Шесть месяцев до запрета: чеклист готовности значимого объекта КИИ к 1 января 2025

До 1 января 2025 года остаётся шесть месяцев. Именно с этой даты вступает в силу запрет использования иностранного программного обеспечения на значимых объектах критической информационной инфраструктуры. Параллельно ФСТЭК и Минцифры ужесточают требования к отчётности: полугодовые отчёты о ходе импортозамещения теперь проверяют внимательнее, а несоответствие заявленного реальному положению дел становится отдельным основанием для проверки.

Мы завершили несколько проектов по подготовке значимых объектов к дедлайну и видим, где организации теряют время и где сюрпризы вылезают в самый неудобный момент. Ниже - рабочий чеклист, составленный из этого опыта.

Что должно быть закрыто к июлю

Первое полугодие - это не время доделывать то, что не успели: это время убедиться, что финальный рывок вообще реалистичен. Три вещи должны быть зафиксированы прямо сейчас.

Полный реестр иностранного ПО на значимых объектах. Не «примерный список», не «всё в основном отечественное», а инвентаризация с указанием конкретного продукта, версии, роли в технологическом процессе и статуса замены. На аудитах мы видим, что организации, которые не делали инвентаризацию с нуля, а дополняли существующие списки, регулярно пропускают встроенные зависимости: иностранные компоненты внутри самописного кода, иностранные библиотеки в продукте, который числится как отечественный, иностранный стек в подрядческих системах, работающих на объекте.

Статус по каждой позиции реестра. Для каждой строчки должен быть один из трёх ответов: замена завершена, замена в процессе (срок и ответственный), замена невозможна без исключения (обоснование подано). Промежуточный ответ «работаем над этим» к июлю уже не считается позицией.

Актуальные акты категорирования. Если в инфраструктуре что-то менялось с момента последнего акта - новые системы, изменение состава обрабатываемых данных, реструктуризация - акты нужно переутвердить. ФСТЭК при проверке сравнивает акт с реальностью, и расхождение хуже, чем отсутствие части документации.

Чеклист по слоям

Шесть слоёв, которые мы проходим на каждом значимом объекте перед тем, как говорить о готовности.

Операционные системы. Все серверы и рабочие места на значимых объектах - на отечественных ОС из реестра Минцифры с актуальным сертификатом ФСТЭК. Astra Linux, РЕД ОС, ОС Аврора для мобильных устройств - у каждого своя версия сертификата, и сертификат на устаревшую версию не закрывает требование. Отдельно - встроенные ОС в промышленных контроллерах: там всё сложнее, и если замена невозможна, нужно обоснование с подтверждением от вендора оборудования.

Базы данных. Переход с Oracle, MS SQL, PostgreSQL (зарубежная редакция) на Postgres Pro, Tantor, Pangolin или другой отечественный продукт из реестра. Критичное место - совместимость хранимых процедур, триггеров и специфичных расширений. На одном проекте обнаружили несколько десятков процедур, написанных под специфику Oracle, которые потребовали переписывания - это неожиданные недели работы, которые не были в плане.

Средства защиты информации. СЗИ на значимых объектах должны быть сертифицированы ФСТЭК, причём сертификат актуальным: мы видели случаи, когда продукт правильный, но версия, установленная в эксплуатации, не соответствует сертифицированной. Антивирус, межсетевой экран, система обнаружения вторжений, SIEM - по каждому позиция.

Мониторинг и отчётность в ГосСОПКА. Подключение значимых объектов к ГосСОПКА - это не разовое действие, а работающий процесс. Инспекторы проверяют не факт подключения, а реальную передачу данных: есть ли события в журналах, обрабатываются ли они, отправляются ли инциденты в установленные сроки. Если канал подключён, но данные не идут - это то же самое, что не подключён.

Документация по каждому объекту. Модель угроз и нарушителя, разработанная по методике ФСТЭК 2021 года. Организационно-распорядительная документация: политики, регламенты, приказы о назначении ответственных. Технические паспорта систем защиты, отражающие текущее состояние. Журналы: инвентаризации, обновлений, резервного копирования, проверок восстановления. Последний пункт неизменно удивляет - журнал резервного копирования есть, а журнал проверок восстановления найти не могут.

План реагирования на инциденты. Документ должен быть не просто подписан, а реально опробован: хотя бы настольное учение, хотя бы раз. ФСТЭК задаёт вопросы о практике применения плана, и ответ «план есть, учений не проводили» - это замечание.

Где реально теряют время

Три места, где у клиентов регулярно возникают задержки, не связанные с технической сложностью.

Согласования внутри организации. Документы на утверждение руководству уходят и возвращаются с правками. Если цепочка согласования длинная, а руководство не считает КИИ приоритетом - закладывайте на это отдельный буфер. Шесть месяцев кажутся большим сроком, пока согласование одного акта не занимает три из них.

Ожидание от вендоров. Письмо о том, что вендор подтверждает невозможность замены встроенного компонента, может идти месяц. Официальное заключение - дольше. Если ждёте таких документов - отправляйте запросы сейчас.

Закупочные процедуры. Отечественный продукт выбран, бюджет есть, но конкурс занимает два месяца плюс поставка. К ноябрю такую позицию не закрыть. Если есть незапущенные закупки по значимым объектам - это критический путь прямо сейчас.

Про исключения

Механизм исключений - возможность сохранить иностранное ПО при наличии обоснования и согласования с регулятором - работает, но медленнее, чем хотелось бы. Заявки, поданные в мае-июне, могут получить ответ в сентябре-октябре. Это не страховка на случай, если замена не успевает: это отдельный путь для объективно незаменимых позиций, и подтверждать объективность нужно документами.

Шесть месяцев - это ровно столько, чтобы успеть при наличии плана и ресурсов. Без плана этот срок уйдёт на выяснение того, что именно нужно делать. Если картина по значимым объектам ещё не полная - момент её получить именно сейчас, пока есть возможность что-то с ней сделать.