Импортозамещение ПО на КИИ: что показал отчёт Минцифры и что мы видим у клиентов

Минцифры опубликовало отчёт о ходе импортозамещения программного обеспечения на объектах критической информационной инфраструктуры. Средний показатель выполнения планов по отраслям - 60-70%. Цифра выглядит неплохо на фоне того, что было год назад, но картина внутри неё куда интереснее среднего.

Мы работаем с субъектами КИИ из нескольких отраслей и видим ту же неравномерность, о которой говорит отчёт. Поэтому есть что добавить к официальной статистике.

Кто впереди и почему

По данным Минцифры, лидируют промышленность и энергетика. По нашим наблюдениям - это звучит правдоподобно, и причины понятны.

Энергетика. Отрасль исторически жёстко регулируется, привыкла к требованиям по надёжности и документированию. Когда появился регуляторный дедлайн по ПО, многие организации просто применили тот же подход: расписали, зафиксировали, начали выполнять. Плюс финансовый ресурс у крупных игроков есть.

Промышленность. Здесь сыграло то, что у части предприятий импортозамещение в АСУ ТП шло ещё до 2022-го - по экономическим или технологическим причинам. Задел оказался полезным.

Отдельно стоит отметить: в этих отраслях обычно есть назначенный ответственный за КИИ с реальными полномочиями и бюджетом. Это само по себе определяет скорость.

Кто отстаёт и в чём проблема

Транспорт и здравоохранение - по отчёту в хвосте. И снова это соответствует тому, что мы видим у клиентов.

Транспорт. Отрасль раздроблена: от крупных железнодорожных холдингов до небольших региональных перевозчиков, у которых один айтишник и отсутствие понимания, что их вообще относят к субъектам КИИ. Большой разброс по готовности внутри одной отрасли. При этом специфика транспортных АСУ такова, что замена ПО - это почти всегда остановка или ограничение работы системы на период перехода. Договориться об окне бывает сложнее, чем выбрать замену.

Здравоохранение. Тут ещё тяжелее. Значительная часть медицинских информационных систем построена на иностранных компонентах, причём не всегда в явном виде - иностранное может быть внутри локализованного продукта. Рынок отечественных МИС ограничен, конкуренции немного, качество неровное. Плюс у больниц и клиник хронически нет ресурса на такие проекты: ни денег, ни людей, ни времени у руководства думать про ИТ-трансформацию, когда есть другие приоритеты.

Что значат 30% незакрытого плана

60-70% в среднем - это значит, что треть пути ещё впереди. При этом оставшиеся 30%, как правило, сложнее первых 70%.

На аудитах мы раз за разом видим одну и ту же картину: первыми заменили то, что заменить несложно. Офисный пакет, почту, антивирус. Отчитались об этом как о прогрессе - и формально это прогресс. Но именно в незакрытых 30% сосредоточено самое трудное:

• Промышленные контроллеры и SCADA с иностранным ПО, где замена требует остановки технологического процесса и участия вендора оборудования.
• Базы данных - там, где замена это не «переключить коннектор», а месяцы миграции, тестирования совместимости, переписывания процедур.
• Встроенные зависимости - иностранные компоненты внутри самописного кода или внутри продуктов, которые числятся как отечественные.
• Системы, где отечественной замены нет в реестре или есть, но без нужных сертификатов ФСТЭК.

Это то, что не решается за квартал. И именно с этим организациям предстоит разобраться до конца года.

Что мы делаем с этим у клиентов

Когда приходим на аудит к субъекту КИИ, первый вопрос теперь не «сколько процентов выполнено», а «что именно не выполнено и почему». Это разные вопросы.

Если организация застряла на конкретной позиции - обычно есть одна из трёх причин: нет подходящей замены, есть замена но нет ресурса на внедрение, есть ресурс но нет понимания как это сделать технически. Каждый случай требует разного решения, и универсального совета здесь нет.

Что точно работает - разобрать незакрытые позиции поштучно и для каждой определить реальный путь и реальный срок. Не «мы планируем перейти», а конкретно: кто делает, что именно, когда готово, как проверяем. С таким подходом оставшиеся 30% не выглядят неподъёмно - там обычно оказывается несколько действительно сложных позиций и несколько таких, которые просто никто не взял в работу.

До конца 2024-го времени становится ощутимо меньше. Отчёт Минцифры - это хорошая точка чтобы честно оценить, где вы находитесь, а не как соотноситесь со средним по отрасли.