Златоуст — Златоустовский металлургический завод (спецсталь, оружейное производство) и НИИ точной механики. СКУД проектируется под режим ОПК: лицензия ФСБ, допуск формы 2 у инженеров, двухфакторная биометрия с liveness detection, журнал на 25 лет.
Златоуст — город с тремя слоями фактуры одновременно: ЗМЗ как режимное металлургическое производство (спецсталь, оружейная программа, продукция двойного назначения), НИИ точной механики и историческая фабрика гравюры на стали. Под каждый слой СКУД проектируется по разной нормативной рамке: для ОПК — режимная, для ОКН — реставрационная, для общего производственного цикла — стандартная промышленная.
Базовая нормативная связка — ГОСТ Р 51241-2008, СП 484.1311500.2020, СП 3.13130.2009, ФЗ-152 и Приказ ФСБ № 378. К ним на ОПК-объектах добавляется ФЗ-117, режимные приказы Минпромторга и обязательная лицензия ФСБ на работу со сведениями, составляющими гостайну.
Цеха ЗМЗ, связанные с производством оружейной номенклатуры, относятся к режимным территориям. Доступ — только через шлюз с двухфакторной верификацией. Подрядчик СКУД обязан иметь действующую лицензию ФСБ на работу со сведениями, составляющими гостайну, а инженеры — допуск формы 2 минимум. Без этого подрядчик не получает физического доступа в цех для проведения работ.
Считыватели и контроллеры — без беспроводных интерфейсов наружу (исключены Wi-Fi и Bluetooth-модули с заводской прошивкой), сегмент СКУД физически изолирован от корпоративной сети ЗМЗ. Журнал событий хранится по архивным регламентам Минпромторга 25 лет, на отчуждаемых носителях с грифом.
НИИ точной механики разделён по контурам: общий (доступен всем сотрудникам), секретный и особо важный. Между контурами — отдельные шлюзы с разной логикой: на входе в секретный контур — RFID плюс биометрия, на входе в особо важный — те же два фактора плюс «второе лицо» (одновременное подтверждение начальником сектора через мобильный токен).
Серверы СКУД для режимных контуров стоят в отдельной серверной с защитой от утечек по техническим каналам по ГОСТ Р 51275-2006, экранированное помещение, отдельная заземляющая шина, фильтры питания. Это исключает съём информации с шин данных по побочным электромагнитным излучениям.
Карта формата MIFARE DESFire EV2 — это шифрование AES-128 на самой карте и взаимная аутентификация со считывателем. Атака клонированием на считыватель Wiegand 26 здесь не работает: ключ генерируется при каждой сессии. Биометрия — вена ладони, потому что отпечаток на металлургическом производстве с маслом и СОЖ даёт FRR до 5–8 %, а вена ладони — стабильно 0,5–1 %.
Liveness detection — проверка живой ткани по пульсации капилляров, температуре и оптической прозрачности — обязательна для режимных объектов: исключает атаку слепком или муляжом руки. FAR ≤ 0,001 %, FRR ≤ 1 % по ГОСТ Р 51241-2008 для класса устойчивости 4.
Историческая фабрика гравюры на стали — объект культурного наследия. Любая прокладка кабельных трасс — скрытая, по существующим штатным коробам без штробления исторической кирпичной кладки. Подрядчик обязан иметь лицензию Минкультуры на работы по сохранению ОКН, проект согласуется с региональным комитетом по охране памятников по ФЗ-73.
Считыватели — на накладных декоративных пластинах в тон фасада, замки — врезные «невидимые» соленоидные ригели без видимого корпуса. Каждое отверстие в несущей конструкции фиксируется в журнале реставрационных работ. Применение крепления на дюбель в исторический кирпич запрещено — только химический анкер с пред-сверлением.
При сигнале «Пожар» с прибора АПС электромагнитные замки на путях эвакуации обесточиваются (fail-safe), турникеты переводятся в свободный проход. По СП 3.13130.2009 время разблокировки — не более 3 с. Связь СКУД и АПС — две независимые линии (рабочая и контрольная) по СП 484.1311500.2020, с подтверждением статуса каждые 30 с.
Для режимного контура — отдельный сценарий: при пожарной тревоге доступ внутрь блокируется, на выход — открыто, журнал событий фиксирует пофамильный список людей, остающихся в контуре, что критично для службы безопасности при эвакуации с режимных территорий.
ТО по ГОСТ Р 51241-2008. Ежемесячно — визуальный осмотр считывателей и турникетов, тест аварийной кнопки выхода, проверка работы доводчиков. Ежеквартально — измерение тока удержания электромагнитных замков (паспортное ±10 %), проверка АКБ под нагрузкой не менее 24 ч, протирка биометрии спиртом 70 %.
Раз в год — поверка биометрических сканеров с протоколом FAR/FRR, обновление прошивок контроллеров с резервной копией предыдущей версии, аудит журналов событий, проверка целостности экранирования серверной по ГОСТ Р 51275-2006. Для ОПК — отдельный режимный аудит со службой безопасности заказчика, без передачи копии журнала наружу подрядчика.