Межсетевой экран для объектов КИИ: нормативная база и сертифицированные решения

08.04.2026

Обеспечение безопасности критической информационной инфраструктуры перестало быть просто вопросом соответствия регуляторным нормам. Сегодня это фундаментальное условие национальной безопасности и экономической стабильности. Корпоративные сети, государственные информационные системы и финансовые платформы все чаще становятся мишенями для сложных целевых атак (APT), где злоумышленники используют легитимные инструменты и зашифрованный трафик.

Рядового межсетевого экрана здесь недостаточно. Межсетевой экран для объектов КИИ в 2026 году — это сложный программно-аппаратный комплекс, работающий в условиях высоких нагрузок, жестких требований к отказоустойчивости и обязательной интеграции с ГосСОПКА. Сетевая инфраструктура критически важных объектов больше не может существовать изолированно — она должна «дышать» в контуре государственного мониторинга.

Нормативная база и требования к межсетевым экранам

Правовое поле для средств защиты информации для КИИ в России сформировано Федеральным законом 187-ФЗ «О безопасности критической информационной инфраструктуры». Однако закон устанавливает лишь общие принципы, а технические детали раскрываются в подзаконных актах ФСТЭК и ФСБ.

С 1 сентября 2025 года вступили в силу существенные поправки в 187-ФЗ, которые ужесточили требования к используемому ПО. Теперь на значимых объектах обязательно применение программного обеспечения из единого реестра российского ПО, а также использование доверенных программно-аппаратных комплексов (ПАК).

Ключевым документом, регламентирующим технические характеристики средств защиты, является Приказ ФСТЭК России № 9, который устанавливает типы и классы защиты межсетевых экранов. Требования к построению системы защиты значимых объектов КИИ определяет Приказ ФСТЭК № 239. Для объектов КИИ первой и второй категорий значимости требуются межсетевые экраны класса защиты не ниже 4-го, что подразумевает контроль на уровне приложений (Deep Packet Inspection) и защиту от несанкционированного доступа.

1 марта 2026 года стал водоразделом для всей критической информационной инфраструктуры России. С этой даты вступили в силу ключевые положения Федерального закона № 325-ФЗ и обновленный Приказ ФСТЭК № 117 (для ГИС), которые окончательно закрыли эпоху «переходного периода» в импортозамещении. Сегодня безопасность критической информационной инфраструктуры — это не только защита от хакеров, но и строжайшее соответствие нормативно-правовым актам, за нарушение которых руководители организаций несут ответственность — вплоть до уголовной по ст. 274.1 УК РФ при наличии тяжких последствий.

Правовое поле для средств защиты информации для КИИ претерпело кардинальные изменения за последний год

Если раньше базой был 187-ФЗ, то сегодня он работает в связке с пакетом поправок, вступивших в силу в 2025-2026 годах.

Ключевые события 2026 года

С 1 марта 2026 года — вступление в силу ФЗ № 325-ФЗ, который уточнил критерии отнесения ПО и ПАК к категории «доверенных» и усилил ограничения на использование решений, принадлежащих иностранным лицам. Переходный период завершен.
Приказ ФСТЭК № 117 (с 1 марта 2026) — сменил устаревший приказ № 17 в сфере защиты государственных информационных систем (ГИС). Хотя документ напрямую регулирует ГИС, он задает тренд на защиту под конкретную модель угроз, что влияет и на смежные системы КИИ.
Единый перечень типовых объектов КИИ (Распоряжение №360-р) — официально утвержден 26 февраля 2026 года. В него вошли ключевые информационные системы предприятий, что означает: управление бизнес-процессами теперь требует такой же защиты, как и сетевая инфраструктура.
Ужесточение сертификации — требования ФСТЭК к межсетевым экранам акцентированы на соответствии 4-му классу защиты (для объектов 1-й и 2-й категорий), что коррелирует с 4-м уровнем доверия по Приказу № 76. ФСТЭК продолжает работу над унификацией методик тестирования производительности NGFW, что упрощает сравнение решений.

Архитектура и сценарии применения

Архитектура защиты строится на сегментировании сети и жестком контроле трафика между уровнями. Современные решения, такие как NGFW нового поколения, должны обеспечивать больше, чем просто фильтрацию по IP-адресам и портам. Межсетевой экран должен уметь работать в условиях тотального шифрования трафика (до 95% трафика сегодня зашифровано) и выдерживать нагрузки, сопоставимые с корпоративными ЦОД.

Ключевые сценарии применения

Защита периметра корпоративной сети. Разграничение доступа между внутренней инфраструктурой организации и внешними сетями, включая Интернет. Здесь критически важна фильтрация входящего и исходящего трафика на основе актуальных правил безопасности.
Сегментация внутренней сети. Изоляция критически важных сегментов (финансовый контур, базы данных, системы управления) для ограничения горизонтального перемещения злоумышленников в случае компрометации.
Удаленный доступ. Обеспечение безопасных подключений для сотрудников и партнеров к корпоративным ресурсам с обязательной многофакторной аутентификацией и шифрованием каналов связи.
Защита каналов связи с филиалами. Организация защищенных каналов передачи данных между головным офисом и распределенными подразделениями с гарантированной целостностью и конфиденциальностью информации.
SSL-инспекция нового уровня. Например, новые сертифицированные платформы (ИКС RF700) демонстрируют высокую производительность при инспекции зашифрованного трафика, а в комплексном режиме (FW+SSL+IPS) обеспечивают обработку больших объемов данных без деградации качества сервиса.
Интеграция с ГосСОПКА. Согласно ст. 10 ФЗ-187 и нормативным актам ФСБ России, средства защиты обязаны обеспечивать взаимодействие с государственной системой обнаружения атак. Это не просто отправка логов, а автоматический обмен сигналами о подозрительных событиях в реальном времени.
Поддержка виртуальных сред. Актуальная задача 2026 года — обеспечение защиты в виртуализированных инфраструктурах и облачных средах с сохранением гибкости масштабирования.

Современный межсетевой экран обязан не только блокировать угрозы, но и обеспечивать глубокую инспекцию трафика, включая анализ зашифрованных соединений (TLS 1.3). Это позволяет обнаруживать атаки, которые используют легитимные облачные сервисы для управления вредоносным ПО или кражи данных.

Проблемы импортозамещения: зрелость против амбиций

Тема перехода на отечественное ПО остается одной из самых острых. Согласно данным ФСТЭК, на начало 2025 года в государственных органах уровень импортозамещения достиг 95–98 %, однако в секторе КИИ этот показатель ниже — около 82–83 %. С 1 января 2025 года действует прямой запрет на использование иностранных продуктов на значимых объектах КИИ.

2026 год стал годом отсева на рынке NGFW. Участники отрасли фиксируют серьезный сдвиг в восприятии: если раньше заказчики готовы были тестировать новинки, то сегодня требуют эксплуатационной зрелости. На «Инфофоруме-2026» эксперты сошлись во мнении: наличие базовых функций NGFW — это лишь входной билет, а ключевыми стали надежность под нагрузкой, качество техподдержки и предсказуемость релизов.

Основные трудности, с которыми сталкиваются субъекты КИИ при замене оборудования:

Адаптация правил фильтрации. Перенос тысяч правил с устаревших зарубежных решений на новые отечественные сертифицированные межсетевые экраны требует высокой квалификации и часто выполняется в ручном режиме, что увеличивает сроки миграции.
Совместимость с существующей инфраструктурой. Не все отечественные решения «из коробки» интегрируются с уже развернутыми системами мониторинга, SIEM и средствами аутентификации, что требует дополнительной настройки.
Дефицит компонентной базы. Формирование полной доверенной технологической цепочки от аппаратной платформы до программного обеспечения остается долгосрочной задачей, хотя прогресс в этом направлении очевиден.
Несовместимость VPN. Отечественные решения для ГОСТ-шифрования зачастую не работают между собой у разных вендоров. Для решения этой проблемы требуется стандартизация протоколов защищенного взаимодействия.
Цена и доступность. Стоимость отечественных решений часто выше ушедших аналогов, а функционал по отдельным параметрам (например, поддержка крупных кластерных конфигураций) продолжает развиваться.

Обзор современных отечественных решений

Рынок средств защиты информации для КИИ в 2026 году предлагает спектр решений, прошедших естественный отбор. Ключевой тренд — ужесточение требований к классу защиты и появление новых сертифицированных платформ.

Продукт	Производитель	Ключевые особенности для КИИ
ИКС RF700	А-Реал Консалтинг	Сертифицированная платформа (2026). 4-й класс защиты, высокая производительность, поддержка КИИ 1 категории, интеграция с ГосСОПКА
Ideco NGFW Novum	Ideco	Акцент на простоту управления и интеграцию с ГосСОПКА. Подходит для среднего бизнеса и распределенных структур
ViPNet Coordinator IG	ИнфоТеКС	Проверенное решение с поддержкой криптографии ГОСТ, широкая база внедрений в госсекторе и КИИ
UserGate NGFW	UserGate	Высокая производительность, масштабируемость, развитая экосистема дополнительных модулей защиты

Важно! При выборе сертифицированного межсетевого экрана в 2026 году необходимо учитывать не только витринные характеристики, но и результаты пилотных проектов в собственной инфраструктуре. Доля зашифрованного трафика растет, и лабораторные тесты уже не дают полной картины поведения под реальной нагрузкой.

ИКС RF700

В 2026 году компания «А-Реал Консалтинг» сертифицировала новую аппаратную платформу ИКС RF700, которая используется совместно с межсетевым экраном ИКС в составе программно-аппаратного комплекса.

Данное решение подтвердило соответствие нормам ФСТЭК по профилям защиты межсетевых экранов типа А и Б 4-го класса защиты, что позволяет применять его на объектах критической информационной инфраструктуры первой и второй категории.

Как сертифицированный межсетевой экран, ИКС RF700 обеспечивает высокую производительность в режиме межсетевого экранирования и в комплексном режиме с SSL-инспекцией и системой предотвращения вторжений (IPS), что делает его надежным средством защиты информации для КИИ в коммерческих организациях и государственных структурах.

Решение соответствует строгим требованиям ФСТЭК к межсетевым экранам, которые предъявляются к объектам КИИ. Отвечает актуальным задачам импортозамещения, обеспечивая выполнение нормативов 187-ФЗ и Приказа ФСТЭК № 239.

По уровню защиты и функциональности данный NGFW способен эффективно решать задачи безопасности критической информационной инфраструктуры в условиях регулирования, ужесточившегося с 1 марта 2026 года.

Заключение: безопасность как ответственность

Выбор межсетевого экрана для объектов КИИ в 2026 году — это решение, которое влияет не только на устойчивость бизнес-процессов, но и на правовые риски организации. С 1 марта 2026 года персональная ответственность руководителя за обеспечение ИБ закреплена Указом Президента № 250, а штрафы и сроки по ст. 274.1 УК РФ стали реальностью при наступлении тяжких последствий.

Рынок вступил в фазу зрелости: подход «сертификат ради сертификата» больше не работает. Заказчикам нужны современные NGFW с доказанной эксплуатационной устойчивостью, прозрачной техподдержкой и возможностью масштабирования. Успешная защита КИИ сегодня — это симбиоз надежного межсетевого экрана, точного следования обновленной нормативной базе и проактивного управления киберрисками.