В сертификате на средство защиты информации стоят два числа, и означают они разное. Класс защиты отвечает за то, что средство умеет. Уровень доверия показывает, как его разрабатывали, испытывали и поддерживают. Продавец называет оба числа одной фразой, покупатель слышит одно. Разбираем, какая пара нужна под ваш уровень защищенности, обязаны ли вы покупать сертифицированное средство и что остается незакрытым после покупки.
Две шкалы измеряют разные вещи
Класс защиты описывает функциональные возможности: от чего средство защищает и где применимо. Классы определяются нормативными правовыми актами ФСТЭК России, в проекте нового приказа по персональным данным на них стоит прямая отсылка.
Уровень доверия отвечает за происхождение средства. Его ввел приказ ФСТЭК России от 02.06.2020 № 76, вступивший в силу с 1 января 2021 года. Формулировка приказа: «Средство соответствует уровню доверия, если оно удовлетворяет требованиям к разработке и производству средства, проведению испытаний средства, поддержке безопасности средства».
Разница практическая. Два антивируса закрывают одни угрозы и стоят в разных уровнях доверия: у одного вендора процесс выпуска обновлений проверен глубже.
Что путают чаще всего
Обе шкалы устроены наоборот привычному счету: чем меньше номер, тем строже требования. Шестой класс и шестой уровень доверия это нижняя ступень.
Поэтому фраза «у нас средство четвертого класса» звучит солиднее, чем «шестого». Более высокая ступень не запрещена, просто вы платите за нее без нормативной причины.
Какая пара чисел нужна под ваш уровень защищенности
Соответствие задано пунктом 16 проекта приказа ФСТЭК, который готовится на замену приказу № 21. Дословно оттуда: «При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации: в информационных системах 1 уровня защищенности персональных данных применяются средства защиты информации не ниже 4 класса и 4 уровня доверия».
| Уровень защищенности ИСПДн | Класс средства защиты | Уровень доверия |
|---|---|---|
| 1 уровень | не ниже 4 класса | не ниже 4 уровня |
| 2 уровень | не ниже 5 класса | не ниже 5 уровня |
| 3 уровень | 6 класс | 6 уровень |
| 4 уровень | 6 класс | 6 уровень |
Две выделенные строки закрывают большинство компаний малого и среднего бизнеса. Сайт с формой заявки, кадровый учет и клиентская база без биометрии и без данных специальных категорий это почти наверняка третий или четвертый уровень защищенности. Как он определяется, разобрано в материале про уровни защищенности ИСПДн.
Оговорка про статус документа. Проект на 28 августа 2026 года не подписан и в Минюсте не зарегистрирован, действует приказ № 21. Что меняется и когда, мы разбирали в статье про отмену приказа ФСТЭК № 21. Числа из таблицы берите как ориентир для закупки, а не как действующую норму.
Почему почти всем нужен шестой класс и шестой уровень
Приказ № 76 связывает шкалы напрямую: «средства защиты информации 6 класса должны соответствовать 6 уровню доверия».
Верхние три ступени к обычной компании отношения не имеют: уровни доверия 1, 2 и 3 применяются там, где обрабатывается информация, составляющая государственную тайну (источник вторичный, basealt.ru, проверено 28 августа 2026 года).
Вывод для покупателя: под третий и четвертый уровень защищенности достаточно шестого класса и шестого уровня доверия. Предложение с четвертым классом дороже требует объяснения, зачем вам ступень для более жестких систем. Разброс цен на сертифицированные средства мы не измеряли, сумм по вендорам не приводим: не проверено.
Обязана ли компания покупать сертифицированное средство
Здесь чаще всего и продают лишнее. Пункт 16 проекта начинается со слов «При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации». Это условие: требование к классу и уровню доверия включается тогда, когда оператор применяет сертифицированное средство. Безусловной обязанностью для любой ИСПДн сертификация в этой формулировке не назначается.
Закон 152-ФЗ в пункте 3 части 2 статьи 19 требует «применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации». Формулировка закона говорит про оценку соответствия, а сертификация это одна из ее форм.
Форм оценки соответствия несколько: обязательная сертификация, добровольная сертификация, декларирование соответствия (источники вторичные, публикации atlex.ru и altx-soft.ru, проверено 28 августа 2026 года). Обязательная сертификация средств защиты прямо предписана для государственных информационных систем и для случаев, установленных отдельными нормативными актами и условиями контракта.
Скажем прямо. Компания с ИСПДн третьего или четвертого уровня защищенности, которая не работает с государственным заказчиком и не связана требованием контракта, обязана применять средства, прошедшие оценку соответствия, и выбирает форму этой оценки. Продавец с фразой «по закону вы обязаны купить сертифицированное» описывает частный случай как общее правило.
Статья не заменяет юридическое заключение: ваш случай разбирает юрист по вашим договорам и внутренним актам. С чего начинается модель угроз персональных данных, показано в отдельном разборе.
Как читать сертификат
Когда вендор присылает скан сертификата, смотрят пять вещей.
| Что смотреть | Зачем |
|---|---|
| Класс средства защиты | Сверяется со строкой вашего уровня защищенности |
| Уровень доверия | Второе число пары, стоит рядом с классом |
| Срок действия | Сертификат конечен, дата стоит в документе |
| Область применения | Для каких систем средство годится |
| Запись в государственном реестре | Подтверждение, что сертификат жив сегодня |
Оба параметра стоят в самом сертификате (источники вторичные, secradar.ru и sgrc.cyberosnova.ru, проверено 28 августа 2026 года).
Статус проверяют в первоисточнике. Это государственный реестр сертифицированных средств защиты информации ФСТЭК России, а не страница «Сертификаты» на сайте вендора и не PDF во вложении к письму. Скан показывает состояние на день выдачи, реестр показывает состояние на сегодня.
Наш опыт с реестром: 28 августа 2026 года он из нашей сети не открылся, запрос отвалился по таймауту через 25 секунд. Поэтому число записей в нем мы не называем. Если реестр не отвечает и у вас, покупку откладывают до того момента, когда запись удастся увидеть глазами.
Чего сертификат не закрывает
Три вещи выпадают из области сертификата регулярно и всплывают после оплаты.
Первое. Криптография живет по отдельным правилам. Средства криптографической защиты сертифицирует ФСБ России, у них своя шкала классов. Задача про шифрование канала или диска классом по ФСТЭК не закрывается.
Второе. Аттестация объекта информатизации это отдельная процедура. Средство нужного класса не делает вашу систему аттестованной: сертификат относится к продукту, аттестация к вашей установке.
Третье. Область сертификата ограничена конкретной версией продукта. Обновились за пределы области сертификата, и формально вы работаете на несертифицированной сборке. Ловушка для тех, у кого обновления ставятся автоматически.
Что мы нашли, когда разобрали собственный периметр
По своему контуру мы прошли теми же руками, что и по чужому.
Замер движка поиска персональных данных на проде 20 августа 2026 года: выборка 2867 текстов, 4585 размеченных сущностей, покрытие 92,5 процента на этой выборке при 344 пропусках и 301 ложном срабатывании. По категориям неровно: документы 96,7 процента, ФИО 87,3, адреса 86,5. Из 344 пропусков 287 приходятся на ФИО, адреса и названия организаций. Полноту автоматического обнаружения мы не обещаем.
Инвентаризация контура 21 августа 2026 года: к полям заявки с сайта обращались 16 скриптов, под контролем версий из них был 1. Рядом лежала выгрузка на 51 349 байт с 45 заявками за период с 15.07 по 19.08.2026 без правила исключения. Разбор находки в статье про то, где персональные данные лежат помимо основной базы.
Аудит скриптов, та же дата: 64 файла на Python и 12 462 строки за 90 дней, тестов 2, свой сетевой код в 43 файлах, 11 файлов не упомянуты ни в одном документе. Файл, о котором не написано нигде, при проверке не найдут.
Ни одно средство защиты, ни шестого класса, ни четвертого, эти три находки не закрывает. Сертификат покупается на средство, а течет процесс.
Порядок действий до покупки
Порядок здесь важнее выбора вендора. Средство подбирают последним, когда известно, что оно закрывает.
-
Определите уровень защищенности ИСПДн
Без него разговор про класс средства беспредметен.
-
Составьте перечень мест, где данные лежат
Базы, выгрузки, почта, общие диски, резервные копии, скрипты. Наш перечень дал 16 скриптов у полей заявки, учтен был один.
-
Выберите меры под свои угрозы
Часть мер стоит рабочего времени, а не лицензий: сроки хранения, разграничение доступа, передача файлов подрядчикам.
-
Подберите средство под оставшиеся меры
Класс и уровень доверия появляются только здесь. Для третьего и четвертого уровня защищенности это шестой класс и шестой уровень.
-
Проверьте сертификат в реестре
Класс, уровень доверия, срок действия и версия продукта. В реестре ФСТЭК, а не по сайту вендора.
Сколько стоит разобрать свой контур
Инвентаризация мест хранения не требует платформы и лицензий. Мы работаем почасово: 2 500 рублей в час, оплата по факту. На выходе перечень мест и каналов, сроки хранения и техническая часть по доступам и интеграциям.
Отдельный пакет нужен, когда тексты обращений и документов уходят во внешние ИИ-сервисы. Разбор ИИ-канала идет по выборке из 200 реальных текстов, 10 рабочих дней, 49 000 рублей, пресейл-прогон бесплатный. Отчет описывает согласованную выборку и не заменяет заключение о соответствии.
Проверим, что вам действительно нужно покупать
Уровень защищенности, перечень мест хранения, меры и только потом средство. 2 500 рублей в час, оплата по факту.
Границы: чего мы не делаем
Лицензии ФСТЭК на деятельность по технической защите информации у нас нет. Работы, для которых она требуется, мы не выполняем.
Аттестацию объектов информатизации и заключения о соответствии не делаем. Нужен аттестат, это к организации с лицензией.
Криптография это зона ФСБ России. Классы средств криптографической защиты мы не оцениваем.
Статья не заменяет юридическое заключение и не рекомендует вендора. Средства защиты мы не перепродаем, интереса в выборе продукта у нас нет.
Частые вопросы
Какой класс средства защиты нужен для 3 уровня защищенности
По пункту 16 проекта приказа на замену приказу № 21 для систем 3 и 4 уровня защищенности применяются средства 6 класса и 6 уровня доверия. Оговорка в самой формулировке: требование включается при использовании сертифицированных средств. На 28 августа 2026 года проект не подписан.
Чем класс защиты отличается от уровня доверия
Класс отвечает за функциональные возможности средства. Уровень доверия показывает, как средство разрабатывали, испытывали и поддерживают, и задан приказом ФСТЭК России от 02.06.2020 № 76. Обе шкалы идут от 6 к 1: меньший номер означает более строгие требования.
Обязана ли коммерческая компания покупать сертифицированное средство
Закон 152-ФЗ в пункте 3 части 2 статьи 19 требует применения средств, прошедших оценку соответствия. Форм у нее несколько: обязательная сертификация, добровольная и декларирование соответствия (источники вторичные, проверено 28 августа 2026 года). Обязательная предписана для государственных информационных систем и случаев из отдельных актов и контрактов. Свой случай сверяйте с юристом.
Где проверить, что сертификат действует
В государственном реестре сертифицированных средств защиты информации ФСТЭК России. Скан от вендора показывает состояние на день выдачи, реестр на сегодня. 28 августа 2026 года реестр из нашей сети не открылся по таймауту в 25 секунд, поэтому число записей в нем мы не приводим.
Закроет ли сертифицированное средство риск утечки
Нет, оно закрывает свою часть. Разбор нашего контура 21 августа 2026 года показал 16 скриптов у полей заявки при одном под контролем версий и выгрузку с 45 заявками без правила исключения. Замер 20 августа 2026 года дал 92,5 процента покрытия на нашей выборке при 344 пропусках, полноту обнаружения мы не обещаем. Сертификат покупается на средство, а течет процесс.
