Подтверждения, которые выдержат спор

• Канал агент — серверВзаимный TLS 1.3 (mTLS), клиентские сертификаты, проверка отзыва.
• Ключи агентовВстроенный удостоверяющий центр, ротация каждые 90 дней.
• Целостность событийПодпись Ed25519 на агенте — подмена в базе видна при проверке.
• Аудит администраторовЗапись без перезаписи (WORM) и хеш-цепочка: изменить строку не может никто.
• Разделение ролейРолевой доступ (RBAC), обязательный одноразовый код (TOTP), контроль выгрузок.
• Соответствие 152-ФЗ и ТКСогласие с версией и датой, отзыв останавливает сбор, срок хранения соблюдается автоматически.

Ни один порт наружу не открывается, обращений в интернет система не делает. Всё внутри вашего контура.

Как агент подключается к серверу и проверяет подпись обновлений — в разделе про установку и обновление.