Добавление IP-адреса в белые списки ТСПУ Роскомнадзора

В последнее время у владельцев интернет-ресурсов регулярно возникает вопрос: что делать, если доступ к IP-адресу или сервису ошибочно ограничивается на стороне технических средств противодействия угрозам (ТСПУ)? Фактически на текущий момент есть только один из доступных организационных механизмов - подача сведений через Личный кабинет владельца технологической сети (ЛК ВТС) Роскомнадзора. К сожалению данной метод доступен только для Индивидельных предпринимателей и юридических лиц. 

Важно: подача сведений в ЛК ВТС выполняется от имени индивидуального предпринимателя или юридического лица после авторизации через ЕСИА. Для физического лица данный сценарий не предусмотрен.

Основным правовым документом остается Федеральный закон от 07.07.2003 № 126-ФЗ «О связи». Для темы статьи особенно важны статья 15 о технологических сетях связи, статья 56.2 об обязанностях отдельных участников с номером автономной системы и статья 65.1 о централизованном управлении сетью связи общего пользования.

Технологическая сеть связи предназначена для обеспечения производственной деятельности организации и управления технологическими процессами. Основным правовым документом в данном случае являеться Федеральный закон от 07.07.2003 № 126-ФЗ «О связи» статья 15 о технологических сетях связи, статья 56.2 об обязанностях отдельных участников с номером автономной системы и статья 65.1 о централизованном управлении сетью связи общего пользования. Исходя из нормативно правовой базы можно сделать вывод, что наличие сайта, арендованного сервера или публичного IP-адреса еще не означает, что организация стала оператором связи или владельцем автономной системы, как следствие требования наличия СОРМ и логирование и хранение трафика на протяжении 3-х лет на нее не распространяеться.

Права и возможности владельца технологической сети

• Самостоятельное определение архитектуры. Собственник или иной владелец технологической сети определяет применяемые технологии, средства связи и принципы построения своей сети.
• Использование для собственных нужд. Сеть может использоваться для обеспечения производственной деятельности, работы информационных систем и управления технологическими процессами организации.
• Присоединение части сети к сети связи общего пользования. Статья 15 Федерального закона № 126-ФЗ допускает такое присоединение при выполнении установленных условий. Если присоединенная часть используется для возмездного оказания услуг связи, необходимы соответствующая лицензия и перевод этой части в категорию сети связи общего пользования; ресурс нумерации выделяется именно присоединенной части.
• Подача сведений о технологически значимых ресурсах. Через ЛК ВТС можно передать сведения о сети, IP-адресах, правилах сетевой связанности и назначении ресурсов. При этом включение сведений в заявку не является абсолютной гарантией отсутствия любых ограничений: данные должны быть точными, согласованными между собой и подтверждать реальный технологический процесс.

Обязанности владельцев технологических сетей

Ключевой критерий для дополнительных обязанностей - наличие собственного номера автономной системы (ASN). Именно владельцы технологических сетей связи с ASN подпадают под специальные требования статьи 56.2 Федерального закона № 126-ФЗ.

Для владельца сети с ASN речь идет не только о передаче сведений о маршрутизации и инфраструктуре. Закон также предусматривает требования к техническим средствам контроля, взаимодействию с уполномоченными государственными органами и хранению определенной информации.

• Требования для проведения оперативно-разыскных мероприятий. Они распространяются не только на операторов связи: пункт 9 статьи 56.2 прямо предусматривает соответствующие обязанности и для собственников или иных владельцев технологических сетей связи, имеющих ASN. Поэтому формулировка «это касается только интернет-провайдеров» была бы слишком широкой.
• Трехлетнее хранение информации. Владельцы технологических сетей связи с ASN обязаны хранить на территории Российской Федерации информацию о фактах приема, передачи, доставки и обработки электронных сообщений, а также предусмотренные законом сведения о пользователях, в течение трех лет.

Эта обязанность установлена Федеральным законом от 18.03.2023 № 75-ФЗ, которым был дополнен пункт 9 статьи 56.2 Федерального закона «О связи». Состав, место и правила хранения определены постановлением Правительства Российской Федерации от 01.09.2023 № 1441, действующим с 1 сентября 2024 года.

Если организация или индивидуальный предприниматель не является оператором связи, не имеет собственного ASN и использует адреса оператора, хостинг-провайдера или облачной площадки, сама по себе подача заявки в ЛК ВТС не создает обязанность трехлетнего хранения по пункту 9 статьи 56.2. Однако фактическую схему сети, договоры и роль организации необходимо оценивать отдельно.

Как добавить диапазон IP-адресов в ЛК ВТС

Передача сведений через портал занимает немного времени, а согласование может потребовать дополнительных пояснений. Поэтому лучше заранее подготовить перечень IP-адресов, сетевую схему, описание технологического процесса, правила доступа и документы, подтверждающие использование адресного ресурса.

Инструкция по подаче данных в ЛК ВТС

Ниже приведена последовательность действий по интерфейсу портала. Названия отдельных полей могут меняться, поэтому перед отправкой следует еще раз проверить актуальную форму.

Примечание. Контакты дежурной службы и адрес электронной почты отображаются в нижней части портала. Если вы сомневаетесь в правильности заполнения данных лучшем методом решения проблем являеться отправка запроса на emal: supervising@noc.gov.ru, оперативный дежурный отвечает очень быстро. Так же доступена и связь по номеру телефона: +7 (495) 748-13-18 доб. 77505

Рекомендации по заполнению данных о технологической сети

В открытом интерфейсе портала нет подробного универсального шаблона для поля «Обоснование необходимости». Ниже приведены практические рекомендации автора статьи; это не официальный перечень требований Роскомнадзора.

Форму удобно разделить на две основные части: сведения о сетевой связанности и текстовое обоснование. Эти части должны описывать одну и ту же схему доступа и не противоречить друг другу.

Сетевая связанность. Представьте каждую запись как правило межсетевого экрана: источник или диапазон источников, назначение, направление трафика, протокол, порт или диапазон портов и назначение сервиса. Значения должны совпадать с реальными настройками ACL, NAT, WAF, балансировщика или другого защитного оборудования.

Обоснование. Это не свободное эссе, а краткое техническое объяснение: какой производственный или технологический процесс обеспечивает ресурс, кто к нему подключается, каким способом ограничен доступ и что произойдет при блокировке. Указывайте только реально внедренные меры защиты.

Диапазон 0.0.0.0/0. Такое значение означает любой IPv4-адрес, поэтому оно требует особенно подробного обоснования. Если пользователи имеют динамические адреса, опишите, как фактически ограничивается доступ: белыми списками, GeoIP-фильтрацией, WAF, аутентификацией, mTLS, VPN или сочетанием этих средств. Не заявляйте географическое ограничение, если оно технически не реализовано.

Для практических примеров разделим сервисы на два типа:

1. Веб-приложения (HTTP/HTTPS)

Укажите доменное имя и IP-адрес ресурса, внешний порт, способ публикации, WAF или обратный прокси, категории пользователей и меры ограничения доступа. Административные интерфейсы лучше описывать отдельным правилом с более узкими источниками.

Пример обоснования:

«Технологическая сеть используется для обеспечения работы сервиса [наименование и назначение]. Пользователи подключаются к ресурсу [доменное имя, IP-адрес] по протоколу HTTPS, TCP/443. Публикация выполняется через  WAF-сервис, Check Risk WAF. Внешний доступ ограничен белым списком, сформированным на основе данных GeoIP ФГУП «ГРЧЦ» которые входят в состав Check Risk WAF. Административный доступ разрешен только из диапазонов [CIDR]. Ограничение доступа к указанному ресурсу приведет к [описание последствий для технологического процесса]».

2. Прикладное программное обеспечение и сервисы на TCP/UDP

Для нестандартных протоколов укажите точные TCP или UDP порты, роли клиентской и серверной сторон, диапазоны источников, способ аутентификации и ограничения на уровне межсетевого экрана. Если источники динамические, опишите применение GeoIP или другого механизма фильтрации трафика. Аргументация должна показывать, почему именно этот порт необходим для технологического процесса и почему доступ не может быть заменен более узким правилом в случае запроса диапозона 0-65536 TCP/UDP.

Заполнение поля «Описание необходимости»

Хорошее описание необходимости можно проверить по шести вопросам. Если на каждый из них есть конкретный ответ, заявка будет понятнее и технической поддержке, и согласующей стороне.

1. Какой процесс обеспечивается? Назовите производственный, управленческий или иной технологический процесс, а не просто «работу сайта».
2. Какой ресурс задействован? Укажите доменное имя, IP-адрес или CIDR, название системы и ее роль в общей архитектуре.
3. Кто является источником трафика? Опишите пользователей, филиалы, терминалы, партнерские системы или внешние сервисы и укажите их диапазоны, если они известны.
4. По каким протоколам выполняется обмен? Укажите направление, TCP/UDP, конкретные порты и, при необходимости, прикладной протокол.
5. Какие ограничения уже действуют? Перечислите WAF, GeoIP, белые списки, VPN, mTLS, аутентификацию, rate limit и другие реально используемые меры.
6. Что произойдет при блокировке? Опишите измеримое последствие: остановку приема заявок, потерю связи с терминалами, невозможность управления оборудованием, нарушение производственного цикла или недоступность критической функции.

Универсальный шаблон обоснования

«IP-адреса/диапазоны [перечень] используются технологической сетью [наименование владельца] для обеспечения процесса [описание процесса]. Соединение инициируется от [источники или категории пользователей] к [IP-адрес/сервис] по протоколу [TCP/UDP] на портах [перечень]. Доступ необходим для [операция или функция]. Внешняя доступность ограничена [белые списки, GeoIP, WAF, VPN, аутентификация и т. п.]. Указанное правило не предоставляет доступ к другим портам и сервисам. Ограничение трафика приведет к [конкретные последствия].

Подтверждающие документы

В форме доступна загрузка подтверждающего документа, по возможности приложите материалы, которые связывают заявителя, адресный ресурс и описанный технологический процесс. Конкретный комплект зависит от схемы владения и размещения. Документы которые можно приложить:

• Письмо оператора связи, хостинг-провайдера или облачной площадки о выделении IP-адресов
• Сведения WHOIS/RIR или документы на адресный ресурс и ASN, если адреса принадлежат заявителю
• Упрощенную сетевую схему с направлением трафика, узлами, протоколами и портами
• Техническое описание сервиса или внутренний документ, подтверждающий его роль в производственном процессе.

Внимание: не прикладывайте пароли, закрытые ключи, полные конфигурации межсетевых экранов и иные секреты. При необходимости сделайте безопасную выписку или заретушируйте сведения, которые не нужны для рассмотрения заявки.

Типовые причины запроса на уточнение

Ниже приведен не официальный список Роскомнадзора, а практический перечень несоответствий, которые делают заявку трудной для проверки.

• Слишком общее обоснование: «нужно для работы компании» без описания сервиса и процесса
• IP адреса не находяться не в GeoIP диапозоне Российской федерации
• 0.0.0.0/0 указан без WAF, GeoIP, аутентификации или других ограничений
• При указании диапозона TCP/UDP портов указали 0-65536 без аргументации необходимости
• IP-адреса, протоколы и порты в сетевой части не совпадают с текстом обоснования
• В одной записи объединены разные сервисы с разными владельцами и назначением
• Указанные меры защиты существуют только в тексте, но не внедрены в конфигурации
• Ответственное лицо недоступно или не может объяснить схему доступа.

Рекомендация: заявка в ЛК ВТС должна быть лаканичная, описывающая каналы связи, прохождение трафика, стек используемых TCP/UDP портов, описание сервисов и служб, какими средствами ограничен доступ и аргументацию необходимости добление технологической сети с указанием критичности для ваших бизнесс процессов. Хорошо подготовленное обоснование заметно снижает количество уточнений и помогает быстрее разобраться с ошибочным ограничением легитимного трафика. Важно отметить, что рассмотрение заявки занимает до 5-и рабочих дней.