Федеральная служба по техническому и экспортному контролю (ФСТЭК) обновила условия сертификации для производителей программных продуктов в сфере кибербезопасности. От разработчиков потребуется исходный код ПО и участие в лабораторных исследованиях.
Ужесточение контроля
Новые требования вступают в силу с 1 июня 2019 года и распространяются на антивирусы, антиспам решения, межсетевые экраны, системы предотвращения утечек и защищенные ОС.
Необходимое условие для получения сертификата – оценка уязвимостей продуктов и изучение их недекларированных возможностей. Для этого разработчикам антивирусов придется принять участие в исследовании, которое проводится только в лабораториях ФСТЭК. Ведомству понадобится исходный код программы и описание всех имеющихся функций и механизмов. Если не сделать это до 1 января 2020 года, сертификат компании-разработчика временно аннулируют.
Дополнительные трудности
Представители рынка кибербезопасности опасаются, что обновленные условия сертификации приведут к дополнительным расходам и замедлят скорость разработки новых продуктов. Главный конструктор Astra Linux Юрий Соснин поясняет, что реализация новых требований потребует серьезного анализа, разработки и пострелизной поддержки программ. С другой стороны, эксперт рад, что ужесточение условий поможет отсеять недобросовестных игроков рынка.
Представитель другой компании-разработчика СЗИ напоминает, что процедура сертификации ФСТЭК не бесплатна и занимает много времени. Пока проверка закончится, ПО может устареть.
Иностранцам вход воспрещен
С проблемами могут столкнуться и иностранные вендоры – передача исходного кода систем защиты информации запрещена законодательством многих стран, да и сами компании не захотят делиться исходниками, уверены эксперты. «Это конфиденциальная информация, составляющая коммерческую тайну», – объясняет директор по технологиям компании «Инфосекьюрити» Никита Пинчук.
Специалист предполагает, что новые требования со временем выдавят зарубежные компании с рынка кибербезопасности для госсектора. Ситуация сыграет на руку отечественным разработчикам, потому что снизит конкуренцию с иностранными программами.
Аналогичной позиции придерживается и эксперт по кибербезопасности Алексей Лукацкий. Почти половина российского рынка СЗИ приходится на поставки программ для госсектора, до недавних пор две трети приобретаемых решений были иностранными. Последние изменения законодательства снизили долю заграничных приложений до 20%, а новые требования ударят по заграничным продуктам еще сильнее.