Требования по переходу на российские СЗИ обсуждаются в правительстве
На сайте подготовки нормативных актов Правительства РФ появился проект постановления «Об утверждении требований к ПО, телекоммуникационному оборудованию и радиоэлектронной продукции, используемым на объектах КИИ, и порядка перехода на преимущественное использование российского ПО, телекоммуникационного оборудования и радиоэлектронной продукции» [1]. Он был вынесен на общественное обсуждение 13 января, а продлиться оно должно до 27 января. Впрочем, в тексте документа упоминается указ Президента РФ «О мерах экономического характера по обеспечению технологической независимости и безопасности объектов КИИ», проект которого мы уже обсуждали в первой заметке [2]. Понятно, что постановление правительства не будет действовать без вступления в силу более высокого правового акта — указа Президента РФ.
Сам текст проекта постановления фактически содержит два основных вложения: требования к ПО, телекоммуникационному оборудованию и радиоэлектронной продукции, используемым на объектах КИИ и порядок перехода на преимущественное использование российского ПО, телекоммуникационного оборудования и радиоэлектронной продукции — оба документа являются фактически составной частью проекта постановления.
Причем требования программному и аппаратному обеспечению очень простые — ПО, телекоммуникационное оборудование и радиоэлектронная продукция, используемые на объектах КИИ, должны быть включены в реестр отечественного ПО Минцифры (для ПО) и Минпромторга (для оборудования и радиоэлектронной продукции). Исключение допускается только в случае если в обоих реестрах нет продуктов, которые соответствуют требованиям по безопасности, предъявляемым ФСТЭК к объектам соответствующей значимости. То есть иностранными решениями можно пользоваться только в случае наиболее жестких требований к безопасности — ставь более высокий уровень значимости и тогда, в соответствии с функциональными требованиями ты с большей вероятностью сможешь внедрить иностранные решения. Ну хоть какая-то польза от завышенных требований по безопасности.
Однако даже в случае, если необходимость использования иностранного решения доказана, нужно еще соблюсти два условия: обеспечить возможность технического сопровождения иностранных решений со стороны российских организаций (что понятно) и «возможность модернизации ПО, телекоммуникационного оборудования и радиоэлектронной продукции российскими организациями» (что уже менее понятно). Если эта «модернизация ПО» производятся не в рамках технического обслуживания, то что российская организация должна в этих решениях «модернизировать»? Видимо, предполагается добавлять функционал, которого в оригинальном решении не было. Уж не государственные ли закладки она в них должна устанавливать?
Правила перехода на преимущественное использования российского оборудования предполагают проведения следующего процесса: сделать аудит существующего или планируемого к созданию объекта КИИ и оценить применяемые к нему требования по ИБ со стороны различных нормативных актов; по результатам анализа составить перечень используемого на объектах КИИ ПО и направить его в Минцифры, а аналогичный перечень оборудования и радиоэлектронной продукции направить в Минпромторг на утверждение с кратким обоснованием предъявляемых требований; если в указанных перечнях есть иностранные решения, то с соответствующими ведомствами нужно выработать план перехода на российские аналоги. Правда, все сроки перехода привязаны к упоминавшемуся ранее проекту указа Президента, который должен был быть давно утвержден, но так и висит на портале подготовки законодательных актов в неизменном виде, хотя один из сроков, указанных в нем, это 1 сентября 2020 года. Конечно, есть шанс, что оба проекта примут с небольшим отставанием по срокам, но когда это будет и каких именно изменений по срокам надо ждать — пока не понятно. Возможно, после 27 января станет более понятно когда обоим документам будет дан зеленый свет.
[2] https://www.connect-wit.ru/importozameshhenie-dlya-kii.html
