Развернув собственный корпоративный центр сертификации на базе решения SafeTech CA, «Айсорс» построил единую доверенную PKI-инфраструктуру. Решение не только обеспечило полную прозрачность и управляемость процессов, позволило кратно сократить операционные расходы, но и гарантировало полное соответствие требованиям законодательства в части импортозамещения. Об этом CNews сообщили представители SafeTech Lab.

Ключевые предпосылки решения о внедрении российского центра сертификации

Уход иностранного вендора. С 2022 г. компания Microsoft прекратила техническую поддержку своего CA и существенно усложнила процедуру продления лицензий, что создало риски для непрерывности бизнес-процессов.

Гетерогенная ИТ-инфраструктура. Требовалось универсальное решение, способное автоматически обеспечивать сертификатами все компоненты гибридной среды: Windows, Linux, мобильные ОС, сетевое оборудование и др.

Повышение уровня информационной безопасности. Новая система должна была позволить централизованно управлять жизненным циклом сертификатов, отказаться от использования самоподписанных и просроченных сертификатов, а значит — свести к минимуму риски их компрометации и подделки.

Стратегический курс перехода на отечественные решения. В рамках политики «Айсорс» по миграции было запланировано внедрение V*N-решения российского производства, что потребовало создания доверенной среды для выпуска ключей, полностью совместимой с новым ПО.

Целью «Айсорс» стал переход от разрозненных иностранных (в т.ч. облачных) сервисов для управления сертификатами к единой доверенной среде полностью на базе отечественного стека.

Новый центр сертификации должен был решать, в первую очередь, следующие задачи: выпускать сертификаты стандартов X.509 (для серверов, сервисов, почты) и ГОСТ Р 34.10-2012 (для удаленного доступа пользователей через V*N); интегрироваться с Active Directory для автоматического отзыва сертификатов уволенных сотрудников (CRL/OCSP).

В качестве сервиса для выпуска и управления технологическими сертификатами, на базе которого будет выстроена безопасная и масштабируемая PKI-инфраструктура компании, был выбран кроссплатформенный центр сертификации SafeTech CA.

В рамках проекта была развернута двухуровневая иерархия PKI с поддержкой ГОСТ-криптографии: корневой центр сертификации в полностью изолированной среде и подчиненный выпускающий центр сертификации в сетевом периметре.

Для каждого типа субъектов — пользователей, компьютеров, серверов, сетевого оборудования и мобильных устройств — разработаны и строго регламентированы специализированные шаблоны сертификатов. Такой подход полностью исключает влияние человеческого фактора на этапе генерации запросов, гарантируя корректность выпускаемых удостоверений.

Минцифры запустит реестр доверенного ПО до конца года. Отбирать софт будут структура «Росатома» и еще 4 неизвестные организации

Благодаря реализованным интеграциям с продуктами разных классов SafeTech CA встроился в существующую инфраструктуру, а инструменты импорта шаблонов и сертификатов из Microsoft CA помогли осуществить миграцию быстро и бесшовно. Совместимость с Active Directory обеспечила мгновенную блокировку сертификатов уволенных пользователей через публикацию списков отзыва (CRL) и онлайн-проверку статуса (OCSP).

Веб-интерфейсы предоставили пользователям возможности для самостоятельного формирования запросов, отслеживания статуса согласования и выгрузки сертификатов, а ИТ-администраторам — механизмы управления, контроля и аналитики. Удаленные сотрудники теперь имеют возможность получить и обновить сертификат для V*N-сервиса без личного посещения ИТ-департамента.

Таким образом, внедрение SafeTech CA позволило полностью автоматизировать все процессы, связанные с управлением жизненным циклом цифровых сертификатов в ИТ-ландшафте компании.

Ощутимую выгоду от результатов проекта получили все стейкхолдеры: руководство и собственники — экономия на внешних удостоверяющих центрах, существенное снижение регуляторных и репутационных рисков, а также обеспечение полного технологического суверенитета; HR- и бизнес-подразделения — значительное ускорение адаптации новых сотрудников: автоматизированный выпуск VPN-сертификатов позволяет предоставить полноценный доступ ко всем системам уже в первый рабочий день; ИТ- и ИБ-команды — тотальная автоматизация жизненного цикла ключей, которая минимизирует ручной труд, обеспечивает прозрачность управления и полный контроль над всей PKI-инфраструктурой.

Михаил Егоров, «АйДи — Технологии управления»: СЭД должна стать незаметной для сотрудника Цифровизация

В перспективе планируется масштабирование решения под рост ИТ-инфраструктуры компании, расширение перечня обслуживаемых устройств, а также разворачивание SafeTech CA в отказоустойчивом кластере.

«С внедрением SafeTech CA мы перешли к единой системе управления цифровыми сертификатами, которые подтверждают подлинность пользователей, устройств и сервисов и помогают обеспечивать защищенное взаимодействие между ними. Теперь выпускать, продлевать и отзывать сертификаты можно централизованно. Это упростило работу ИТ-команды и повысило надежность защищенных подключений в корпоративной инфраструктуре. В ходе внедрения нам пришлось решить ряд технических задач, связанных с особенностями нашей ИТ-среды. Благодаря совместной работе наших специалистов и команды SafeTech Lab удалось преодолеть эти сложности и запустить систему в согласованные сроки с соблюдением всех требований проекта», — сказал Павел Гончаров, заместитель генерального директора «Айсорс».

«Проект в «Айсорс» занял всего шесть месяцев — от пилота до полноценной промышленной эксплуатации. Это доказывает, что миграция с Microsoft CA на российский центр сертификации может быть быстрой, предсказуемой и незаметной для пользователей, при этом полностью закрывая потребности в безопасности и совместимости с гетерогенной средой заказчика. Такой темп стал возможен благодаря зрелости решения SafeTech CA и отлаженной методологии внедрения, которая позволяет минимизировать риски на каждом этапе», — сказал Александр Санин, генеральный директор SafeTech Lab.