Владимир Сергеев: «Новые требования к доверенному ПО могут изменить подходы к импортозамещению на объектах КИИ»

9 часов назад

Новые требования к доверенному программному обеспечению могут изменить критерии выбора российских ИТ-решений для значимых объектов критической информационной инфраструктуры. Заказчикам придется учитывать не только функциональность и совместимость продуктов, но и процессы безопасной разработки, управления обновлениями и устранения уязвимостей. О возможном влиянии новых требований на рынок, стоимости внедрения и задачах системных интеграторов RUБЕЖ рассказал Владимир Сергеев, эксперт практики UC и ПО для совместной работы К2Тех.

— Как новые требования к доверенному ПО могут изменить критерии выбора программных продуктов для значимых объектов КИИ и повлиять на проекты импортозамещения?

Владимир Сергеев: Требования к доверенному ПО – это логичное продолжение курса на импортозамещение, но одновременно и его усложнение. Пока речь идет о проекте, поэтому последствия для заказчиков будут зависеть от окончательной редакции и условий применения требований. Для значимых объектов КИИ выбор ПО не может сводиться только к наличию продукта в реестре: необходимо учитывать применимые требования безопасности и подтверждение соответствия им. На практике это означает, что заказчику придется оценивать не только функциональность и совместимость, но и то, как вендор контролирует среду разработки и сборки, устраняет уязвимости и организует выпуск обновлений. Проект также предусматривает предоставление пользователю по запросу актуального перечня модулей и компонентов продукта. Для интегратора это меняет логику проектирования: требования к компонентам и их сопровождению необходимо учитывать при построении архитектуры, а не после внедрения.

В проектах импортозамещения на значимых объектах КИИ это может привести к пересмотру уже сложившихся стеков. Совместимость и цена останутся важными критериями, но их придется оценивать вместе с готовностью вендора подтвердить соответствие требованиям и поддерживать его в течение жизненного цикла продукта. При этом статус доверенного ПО не следует отождествлять с обязательной сертификацией каждого решения: проект предусматривает экспертизу в центрах тестирования, а для средств защиты информации отдельно определяет случаи, когда наличие сертификата подтверждает выполнение части требований ИБ.

Единые критерии могут сделать выбор решений более прозрачным и повысить управляемость рисков. Но переходный период потребует дополнительных усилий от всех участников. Поэтому заказчику важно заранее сверить планы миграции с планами вендоров по подтверждению соответствия, чтобы снизить риск замены продукта на поздних этапах проекта.

— Потребуется ли пересматривать уже выбранные решения в проектах импортозамещения, которые находятся на стадии реализации?

Владимир Сергеев: Массовый пересмотр выбранных решений вряд ли случится. Для уже реализуемых проектов первоочередная задача – перепроверка: какие требования будут применимы к конкретному объекту, насколько выбранное ПО им соответствует и что вендор планирует доработать. Сам факт появления проекта постановления не означает, что нужно останавливать внедрение или менять продукт.

Если вендор готов подтвердить соответствие и обеспечить необходимое сопровождение, корректировки могут ограничиться графиком проекта, программой испытаний и условиями технической поддержки. Замену решения стоит рассматривать, если выявятся существенные несоответствия, которые нельзя устранить в приемлемые сроки. При этом важно учитывать окончательную редакцию документа и переходные положения.

— Существует ли риск сокращения числа доступных российских решений после введения новых требований?

Владимир Сергеев: Риск сокращения числа доступных решений существует, прежде всего в проектах, где потребуется использование доверенного ПО. Требования могут ограничить выбор продуктов, соответствие которых не подтверждено, но одновременно стимулируют вендоров к развитию – статус доверенного ПО становится конкурентным преимуществом. В краткосрочной перспективе это действительно может привести к тому, что часть решений временно не сможет участвовать в таких проектах. Однако в среднесрочной перспективе можно ожидать адаптации рынка: вендоры, для которых сегмент КИИ значим, будут заинтересованы в выполнении требований.

— Может ли переход на доверенное ПО привести к удорожанию программных продуктов, их внедрения и сопровождения? От чего будет зависеть совокупная стоимость владения такими решениями?

Владимир Сергеев: Что касается стоимости внедрения, то рост возможен, но не одинаков для всех продуктов. Дополнительные требования к разработчикам – это дополнительные затраты на экспертизу, организацию контролируемой среды разработки и сборки, работу с уязвимостями и поддержание актуального перечня компонентов. Эти затраты вендоры могут частично перенести на стоимость лицензий и сопровождения. Однако называть единый диапазон удорожания без расчетов по конкретным продуктам преждевременно: для одних решений потребуется точечная доработка, для других – существенные изменения в процессах разработки и сопровождения.

Для производителей, у которых такие процессы уже выстроены, объем изменений будет меньше.

Для заказчика это означает, что бюджет проекта нужно закладывать с учетом не только лицензий, но и тестирования совместимости, возможной доработки интеграций и организации управления обновлениями. При этом важно разделять затраты вендора на подтверждение соответствия продукта и затраты заказчика на его безопасное внедрение и эксплуатацию.

На стороне заказчика дополнительные расходы могут быть связаны с тестированием обновлений, проверкой интеграций и доработкой регламентов эксплуатации. Тут оценивать нужно не только цену лицензии, но и совокупную стоимость владения. Итоговый процент подорожания будет зависеть от зрелости продукта, сложности инфраструктуры и объема необходимых доработок.

— Какие сложности могут возникнуть при обновлении доверенного ПО и поддержании его соответствия требованиям безопасности?

Владимир Сергеев: Основная сложность – это не разовая экспертиза, а поддержание соответствия в течение жизненного цикла. Проект предусматривает обновление ПО только с разрешения пользователя, причем такое разрешение может быть дано и через принятие условий лицензионного соглашения. Поэтому заказчику важно понимать, какие обновления он разрешает автоматически, а какие должны проходить отдельное согласование.

В сложных корпоративных инфраструктурах, где одновременно работают десятки приложений и интеграций, это превращается в отдельную задачу. Заказчику потребуется выстроить процесс управления обновлениями, при котором проверяются их источник, влияние на совместимость и устойчивость системы, а также соблюдаются сроки устранения уязвимостей. Сам проект не устанавливает универсального требования проводить повторную экспертизу после каждого обновления.

— Как требования к доверенному ПО повлияют на совместимость с существующими корпоративными системами, включая интеграцию через API и использование оборудования видеосвязи?

Владимир Сергеев: Да, вторая сложность – это совместимость. Сам по себе статус доверенного ПО не означает запрета на интеграцию с другими системами. Более того, дополнительные требования предусматривают документирование публичных API, а для коммуникационного ПО – поддержку H.323 или SIP и как минимум одного российского аппаратного терминала видеосвязи. Для интегратора это означает необходимость проверять не только формальное наличие протокола, но и работоспособность конкретных сценариев: подключения переговорных комнат, передачи контента и взаимодействия с существующим оборудованием.

В инфраструктурах, где годами выстраивались связи между приложениями, это может потребовать доработки интеграционных сценариев. Именно здесь роль системного интегратора становится особенно важной: нужно не просто поставить продукт с подтвержденным статусом, а вписать его в существующий ландшафт без потери функциональности и без нарушения требований.

— Потребует ли внедрение доверенного ПО изменений в работе ИТ- и ИБ-подразделений заказчиков?

Владимир Сергеев: Сопровождение доверенного ПО требует согласованной работы администраторов, специалистов по ИБ и вендора. Заказчикам может потребоваться дополнительное обучение сотрудников. В договорах сопровождения стоит заранее закрепить порядок предоставления сведений о компонентах, сроки устранения уязвимостей и регламент выпуска и установки обновлений. В крупных инфраструктурах это может стать отдельной статьей бюджета, которую нужно закладывать заранее.

Как ранее сообщал RUБЕЖ, Минцифры подготовило проект постановления, устанавливающий дополнительные требования к безопасности доверенного ПО для значимых объектов КИИ.