Аттестация ИС на виртуальных машинах с Windows - Форум по вопросам информационной безопасности

Добрый день, коллеги!
Вот и заканчивается тех. поддержка ОС Windows, а у заказчика есть ИС (ПО), которые не работают на отечественной ОС.
Ранее они вышли из ситуации и на гипервизорах (Брест и VMware) развернули ВМ на Windows и установили туда ПО своих ИС, а на ВМ поставили СЗИ от НСД, антивирус, VPN Сlient. Система виртуализации (гипервизор) защищена, т.к. это Брест (но не VMware, конечно).
На АРМ пользователей стоит Astra. Они подключаются к ВМ через удаленный рабочий стол Remmina и работают в своих ПО.
И пока вроде бы все идет гладко, необходимая защита обеспечена.
Но осенью 2025 года Windows все! А ПО на отечественных ОС как не работает, так и не будет работать!
А заказчик хочет аттестоваться. И как выйти из этой ситуации пока непонятно.
Коллеги, может уже кто-то столкнулся с подобным или уже обдумывали ситуацию, поделитесь мыслями!
P.S. ИС являются пользовательскими сегментами ГИС и ИСПДн.

Primo, Win какой версии? 10? Так есть же богомерзкая Win11 или серверные варианты с расширенной поддержкой аж до 2031 г...
Secundo, собственно, обновления безопасности и, особенно, общие обновления при наличии СЗИ НСД - тот еще квест совместимости и работоспособности. Который во вменяемом случае предпочитают не проходить, ага. В целом, грамотно настроенное СЗИ НСД перекрывает часть каналов воздействия, остальное же можно перекрыть на других уровнях. Особенно, если это ВМ без выхода за пределы правильно защищенных сетей связи и инфраструктуры в целом...
Tertio, Заказчику надо было готовиться и думать головой заранее, а не оставлять времянку левых ВМ с иностранной ОС при статусе ГИС до последнего момента...
Quatro, любой прикладной софт - это не законы физики - его и переписать можно. Было бы желание и целесообразность. Или техпроцесс видоизменить, подогнав его существующий аналог нужного софта. Но опять-таки, задумавшись заранее, а не в последние месяцы...
Last, в связи с вступлением в силу 117 Приказа ФСТЭК, 117 Приказа ФСБ, общего курса на импортонезависимость и явного желания "аттестовать как ГИС", проблема окончания техподдержки Win - не самая большая проблема у такого Заказчика...

to oko
"не самая большая проблема у такого Заказчика"

Если не затруднит, подскажите, пожалуйста, Вы имели ввиду, что все равно переходить на отечественное или что-то еще?

to Алексей
Да, имел в виду именно переход на отечественное общесистемное и прикладное ПО...
imho, сюда же следует добавить импортозамещение ТКО. Поскольку Приказ 77 ФСТЭК обязует в Техпаспорте отдельно учитывать ТКО, постольку наличие в рамках аттестуемого "как ГИС" ОИ "незамещенной" реализации ТКО вполне может являться основанием для отказа результата аттестационных испытаний со стороны ФСТЭК. С отсылкой на те же проблемы "низкого" доверия к прошивке, ее актуальности, иных потенциально возможных УБИ и т.д. (при желании можно привести вагон причин)...
Как ни крути, курс сейчас однозначный, даже если означенные Приказы этот вопрос в явном виде не рассматривают...
Еще очень важно определиться: ГИС имеет "формальный" статус или фактический? Во втором случае начинает действовать ПП РФ 676 и обязательное согласование Модели/ТЗ с регуляторами. А практика показывает, что иностранное ОПО/ППО/ТКО даже при условии заложенных отечественных СЗИ согласуется крайне со скрипом...
И не менее важна недавняя инициатива Правительства по предполагаемому импортозамещению у Операторов ПДн (пусть и с подвисшим статусом, ага)...

ЗЫ Многие могут возразить, что тов. oko излишне сгущает краски, и что "раз явно не написано, значит и не надо". И в случаях, когда "белые пятна" образуются в последовательностях действий (алгоритме работы) или связаны с противоречиями одних ФЗ/НПА другим, тов. oko с таким скепсисом всецело согласен. Также тов. oko прекрасно представляет себе граничные случаи "вылизанной КСЗ", в рамках которой все реальные УБИ, напрямую связанные с применяемым иностранным ПО, нивелированы (с учетом потенциала актуального нарушителя, конечно). Но, с другой стороны, не замечать динамику движения в части импортозамещения (и, как следствие, не "подготовить сани летом") - попросту глупо. Причем глупо как со стороны Владельца ГИС (даже в случае формального статуса), так и, в особенности, со стороны лицензиата-аттестатора...

>>Причем глупо как со стороны Владельца ГИС (даже в случае формального статуса), так и, в особенности, со стороны лицензиата-аттестатора...
Лицензиату-аттестатору по большому счёту безразлично было ли выполнено импортозамещение или не было, т.к. он работает в рамках договора с заранее определёнными условиями. Аттестатор вполне может выдать отрицательное заключение и закрыть договор, если условия договора такое позволяют. Лицензиаты-аттестаторы лишний раз рисковать своей лицензией не будут и возможности избежать риска у них есть.

to Влад
Конечно, ведь у нас по стране лицензиатов минимальное количество, все крайне исполнительные и никто не практикует "аттестацию по телефону" и без выезда на объекты...
Выше обратил внимание скорее на иной факт: поскольку правила игры по части аттестации теперь в полной мере зависят от решения регулятора в течение нескольких дней с момента получения АИ-документов, постольку лицензиат, рискнувший в ГИС "подтвердить" достаточность КСЗ с учетом иностранного софта (особенно, уровня виртуализации, ОС, СУБД), также рискует оказаться в ситуации, когда регулятор такой Аттестат попросту не пропустит. И далее договор с Владельцем ГИС (Заказчиком) уже играет против лицензиата и по срокам, и по сопутствующим неустойкам (регулятор-то с Заказчиком договорных отношений не имеет, а вот лицензиат вполне). Да, у лицензиата тоже есть право и возможность переложить ответственность, доказать первичную промашку Владельца ГИС (Заказчика), "перегибы" на стороне регулятора и т.д., и т.п. Только это как правило приводит к дополнительным издержкам, нервам, срыву взаимоотношений (в том числе с регулятором) и т.д. Т.е., imho, всегда корень подобной проблемы проще заранее устранить, чем лечить, ага...