Безопасность современного предприятия или коммерческого объекта больше не ограничивается прочной дверью и бдительным охранником на КПП. Сегодняшние системы контроля и управления доступом (СКУД) — это сложные ИТ-экосистемы, которые оперируют огромными массивами информации: от графиков работы сотрудников до их персональных и биометрических данных.
Стремительный рост киберугроз и цифровизация бизнеса потребовали жесткого пересмотра правил игры. Старые регламенты безнадежно устарели. Главными ориентирами для владельцев объектов, планирующих модернизацию или установку систем безопасности, стали новый национальный стандарт ГОСТ Р 51241-2023 и требования ФСБ России в области защиты информации.
В этой статье мы разберем, какие ключевые изменения принесли новые нормативы, как СКУД взаимодействует с государственными информационными системами и что нужно сделать собственнику бизнеса, чтобы система была и эффективной, и законной.
Часть 1. Эволюция стандартов: почему появился ГОСТ Р 51241-2023?
Предыдущий базовый стандарт, регулирующий рынок СКУД, был принят еще в 2008 году. За полтора десятилетия технологии совершили колоссальный рывок: появились облачные контроллеры, мобильный доступ по смартфонам, алгоритмы распознавания лиц на базе нейросетей. Старая нормативная база просто не успевала за прогрессом, оставляя серые зоны в вопросах уязвимости интерфейсов связи и защиты информации.
Введенный в действие ГОСТ Р 51241-2023 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования» стал ответом на вызовы времени.
Что изменилось для заказчика?
Новый ГОСТ сместил фокус с чисто механической надежности (прочность турникетов и замков) на комплексную устойчивость всей системы, включая ее цифровую составляющую. Стандарт вводит более четкую классификацию СКУД по:
- Способам управления (автономные, сетевые, централизованные).
- Пропускной способности и количеству точек доступа.
- Уровню устойчивости к несанкционированному доступу, взлому и саботажу.
Для конечного пользователя это означает, что теперь при техническом задании на проектирование нельзя просто указать «купить СКУД». Необходимо четко соотносить категорию объекта с классом защищенности оборудования по новому ГОСТу. Это защищает инвестора от покупки дешевого, но уязвимого оборудования, которое не пройдет проверку первой же комиссии.
Часть 2. Классификация СКУД и защита от саботажа
ГОСТ Р 51241-2023 делит системы на классы в зависимости от их функциональных возможностей и степени защищенности. Особое внимание уделяется защите от манипуляций со стороны нарушителей или недобросовестного персонала.
Устойчивость к саботажу и интеллектуальному взлому
Современный злоумышленник редко пытается выломать дверь ломом. Гораздо проще перехватить сигнал от считывателя к контроллеру, подделать карту доступа или использовать уязвимость в программном обеспечении. Новый стандарт предъявляет жесткие требования к:
- Защите каналов связи. Передаваемые внутри системы данные (особенно между считывателем и контроллером) должны быть защищены от копирования и эмуляции. Использование устаревших и легко копируемых карт (например, формата EM-Marine) на объектах с повышенными требованиями к безопасности теперь фактически находится вне закона.
- Защите от дублирования (Anti-passback). Система должна четко отслеживать логику перемещения: нельзя войти на объект по одной карте дважды, не зафиксировав выход.
- Живучести системы. При отключении центрального сервера или обрыве магистральной линии связи периферийные контроллеры должны сохранять полную работоспособность и автономно принимать решения о допуске на основе локальной базы данных.
Часть 3. СКУД и ФСБ России: защита данных и государственные системы
Если ГОСТ Р 51241-2023 отвечает на вопрос «как система должна работать технически», то требования ФСБ России и профильного законодательства (в частности, ФЗ № 152 «О персональных данных» и ФЗ № 572 «О биометрии») регулируют вопрос «как защитить информацию, которой эта система управляет».
Для конечного заказчика этот блок — самый критичный, так как несоблюдение законов в сфере защиты данных грозит крупными штрафами, конфискацией оборудования и даже уголовной ответственностью.
Взаимодействие с Единой биометрической системой (ЕБС)
Одним из главных трендов последних лет стало распознавание лиц (face recognition) на проходных коммерческих и государственных объектов. Однако биометрические персональные данные (фото лица, отпечатки пальцев) относятся к категории наивысшей конфиденциальности.
Согласно действующему законодательству, коммерческие организации больше не имеют права собирать, хранить и обрабатывать биометрию граждан в своих локальных базах данных без жесткого контроля со стороны государства.
- Как это работает сейчас: Если ваша СКУД использует распознавание лиц для идентификации сотрудников, то векторы биометрических данных должны быть переданы и сверяться через Единую биометрическую систему (ЕБС).
- Исключения и локальные решения: Напрямую внутри локальной СКУД предприятия допускается обрабатывать данные только в строго определенных законом случаях (например, на объектах транспортной инфраструктуры или критической информационной структуры — КИИ) и только при условии использования сертифицированных ФСБ России средств защиты.
Требования к шифрованию (СКЗИ)
Любая сетевая СКУД передает данные по корпоративной сети или через интернет (в случае облачных решений). ФСБ России жестко регламентирует, что передача персональных данных по открытым каналам связи должна осуществляться с применением Средств криптографической защиты информации (СКЗИ), прошедших соответствующую сертификацию.
Для владельца бизнеса это означает:
- Программное обеспечение СКУД должно иметь встроенные сертифицированные алгоритмы шифрования либо работать в связке со специальными криптошлюзами.
- Базы данных, где хранятся имена, должности, номера паспортов и история проходов сотрудников, должны быть размещены на серверах, прошедших аттестацию по требованиям безопасности информации.
Часть 4. Что нужно знать заказчику при проектировании и модернизации?
Соблюдение требований ГОСТ Р 51241-2023 и регуляторов (ФСБ, ФСТЭК, Роскомнадзор) — это не просто бюрократическая необходимость, а реальный инструмент снижения рисков компании.
Принимая решение об установке новой СКУД или модернизации старой, руководителю стоит ориентироваться на пошаговый алгоритм, состоящий из четырех последовательных этапов:
- Аудит объекта и определение категории. На этом базовом этапе оценивается специфика предприятия и выявляются потенциальные угрозы безопасности.
- Разработка технического задания (ТЗ). Документ составляется с обязательным учетом классов защищенности и требований к устойчивости к саботажу согласно ГОСТ Р 51241-2023.
- Выбор сертифицированного оборудования и СКЗИ. Подбираются аппаратные средства и программное обеспечение, поддерживающие надежные алгоритмы шифрования.
- Монтаж, пусконаладка и аттестация. Финальный этап включает установку системы, проверку ее живучести в автономном режиме и ввод в эксплуатацию в соответствии с нормами регуляторов.
1. Категорирование объекта
Перед началом проектирования необходимо определить статус вашего объекта. Для бизнес-центра класса «В» требования будут стандартными, но если ваш бизнес относится к объектам КИИ (энергетика, транспорт, ОПК, финансы, здравоохранение) или ТЭК, требования к СКУД автоматически возрастают до максимального уровня, включая обязательное использование отечественного ПО из реестра Минцифры.
2. Выбор правильных идентификаторов
Забудьте про незащищенные проксимити-карты. Переходите на современные защищенные форматы (например, Mifare Plus/Desfire с шифрованием AES) или мобильный доступ с использованием шифрованных каналов Bluetooth (BLE) и NFC.
3. Легитимная биометрия
Если вы внедряете доступ «по лицу», убедитесь, что интегратор предлагает решение, полностью интегрированное с ЕБС либо соответствующее требованиям ФЗ № 572. Нарушение правил работы с биометрией карается миллионными штрафами.
Чек-лист для руководителя: готова ли ваша СКУД к проверкам?
Ответьте на несколько вопросов, чтобы понять, соответствует ли ваша система контроля доступа актуальным требованиям законодательства:
- Использует ли ваша система шифрование данных при передаче от считывателя к контроллеру?
- Защищено ли серверное ПО СКУД от несанкционированного доступа парольной политикой и двухфакторной аутентификацией?
- Если используется распознавание лиц — согласованы ли процессы обработки данных с ЕБС и Роскомнадзором?
- Имеет ли установленное оборудование сертификаты соответствия актуальным ГОСТам?
- Исключена ли возможность свободного копирования карт сотрудников в ближайшем металлоремонте?
Если хотя бы на один пункт вы ответили «нет» или «не знаю» — ваша система находится в зоне риска, как с точки зрения физической безопасности, так и со стороны проверяющих органов.
Заключение
Современная нормативная база в лице ГОСТ Р 51241-2023 и требований ФСБ России превратила СКУД из простых электронных замков в полноценные защищенные информационные системы. Да, проектирование и внедрение таких комплексов требует больших экспертных компетенций и взвешенного подхода к выбору оборудования. Однако затраты на качественную, юридически чистую и технически защищенную систему окупаются отсутствием штрафов и гарантированной безопасностью вашего бизнеса.
