Минцифры вводит критерии доверенного ПО: проверять будут не только уязвимости, но и процесс разработки

Подтверждение соответствия требованиям будет добровольным для разработчиков. При этом речь идёт не о создании отдельного реестра с нуля: ранее Правительство уже утвердило правила формирования перечня доверенного российского ПО и порядок проведения экспертизы. Эти правила предусматривают оценку программ специализированными центрами тестирования, уполномоченными Минцифры.

Что потребуется от разработчиков

Проект предусматривает несколько групп требований к программному обеспечению:

• отсутствие известных неустранённых уязвимостей;
• разработка, хранение исходного кода и сборка программного обеспечения в контролируемой среде на территории России;
• совместимость с российскими браузерами и средствами электронной подписи;
• наличие актуальных сведений о компонентах, используемых в программе;
• организация технической поддержки пользователей в России и публикация информации об обновлениях;
• выполнение дополнительных требований для отдельных классов ПО.

Специальные критерии предусмотрены для операционных систем, систем управления базами данных, офисных приложений, браузеров, почтовых и коммуникационных программ, а также систем управления жизненным циклом изделия (PLM).

Таким образом, оценка должна охватывать не только функциональность готового продукта и известные проблемы безопасности. Важную роль играет и контролируемость жизненного цикла ПО: где оно разрабатывается, как формируется его сборка, какие компоненты входят в состав и каким образом разработчик сопровождает продукт после выпуска.

Как будет проходить проверка

Разработчик сможет добровольно обратиться в специализированный центр тестирования и пройти экспертизу. Если программа соответствует установленным критериям, сведения о ней могут быть включены в перечень доверенного ПО. Соответствующая отметка будет отражаться в реестре российского программного обеспечения либо в перечне программ, разработанных российскими юридическими лицами для собственных нужд.

Экспертиза проводится на основании договора между заявителем и центром тестирования. По действующим правилам на неё отводится до 30 рабочих дней со дня заключения договора.

Что это изменит для рынка

Для заказчиков появится дополнительный критерий выбора российского программного обеспечения: наличие подтверждённого соответствия требованиям к доверенному ПО. Разработчики, прошедшие экспертизу, смогут использовать этот статус как аргумент при работе с корпоративными и государственными заказчиками. Возможные преимущества при закупках, однако, будут зависеть от конкретных нормативных правил и условий их применения.

При этом сам по себе статус доверенного ПО не означает, что программа никогда не будет содержать уязвимостей. Безопасность меняется вместе с появлением новых угроз, обновлений и компонентов. Поэтому принципиальное значение будут иметь не только первоначальная проверка, но и актуальность сведений о продукте, оперативность исправления обнаруженных проблем и возможность повторной оценки соответствия.

Станет ли отметка «доверенное ПО» реальным показателем безопасности программы или превратится преимущественно в формальный пропуск на рынок государственных закупок?

Источник: https://digital.gov.ru/news/minczifry-razrabotalo-trebovaniya-k-doverennomu-po