Минцифры может включить локализацию в оценку независимости КИИ

Локализация производства оборудования может стать одним из критериев оценки технологической независимости критической информационной инфраструктуры (КИИ). Об этом «Ведомостям» рассказал представитель Минцифры.

Требование о переходе на отечественные IT-решения в КИИ были сформулированы в президентских указах № 166 от 30 марта 2022 г. и № 250 от 1 мая 2022 г. Согласно первому, с 1 января 2025 г. запрещено использовать иностранное программное обеспечение (ПО) на значимых объектах КИИ. Во втором указе говорится о том, что с 1 января 2025 г. органы и организации не смогут использовать средства защиты информации (СЗИ – программно-аппаратные средства, предназначенные для защиты от актуальных угроз) из недружественных стран.

Принцип локализации разработки и производства именно «железа» в этих документах не предусмотрен. По итогам конференции «Цифровая индустрия промышленной России» (ЦИПР) в июне 2023 г. премьер-министр Михаил Мишустин поручил Минцифры «проработать вопрос формирования системы оценки уровня соответствия КИИ требованиям по технологической независимости» до 2 октября.

В итоге Минцифры сформулировало подходы, сообщил «Ведомостям» представитель ведомства. Оно планирует оценивать наличие отечественных разработок, производственных линий высокотехнологичной продукции, а также наличие необходимых кадровых ресурсов и научных и технологических заделов у владельцев КИИ, добавил он. Также собеседник уточнил, что наработки Минцифры лягут в основу системы показателей технологического суверенитета, прописанных в Концепции технологического развития до 2030 г.

Речь идет о концепции, которую правительство утвердило в мае 2023 г. Согласно ей, Россия должна обладать собственной научной, кадровой и технологической базой критических и сквозных технологий. К 2030 г. национальная экономика должна обеспечивать производство высокотехнологичной продукции – чипов и другой микроэлектроники, высокоточных станков и робототехники, авиакосмической техники, беспилотников, лекарств и медицинского оборудования, телекоммуникационной техники и программного обеспечения.

Система оценки, которую разрабатывает Минцифры, нужна для понимания того, насколько владельцы объектов КИИ готовы к переходу на отечественное ПО и аппаратное обеспечение, а также их разработку и производство к 2025 г., пояснил «Ведомостям» заведующий кафедрой информационной безопасности СПбГЭТУ ЛЭТИ Евгений Воробьев.

Разработанная Минпромторгом балльная система оценки локализации производства позволяет оценить долю импортных компонентов «железа» или ПАК и принять решение о включении их в соответствующий реестр, напоминает управляющий партнер «Экспресс 42» / АО «Флант» Александр Титов.

Но если для ПО на объектах КИИ будет действовать строгое правило по импортозамещению с 1 января 2025 г., то для ПАК и «железа» могут быть послабления, рассуждает руководитель департамента цифровых решений агентства «Полилог» Людмила Богатырева: «В соответствии с указом № 250 продукция может удовлетворять требованиям Минцифры, но быть не на 100% российской, а происходить из дружественных государств. В таком случае тот же Китай может стать реальным помощником».

Систему оценки технологической независимости стоит привязывать к уже имеющимся требованиям и сертификации регуляторов, считает эксперт по информационной безопасности портфеля продуктов в области ИБ компании – разработчика отечественного оборудования «Нота» Юрий Рожнов. Если сертифицированное ранее решение будет иметь незначительные расхождения с новыми требованиями, вендор сможет оперативно доработать его, говорит он.

Технологические решения в КИИ нужно заменять аккуратно, в плановом порядке, считает директор Центра технологического консалтинга РДТЕХ Светлана Иванова. Запретительные меры с высокой степенью вероятности приведут не только к краткосрочному снижению прибыли компаний, но и к задержкам в развитии бизнеса в среднесрочной перспективе, предупреждает она.

На текущий момент 100%-ного российского производства, прежде всего для аппаратных компонентов, не достичь, продолжает заместитель директора департамента информационной безопасности Step Logic Денис Пащенко. Введение целевых показателей может быть оформлено в дорожную карту с достижением определенных процентов по тем или иным параметрам.

Подобная система позволит оценивать и динамику перехода, т. е. какие системы в каком процентном соотношении переведены на соответствующие уровню доверенности продукты, согласен руководитель направления IT-инфраструктуры «К2тех» Алексей Зотов.

Для разных производств и отраслей можно ввести разные требования к процентному исполнению и срокам импортозамещения, считают опрошенные «Ведомостями» эксперты. Причем в шкале оценки должна содержаться не только степень готовности решений российского рынка, но и их зрелость в сравнении с зарубежными аналогами, добавляет коммерческий директор ГК Applite (разработчик ОС «Атлант») Дмитрий Елисеев.

Оценку технологической независимости КИИ можно выстроить по аналогии с внедрением ЦБ РФ ряда стандартов в отношении финансового сектора, рассуждает директор центра информационной безопасности холдинга Т1 Виктор Гулевич. Имеет смысл предложить компаниям сначала провести самооценку по сформулированным критериям, а затем пройти оценку соответствия от независимого лицензированного аудитора, приводит пример он.

Ее можно будет применять на протяжении их жизненного цикла и после 2025 г., что упростит заказчику выбор решения, допускает генеральный директор АНО «Национальный центр компетенций по информационным системам управления холдингом» Кирилл Семион. Важно, чтобы методика и критерии оценки часто не пересматривались, иначе это может привести к росту необоснованных затрат предприятий, заключил он.