Compliance · 13 мин чтения

Соответствие видеостены требованиям: регуляторная карта для закупки диспетчерской

Обновлено: 2026-06-01

Для диспетчерской, NOC или SOC соответствие требованиям — это не галочка в конце закупки. Это ограничение, которое решает, какие вендоры вообще могут подать заявку. Видеостена, провалившая регуляторную проверку — это не видеостена, которую заказчик может установить, независимо от цены и функций. Эта статья картирует регуляторные рамки, которые реально формируют закупку видеостены для диспетчерской — по юрисдикциям — и как каждая ограничивает архитектуру.

Почему соответствие ведёт закупку

У дисплея в переговорной почти нет compliance-поверхности. У видеостены диспетчерской — большая, потому что она несёт операционные данные, которые регуляторы классифицируют и защищают: живые фиды камер (персональные данные), телеметрию критической инфраструктуры, события безопасности, состояние сети, раскрывающее влияние на клиентов. Стена — не пассивный экран, это система обработки информации, и регулятор относится к ней именно так.

Практическое следствие: впишите требования соответствия в тендер сначала, потом оценивайте вендоров против них. Bake-off, который ранжирует вендоров по функциям и потом обнаруживает compliance-разрыв, тратит время всех.

Россия — реестр Минцифры и ФЗ-187

Две рамки доминируют в российской закупке диспетчерских:

Реестр российского ПО Минцифры. Государственные операторы и многие госприближённые заказчики обязаны закупать из реестра отечественного ПО. Не-российский вендор исключён из таких тендеров по определению — именно поэтому Polywall и другие включённые в реестр РФ-вендоры выигрывают госзакупки, в которые западные стеки войти не могут.
ФЗ-187 — критическая информационная инфраструктура. Энергетика, транспорт, финансы, здравоохранение и госуправление отнесены к критической инфраструктуре. Их системы обязаны держать операционный слой в стране, а для категорий высокой значимости — часто air-gapped. Облачно-зависимая видеостена проваливает ФЗ-187 для этих заказчиков — см. статью про гибридную облачную архитектуру по on-prem-требованию.

ФЗ-152 (локализация персональных данных) также применяется везде, где фиды камер фиксируют идентифицируемых лиц — данные должны обрабатываться на серверах внутри России.

Евросоюз — GDPR, BSI C5, ANSSI

GDPR. Живые фиды камер с идентифицируемыми людьми — персональные данные по статье 4(1). Стена обрабатывает эти данные; обработка через плоскость управления вне ЕС, или управляемую провайдером, подпадающим под US CLOUD Act, требует safeguards, которые большинство объектов установить не могут. Чистый ответ — on-prem-обработка без пути данных в третью страну.
BSI C5 (Германия). Немецкий федеральный каталог критериев соответствия облачных вычислений задаёт планку облачной безопасности для госзакупок. Универсальные SaaS-плоскости управления редко ей соответствуют, что толкает диспетчерские немецкого госсектора к on-prem или суверенно-облачным дизайнам.
ANSSI (Франция). Французское национальное агентство кибербезопасности задаёт требования для операторов жизненной важности (OIV) и существенных услуг (OSE). Французские диспетчерские критической инфраструктуры оценивают видеостены против руководства ANSSI, которое предпочитает on-prem, аудируемые дизайны с минимальной поверхностью атаки.

США — FedRAMP и DoD impact levels

Федеральный объект США, обрабатывающий контролируемую неклассифицированную информацию или классифицированные данные, не может маршрутизировать видеостену через коммерческую SaaS-плоскость управления без авторизации FedRAMP на соответствующем уровне — а для оборонных объектов DoD impact levels (IL4, IL5, IL6) поднимают планку ещё выше. Default-ожидание для таких развёртываний — on-prem-обработка с NIPRNet- или air-gapped-изоляцией. Закупочный отдел редко получает облачную авторизацию, поэтому облачно-зависимые архитектуры исключаются рано.

ISO 11064 — эргономика диспетчерских везде

ISO 11064 — не регуляция безопасности, это международный стандарт эргономичного проектирования центров управления, и он применяется во всех юрисдикциях. Он покрывает физическую планировку диспетчерской, линии обзора видеостены, дистанции просмотра, высоты дисплеев и расстановку операторских рабочих мест.

ISO 11064 редко исключает вендора, но формирует спецификацию стены: дистанция просмотра, которую стандарт выводит из планировки зала, задаёт шаг пикселя дисплея (см. статью о MicroLED по расчёту «шаг vs дистанция»), а требования к линиям обзора задают размер стены и монтаж. Закупка, ссылающаяся на ISO 11064, сигнализирует, что дизайн стены должен быть обоснован против эргономики оператора, а не просто выбран из каталога.

Как соответствие формирует архитектуру

Снимаем юрисдикции — и регуляторные рамки сходятся на небольшом наборе архитектурных требований:

On-prem-обработка. Почти каждая серьёзная рамка требует, чтобы видео и операционные данные оставались на объекте. Облачно-зависимые архитектуры исключаются из регулируемых развёртываний.
Способность к air-gap. Категории высокой значимости (критическая инфраструктура ФЗ-187, DoD IL5+, ANSSI OIV) часто требуют, чтобы стена работала вообще без исходящей связности.
Аудируемость. Кто изменил стену, когда и что было показано — аудит-trail это повторяющееся требование, потому что пост-инцидентный разбор от него зависит.
Минимальная поверхность атаки. Меньше внешних зависимостей, меньше открытых портов, стандартные аудируемые компоненты — позиция security-review предпочитает простое сложному.
Закупка у отечественного вендора, где предписано. Требование реестра Минцифры бинарно — оно решает пул вендоров до любой технической оценки.

Где размещается Craft Wall — честно

Архитектура Craft Wall совпадает с общими требованиями: on-prem-first, способна к air-gap, браузерное управление отдаётся локально, стандартные аудируемые Linux-компоненты, нет обязательной облачной зависимости. Для развёртываний, где ограничение — «держать всё в здании и сделать аудируемым», архитектура — чистое совпадение.

Честные пределы: Craft Wall — российская разработка, но на текущий момент не включён в реестр отечественного ПО Минцифры (заявка готовится). До включения в реестр российские госзакупки, привязанные к реестру, должны оценивать Polywall или другого включённого в реестр вендора. Craft Wall на текущий момент не держит сертификации FedRAMP, BSI C5 или формальной ISO 11064; развёртывания, требующие конкретной сертификации как тендерной строки, должны подтвердить статус сертификации вендора напрямую, а не предполагать, что архитектурное совпадение равно сертификации. Compliant-форма архитектуры и наличие у вендора конкретного сертификата — две разные вещи, и аккуратная закупка проверяет обе.

В заключение

Соответствие требованиям — это первый фильтр в закупке видеостены диспетчерской, не последний. Картируйте регуляторные рамки, применимые к развёртыванию, впишите их в тендер как жёсткие требования и оценивайте вендоров против них до того, как смотреть на функции или цену. Архитектурные требования сходятся — on-prem, способность к air-gap, аудируемость, минимальная поверхность атаки — и вендор, который не может их выполнить, не кандидат, как бы ни выглядела демонстрация.

Читать дальше: гибридные облачные видеостены — деление on-prem / облако, референсная архитектура NOC — compliant-дизайн on-prem, и сравнение восьми платформ — где каждый вендор на оси соответствия.

Частые вопросы

Какие регуляторные нормы применимы к закупке диспетчерской видеостены?

Пять регуляторных рамок решают большинство закупок: (1) GDPR (ЕС) для обработки ПДн в любом фиде с камер; (2) BSI C5 (Германия) для облачного использования в КИИ; (3) ANSSI (Франция) для госсектора; (4) FedRAMP + DoD impact levels (США) для федеральных развёртываний; (5) ISO 11064 (глобально) для эргономики операторских мест. В России — ФЗ-187 (КИИ) и реестр Минцифры. В healthcare — HIPAA в США и национальные аналоги.

Является ли GDPR ограничением для видеостены?

Да, если фиды камер захватывают идентифицируемых людей. GDPR Article 6 требует правового основания для обработки; Article 32 — мер безопасности; Article 30 — записей обработки. На практике: (1) source-фиды должны оставаться на GDPR-контролируемой территории, (2) доступ операторов должен логироваться и отзываться, (3) хранение имеет максимум (обычно 30-90 дней для записей камер). Hybrid cloud-паттерн спроектирован именно под эти требования.

Что требует ISO 11064 от диспетчерской видеостены?

ISO 11064 задаёт эргономический baseline для операторских мест и общих визуальных дисплеев. Ключевые wall-релевантные пункты: (1) ограничения углов обзора — каждый оператор должен видеть стену в пределах 60° горизонтального конуса; (2) контроль бликов — никакого прямого источника света в плоскости отражения стены; (3) ограничения information density — не более 9-12 различных информационных регионов на операторский визуальный конус одновременно; (4) accessibility — контент стены должен оставаться читаемым со всех позиций операторских мест, включая крайние левые / правые. Большинство современного wall-софта поддерживает это через layout-шаблоны.

Как реестр Минцифры влияет на закупки видеостен в России?

Для закупок госсектора и КИИ заказчик обязан выбирать из реестра отечественного ПО Минцифры. Невнесённые вендоры (Userful, Hiperwall, Datapath, Barco, Christie, VuWall, Craft Wall) не подходят. Зарегистрированные альтернативы: Polywall (Polymedia), BridgeWall и небольшой набор российских игроков. Предпочтения иностранных вендоров в не-критических AV-развёртываниях сохраняются, но ужесточаются по мере эволюции ФЗ-187.

Применяется ли FedRAMP к госдиспетчерским?

FedRAMP применяется к использованию облачных сервисов федеральными агентствами США — напрямую релевантно cloud-managed и hybrid-cloud видеостенам, обслуживающим федеральных клиентов. Impact-level Moderate — типичный baseline для civilian agencies; impact-level High — для оборонки и intelligence. Чистый on-prem wall-софт по определению out of FedRAMP scope. Вендоры, целящиеся в US federal procurement, либо сертифицируют облачную control plane (у Userful FedRAMP authorization на части Infinity Platform), либо позиционируются как on-prem-only.

Связанные материалы