у вендора стоит запросить по каждому пункту:
- Запись в реестре. Номер записи и класс ПО проверяйте на сайте реестра reestr.digital.gov.ru. Уточните, на какой продукт оформлена запись. Например, платформа SimpleOne внесена в реестр под № 6870 с классом «Средства управления ИТ-службой, ИТ-инфраструктурой и ИТ-активами».
- Где будут данные. Можно ли поставить систему на ваши серверы, в том числе в контур без доступа в интернет, или получить её из облака на территории России.
- Разграничение доступа. Можно ли закрыть доступ по ролям и отделам не только к разделу, но и к отдельному полю, например к окладу.
- Журналы. Видно ли, кто, когда и что изменил, и может ли администратор эти записи исправить.
- Вход. Работает ли вход через корпоративный каталог (LDAP или Active Directory) и единый вход (SSO).
- Операционная система. Совместимость с российскими ОС лучше подтверждать документом: участием в программе совместимости производителя ОС, а не устным ответом.
При переходе на SimpleOne ITSM в iiii Tech среди основных требований были «Решение из Единого реестра российского ПО» и «On-premise инсталляция на собственных ЦОДах».
Как это сделано на платформе SimpleOne
Платформа SimpleOne — Low-code платформа для автоматизации бизнес-процессов российского вендора SimpleOne, на ней построены SimpleOne ITSM, ESM и HRMS. Платформа в едином реестре российского ПО с 2020 года, классы «Средства управления бизнес-процессами» и «Средства управления ИТ-службой, ИТ-инфраструктурой и ИТ-активами».
- Установка: в собственный контур компании, в том числе без доступа в интернет, или облачный сервис из защищённого облака на территории России.
- Доступ: правила контроля доступа по ролям, группам, департаментам и отдельным полям.
- Журнал «История»: каждое изменение поля со старым и новым значением и автором, эти записи нельзя изменить или удалить.
- Вход: через LDAP или Active Directory, SSO и Keycloak.
Совместимость с российскими ОС подтверждена вместе с их производителями: с Astra Linux Special Edition 1.8.6 — в программе Ready for Astra, с РЕД ОС — совместно с РЕД СОФТ в июле 2026 года, как сообщается в новости РЕД ОС. В эксплуатационной документации платформы указан и ALT Server 10.4.
Сведения для реестра и эксплуатационная документация SimpleOne — на странице сведений для реестра. Как настроить роли и правила доступа — в документации платформы SimpleOne.
