Федеральные IT-системы не торопятся переходить на отечественный софт

Федеральные IT-системы не торопятся переходить на отечественный софт

Федеральные IT-системы не торопятся переходить на отечественный софт

Импортозамещение в сфере IT почти не коснулось федеральных государственных информационных систем (ФГИС). Большинство их продолжает работать на базе продуктов американских Microsoft и Oracle, случаи использования российского ПО единичны, следует из исследования TAdviser.

Участники рынка ссылаются на отсутствие успешного публичного опыта такой замены и несовершенство в работе реестра отечественного софта. Значительного импортозамещения в IT-инфраструктуре госорганов так и не произошло, следует из отчета компании TAdviser (есть у “Ъ”). Компания проанализировала 339 ФГИС из реестра федеральных IT-систем на предмет базового программного обеспечения, на котором они построены,— систем управления базами данных (СУБД) и серверных операционных систем, пишет kommersant.ru.

Наиболее популярными СУБД оказались Microsoft SQL Server и Oracle Database, на которые приходится 38,6% и 25,4% всех ФГИС соответственно. При этом их доля все же несколько сократилась по сравнению с 2015 годом, когда проводилось аналогичное исследование (изучили 321 ФГИС): тогда на Microsoft приходилось 41,1%, на Oracle — 28%. Российские СУБД в совокупности используют лишь 2,9% ФГИС. В частности, представлены ИРБИС64 в двух ФГИС, «Ред База данных» в семи ФГИС и одна система собственной разработки. На СУБД с открытым исходным кодом, MySQL и PostgreSQL, работают 13,9% и 9,7% ФГИС соответственно (в 2015 году — 15,6% и 9,7%).

Среди серверных ОС лидирует Windows Server с 67% ФГИС (в 2015 году — 69,5%). Разновидности Linux и Unix используются в 24% и 8,5% ФГИС соответственно. Наиболее популярной ОС с открытым кодом стала американская Red Hat (разновидность Linux, 6,8% ФГИС). На базе российских дистрибутивов Linux работают серверы только двух ФГИС: портал gosuslugi.ru на базе Alt Linux и комплекс «Государственные услуги» Главного управления по контролю за оборотом наркотиков МВД на базе MCBC.

Перспектива замены СУБД и ОС на отечественные, «вероятно, пугает IT-руководителей ведомств», отмечает главный редактор TAdviser Александр Левашов. На этапе миграции велика вероятность сбоев, кроме того, сложно обосновать необходимость финансирования таких мер: замена одной работающей системы на новую с аналогичным функционалом может выглядеть как двойные траты: «Политика политикой, но отчитываться придется перед аудиторами Счетной палаты и другими проверяющими органами». Таким образом, успешного публичного опыта замены иностранного ПО, на который можно было бы ориентироваться, пока нет, резюмирует господин Левашов.

Николай Никифоров, глава Минкомсвязи РФ, июнь 2017 года («Интерфакс»): "По всем ключевым направлениям программных продуктов в России есть аналоги, которые можно использовать взамен зарубежных".

Премьер Дмитрий Медведев в ноябре 2015 года подписал постановление правительства, которое с 1 января 2016 года обязывало госорганы закупать российское ПО, а зарубежный софт приобретать только в случае отсутствия российских аналогов в реестре или их недостаточной функциональности. В феврале 2016 года “Ъ” сообщал, что из-за отсутствия необходимых подзаконных актов чиновники продолжают свободно закупать зарубежный софт.

Нормативные документы остаются несовершенными, отмечает заместитель гендиректора Postgres Professional Иван Панченко. Так, до сих пор существует возможность признавать отечественным ПО, отсутствующее в едином реестре Минкомсвязи, говорит он. При этом многие отечественные продукты из реестра не работают с отечественными ОС и СУБД и требуют приобретения вместе с ними иностранного ПО.

«Так что желающие перехитрить ограничения не испытывают недостатка в возможностях»,— поясняет господин Панченко.

Многие разработчики регистрируют свои программные продукты в реестре с явными нарушениями, согласен исполнительный директор ассоциации ЭБНИТ (производитель ИРБИС64) Борис Маршак. По его словам, зачастую ПО, зарегистрированное как отечественное, использует продукты тех же Oracle и Microsoft и «сложно сказать, это заведомый обман разработчиков или недогляд Минкомсвязи».

Вредоносов в open source стало почти в 12 раз больше за два года

Эксперты компании «Информзащита» заявили о резком росте числа вредоносных программ в экосистемах софта с открытым исходным кодом. По их данным, за последние два года количество таких случаев увеличилось почти в 12 раз, причём основной всплеск пришёлся уже на начало 2026 года — на этот период пришлось более 80% всех зафиксированных инцидентов.

Параллельно растёт и практический эффект для бизнеса. Как отмечают исследователи, уже более половины компаний сообщили, что находили в своих цепочках поставки ПО подозрительные или подтверждённо вредоносные сторонние пакеты.

Причина, по сути, лежит на поверхности: современная разработка слишком сильно завязана на внешние компоненты. По оценке экспертов, доля опенсорс-кода в корпоративных приложениях сегодня может достигать 70–90%. А это значит, что вместе с несколькими прямыми зависимостями в проект часто приезжают ещё сотни транзитивных — и вся эта конструкция становится всё менее прозрачной и всё более сложной для контроля.

На этом фоне злоумышленники всё активнее действуют через доверие к экосистеме. Один из главных сценариев — компрометация аккаунтов разработчиков и мейнтейнеров пакетов. По данным «Информзащиты», в 2025 году число атак через захват таких учётных записей выросло более чем в 12 раз год к году. После этого вредоносный код может распространяться под видом вполне обычного обновления.

Отдельной проблемой стал и так называемый slopsquatting. Это схема, при которой злоумышленники заранее регистрируют пакеты с названиями, похожими на те, что могут «придумать» ИИ-ассистенты в ответ на запрос разработчика. Дальше всё просто: человек доверяет подсказке, ставит несуществовавшую раньше библиотеку — и получает зловред.

Ситуацию усугубляет любовь индустрии к быстрым обновлениям. По оценке экспертов, около 60% команд внедряют новые версии компонентов не реже одного раза в неделю. Из-за этого окно между публикацией вредоносного пакета и его попаданием во внутреннюю инфраструктуру компании может сократиться буквально до нескольких часов. При этом только 21% организаций сознательно выдерживают паузу перед установкой новых версий.

Есть и ещё одна проблема: не все вообще хорошо понимают, что именно у них используется. Примерно четверть компаний, как утверждают в «Информзащите», до сих пор не имеют централизованного контроля за источниками библиотек и их обновлениями.

Сильнее всего, по оценке экспертов, рискуют отрасли с высокой скоростью разработки и большим количеством внешнего кода. На ИТ и разработку ПО приходится 28% выявленных инцидентов, на финансовый сектор — 19%, на ретейл и электронную коммерцию — 17%, на телеком — 12%, на энергетику и промышленность — 9%. Остальные случаи распределяются между медиа, образованием и госсектором.

В самой «Информзащите» считают, что старый подход к open source как к удобному и почти бесплатному строительному материалу больше не работает. Если раньше основная головная боль была в уязвимостях легитимного кода, то теперь всё чаще речь идёт о прямом вредоносном содержимом, которое выглядит как штатное обновление и может попасть в инфраструктуру практически мгновенно.

Специалисты рекомендуют жёстче контролировать источники пакетов, использовать внутренние репозитории, фиксировать версии зависимостей, не обновляться вслепую и лучше защищать рабочие места разработчиков и сборочные контуры.

RSS: Новости на портале Anti-Malware.ru