Импортозамещение

Реестр нужен, чтобы отсекать от государственных закупок программное обеспечение иностранного производства там, где есть российские аналоги, и стимулировать развитие отечественной отрасли. Ведёт реестр Минцифры России, решения о включении принимает экспертный совет после проверки программного продукта.

Требование об использовании ПО из реестра распространяется на государственные органы, госкомпании и организации, которые обязаны соблюдать политику импортозамещения в сфере информационных технологий.

Источник: термин «Реестр отечественного ПО»

Для включения в реестр программный продукт должен соответствовать требованиям Постановления Правительства № 1236: исключительные права на него должны принадлежать российскому юрлицу, налоги уплачиваться в бюджет России, а продукт самостоятельно обеспечивать заявленные функции. Ставки на вознаграждение иностранных правообладателей не должны превышать 30%.

Заявка подаётся через портал Минцифры, проводится проверка правообладателя и функциональности продукта, после чего экспертным советом принимается решение о включении. Процедура, как правило, занимает от нескольких недель до нескольких месяцев.

Источник: термин «Реестр отечественного ПО»

При закупках ПО для государственных нужд заказчики обязаны закупать программы, включённые в реестр отечественного ПО, если такие существуют. Правило действует по принципу «второй лишний»: если есть отечественный аналог, приобретение иностранного ПО ограничивается.

Наличие записи в реестре — обязательное требование конкурсной документации для многих государственных контрактов, поэтому включение в реестр напрямую влияет на возможность поставки продукта государственным заказчикам.

Источник: термин «Реестр отечественного ПО»

В реестр отечественного ПО включены основные продукты компании «ФИНТЕХ»: low-code платформа СИНТЕЗМ-Т, система автоматизации бюджетного планирования СКИФ-БП и автоматизированная дактилоскопическая идентификационная система АДИС «Биомарк». Это позволяет поставлять их в рамках государственных закупок и программ импортозамещения.

Продукты сопровождаются полным циклом сервисных услуг — технической поддержкой, обучением и аттестационными испытаниями, что упрощает их внедрение в государственных информационных системах.

Источник: термин «Реестр отечественного ПО»

Реестр отечественного ПО относится только к программному обеспечению, тогда как Единый реестр российской радиоэлектронной продукции (САЗ — система автоматизации закупок) охватывает аппаратные средства: серверы, оборудование, радиоэлектронику. Закупки госорганов должны учитывать оба реестра — и по ПО, и по «железу».

Для построения полностью импортонезависимой информационной системы выбираются как ПО из реестра отечественного ПО, так и совместимое оборудование из реестра радиоэлектронной продукции, после чего система проходит аттестационные испытания.

Источник: термин «Реестр отечественного ПО»

Процедуры KYC выполняются при открытии счетов, проведении переводов, выпуске платёжных карт и в сделках с высоким риском. Финансовые организации обязаны идентифицировать клиента до начала обслуживания в соответствии с законодательством о противодействии отмыванию доходов.

В сегменте государственных заказчиков KYC усиливает контроль контрагентов и схем финансирования.

Источник: термин «KYC (Know Your Customer)»

Оцениваются риск отмывания доходов, риск финансирования терроризма, страновые и отраслевые риски, а также репутационные факторы. По результатам клиентам присваивается уровень риска и устанавливаются меры контроля операций.

Модель оценки периодически пересматривается при изменении профиля операций клиента.

Источник: термин «KYC (Know Your Customer)»

Формируется регламент проверки анкетных данных, сверки с государственными реестрами и контроля операций в информационных системах. Автоматизация сокращает время идентификации и снижает долю ручной обработки.

Системы проверки и распознавания документов и программно-технические комплексы ПТСПК используются для верификации подлинности документов клиента.

Источник: термин «KYC (Know Your Customer)»

KYC является базовым этапом системы «Знай своего клиента», которая включает идентификацию и оценку риска. На её основе строится антиотмывочный контур AML и противодействие финансированию терроризма CFT с мониторингом операций и отчётностью.

Соответствие требованиям законодательства проверяется регулятором в рамках надзорных мероприятий.

Источник: термин «KYC (Know Your Customer)»

Идентифицируются данные о клиенте, гражданство, документы, адрес, характер бизнеса и источники происхождения средств. Для юридических лиц проверяются учредители, выгодоприобретатели и бенефициарные владельцы.

Объём сведений дифференцируется в зависимости от уровня риска и типа клиента.

Источник: термин «KYC (Know Your Customer)»

Документы идентификации и результаты проверок хранятся в течение срока, установленного законодательством, с обеспечением защиты персональных данных. Доступ к материалам ограничивается кругом уполномоченных сотрудников.

Электронные архивы KYC интегрируются с системами документооборота и журналируют все изменения данных клиента.

Источник: термин «KYC (Know Your Customer)»

Открытый код позволяет изучать реализацию, модифицировать систему под собственные требования и не зависеть от единственного поставщика. Активное сообщество проводит ревью кода и быстро устраняет уязвимости.

Использование открытых компонентов снижает стоимость лицензирования и расширяет возможности интеграции в информационные системы.

Источник: термин «Open Source (свободное ПО)»

В проприетарных продуктах исходный код закрыт, а изменения выполняет только вендор по собственному графику. Open Source предоставляет доступ к исходному коду с правами модификации и распространения в рамках лицензионных условий.

Различие в модели лицензирования определяет свободу пользователя и порядок сопровождения продукта.

Источник: термин «Open Source (свободное ПО)»

Открытые решения вносятся в реестр отечественного программного обеспечения после локализации и подтверждения соответствия требованиям. Дистрибутивы Linux и свободные системы управления базами данных применяются в государственных информационных системах.

Отечественные сборки проходят сертификацию и дополняются средствами защиты информации для критической информационной инфраструктуры.

Источник: термин «Open Source (свободное ПО)»

Оценка включает анализ лицензий, аудит зависимостей и уязвимостей, проверку актуальности обновлений и репутации сопровождающих проект команд. Организация, использующая открытый код, принимает на себя ответственность за сопровождение.

Для критичных систем обеспечивается контроль целостности исходного кода и процесса сборки.

Источник: термин «Open Source (свободное ПО)»

Распространены разрешительные лицензии, допускающие свободное использование, и копилефт-лицензии с требованием открытия модификаций. Выбор лицензии определяет обязанности пользователя при интеграции в коммерческие продукты.

Проверка совместимости лицензий обязательна при сборке решений из открытых компонентов.

Источник: термин «Open Source (свободное ПО)»

Открытые компоненты интегрируются в корпоративные контуры в сочетании с коммерческими и внутренними разработками. Модель включает контроль версий, автоматизацию сборки и внутренние регламенты обновления компонентов.

Такой подход находит применение в проектах автоматизации СИНТЕЗМ и смежных платформах.

Источник: термин «Open Source (свободное ПО)»

Форк создаёт независимую ветвь проекта для реализации новых функций, исправления ошибок или адаптации под конкретные требования организации. Разработка ведётся на основе существующего репозитория с сохранением истории изменений.

Развитие форка может существенно отличаться от исходного проекта в зависимости от целей и ресурсов команды.

Источник: термин «Форк (fork) ПО»

Форки открытых проектов адаптируются под требования российского законодательства, дополняются сертифицированными средствами защиты и проверяются для включения в реестр отечественного ПО. Примером служит отечественное ответвление веб-сервера, развиваемое локальной командой.

Поддержка такого форка ведётся отечественными специалистами с контролем безопасности сборки и обновлений.

Источник: термин «Форк (fork) ПО»

Клонирование создаёт локальную копию репозитория для работы без изменения самого проекта, тогда как форк формирует самостоятельную ветвь, развиваемую независимо от исходного кода. Клон используется для изучения и подготовительных правок, форк — для долгосрочного развития.

С практической точки зрения форк предполагает собственный цикл сопровождения, релизов и исправлений.

Источник: термин «Форк (fork) ПО»

Команда форка берёт на себя полное сопровождение: обновления, исправления уязвимостей и совместимость с экосистемой. Отсутствие переноса правок из оригинального проекта приводит к расхождению кодовых баз и росту стоимости поддержки.

Минимизация рисков требует регламентов слияния изменений и инфраструктуры автоматической сборки.

Источник: термин «Форк (fork) ПО»

Форк оправдан при необходимости принципиальных архитектурных изменений, недоступных в текущей модели развития проекта, либо при прекращении активной поддержки оригинала. При совместимых требованиях предпочтительнее использовать основной проект с патчами.

Решение принимается с оценкой затрат на сопровождение собственной ветви.

Источник: термин «Форк (fork) ПО»

Возможность форка заложена в модель открытых лицензий, разрешающих копирование кода и создание производных версий. Форки открытых проектов сохраняют лицензионные обязанности исходного кода и могут развиваться как коммерчески, так и силами сообщества.

Экосистема позволяет различным версиям сосуществовать и конкурировать на основе качества.

Источник: термин «Форк (fork) ПО»

Замещаются операционные системы, офисные пакеты, системы управления базами данных, средства виртуализации и промышленные платформы. Альтернативные продукты обеспечивают совместимость форматов и переносимость данных.

Для госсектора и критической информационной инфраструктуры устанавливаются требования преимущественного использования отечественного ПО.

Источник: термин «Альтернативное ПО»

Решение должно быть включено в реестр отечественного ПО, соответствовать требованиям безопасности и поддерживать интеграцию с государственными информационными системами. Оценка проводится на соответствие функциональных возможностей задачам заказчика.

Дополнительно учитываются лицензионные условия и наличие технической поддержки на территории страны.

Источник: термин «Альтернативное ПО»

Проводится инвентаризация приложений, оценка совместимости и плана миграции данных, после чего формируется план перехода с пилотными контурами. Сопровождается миграция обучением пользователей и доработкой интеграционных сценариев.

Специалисты проектного бюро обеспечивают выполнение миграции в сроки, согласованные с режимом работы заказчика.

Источник: термин «Альтернативное ПО»

Альтернативное ПО — более широкое понятие, включающее собственные разработки, адаптированные открытые решения и лицензионные продукты. Форк является разновидностью альтернативного ПО, созданной на базе существующего кода.

В обоих случаях ключевым является соответствие требованиям законодательства и отраслевым стандартам.

Источник: термин «Альтернативное ПО»

Использование отечественных решений снижает зависимость от внешних вендоров, сокращает санкционные риски и упрощает соблюдение лицензионных требований. Поддержка локализованных продуктов обычно быстрее реагирует на требования рынка.

Решение позволяет сохранить эффективность процессов при переходе на новую технологическую платформу.

Источник: термин «Альтернативное ПО»

Переход выполняется поэтапно: формируются пилотные группы, отрабатываются сценарии переноса данных и совместная работа новых и прежних систем. Резервное копирование и контрольные проверки обеспечивают возможность отката.

План миграции фиксирует этапы, ответственных и критерии готовности каждого сервиса.

Источник: термин «Альтернативное ПО»

Базовый каркас формируют 149-ФЗ об информации, информационных технологиях и защите информации, 152-ФЗ о персональных данных, 187-ФЗ о безопасности критической информационной инфраструктуры и требования к отечественному ПО при госзакупках.

Для финтеха дополнительно действуют нормативные акты Банка России по защите информации при обработке платёжных данных и противодействию мошенничеству. Соответствие систем подтверждается в том числе в рамках аттестационных испытаний.

Источник: термин «Государственное регулирование в IT»

Зависимость от иностранного ПО и оборудования создаёт риск остановки госуслуг при санкциях, отзыве лицензий или недоступности вендора. Государство утрачивает контроль над критичными компонентами инфраструктуры и данными граждан.

Поэтому вводятся требования по импортозамещению: отечественные операционные системы, СУБД и средства защиты информации. Оценка таких решений начинается уже на этапе проектирования архитектуры систем.

Источник: термин «Государственное регулирование в IT»

152-ФЗ обязывает кредитную организацию как оператора минимизировать собираемые данные, получать согласие клиента и уведомлять Роскомнадзор об обработке. Обеспечение конфиденциальности и целостности данных требуется на всём жизненном цикле информации.

На практике это выражается во внедрении средств шифрования, разграничения доступа, журналирования событий и защиты каналов передачи. Соблюдение режима банковской тайны при этом остаётся приоритетом для любой финансовой организации.

Источник: термин «Государственное регулирование в IT»

На старте формируется модель угроз и требования по защите информации, затем проектируется архитектура с учётом нормативных ограничений, включая недопустимость передачи данных за пределы РФ и использование сертифицированных средств защиты.

В процессе разработки фиксируются функциональные и защитные требования к каждому модулю. На финальном этапе проводятся испытания на соответствие требованиям информационной безопасности, что позволяет заказчику принять систему в эксплуатацию.

Источник: термин «Государственное регулирование в IT»

Реестр отечественного ПО — государственный перечень программ, подтверждённых как российские продукты, соответствующие требованиям по происхождению и отсутствию управления из-за рубежа. Его ведёт Минцифры России.

Для государственных заказчиков включение продукта в реестр является обязательным условием при закупке ПО. Для производителя это позволяет участвовать в госзакупках и подтверждает статус импортозамещающего решения в рамках государственного регулирования IT.

Источник: термин «Государственное регулирование в IT»

Несоблюдение требований 152-ФЗ и 187-ФЗ влечёт административные штрафы, принудительную приостановку обработки данных и блокировку ресурсов. В случае утечки, вызвавшей вред субъектам данных, возможна уголовная ответственность должностных лиц.

Помимо юридических последствий наступают репутационные потери и утрата доверия клиентов и государства. Системный подход к нормативным требованиям позволяет минимизировать эти риски ещё на этапе проектирования информационной системы.

Источник: термин «Государственное регулирование в IT»

Различаются проприетарные лицензии, предоставляющие право использования без доступа к исходному коду, лицензии свободного программного обеспечения, допускающие изучение и изменение кода, и специальные условия для государственных заказчиков. Каждая определяет объём прав, ограничения и срок действия.

Выбор лицензии влияет на бюджет, возможность доработки и условия обновлений, что оценивается ещё на этапе планирования инфраструктуры.

Источник: термин «Лицензии программного обеспечения»

Для включения в реестр отечественного программного обеспечения правообладатель должен подтвердить права на продукты, происхождение кода и соблюдение условий лицензирования используемых компонентов. Раскрываются сведения о лицензиях и возможности поддержки на территории России.

Заявителю важно корректно оформить правоустанавливающие документы, чтобы пройти проверку по требованиям к независимости от иностранных правообладателей.

Источник: термин «Лицензии программного обеспечения»

Использование программного обеспечения без лицензии нарушает авторские права правообладателя и влечёт административную и гражданскую ответственность, а в отдельных случаях и уголовную. Кроме того, нелицензионные копии не получают обновлений безопасности, создавая уязвимости на рабочих станциях.

Управление лицензиями включает инвентаризацию установленного программного обеспечения, сверку с договорами и подписками и регулярный аудит, что предотвращает развитие этих рисков.

Источник: термин «Лицензии программного обеспечения»

Лицензии учитываются в реестрах программного обеспечения с привязкой к рабочим местам и серверам, а автоматизированные средства собирают сведения об установках и потреблении лицензий. Расхождение с договорами становится сигналом для переговоров о расширении объёмов.

Для серверных сред применяются схемы лицензирования по группам виртуальных машин в составе сред виртуализации, что даёт гибкость и одновременно требует точного учёта для соблюдения условий вендора.

Источник: термин «Лицензии программного обеспечения»

Передача прав на использование программного обеспечения и его сублицензирование допускаются только в рамках, установленных лицензионным договором: многие лицензии запрещают передачу без согласия правообладателя или требуют сохранения объёмов использования.

Правовая корректность при передаче активов или реорганизации описывается в рамках договорной документации и проверяется юридической службой до совершения действий.

Источник: термин «Лицензии программного обеспечения»

Проводится сверка установленного программного обеспечения с актами ввода, договорами и реестром обоснования, а также подготовка отчётности о соответствии лицензий требованиям закупки. Наличие коробочных версий и электронных лицензий подтверждается пакетом документов.

Своевременное ведение реестра и наличие актуальных правоустанавливающих документов упрощает прохождение проверок и снижает риски выявления несоответствий при государственном контроле.

Источник: термин «Лицензии программного обеспечения»