Итоги года для КИИ: ОС и СУБД почти закрыты, прикладное ПО и АСУ ТП - узкое место

В начале декабря ФСТЭК совместно с Минцифры выпустили сводный промежуточный отчёт о ходе импортозамещения ПО на объектах КИИ. Документ не нормативный - скорее публичный срез состояния по отрасли с комментарием регулятора. Для нас это хороший повод собраться с мыслями и посмотреть, что происходило весь год у клиентов, с которыми мы работаем в рамках аудита.

До 1 января 2025 года - тринадцать месяцев. Год назад казалось, что это много. Сейчас, после того как мы прошли через несколько объектов с полным циклом инвентаризации и начали пилоты, видно, что осталось мало.

Что получилось у большинства

Если смотреть по клиентам - промышленные предприятия, энергетика, транспорт, второй и третий уровень значимости по КИИ - картина неравномерная, но с устойчивыми паттернами.

Серверные ОС закрыты в большинстве случаев. Astra Linux SE и РЕД ОС за этот год перестали быть экзотикой. Кто не успел - у тех уже идёт активная фаза: стенды подняты, пилотные серверы переведены. Это хорошая новость. Плохая в том, что «перевести сервер на Astra» и «убедиться, что всё прикладное ПО на нём работает» - это два очень разных события, и второе часто обнаруживается неприятным сюрпризом.

СУБД - движение есть, но неравномерное. Там, где была MS SQL с типовыми нагрузками, Postgres Pro или ванильный PostgreSQL уже поставлены в план или идёт миграция. Это реалистичная задача при наличии ресурсов. Oracle - отдельная история, и она, как правило, не закрыта. Там, где Oracle тащит PL/SQL-пакеты или нативные коннекторы из прикладного ПО, быстрого решения нет и не предвидится.

Средства защиты - исторически самый «выполненный» слой. Не потому что организации такие молодцы, а потому что требования ФСТЭК по сертифицированным СЗИ действовали раньше. Антивирусы, межсетевые экраны, часть SIEM - здесь на большинстве объектов давно отечественное. Этот слой в отчётах выглядит как «зачтено».

Где стоим намертво

Прикладное ПО - главное узкое место года. ERP-системы, специализированные инженерные программы, HMI-интерфейсы, BI-инструменты - всё это либо не имеет прямого отечественного аналога, либо аналог есть, но функциональный паритет ещё не достигнут. Мы смотрели на несколько ERP-проектов: переход на 1С-совместимые платформы возможен, но это проект от года и выше, с перекройкой бизнес-процессов и неизбежной болью в период параллельной работы.

АСУ ТП и SCADA - отдельный разговор. Здесь ситуация честная: у большинства нет аналога, который можно поставить и включить. Отечественные разработки есть, пилоты идут, но говорить о массовой замене в 2024 году нереалистично. Регулятор это понимает - в промежуточном отчёте ФСТЭК отдельно отмечает, что по системам автоматизации технологических процессов допускается перенос сроков при наличии обоснованного плана. Формулировка осторожная, но сигнал понятный.

Рабочие станции инженеров и операторов - ещё один слой, который в большинстве матриц замещения стоит пустым или с записью «в работе». Windows на десктопах с Autocad, специализированным промышленным ПО и внутренними клиентами зарубежных систем - это задача, которую никто пока всерьёз не штурмовал.

Как мы расставляем приоритеты на 2024

После этого года понятно, что универсальной очерёдности нет. Но есть несколько практических ориентиров, которые работают независимо от отрасли.

• Закрыть то, что закрывается. Если серверные ОС ещё не переведены - в первом квартале, без откладываний. Это самая понятная работа с понятными инструментами.
• Зафиксировать СУБД Oracle отдельным треком. Не ждать универсального решения - начать предпроектный анализ: что именно держит приложения на Oracle, есть ли возможность рефакторинга. Это займёт время, но без анализа вообще нельзя оценить объём.
• По прикладному ПО - матрица с честными статусами. Не «в плане до конца 2024» по всему списку, а разбивка: что реально можно закрыть, что требует длительного проекта, что документируется как «аналог отсутствует». ФСТЭК явно предпочитает честную картину фиктивным срокам.
• АСУ ТП - пилотные стенды и план. Если замена в 2024 нереалистична, нужен задокументированный план с конкретными шагами и обоснованием сроков. Это не красивая бумага для регулятора - это инструмент для собственного понимания, когда и что произойдёт.

Где мы сейчас как команда

Декабрь у нас - месяц ревизионных встреч с клиентами. Смотрим, где план расходится с реальностью, что нужно пересогласовать с регулятором, какие позиции в матрицах замещения нужно перекрасить из зелёного в жёлтый или красный.

Вывод, который повторяется у всех: кто начал инвентаризацию в начале года - у того есть структура, понятные приоритеты и время на маневр. Кто тянул - у того сейчас напряжённый конец года и неприятное ощущение, что год потерян. Это не катастрофа, но 2024-й уже не будет таким же спокойным.

Тринадцать месяцев до дедлайна - не катастрофически мало, но и не запас. Инфраструктурный слой нужно закрыть в первой половине, чтобы оставить вторую на прикладной. Этот порядок не обсуждается.