Область действия требований к защите критической информационной инфраструктуры (КИИ) планомерно расширяется. 2 сентября член Совета Федерации Константин Долгов предложил отнести госкомпании и госкорпорации к субъектам КИИ наравне с госорганами и банками с 1 января 2021 года. Это будет требовать от них ускоренного перехода на отечественные ИТ-решения. Соответствующий проект поправок к закону «О безопасности КИИ» направлен на рассмотрение в правительство.
Если экономическая подоплека в стремлении обеспечить рынок для отечественных ИТ-продуктов в целом положительна для страны, то не притормозит ли этот процесс развитие отечественной ИТ-отрасли? Так, банки уже высказались против резкого импортозамещения, предупреждая о грозящих в связи с этим перебоях функционирования.
Не принимая во внимание финансовые и технические проблемы перехода и выполнения российским ПО специфических функций, интеграционные сложности во внешних взаимодействиях, например с международными системами, остро стоит вопрос, который зачастую принимается как заведомо решенный: повысит ли переход на отечественное ПО фактическую защищенность цифровой инфраструктуры?
Если посмотреть на гигантов мировой разработки, например Microsoft, Apple или Google, то можно увидеть, что компании производят обновления систем ежедневно (или выпускают аккумулированные обновления раз в несколько дней), и практически каждое из них содержит критические программные заплатки ИБ для найденных накануне уязвимостей. При этом поиском уязвимостей занимается не столько сама компания, сколько мировое сообщество ИБ-экспертов, что приветствуется компаниями через программы Bug Bounty. А в случае с открытыми системами (GNU, в частности Linux) это еще более выражено.
При выборе Россией собственного пути развития ПО мировому сообществу белых хакеров (white hat) будет не очень интересно заниматься поиском уязвимостей в отечественных продуктах, а вот хакерам со злым умыслом (black hat) – как раз наоборот. Будут ли успевать наши разработчики качественно закрывать найденные уязвимости без потери функциональности? Ведь речь идет о системном и прикладном ПО, которое более подвержено атакам (в отличие от того же антивирусного ПО). Таким образом, не получим ли мы ИБ-отставание вместо повышения защищенности? В процессе импортозамещения системного ПО участвуют открытые системы, например, СУБД PostgreSQL, ОС «Альт Линукс», и другое ПО на основе, как правило, устаревших версий открытого кода.