Если вы работаете в банке, страховой, МФО или любой другой организации, которой нужно проверять паспорта клиентов, запрашивать сведения из ЕГРЮЛ или получать сведения о наличии (отсутствии) судимости — рано или поздно вы упрётесь в СМЭВ. И скорее всего, обнаружите, что подключиться к нему сложнее, чем казалось.
В этой статье расскажем, как устроен процесс подключения, на каких этапах обычно буксуют, и разберём на практическом примере, как мы в Cloud4Y помогали клиенту пройти этот путь.
Что такое СМЭВ и зачем она бизнесу
СМЭВ (Система межведомственного электронного взаимодействия) — это инфраструктура, через которую государственные и муниципальные органы обмениваются данными. Изначально система создавалась для того, чтобы чиновники не гоняли граждан за справками: вместо «принесите выписку из ПФР» ведомство само запрашивает данные через СМЭВ.
Но со временем к системе стали подключаться и коммерческие организации — при наличии законных оснований и соблюдении установленной процедуры.
Типичные сценарии использования:
проверка паспортных данных клиентов (действительность паспорта);
получение сведений из ЕГРЮЛ/ЕГРИП;
проверка ИНН, СН��ЛС;
получение сведений о наличии (отсутствии) судимости;
получение сведений из ЕГИСЗ для медицинских организаций, подключённых в рамках требований Минздрава.
Для бизнеса это способ автоматизировать проверки и снизить риски: вместо того чтобы верить клиенту на слово, вы получаете данные напрямую из государственных информационных систем.
Первый барьер: а вам вообще можно?
Вот тут начинается интересное. СМЭВ — не публичный API, к которому может подключиться любой желающий. Существует определённый круг организаций, для которых доступ предоставляется по упрощённой процедуре. Если вы госорган, орган местного самоуправления или организация, непосредственно участвующая в предоставлении государственных услуг — вам проще.
Все остальные — «иные организации». И для них путь лежит через подкомиссию по использованию информационно-коммуникационных технологий Правительственной комиссии по цифровому развитию.
Именно с этого мы начали, когда к нам обратился клиент с запросом на подключение. Первое, что сделали — проверили, относится ли организация к категории с упрощённым доступом. Выяснилось, что нет. Это сразу изменило план работ: вместо «настроить коннектор и поехали» — сначала комиссия, документы, согласования.
Важно: проверьте свой статус до того, как начнёте техническую подготовку. Ошибка на этом этапе может стоить недель работы впустую.
Какие документы нужны для комиссии
Для «иных организаций» запрашивается пакет документов, подтверждающих, что вы умеете обращаться с персональными данными и понимаете, что такое информационная безопасность. Формально набор выглядит стандартно, но на практике к его содержанию относятся достаточно внимательно.
Обязательный пакет:
Документ | Что это |
Заявка на присоединение | Формализованный запрос по установленной форме |
Модель угроз безопасности ПДн | Описание актуальных угроз для вашей ИСПДн |
Регламент обеспечения безопасности ПДн | Процедуры защиты данных в организации |
Положение об обработке ПДн | Политика работы с персональными данными |
Звучит как формальность? Как бы не так.
Документы: где возникают сложности на практике
На этом этапе у многих организаций возникают трудности — не потому, что документов по информационной безопасности нет вовсе, а потому что они не всегда соответствуют реальной схеме обработки данных и будущему подключению к СМЭВ.
Чаще всего проблемы выглядят так:
Модель угроз описывает ИСПДн в общем виде, без привязки к конкретной инфраструктуре, каналам связи и используемым средствам защиты. В результате из документов невозможно понять, какие именно риски учитываются при доступе к государственным информационным системам.
Регламенты по обеспечению безопасности ПДн формально существуют, но не отражают реальные процессы: кто и на каком основании запрашивает сведения, как осуществляется контроль доступа, каким образом используются СКЗИ при взаимодействии с СМЭВ.
Категории обрабатываемых данных и цели обработки указаны слишком обобщённо, без разделения по видам запрашиваемых сведений и сценариям использования.
Для комиссии это принципиально: при рассмотрении заявки сопоставляются заявленные виды сведений, схема подключения и документы по ИБ. Если между ними нет логической связки, документы, как правило, возвращаются на доработку.
В нашем кейсе ситуация была именно такой. Формально необходимый комплект документов у клиента имелся, но он не учитывал особенности подключения к СМЭВ и фактическую архитектуру системы. Мы провели оценку соответствия процессов требованиям законодательства в области защиты персональных данных и информационной безопасности, доработали документы с учётом реальной схемы обработки и взаимодействия с СМЭВ и подготовили пакет для направления на комиссию.
Результат — положительное решение без повторных итераций и дополнительных запросов.
Комиссия: чего ожидать
Комиссия заседает периодически (не каждый день), так что нужно закладывать время на ожидание. По нашему опыту, от подачи документов до решения может пройти от нескольких недель до полутора месяцев — зависит от графика заседаний и загруженности.
Что может пойти не так:
документы оформлены не по форме — возврат на доработку;
модель угроз не соответствует типу обрабатываемых данных;
регламент ИБ содержит явные противоречия;
не указаны конкретные виды сведений, которые планируется запрашивать.
Каждая итерация — это недели ожидания. Поэтому критически важно подготовить пакет правильно с первого раза.
Техническое подключение: защищённый канал
После одобрения комиссии можно переходить к технической части. И здесь главное — организация защищённого канала связи.
Если упростить, СКЗИ — это сертифицированный криптографический шлюз, через который ваш контур подключается к инфраструктуре СМЭВ. Подключение осуществляется не через открытый интернет, а через защищённую сеть передачи данных с использованием сертифицированных средств криптографической защиты информации.
СМЭВ — это не открытый интернет. Подключение осуществляется через защищённую сеть передачи данных с использованием сертифицированных СКЗИ.
Основные варианты СКЗИ:
ViPNet (ИнфоТеКС);
Континент (Код Безопасности);
С-Терра.
Выбор зависит от того, что уже используется в вашей инфраструктуре, требований регламента и бюджета.
После одобрения наш клиент определился с коннектором, а мы занялись организацией канала. В соответствии с регламентом выбрали ViPNet Coordinator. Дальше — отправка заявок в Ростелеком (который администрирует инфраструктуру СМЭВ), согласование параметров подключения, предоставление оборудования, взаимодействие со специалистами Ростелекома на этапе настройки.
Всю эту работу мы выполнили сами, без вовлечения клиента в техническую рутину. По завершении он получил работающий защищённый канал. Настройку коннектора для обмена данными со СМЭВ клиент выполнял уже самостоятельно.
Чеклист: что нужно для подключения к СМЭВ
Для тех, кто собирается пройти этот путь — краткий чеклист.
Этап 0: Определение статуса
Проверить, относится ли организация к категории с упрощённым доступом
Определить, какие виды сведений нужно получать
Этап 1: Документы
Актуальное положение об обработке ПДн
Модель угроз, соответствующая реальной инфраструктуре
Регламент обеспечения безопасности ПДн
Заявка по установленной форме
Этап 2: Комиссия
Подать документы
Дождаться заседания и решения
При необходимости — доработать и подать повторно
Этап 3: Техническое подключение
Выбрать коннектор для работы со СМЭВ
Выбрать СКЗИ (ViPNet / Континент / С-Терра)
Подать заявку оператору инфраструктуры
Согласовать схему подключения
Установить и настроить оборудование
Настроить коннектор
Примерные сроки (при удачном раскладе):
Подготовка документов: 2–4 недели
Ожидание решения комиссии: 3–6 недель
Техническое подключение: 2–4 недели
Итого: 2–3 месяца от старта до работающего подключения.
Выводы
Подключение к СМЭВ — это не просто техническая интеграция. Значительная часть работы лежит в плоскости организационной безопасности и бюрократии.
Три ключевых момента:
Начинайте с проверки статуса. Если вы не в категории с упрощённым доступом — закладывайте время на комиссию.
Документы должны отражать реальность. «Для галочки» не пройдёт — комиссия смотрит на адекватность.
Техническое подключение — это финал, а не старт. Не покупайте оборудование до одобрения комиссии.
Мы в Cloud4Y регулярно помогаем компаниям подключаться к СМЭВ, ЕГИСЗ и другим защищённым государственным сетям. Если не хотите разбираться в нюансах самостоятельно — предоставляем ViPNet как сервис: аренда криптошлюза, настройка, сопровождение подключения.
