Внимание! Соединение с приложением прервано. Дождитесь повторного подключения.
Обсуждение документации - Просмотр сообщения № 609201
Тема сообщения
Сервер — аппаратная защита микрокодов и стандарты соответствия отсутствуют
Тип сообщения
Замечание к КД
Поставщик
Товарищество с ограниченной ответственностью "Debug"
Представитель поставщика
САРСЕБЕКОВ БАУРЖАН ЧИМКЕНТБАЙУЛЫ
Дата и время отправки сообщения
2026-03-15 16:52:20
Текст сообщения
Аппаратная защита микрокодов: не указана. Соответствие стандартам UEFI, OCP, Redfish: не указано
ЦОД обрабатывает государственные данные граждан. Сервер без Silicon Root of Trust уязвим для атак уровня firmware — наиболее опасного класса, невидимого для антивирусов. Это обязательный элемент информационной безопасности для любой государственной ИС. Отсутствие этого требования в ТЗ — пробел, который не восполняется никакими другими мерами ИБ.
Считаем необходимым добавить:
Аппаратная проверка целостности микрокодов (Silicon Root of Trust) с защищённым хранилищем заводских версий. Соответствие стандартам: ACPI 6.4, PCIe 5.0, UEFI 2.7, OCP 3.0, SMBIOS 3.4, Redfish API, IPMI 2.0, ENERGY STAR® 4.0.
ЦОД обрабатывает государственные данные граждан. Сервер без Silicon Root of Trust уязвим для атак уровня firmware — наиболее опасного класса, невидимого для антивирусов. Это обязательный элемент информационной безопасности для любой государственной ИС. Отсутствие этого требования в ТЗ — пробел, который не восполняется никакими другими мерами ИБ.
Считаем необходимым добавить:
Аппаратная проверка целостности микрокодов (Silicon Root of Trust) с защищённым хранилищем заводских версий. Соответствие стандартам: ACPI 6.4, PCIe 5.0, UEFI 2.7, OCP 3.0, SMBIOS 3.4, Redfish API, IPMI 2.0, ENERGY STAR® 4.0.
Ответы представителей заказчика и организатора, секретаря
Дата:
2026-03-18 17:38:09
Автор:
ТОКЖАНОВА ЖАНАРА МУРАТОВНА
Решение:
Отклонить замечания
Причина отклонения
Термин "Silicon Root of Trust" является зарегистрированным маркетинговым названием проприетарной технологии конкретного производителя (HPE), а не общеиндустриальным стандартом. Прямое включение этого термина в ТЗ нарушает законодательство о государственных закупках, так как создает необоснованные преференции для одного бренда. Вопросы аппаратной защиты микрокода решаются большинством ведущих производителей (Dell, Lenovo, IBM, Cisco) через аналогичные технологии (например, механизмы соответствия стандарту NIST SP 800-193). Текущая редакция ТС позволяет получить оборудование с высоким уровнем защиты микрокода, не ограничивая потенциального поставщика в возможных предлагаемых решениях конкретных вендоров.
Указание таких базовых спецификаций, как PCIe 5.0, ACPI 6.4, UEFI 2.7 и SMBIOS 3.4, является избыточным, так как они являются неотъемлемой частью архитектуры современных процессоров и материнских плат, уже затребованных в ТС. Наличие этих стандартов гарантируется самим фактом соответствия оборудования заявленному поколению CPU и памяти. Требования по поддержке Redfish API и IPMI 2.0 уже являются де-факто отраслевым стандартом для серверного оборудования корпоративного класса. Добавление их в виде жесткого списка акронимов не несет дополнительной технической ценности, но может быть использовано для формального отсева участников, что противоречит принципам открытой конкуренции.
Указание таких базовых спецификаций, как PCIe 5.0, ACPI 6.4, UEFI 2.7 и SMBIOS 3.4, является избыточным, так как они являются неотъемлемой частью архитектуры современных процессоров и материнских плат, уже затребованных в ТС. Наличие этих стандартов гарантируется самим фактом соответствия оборудования заявленному поколению CPU и памяти. Требования по поддержке Redfish API и IPMI 2.0 уже являются де-факто отраслевым стандартом для серверного оборудования корпоративного класса. Добавление их в виде жесткого списка акронимов не несет дополнительной технической ценности, но может быть использовано для формального отсева участников, что противоречит принципам открытой конкуренции.
