При размещении объектов критической информационной инфраструктуры (КИИ) в облачных средах действует четкое правило разделения зон ответственности: провайдер обслуживает все слои ниже виртуальной машины, в то время как заказчик сохраняет контроль над всем, что находится выше. Несмотря на это, обязанность субъекта КИИ по информированию ГосСОПКА, категорированию объектов и обеспечению их безопасности остается неизменной. Ключевым аспектом переговоров становится определение конкретных работ провайдера, их правового основания и фиксации этих обязательств в договоре. От точности этого разграничения зависят кадровые компетенции заказчика, расходы на аттестацию и время, необходимое для подготовки доказательной базы при проверках. Разберем, как эти границы формируются в двух основных моделях размещения: аттестованном облаке провайдера и частном облаке на площадке заказчика.
В обеих моделях нижняя часть таблицы ответственности идентична: обязанности субъекта КИИ, такие как категорирование, разработка модели угроз, аттестация собственной системы и взаимодействие с ГосСОПКА, не могут быть переданы провайдеру. Различия начинаются в верхней части таблицы. В модели аттестованного облака провайдера заказчик платит за обслуживание платформы виртуализации, средств защиты инфраструктуры и хранилищ, которые уже сертифицированы. В случае частного облака на площадке заказчика поставщик платформы отвечает только за сертифицированную версию продукта и его обновления, в то время как физическую инфраструктуру, сеть и средства защиты каналов заказчик берет на себя целиком. В обеих моделях виртуальные машины, операционные системы, базы данных и приложения остаются в зоне ответственности заказчика.
Для государственных информационных систем (ГИС) состав разграничения ответственности регламентирован постановлением Правительства от 18.08.2026 № 1024, которое вступает в силу с 1 сентября 2026 года. Этот документ требует наличия регламента взаимодействия и уведомления поставщика о сбоях в течение трех часов. Для объектов КИИ, не входящих в состав ГИС, таких нормативных требований нет; состав приложения к договору определяется сторонами самостоятельно на основании приказа ФСТЭК № 239. В приложение к договору обычно включают пять ключевых разделов: обновления и патчи по каждому слою, вопросы шифрования и управления ключами, мониторинг и хранение журналов событий, данные об аттестате провайдера и порядок действий при его обновлении, а также регламент обработки инцидентов и передачи данных при завершении контракта.
Особое внимание уделяется работе с подрядчиками, доступными к ГИС или значимым объектам КИИ. Согласно приказу ФСТЭК № 117 и обновленным требованиям, подрядчики должны рассчитывать показатель уровня зрелости безопасности до получения доступа и далее не реже раза в два года (для ГИС) или раза в три года (для значимых объектов КИИ с 1 марта 2027 года). Заказчик обязан закрепить эти обязательства в договоре. Для минимизации рисков атак через легальные каналы обновления подрядчикам выделяются именные учетные записи с ограниченными правами, ведется журнал сессий и устанавливается единый регламент уведомления об инцидентах.
В аттестованном облаке провайдера заказчик освобождается от необходимости поддерживать компетенции по эксплуатации физической инфраструктуры и платформы виртуализации, так как аттестат провайдера служит доказательной базой для этих слоев. Однако частая ошибка на старте проекта заключается в том, что заказчик полагает, что аттестат провайдера автоматически закрывает аттестацию его собственной системы. На практике система, развернутая поверх облака, аттестуется отдельно, и в матрице ответственности провайдера для каждого слоя должна быть названа сторона, отвечающая за его эксплуатацию. Примером может служить VK Tech, где в аттестованном облаке VK Secure Cloud граница проходит по виртуальной машине, а в частном облаке VK Private Cloud оборудование остается на площадке заказчика, при этом в обоих случаях в договор включается своя матрица зон ответственности и комплект документов для аттестации системы заказчика.
