В РФ запретили западные средства защиты ПО в критической инфраструктуре

МОСКВА, 1 января. В России в полной мере вступили в силу указы президента России Владимира Путина о запрете использования целого ряда иностранных защитных IT-решений российскими компаниями и госорганами. Опрошенные ТАСС эксперты склоняются к тому, что средства защиты информации замещены неплохо, но с ПО в критической инфраструктуре даже сейчас есть сложности.

Требования установлены тремя указами президента. Один из них запрещает органам госвласти и госкомпаниям с 1 января 2025 года использовать иностранное ПО на принадлежащих им значимых объектах КИИ. Второй касается также и бизнеса, затрагивая в целом около 500 тыс. компаний - с 2025 года им запрещено использовать средства защиты информации из недружественных стран. Третий же расширяет второй: госорганам, стратегическим и системообразующим организациям РФ также запрещается использовать иностранные ИБ-сервисы и услуги.

Минцифры уже предлагало решение проблемы импортозамещения по одному из указов. По словам министра Максута Шадаева, можно ввести специальные форвардные контракты для тех, кто не успеет до 1 января 2025 года перевести критическую инфраструктуру на ПО российского происхождения. Шадаев отмечал, что по большей части причины неперехода банальны и связаны с отсутствием финансирования.

Независимый эксперт в ИБ Артем Сычев счел этот вариант интересным и выразил мнение, что он поможет, хотя, по его данным, он только обсуждается. Вице-президент "Ростелекома" по ИБ, глава группы компаний "Солар" Игорь Ляпунов также считает форвардные контракты правильным решением, потому что в целом сейчас нет никакой серьезной ответственности за нереализацию указов.

В текущих условиях главным барьером для импортозамещения у заказчиков действительно является отсутствие финансирования, признает СЕО компании Security Vision Руслан Рахметов. "Поэтому важно поддержать конечных потребителей и мотивировать разработчиков дорабатывать свои решения под задачи конкретных заказчиков. Если государство сможет взять на себя софинансирование такой инициативы в рамках нацпроекта "Экономика данных", то это действительно будет крайне полезным", - полагает он.

Прогресс импортозамещения

По общей оценке Ляпунова, которую он высказывал в интервью ТАСС в сентябре, на объектах критической инфраструктуры еще не замещено около 30-40% иностранного программного обеспечения. В группе компаний "Солар" подтвердили актуальность этой оценки на данный момент.

По словам главы направления безопасности КИИ и АСУ ТП в компании "К2 Кибербезопасность" Егора Куликова, прогресс в части инфраструктуры КИИ есть, но пока локальный. "Мы пока не видим примера, когда импортозаместилось целое производство. По словам большинства наших заказчиков, у российских производителей пока нет комплексного решения для полной замены иностранных продуктов", - сказал эксперт.

Текущий уровень импортозамещения ОС, СУБД и прикладного ПО на значимых объектах КИИ в органах государственной власти и в субъектах КИИ можно оценить примерно в 50-60%, говорит, в свою очередь, Рахметов. В части же средств защиты информации ситуация лучше: так, Сычев напоминает, что 90% СЗИ и так были российские, иностранные же удерживают 10% - это решения класса NGFW и некоторые другие. Рахметов также согласился с оценкой в 90% по средствам защиты.

Что еще можно сделать для импортозамещения

"Кроме жесткой позиции со стороны ФСТЭК и ФСБ - больше ничего. Но это нереально. Указ не предоставил им полномочий", - прокомментировал ТАСС Сычев. СЕО Security Vision Рахметов предложил "экстренную меру для отстающих", которая заключается в переходе на облачные продукты и услуги от российских поставщиков, которые обеспечат быструю миграцию, широкую экспертизу и отсутствие капзатрат.

"Второй вариант - переход на Open Source (продукты с открытым кодом) как альтернативу импортным решениям, однако безопасность и надежность открытого ПО зачастую вызывает вопросы, а сложности настройки и поддержки могут перекрыть все выгоды", - добавил он.

Полное же замещение, как минимум по одному из указов, не за горами - в течение 1 года можно ожидать 100-процентного результата в госорганах, госкомпаниях и субъектах КИИ, считает Рахметов. Импортозамещение по всем указам потребует несколько лет, поделился в свою очередь Куликов.

Другие положения указов

Два из трех указов были подписаны еще в 2022 году, введя и другие требования. Так, с 30 марта 2022 года заказчикам запрещается осуществлять закупки иностранного ПО, в том числе в составе программно-аппаратных комплексов. Закупки услуг для использования этого ПО нельзя проводить без согласования с ФОИВом, уполномоченным правительством РФ.

Помимо этого, с 1 мая 2022 года ФОИВам, госкомпаниям, системообразующим организациям и компаниям, имеющим критическую инфраструктуру, нужно было создать у себя подразделение, ответственное за информбезопасность, назначить замруководителя организации куратором направления ИБ, а также сотрудничать с ФСБ и ФСТЭК по мерам, которые эти службы принимают, и так далее.