Дешевые киберрешения – риск для безопасности

Уход из России зарубежных ИТ-компаний, потенциальная опасность иностранной техники и софта для критической инфраструктуры и кратно выросшее количество атак заставили власти и владельцев бизнеса кардинально пересмотреть свое отношение к кибербезопасности и начать переходить на российские ИТ-решения.

Сегодня на государственном уровне ужесточаются требования к обеспечению безопасности критически важного оборудования и бизнеса в целом. Но, как рассказывают в компании «Аквариус», которая занимается разработкой и производством компьютерной техники, одной из проблем при поставках техники по госзаказу является то, что в России действует устаревший механизм формирования предельных ведомственных цен на ИТ-оборудование. В соответствии с этим механизмом заказчик, как правило государственная организация или крупный бизнес, должен установить начальную максимальную цену контракта (НМЦК). Если поставщик предложит цену выше этой границы — его заявку рассматривать не будут.

Проведение госзакупок происходит в соответствии с 44-ФЗ «О государственных закупках» и постановлением правительства № 1084. В документах прописано, что заказчик устанавливает предельную стоимость товара, основываясь на среднерыночных ценах на аналогичный товар по состоянию на 2014 год. При этом возможно увеличение цены от этого уровня, но только в пределах роста потребительских цен, определенного Росстатом. По сути, законодательство не позволяет выставить в заявке цену, приближенную к реальной стоимости товара.

В частности, предельная стоимость ноутбуков для гражданского служащего, занимающего должность, относящуюся к группе должностей категории «помощники (советники)», сегодня составляет 65 040 рублей. Как подсчитали в «Аквариусе», за девять лет рост цен составил менее 10%.

То есть складывается ситуация, когда заказчик вынужден принимать решение о закупке оборудования, программного обеспечения или программно-аппаратных комплексов на основании критерия низкой цены, а не на основании разумных подходов и требований к кибербезопасности. В итоге тот, кто предлагает дешевые решения, признаётся победителем аукционов, а основные риски кибербезопасности в таком случае ложатся на заказчика.

Выходом из ситуации должно стать увеличение НМЦК либо полная ее отмена для российских производителей. Компромиссным вариантом может стать решение, позволяющее в случае закупки радиоэлектронной продукции не руководствоваться установленной величиной предельных цен. Как, например, это сделано для новых регионов РФ, считают в компании «Аквариус».

«В создавшейся ситуации систему установления НМЦК необходимо пересмотреть, так как выбор из-за низкой цены будет делаться заказчиками в пользу некачественного или иностранного оборудования, а это в сложившейся ситуации недопустимо, — уверен Дмитрий Титов. — Использование иностранных недоверенных решений не просто опасно с точки зрения возможности реализации угроз безопасности, но и в некоторых случаях выглядит как откровенное вредительство, когда дешевая и полностью “дырявая” техника внедряется в инфраструктуру ключевых областей бизнеса и промышленности. Только отечественные доверенные решения могут помочь решить эту проблему».

Российских компаний, разрабатывающих защищенную технику, достаточно много, однако есть критерии, на которые нужно внимательно смотреть при выборе поставщика. В их числе максимальная локализация производства полного цикла, принадлежность всей интеллектуальной собственности российской компании, наличие в штате специалистов-схемотехников, достаточное количество ресурсов для обеспечения сервисного обслуживания и постпродажного сопровождения.

Кроме того, организация должна иметь необходимые лицензии и компетенцию в сфере кибербезопасности, использовать подходы к организации полного цикла безопасной разработки и производства начиная с этапов проектирования изделия. Подобные продукты, как уже было сказано, в России уже есть. Например, «Аквариус» предлагает линейку решений «Аквариус-Бастион», которые разработаны специально для таких случаев и обеспечивают максимальную защиту от большинства угроз безопасности.