Сертификация коммутаторов - Форум по вопросам информационной безопасности

Добрый день всем!

Коллеги, подскажите, пожалуйста. Возник такой вопрос.

В здании есть разные юридические лица использующие различные государственные информационные системы (К2, К3), они планируются подключаться к создаваемой общей локальной сети отдельными коммутаторами. Каждому юрлицу будет выделен отдельный VLAN. Далее планируется установить коммутатор для функции aгрегирования VLAN, также планируется поставить межсетевой экран для функции маршрутизации трафика между VLAN.
1. Требуется ли сертификат ФСТЭК для коммутаторов уровня доступа?
2. Требуется ли сертификат ФСТЭК для коммутаторов агрегации VLAN?
3. Требуется ли сертификат ФСТЭК для МСЭ (маршрутизатора).
4. Может ли такой МСЭ (маршрутизатор) быть программным, или обязательно он должен быть в аппаратном исполнении?

Большое спасибо за помощь!

to VladLAN
Вот по центру этих коммутаторов и ставьте сертиф.МЭ не ниже 5 (лучше 4) класса. А лучше сразу отказоустойчивый кластер, чтобы дважды не ходить, ага...
Читай, топология аля "звезда" - каждый коммутатор каждой организации подключен к отдельному порту МЭ (кластера МЭ). И забудьте про VLAN - ими вы разделение сетей не обеспечите (ни по факту, ни на бумаге)...
Разумеется, приведенный вариант рассматривает отказ от подключения из одной конторы к ИС другой (с одного коммутатора через МЭ к другому) с передачей защищаемой информации (т.е. каждая контора обрабатывает свою ИОД в своем сегменте сети, а общая связь нужна для упрощения обмена "открытой" информацией). В противном случае нужно думать о VPN и задача многократно усложняется (больше с позиции отказоустойчивости и разделения прав доступа)...
Альтернатива - нечто вроде криптокоммутатора от Кода Безопасности. Тогда они нужны в каждой конторе (потому что с обычными коммутаторами функции защиты, разделения и контроля трафика на L2 не работают). Стоить будет как паровоз (и, скорее всего, понадобятся оконечные программные средства на АРМ для полноты картины)...
Программные МЭ - решение для бедных и/или ненагруженных сетей. Считайте сами...