Эксперт AKTIV.CONSULTING выступил на пресс-завтраке АБИСС

Эксперт отметил, что государство предпринимает довольно большой комплекс мер, связанных с регулированием и поддержкой безопасной разработки отечественного ПО. К мерам регулирования Александр отнес разработку нормативно-правовых актов и стандартов, содержащих перечень актуальных и востребованных на практике мер обеспечения безопасности. Александр выделил довольно большой блок поддержки разработки отечественного ПО (в т.ч. в рамках политики импортозамещения), включающий работу центров компетенций импортозамещения, выделение грантов и субсидий на разработку ПО. Также к поддержке он отнес различные активности отраслевых ассоциаций по обмену опытом, работу с сообществом разработчиков по проверке безопасности открытого кода. Дополнительно эксперт подчеркнул, что темой регуляторики и методологии в части безопасной разработки занимается несколько ведомств: прежде всего ФСТЭК России, ФСБ России, Минцифры, при поддержки ведущих научных организаций, таких как ИСН РАН.

Также к государственной политике по безопасности можно отнести на два трека: первый — обеспечение функционирования КИИ, к которому относится ведение реестров отечественного ПО, ПАК (РЭА) и СЗИ, создание национального репозитория открытого кода, составление перечней и каталогов импортозамещенного ПО, которым могут пользоваться специалисты на местах; и второй трек — обеспечение безопасности КИИ, включающий методическую работу регуляторов, к примеру это рекомендации по обновлению ПО (НКЦКИ) и их проверке на безопасность (ФСТЭК РФ), оповещение об актуальных угрозах (ГосСОПКА), реализация программ bug bounty (поиска уязвимостей), развиваемая Минцифры и фактически тестирование на проникновение в рамках 250 Указа (ФСБ России).

Основными проблемами импортозамещения Александр назвал отсутствие отечественных аналогов ПО, нехватку квалифицированных ИТ- и ИБ-кадров на рынке труда, уголовную и административную ответственность за нарушения в КИИ, которые потенциально «отпугивают» ИТ- и ИБ-специалистов от отрасли, дополнительные траты компаний и пр. При этом эксперт сделал прогноз о том, что тема безопасной разработки ПО будет активно развиваться и дальше. Например, на уровне государства она будет поддержана выходом группы стандартов ТК 362, также ожидается подготовка регламента по сертификации процессов безопасной разработки и запуск национального репозитория открытого кода.

Источник