Импортозамещение в информационной безопасности

Основная тенденция на российском рынке IT это импортозамещение. С 2022 года приоритетность отечественных технологий перед западными существенно выросла. Применение российских ИБ-решений в госсекторе и в значимых объектах критической информационной инфраструктуры (ЗОКИИ) достигает 90-100%. В коммерческом секторе, согласно экспертам и официальной статистике, импортозамещение все еще на уровне 50/50. Россйиских рынок информационной безопасности может предоставить хорошие аналоги различного софта, SOAR, SGRC или антивирусные решение. Решения же для сетевой безопасности, резервного копирования, мониторинга и анализа логов являются пока проблемой. В реальности бизнес отдает приоритет использованию иностранных ИБ-решений по ряду причин, среди которых отсутствие отечественного «железа» и низкая интеграция российских решений в информационную экосистему.

Отсутствие собственного «железа» не позволяет создать полностью независимую информационную экосистему, в которой налажено взаимодействие между произведенным в России аппаратным обеспечением и операционными системами, драйверами, системными утилитами, прикладным ПО и средствами защиты информации. О таком уровне развития, как утверждают эксперты, можно будет говорить через несколько лет. Если обратиться к международной практике, полностью независимых стран в области производства «железа» нет, так как это требует колоссальных трудозатрат. Правительство России работает над созданием комфортных условий для развития отечественного производства материально-технической части и комплектующих для ИТ. Одним из инструментов стимулирования развития рынка ИТ технологий являются реестр отечественного ПО Минцифры и отечественного «железа» Минпромторга. В конце прошлого года в реестр ПО Минцифры были включены также и ПАКи, что вызвало волну обсуждений и споров об условиях аккредитации и что считать отечественным ПАКом, так как последний в свою очередь объединяет как требования к софту, так и требования к комплектующим.

Противоречия, возникающие при определении уровня импортозамещенности продукта в материально-технической части, являются существенными и до конца нерешенными. Даже при наличии реестра, могут возникать сложности. Эту проблему проиллюстрировал случай с компанией «Рикор электроникс», которая в 2022 году передавала поставщикам ПК для региональных госучреждений свои ноутбуки на процессорах AMD. В то же время в акте экспертизы Торгово-промышленной палаты для включения техники в реестр отечественного «железа» при Минпромторге в отношении этих ноутбуков были прописаны процессоры Intel конкретной модели. Государственные организации и компании с госучастием обязаны ориентироваться на реестр Минпромторга и реестр Минцифры при проведении своих закупок. В случае с продукцией «Рикора» поставки преимущественно осуществлялись в рамках федерального проекта «Цифровая образовательная среда» национального проекта «Образование». Таким образом, техника приобреталась по 44-ФЗ, то есть на тендер могли подаваться предложения исключительно с моделями из реестра. Мы не будем далее углубляться в данный кейс, потому что важное для нас здесь два момента. Первый, очевидно, что в России собственных процессоров пока не производят, но другие компоненты для создания отечественного ноутбука существуют. Таким образом, когда мы говорим об отечественном «железе», мы чаще подразумеваем процентное соотношение российского и иностранного внутри устройства. Второй, похоже, что каждый случай «обсуждаем», что формирует правовые «лазейки» для манипулирования законодательством в пользу несовсем импортозамещаемых компаний.

Похожий механизм хотят создать и для ПАКов в реестре Минцифры. Несмотря на четкие и прозрачные требования для отбора, в профессиональной среде возникла полемика относительно классов, попавших в реестр. Одна часть экспертов и игроков рынка считают, что перечень требует серьезной доработки и расширений, другая часть считает, что требования, возможно и потребуют уточнений, но никак не расширений. Причина в том, что некоторые компании пытаются попасть в реестр ПАКов, не являясь при этом на 100% отечественными или не соответствуя, например, требуемому объему продаж именно с ПАКов. Например, например токен Jacarta производство Аладдин Р.Д. включен в реестр отечественного ПО и еще ряд других продуктов этой же компании. Однако, попасть в реестр ПАКов пока у Аладдин Р.Д. не совсем получается. В 2017 году у компании Аладдин Р.Д. возникли сложности с подтверждением импортозамещения. Произошла утечка данных из таможни и выяснилось, что Аладдин закупает токены, на которые потом записывает ПО, в полной комплектации из Тайваня.

Мы не располагаем данными более поздних лет, однако, судя по отчетности компании, она существенно не выросла, а где-то даже упала. Мы можем только гадать, увеличилась ли доля импортозамещения в компании Аладдин Р.Д. или нет на момент 2023 года. Подобные примеры свидетельствуют, во-первых, о необходимости отдельного реестра ПАКов, а во-вторых, в строгом регулировании требований к включению в этот реестр. Нужно признать, что требования действительно нуждаются в уточнениях на которых в дальнейшем могут быть обновлены методические рекомендации. Сам процесс подачи заявок онлайн тоже нуждается в расширении функционала. Следует отметить, что существует также реестр ПО из дружественных стран Евразийского союза, которые также имеют преимущества при участии в госзакупках, если нет российской альтернативы.

Таким образом реестры один важных механизмов стимулирования развития рынков софта и железа. Эти отрасли необходимо развивать одновременно. Инфраструктура информационной безопасности годами строилась на зарубежных решениях, поэтому сегодня резкий переход на все российское просто не возможен. Эксперты также сходятся во мнении, что рынок ИБ испытывает трудности импортозамещения также в связи с дефицитом экспертизы и человеческих ресурсов. Замещение зарубежных систем с многолетней историей эксплуатации и администрирования сопряжено с большим объемом работ по аудиту текущего состояния, консалтингу в части выбора замещающих отечественных продуктов для минимизации актуальных киберрисков, тщательным планированием проектной деятельности. В этом контексте, например, российское решение просто некому будет качественно сопровождать внутри компании. На теме кадров и образования мы остановимся в наших следующих статьях.