Compliance · 12 мин чтения

Соответствие видеостены требованиям: регуляторная карта для закупки диспетчерской

Обновлено: 2026-05-15

Для диспетчерской, NOC или SOC соответствие требованиям — это не галочка в конце закупки. Это ограничение, которое решает, какие вендоры вообще могут подать заявку. Видеостена, провалившая регуляторную проверку — это не видеостена, которую заказчик может установить, независимо от цены и функций. Эта статья картирует регуляторные рамки, которые реально формируют закупку видеостены для диспетчерской — по юрисдикциям — и как каждая ограничивает архитектуру.

Почему соответствие ведёт закупку

У дисплея в переговорной почти нет compliance-поверхности. У видеостены диспетчерской — большая, потому что она несёт операционные данные, которые регуляторы классифицируют и защищают: живые фиды камер (персональные данные), телеметрию критической инфраструктуры, события безопасности, состояние сети, раскрывающее влияние на клиентов. Стена — не пассивный экран, это система обработки информации, и регулятор относится к ней именно так.

Практическое следствие: впишите требования соответствия в тендер сначала, потом оценивайте вендоров против них. Bake-off, который ранжирует вендоров по функциям и потом обнаруживает compliance-разрыв, тратит время всех.

Россия — реестр Минцифры и ФЗ-187

Две рамки доминируют в российской закупке диспетчерских:

  • Реестр российского ПО Минцифры. Государственные операторы и многие госприближённые заказчики обязаны закупать из реестра отечественного ПО. Не-российский вендор исключён из таких тендеров по определению — именно поэтому Polywall и другие включённые в реестр РФ-вендоры выигрывают госзакупки, в которые западные стеки войти не могут.
  • ФЗ-187 — критическая информационная инфраструктура. Энергетика, транспорт, финансы, здравоохранение и госуправление отнесены к критической инфраструктуре. Их системы обязаны держать операционный слой в стране, а для категорий высокой значимости — часто air-gapped. Облачно-зависимая видеостена проваливает ФЗ-187 для этих заказчиков — см. статью про гибридную облачную архитектуру по on-prem-требованию.

ФЗ-152 (локализация персональных данных) также применяется везде, где фиды камер фиксируют идентифицируемых лиц — данные должны обрабатываться на серверах внутри России.

Евросоюз — GDPR, BSI C5, ANSSI

  • GDPR. Живые фиды камер с идентифицируемыми людьми — персональные данные по статье 4(1). Стена обрабатывает эти данные; обработка через плоскость управления вне ЕС, или управляемую провайдером, подпадающим под US CLOUD Act, требует safeguards, которые большинство объектов установить не могут. Чистый ответ — on-prem-обработка без пути данных в третью страну.
  • BSI C5 (Германия). Немецкий федеральный каталог критериев соответствия облачных вычислений задаёт планку облачной безопасности для госзакупок. Универсальные SaaS-плоскости управления редко ей соответствуют, что толкает диспетчерские немецкого госсектора к on-prem или суверенно-облачным дизайнам.
  • ANSSI (Франция). Французское национальное агентство кибербезопасности задаёт требования для операторов жизненной важности (OIV) и существенных услуг (OSE). Французские диспетчерские критической инфраструктуры оценивают видеостены против руководства ANSSI, которое предпочитает on-prem, аудируемые дизайны с минимальной поверхностью атаки.

США — FedRAMP и DoD impact levels

Федеральный объект США, обрабатывающий контролируемую неклассифицированную информацию или классифицированные данные, не может маршрутизировать видеостену через коммерческую SaaS-плоскость управления без авторизации FedRAMP на соответствующем уровне — а для оборонных объектов DoD impact levels (IL4, IL5, IL6) поднимают планку ещё выше. Default-ожидание для таких развёртываний — on-prem-обработка с NIPRNet- или air-gapped-изоляцией. Закупочный отдел редко получает облачную авторизацию, поэтому облачно-зависимые архитектуры исключаются рано.

ISO 11064 — эргономика диспетчерских везде

ISO 11064 — не регуляция безопасности, это международный стандарт эргономичного проектирования центров управления, и он применяется во всех юрисдикциях. Он покрывает физическую планировку диспетчерской, линии обзора видеостены, дистанции просмотра, высоты дисплеев и расстановку операторских рабочих мест.

ISO 11064 редко исключает вендора, но формирует спецификацию стены: дистанция просмотра, которую стандарт выводит из планировки зала, задаёт шаг пикселя дисплея (см. статью о MicroLED по расчёту «шаг vs дистанция»), а требования к линиям обзора задают размер стены и монтаж. Закупка, ссылающаяся на ISO 11064, сигнализирует, что дизайн стены должен быть обоснован против эргономики оператора, а не просто выбран из каталога.

Как соответствие формирует архитектуру

Снимаем юрисдикции — и регуляторные рамки сходятся на небольшом наборе архитектурных требований:

  • On-prem-обработка. Почти каждая серьёзная рамка требует, чтобы видео и операционные данные оставались на объекте. Облачно-зависимые архитектуры исключаются из регулируемых развёртываний.
  • Способность к air-gap. Категории высокой значимости (критическая инфраструктура ФЗ-187, DoD IL5+, ANSSI OIV) часто требуют, чтобы стена работала вообще без исходящей связности.
  • Аудируемость. Кто изменил стену, когда и что было показано — аудит-trail это повторяющееся требование, потому что пост-инцидентный разбор от него зависит.
  • Минимальная поверхность атаки. Меньше внешних зависимостей, меньше открытых портов, стандартные аудируемые компоненты — позиция security-review предпочитает простое сложному.
  • Закупка у отечественного вендора, где предписано. Требование реестра Минцифры бинарно — оно решает пул вендоров до любой технической оценки.

Где размещается Craft Wall — честно

Архитектура Craft Wall совпадает с общими требованиями: on-prem-first, способна к air-gap, браузерное управление отдаётся локально, стандартные аудируемые Linux-компоненты, нет обязательной облачной зависимости. Для развёртываний, где ограничение — «держать всё в здании и сделать аудируемым», архитектура — чистое совпадение.

Честные пределы: Craft Wall не включён в реестр Минцифры — маркетинговая компания швейцарская — поэтому российские госзакупки, привязанные к реестру, должны оценивать Polywall или другого включённого в реестр вендора. Craft Wall на текущий момент не держит сертификации FedRAMP, BSI C5 или формальной ISO 11064; развёртывания, требующие конкретной сертификации как тендерной строки, должны подтвердить статус сертификации вендора напрямую, а не предполагать, что архитектурное совпадение равно сертификации. Compliant-форма архитектуры и наличие у вендора конкретного сертификата — две разные вещи, и аккуратная закупка проверяет обе.

В заключение

Соответствие требованиям — это первый фильтр в закупке видеостены диспетчерской, не последний. Картируйте регуляторные рамки, применимые к развёртыванию, впишите их в тендер как жёсткие требования и оценивайте вендоров против них до того, как смотреть на функции или цену. Архитектурные требования сходятся — on-prem, способность к air-gap, аудируемость, минимальная поверхность атаки — и вендор, который не может их выполнить, не кандидат, как бы ни выглядела демонстрация.

Читать дальше: гибридные облачные видеостены — деление on-prem / облако, референсная архитектура NOC — compliant-дизайн on-prem, и сравнение восьми платформ — где каждый вендор на оси соответствия.

Связанные материалы