Импортозамещение в ИТ будет сложным, но Россия перестроится

БиблиотекаБиблиотека

Июнь, 2022

Запрет на импорт технологий, уход иностранных вендоров, проблемы с поставками оборудования и утечка ИТ-кадров — как сохранить бизнес в условиях кризиса и смогут ли российские разработчики создать собственные продукты? Об этом CNews поговорил с Сергеем Груздевым, генеральным директором Аладдин — компании, которая 10 лет назад столкнулась с беспрецедентным давлением со стороны американского вендора, но выстояла и вернулась на рынок с собственными решениями.

Ключевые тезисы из ответов эксперта:

Как мы сюда пришли:

Переломная дата — 11 сентября 2001 года: борьба с терроризмом стала флагом, оправдывающим многое; интересы национальной безопасности США возведены в ранг религии, запущены программы “цветных революций”.
В 2012 году Обама подписал Cloud Act и PPD-20 — о закладке “кибербомб” в объекты КИИ России, отработке информационной составляющей гибридных войн и “управления толпой”, обязанности американских вендоров собирать и передавать в ЦРУ/АНБ/ФБР “телеметрию”, запрете раскрывать исходные коды, праве США наносить киберудары без санкции ООН. В 2018-м Трамп сменил “мягкую силу” на концепцию “мир через силу”.
Если в 1971 году Никсон привязал доллар к нефти, то теперь, чтобы управлять миром, надо контролировать рынок полупроводников — без них экономика любой страны встанет. Но 60% высокотехнологичного производства на Тайване, а микросхемы тоньше 10 нм США производить не может — это умеет только TSMC. Администрация Байдена ударила “по тонкой химии” производства, и последние три года мир живёт в жесточайшем кризисе полупроводников с попытками полного запрета трансфера технологий.

Продуктовый ответ Аладдин:

Разработка и производство расположены в России; главная проблема — блокировка поставок полупроводников, выросшие в разы цены и сроки. За предыдущие годы создана линейка программных решений для доверенной ИТ/ИБ-инфраструктуры вокруг собственных USB-токенов и смарт-карт, почти всё на Linux — и когда импортозамещение стало реальной потребностью, всё одновременно “выстрелило”: доля инфраструктурного ПО в обороте растёт в разы.
Большинство компаний начинают замещение с перехода рабочих мест с Windows на Linux — “очевиднее и проще”, но главные активы (базы данных, службы аутентификации, дистанционного доступа, центры сертификатов) остаются вне внимания. Правильнее начинать с них: миграция с MS SQL и Oracle на Postgres Pro или Jatoba с сертифицированным средством защиты “Крипто БД”; для непереносимых огромных Oracle — “Крипто БД” обезличивает и “изолирует” данные от самой СУБД, предотвращая утечки и изменение.
Сервер аутентификации JAS (JaCarta Authentication Server) позволяет продолжить использование настроенных методов аутентификации при замещении импортных средств — генерация одноразовых паролей (OTP), USB-токены и смарт-карты, U2F; чаще всего выбирают сервер + смартфоны с программными средствами.
Зарубежные службы начинают массово отзывать сертификаты и блокировать оборудование — готов технический релиз собственного корпоративного центра выпуска и обслуживания сертификатов на Linux — Aladdin Enterprise Certificate Authority (Aladdin eCA), заменяющего Microsoft CA: интеграция в экосистемы российских Linux, крупные пилоты, решение о сертификации для работы с гостайной (УД-2). eCA — основа PKI и корень доверия: “из коробки” разворачивает домены безопасности, обслуживает сертификаты контроллеров доменов, серверов, сетевого и IoT/M2M-оборудования и пользователей, обеспечивает непрерывность сервисов при миграции и одновременное обслуживание тех, кто ещё в Windows, и уже мигрировавших на Linux.
В Windows строгая 2ФА — привычная подсистема Smartcard Logon, в Linux — “конструктор “сделай сам"", с которым мало кто справляется; Aladdin SecurLogon добавляет недостающие компоненты, автоматически конфигурирует компьютер для единого входа в домены (Samba DC, FreeIPA, MSAD), поддерживает 2ФА с PKI и без неё, работу с электронной подписью (почта, браузер, СЭД) и централизованное конфигурирование клиентов.
Продолжать использовать BitLocker — “русская (точнее, американская) рулетка” с риском потерять доступ к данным; альтернатива — Secret Disk, прозрачное шифрование дисков/папок/файлов с единой лицензией для Windows и Linux. Для централизованного управления токенами и сертификатами — сертифицированный JaCarta Management System 4LX (Windows и Linux).

Подход к разработке:

Долго жили в парадигме наложенных средств защиты и сертификации по общим критериям, где 30–50% описания — требования встраивать “правильную” американскую криптографию “с правильными закладками”. Показательно: санкции не касаются продуктов для кибербезопасности с американской криптографией — США не хотят лишать себя возможности “быть в курсе дел”.
Всё чаще звучит лозунг Secure by Design: сначала скелет безопасности, потом решение; переход требует серьёзной перестройки процессов, и важную роль играют требования ФСТЭК по безопасному ПО для разработчиков продуктов для КИИ и госсектора — без этого реальная безопасность останется на бумаге.

История столкновения с американцами (2010–2012):

До 2010 года работали с израильской Aladdin Knowledge Systems: покупали USB-токены eToken, перешивали ПО, встраивали российскую криптографию. После покупки израильтян американцами — отрезали от технологий и центра разработки в грубой форме, перечеркнули горизонтальные связи, запустили по аналогии с банками программу “Знай своего клиента” с требованием отчитываться по всем заказчикам. Предложили сделку — за миллион долларов выкупить пул лицензий; американцы согласились, но после подписания Обамой Cloud Act и PPD-20 приехавший вице-президент “шумел и стучал кулаком”, а после поездки на Мытищинский рынок (с плакатом “Здесь продается всё, кроме Родины”) пришло письмо о полном разрыве отношений.
“Aladdin must die”: давление на партнёров и сотрудников, потеря ~40% персонала. Было девять месяцев запасов — и через 9 месяцев вышли на рынок с новым продуктом, за год делая то, на что иностранцы тратили 3–5 лет. Сейчас JaCarta PKI полностью свой, российский, с полным набором ПО для доверенной PKI-инфраструктуры любой организации. Два “выстраданных срока”: первая версия через 9 месяцев вернула больше половины бизнеса, через 2,5 года продукт стал зрелым — вернули более 70%.
Закладки в зарубежном ПО реальны: известная система защиты в закрытом контуре после начала спецоперации отключилась — ключевая фраза в спаме была воспринята как команда, и дорогостоящий продукт с оплаченной поддержкой превратился в “кирпич”.

Рынок и прогнозы:

Заказчики будут сокращать бюджеты, но программы импортозамещения теперь должны реализовываться быстрее: с 1 апреля 2022 г. владельцам КИИ запрещена закупка импортного ПО, с 1 января 2025 г. — его использование, включая прошивки микроконтроллеров.
Цифра “70 тыс. уехавших” ИТ-специалистов сомнительна: по данным президента “Руссофт” Валентина Макарова — максимум 10 тысяч, и большинство продолжает работать на российские компании. Основная проблема отрасли — ограничение доступа к новейшим технологиям: людям в ИТ важны не только деньги; тяжелее всех — компаниям на стыке “железа” и ПО.
Выход: как и в 90-е, спасёт серый импорт (~9 месяцев на восстановление каналов, дороже и дольше, но не убьёт) и переориентация на Китай — с оговорками: китайцы системны (горизонт 50 лет, в 2020 году там заработали 48 тыс. новых полупроводниковых компаний против нашего “Микрона”), но 1 декабря 2020 года приняли закон о запрете экспорта высоких технологий, крупные компании боятся вторичных санкций, мелкие связаны квотами внутреннего рынка, и с ними надо учиться работать — ментальность другая.
Господдержка: налоговые льготы получили разработчики ПО и дизайн-центры, но не компании ИБ с их аппаратно-программными комплексами, из-за чего ПО-разработчики ещё и “хантят” их специалистов. Несправедливость и с НДС: для продажи ПО без НДС нужен реестр Минцифры, но регистрация ПО с целевой функцией “Информационная безопасность” требует сертификата соответствия, который ждёт минимум год — приходится продавать в убыток. Сверх того — коллапс полупроводников удорожил комплектующие и логистику.
ИТ-рынок неоднороден: по “железу” упадёт, по софту вырастет — на продукты ИБ ажиотажный спрос. К 2025 году рынок должен вернуться к состоянию 2021-го: свой софт, налаженные каналы поставок, перестроенный бизнес. “Перестроимся, не в первой”.
Совет из опыта: кризис — новые возможности; каждый кризис Аладдин наращивал инвестиции (сейчас — в людей и продукты). Уходящие западные компании освобождают специалистов, которых искали годами; ускоряется принятие решений (12 из 15 предложений по сертификации принято). Важные точки 2022 года: конец второго квартала (появятся новые логистические цепочки, уйдут надежды “всё вернётся”), август (закончатся запасы), ноябрь–декабрь (тяжело — скажутся отложенные последствия санкций и снижение бюджетных платежей). К январю 2023-го появятся первые продукты, способные заменить исчезнувшие; компании хватило 2,5 лет на полный переход на собственные продукты — “у России возможностей побольше, выживем и перестроимся. Я верю!”

Это краткая аннотация статьи, полную версию читайте в первоисточнике.

Читать полную версию

Первоисточник: CNews, июнь 2022

Эксперт: Сергей Груздев, Аладдин