Часть 54096 – это официальное обозначение российского государственного стандарта
ГОСТ Р 54096‑2010 «Электронная почта․ Общие требования к обеспечению безопасности»․
Стандарт регулирует порядок создания, передачи, хранения и обработки электронных сообщений
в государственных и коммерческих организациях, а также в системах, где требуется защита
конфиденциальных данных․
Содержание стандарта
ГОСТ Р 54096‑2010 состоит из нескольких разделов, каждый из которых описывает отдельный аспект
обеспечения безопасности электронной почты:
- Область применения – где и в каких организациях стандарт обязателен․
- Нормативные ссылки – перечень документов, на которые опирается ГОСТ․
- Термины и определения – ключевые понятия (сообщение, вложение, подпись, шифрование и т․д․)․
- Требования к инфраструктуре – серверы, клиентские программы, шлюзы․
- Требования к защите конфиденциальности – шифрование, подписи, контроль доступа․
- Требования к целостности и аутентичности – цифровые подписи, хеш‑функции․
- Требования к журналированию и аудиту – какие события фиксировать и как их хранить․
- Требования к резервному копированию и восстановлению – стратегии бэкапа․
- Требования к обучению персонала – программы повышения квалификации․
- Контроль соответствия и проверка – порядок проведения аудитов․
Ключевые положения стандарта
Область применения
Стандарт обязателен для:
- Государственных органов РФ;
- Крупных коммерческих предприятий, работающих с персональными данными;
- Организаций, обслуживающих критически важные информационные системы;
- Любых субъектов, использующих электронную почту для передачи конфиденциальной информации․
Защита конфиденциальности
Для обеспечения конфиденциальности сообщений необходимо применять один из следующих методов:
- Шифрование содержимого сообщения (S/MIME, PGP)․
- Шифрование канала передачи (TLS 1․2 и выше)․
- Комбинацию обоих методов – «сквозное шифрование»․
Аутентификация и целостность
Стандарт предписывает использовать цифровые подписи, создаваемые с помощью сертификатов
открытого ключа (PKI)․ При этом:
- Подпись должна покрывать как тело сообщения, так и все вложения․
- Для проверки подписи необходимо хранить актуальный список отозванных сертификатов (CRL) или использовать OCSP․
Журналирование
Все операции с электронными сообщениями (отправка, получение, удаление, изменение статуса
«прочитано/непрочитано») должны фиксироваться в журнале безопасности․ Журнал должен
включать:
- Временную метку (UTC);
- Идентификатор пользователя;
- IP‑адрес источника/получателя;
- Тип операции․
Хранить журналы необходимо минимум 12 месяцев, а в случае обработки персональных данных –
5 лет․
Резервное копирование и восстановление
Для обеспечения непрерывности бизнес‑процессов необходимо:
- Создавать полные резервные копии почтовых серверов не реже одного раза в сутки․
- Хранить копии в географически разнесённых дата‑центрах․
- Периодически проверять возможность восстановления (тест‑рестор)․
Практические рекомендации по внедрению ГОСТ Р 54096‑2010
Подготовительный этап
- Аудит текущей инфраструктуры․ Выявить все почтовые серверы, клиентские приложения и шлюзы․
- Определить классификацию данных․ Разделить сообщения на «публичные», «внутренние», «конфиденциальные» и «секретные»․
- Сформировать политику безопасности․ В документе отразить требования к шифрованию, подписи и журналированию․
Техническая реализация
- Внедрение TLS 1․2 / 1․3․ Настроить серверы (Postfix, Exchange, Zimbra) на обязательное использование
STARTTLS и проверку сертификатов․ - Развертывание PKI․ Выдать пользователям сертификаты для S/MIME, настроить автоматическое обновление․
- Настройка сканеров вложений․ Интегрировать антивирусные и анти‑спам решения, проверяющие вложения до их доставки․
- Конфигурация журналов․ Включить детальное логирование в syslog / Event Viewer, обеспечить их защиту от изменения․
- Организация резервного копирования․ Использовать решения типа Veeam, Bacula или встроенные функции почтовых серверов․
Обучение персонала
Согласно пункту 9 стандарта, каждый сотрудник, работающий с электронной почтой, должен пройти
обучение по темам:
- Правила использования цифровой подписи;
- Идентификация фишинговых сообщений;
- Процедуры реагирования на инциденты․
Контроль и аудит
Для подтверждения соответствия ГОСТ Р 54096‑2010 рекомендуется проводить:
- Внутренний аудит раз в квартал – проверка конфигураций, журналов и резервных копий․
- Внешний аудит (по требованию заказчика или регулятора) – независимая проверка соответствия․
- Тесты на проникновение (penetration testing) с упором на почтовый сервис․
Часто задаваемые вопросы (FAQ)
Что делать, если получатель не может открыть зашифрованное письмо?
Проверьте, установлен ли у получателя соответствующий сертификат и поддерживает ли его почтовый
клиент S/MIME․ При необходимости отправьте сертификат в виде отдельного вложения
(в открытом виде) или используйте безопасный канал обмена ключами․
Можно ли использовать бесплатные решения (например, GnuPG) для соответствия ГОСТ?
Да, если они полностью поддерживают алгоритмы, одобренные в России (RSA‑2048, ECC‑256, SHA‑256 и
выше) и интегрированы в корпоративную политику управления ключами․
Как хранить журналы, чтобы они соответствовали требованиям?
Журналы должны быть записаны в неизменяемый (write‑once) хранилище, защищённое от несанкционированного
доступа․ Рекомендуется использовать решения на основе WORM‑дисков или облачных сервисов с
функцией «immutable storage»․
Часть 54096 (ГОСТ Р 54096‑2010) задаёт чёткие и измеримые требования к безопасности электронной
почты в России․ Соблюдение этих требований позволяет организациям:
- Защищать конфиденциальность и целостность передаваемых данных;
- Сократить риски утечки информации и фишинговых атак;
- Соответствовать требованиям законодательства о персональных данных (ФЗ‑152);
- Повысить доверие партнёров и клиентов․
Внедрение стандарта требует комплексного подхода: технической реализации, формирования политики,
обучения персонала и регулярного контроля․ При правильном исполнении «Часть 54096» станет
надёжным фундаментом для безопасного электронного взаимодействия в любой организации․
Автор статьи: виртуальный помощник ChatGPT, 2026 г․