СОРМ для владельцев автономных систем: как реорганизовать инфраструктуру

В последнее время мы все чаще сталкиваемся с новыми законодательными изменениями в области информации и связи, но чаще всего они вызывают закономерные вопросы по части реализации.  Так, ряд компаний озадачены вопросом установки системы оперативно-розыскных мероприятий (СОРМ). Заместитель генерального директора по стратегическим проектам «ОБИТ» Михаил Телегин рассказывает, что нужно знать об этом требовании и какие варианты оптимизации задачи установки СОРМ для владельцев автономных систем (AS) существуют.

СОРМ представляет собой программно-аппаратный комплекс, предназначенный для перехвата, хранения и предоставления правоохранительным органам информации о пользователях и их трафике. 

Существует несколько основных видов СОРМ:

• СОРМ-1 — комплекс для контроля телефонной связи; 
• СОРМ-2 — комплекс для сбора и анализа интернет-трафика, включая историю посещений, IP-адреса и другую информацию, связанную с передачей данных через интернет;
• СОРМ-3 — более продвинутый комплекс, предназначенный для контроля и хранения всех видов данных;
• СОРМ-ОРИ для сбора и обработки данных для проведения оперативно-розыскных мероприятий (ОРМ) в информационных системах организаторов распространения информации (ОРИ);
• СОРМ с аналогичным функционалом для владельцев автономных систем. 

Главным образом требования к установке СОРМ касаются операторов связи и интернет-провайдеров, то есть тех, кто предоставляет услуги доступа к сети интернет, телефонии, передачи данных и других видов связи. При этом мало кто знает, что владельцы автономных систем, то есть компании, имеющие уникальный номер AS и прямое подключение к интернету, также попадают под требование реализации мероприятий СОРМ. Так, в сентябре 2024 года вступило в силу положение о порядке хранения ряда данных и передачи их в соответствующие органы для владельцев технологических сетей связи, если эти лица имеют номер автономной системы.

Превалирующее число коммерческих организаций, владеющие сегодня автономной системой, оформили ее как наиболее оптимальное решение для резервирования и получения отказоустойчивого доступа в Интернет. В случае использования автономной системы интернет-трафик распределяется между несколькими операторами, что затрудняет централизованную фиксацию действий сотрудников компании в сети. Единственным местом, где возможен мониторинг всего трафика, является пограничный маршрутизатор, и именно в этой точке и должен быть установлен комплекс СОРМ.

Поэтому организации с собственной автономной системой обязаны обеспечить установку и поддержку оборудования, которое позволяет государственным органам  выполнять функции оперативного контроля, перехвата и анализа информации, если это потребуется в рамках расследований или по запросу. Технические требования и параметры оборудования СОРМ устанавливаются российскими законами и подзаконными актами, а также контролируются Роскомнадзором и другими надзорными органами.

Стоит отметить, что реализация комплекса накладывает существенные инфраструктурные, финансовые и организационные сложности на владельца AS. С другой стороны невыполнение этих требований может привести к штрафам, возможной блокировке ресурсов и серьезными правовыми последствиями.

Особенности реализации СОРМ

Установка и эксплуатация СОРМ — это не разовое мероприятие. Помимо существенных затрат на само оборудование (которые могут достигать 10 млн рублей), необходимо организовать постоянное взаимодействие с регулирующими органами.

• Общий порядок внедрения СОРМ включает:
• выбор, установку и проведение работ по интеграции программно-аппаратного комплекса и внутренней инфраструктуры:
• организацию постоянного мониторинга трафика и его перенаправления в систему СОРМ;
• взаимодействие с правоохранительными органами, включая предоставление запрашиваемых данных;
• организацию регулярных мероприятий, программных обновлений и модернизацию оборудования в соответствии с новыми законодательными требованиями.

С точки зрения затрат, придется учесть расходы на приобретение оборудования, его установку и техническое обслуживание. Также необходимо заложить ресурсы на регулярные проверки и настройку системы. А взаимодействия с регулятором предполагают значительные временные затраты и высокие требования к юридической и технической документации.

Оптимизация задачи установки СОРМ: два возможных решения

Для владельцев автономных систем (AS) можно выделить два основных пути оптимизации задачи соблюдения требований СОРМ:

1. Привлечение эксперта в организации СОРМирования трафика

Если компания решает сохранить автономную систему для своих целей, но при этом максимально минимизировать свое участие в реализации СОРМ, то наиболее оптимальным вариантом будет привлечение профессионального подрядчика, который возьмет на себя все этапы установки и настройки СОРМ. Специализированные компании предлагают услуги комплексной установки СОРМ под ключ, что позволяет снять с организации нагрузку по взаимодействию с регулятором и гарантировать соответствие системы требованиям законодательства.

Привлечение эксперта имеет несколько ключевых преимуществ. Во-первых, очевидная минимизация рисков, связанных с нарушениями нормативов, поскольку профессионалы регулярно отслеживают изменения законодательства и проводят актуализацию решений. Во-вторых, это проведение консультаций на предмет соблюдения требований, помощь с подбором, установкой и техническим обслуживанием системы, что важно для поддержания ее стабильной работы и защиты от возможных сбоев. В случае проверок или запросов от правоохранительных органов эксперт поможет подготовить и предоставить необходимую информацию.

Таким образом, при сохранении автономной системы компания получает полноценную техническую и юридическую поддержку, связанную с реализацией СОРМ.

2. Реорганизация сетевой инфраструктуры: отказ от автономной системы и дополнительное резервирование каналов связи

Альтернативным и более подходящим решением для ряда компаний оказалось решение об отказе от автономной системы, что автоматически выводит компанию из зоны правовых требований  установки СОРМ. В этом случае компания передает управление IP-адресами внешнему оператору, у которого уже установлена система СОРМ. Качество и стабильность сетевой инфраструктуры и сервисов при этом сохраняется посредством организации резервирования интернет-каналов. Оператор, как правило, разрабатывает оптимальную схему резервирования с использованием нескольких провайдеров или альтернативных маршрутов трафика, что также позволяет поддерживать бесперебойную работу всех ресурсов.

Основным риском при таком подходе считается вероятность сбоя в ядре сети оператора. Однако на практике вероятность таких сбоев значительно ниже, чем риск выхода из строя того же пограничного маршрутизатора, на котором владельцу AS необходимо реализовать СОРМ. Более того, в случае DDoS-атаки оператор, на котором завязаны ресурсы компании,  может оперативно перенаправить ресурсы на независимый стык с очисткой трафика. В противном случае компания должна иметь собственных специалистов для выполнения этих задач самостоятельно.

Учитывая все преимущества и недостатки, в большинстве случаев подобная реорганизация сетевой инфраструктуры оказывается экономически более выгодной, особенно для тех, кому не принципиально владение автономной системой и собственными IP-адресами и кто не готов к серьезным затратам на установку СОРМ.

Установка СОРМ — обязательное требование для владельцев автономных систем, несоблюдение которого грозит серьезными санкциями. Но есть более экономичные и гибкие пути для соблюдения законодательства, которые помогут минимизировать расходы и перестроить инфраструктуру без потерь для бизнеса. Например, отказ от автономной системы или использование арендованных каналов связи могут стать эффективной альтернативой установке СОРМ.

Компаниям, которые стремятся одновременно соблюдать законодательные нормы и оптимизировать затраты, стоит обратиться к профессионалам, способным провести аудит, организовать инфраструктуру и внедрить необходимые решения под ключ. Важно понимать, что в вопросах СОРМ нельзя полагаться на удачу — будущее бизнеса зависит от своевременного и корректного выполнения этих требований.