Доверенное ПО по-новому: что меняет проект Минцифры

▪️ Минцифры вынесло на общественное обсуждение проект изменений в требования к ПО, сведения о котором включаются в перечень доверенных российских программ для ЭВМ и баз данных. Формально речь идет о корректировке правил ведения перечня, но по сути - о новом уровне требований к российскому ПО.

Проект добавляет к существующим правилам два новых блока:

▪️ требования к элементам защиты, которые должны присутствовать в отечественном доверенном ПО.
▪️ дополнительные требования к самим доверенным программам, чтобы они точнее соответствовали российской ИТ-экосистеме.

Разработчик сможет добровольно пройти экспертизу в специализированных аттестованных центрах тестирования. Заказчики получат возможность выбирать программы, безопасность которых подтверждена независимой экспертизой, а разработчики доверенного ПО - дополнительные преимущества при участии в госзакупках.

▪️ При этом в правилах появятся отдельные порядки принятия решения как о соответствии, так и о несоответствии дополнительным требованиям. Это значит, что метку соответствия можно будет не только присвоить, но и исключить из реестра.

Среди заявленных требований:

▪️ отсутствие известных неустранённых уязвимостей;
▪️ разработка, хранение исходного кода и сборка ПО в контролируемой среде на территории России;
▪️ совместимость с российскими браузерами и средствами электронной подписи;
▪️ наличие актуальной информации о компонентах программы;
▪️ техническая поддержка пользователей в России и публикация сведений об обновлениях;
▪️ специальные требования для отдельных классов ПО - операционных систем, СУБД, офисных программ, браузеров, почтовых и коммуникационных приложений, а также PLM-систем;
▪️ открытый API для взаимодействия с доверенным ПО;
▪️ поддержка отечественных криптографических технологий;
▪️ техническая поддержка и обучение пользователей на всей территории России;
▪️ для офисного ПО - работа с форматами ODF, Office Open XML и PDF;
▪️ совместимость с центральным процессором, включённым в реестр российской промышленной продукции или единый реестр российской радиоэлектронной продукции.

Отдельно проект предусматривает, что Минцифры совместно с Минпромторгом в течение полугода должны разработать и утвердить план-график обеспечения совместимости ПО с заранее определённым центральным процессором.

Что ждет рынок

▪️ Для разработчиков проект - это серьезный вызов. Нужно перестроить жизненный цикл продукта: контролировать сборку и обновления, подтверждать совместимость с отечественными процессорами, обеспечивать техподдержку по всей стране, интегрироваться с российскими средствами электронной подписи и криптографией.

И главный вопрос даже не в самих требованиях, а в их практической реализуемости. Насколько доступными окажутся центры тестирования, насколько ясными будут методики и успеют ли нишевые разработчики адаптироваться. Если нет, российский рынок ждет дальнейшая консолидация: меньше игроков, больше требований и более высокая цена входа.

Подписывайтесь на МашТех