Импортозамещение без нарушения бесперебойности процессов
- Рано или поздно импортозамещение затронет все российские организации.
- Важно понять, какие требования по срокам импортозамещения касаются вашей компании. Но даже если вы не должны экстренно переходить на отечественное ПО, проработать план миграции лучше заранее.
- Процесс импортозамещения стоит начать с инвентаризации цифровых активов и анализа воздействия на бизнес (business impact analysis, BIA): это поможет определить критичные процессы и связанные с ними IT‑решения.
- При выборе аналога ПО важно проверять вендоров на аффилированность с недружественными странами, организовывать пилотные проекты или тестирование в независимых лабораториях.
- Использование сервисной модели позволяет сэкономить время и избежать ошибок в процессе импортозамещения.
В 2022 году российские организации столкнулись с новыми вызовами. Западные технологические компании стали массово уходить из России: за пару месяцев страну покинули более десятка зарубежных вендоров из сферы кибербезопасности, в том числе Cisco, Fortinet, IBM, Microsoft, Norton, Avast. Из‑за этого в бизнес‑процессах и защите предприятий образовались бреши, так как компаниям пришлось экстренно искать замену среди отечественных продуктов. Все это — на фоне возросших киберугроз: в первом полугодии число атак на российский бизнес выросло в 15 раз
В такой ситуации вопросы импортозамещения и кибербезопасности были признаны приоритетными на самом высоком уровне. Это отразилось в двух указах Президента РФ: указ № 166
Софтом и оборудованием новые требования по импортозамещению не ограничиваются. Например, по указу № 250, который затрагивает очень многие российские организации:
- на киберинциденты должны реагировать только аккредитованные центры государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА);
- к обеспечению кибербезопасности можно привлекать только организации с лицензиями ФСТЭК и ФСБ.
При этом вводится персональная ответственность руководителя компании за обеспечение киберзащиты предприятия.
Для дальнейшего регулирования процесса импортозамещения в IT и кибербезопасности готовится множество документов — от постановлений правительства до методичек ФСБ. Новые нормативные правовые акты могут еще сильнее изменить эту сферу в России.
Однако уже сейчас можно дать некоторые рекомендации по импортозамещению, и первая — определить, касаются ли вашей компании указания по срокам этого процесса.
Сейчас требования законодательства предполагают, что узкий круг организаций обязан заменить большое количество IT‑продуктов, а широкий круг компаний — конкретную группу решений:
- Значимые объекты критической информационной инфраструктуры (КИИ) нужно полностью перевести на отечественное ПО к 1 января 2025 года
. - Все предприятия КИИ должны отказаться от решений по кибербезопасности из недружественных стран
. Дедлайн тот же — 1 января 2025 года.
Значимые объекты КИИ — это четко определенная группа. В нее входят те объекты КИИ, которым по специальной процедуре присвоена одна из категорий значимости
В случае с предприятиями КИИ все немного труднее. Вот как можно понять, относится ли к ним ваша компания.
Во‑первых, проверьте, входит ли организация в какой‑либо из утвержденных правительством списков стратегических
Во‑вторых, самостоятельно оцените, относится ли организация к 13 критически важным сферам деятельности, обозначенным в законе № 187‑ФЗ
- здравоохранение;
- наука;
- транспорт;
- связь;
- энергетика;
- банковская сфера и иные сферы финансового рынка;
- топливно‑энергетический комплекс;
- атомная энергетика;
- оборонная промышленность;
- ракетно‑космическая промышленность;
- горнодобывающая промышленность;
- металлургическая промышленность;
- химическая промышленность.
Особый случай — дочерние общества, организации в составе группы компаний, холдинга или корпорации. Такому предприятию не стоит ограничиваться проверкой по спискам — лучше уточнить в головной компании, распространяются ли на него эти требования.
Далее мы опишем два варианта действий для безболезненного импортозамещения: сперва для тех, кому нужно сделать это в сжатые сроки, а чуть ниже — для тех, у кого еще есть время подготовиться.
Допустим, в вашей организации уже принято решение о переходе на российские технологические продукты. Воспользуйтесь нашим алгоритмом из 5 шагов, чтобы оптимально выстроить процесс импортозамещения.
Первым делом определите, из чего состоит инфраструктура и как IT‑процессы связаны между собой. Это позволит более четко спланировать импортозамещение.
- Составьте полный перечень информационных активов, задействованных в компании. Вот что подлежит инвентаризации:
- ПК и ноутбуки;
- ПО;
- серверы;
- периферийные и офисные устройства — принтеры и пр.;
- сетевая инфраструктура;
- средства защиты информации;
- информационные системы — CRM, системы электронного документооборота, автоматизированные системы управления технологическими процессами (АСУ ТП) и пр.
- Соберите подробную информацию обо всем ПО и оборудовании из перечня: от конфигурации и производителя до дат приобретения, последнего обновления и срока окончания техподдержки. Желательно указать, какие решения обмениваются данными, взаимодействуют или интегрированы друг с другом, — в дальнейшем это поможет просчитать риски, связанные с заменой активов.
- Выясните, на какие бизнес‑процессы влияет тот или иной актив, — это пригодится далее при проведении BIA.
- Составьте список решений, которые необходимо импортозаместить.
На этом шаге вам пригодится анализ воздействия на бизнес (business impact analysis, BIA). Он позволяет оценить критичность последствий реализации различных рисков и событий для компании. Опираясь на методологию BIA, будет проще принимать обоснованные решения о замене IT‑продуктов.
- Идентифицируйте и опишите продукты, услуги и бизнес-процессы компании.
- Определите поддерживающие бизнес-процессы, например финансы, HR, снабжение, юридическое сопровождение, IT‑поддержку, безопасность.
- Соотнесите процессы и IT‑решения, которые в них используются: АСУ ТП, каналы доступа, средства защиты информации, облачные сервисы и пр. Это поможет понять глубину зависимости бизнес‑процессов от работоспособности используемых систем. Чем выше зависимость, тем тщательнее нужно оценивать риски при импортозамещении системы или ее частей.
- Определите, какие подразделения зависят от IT‑систем — кто их пользователи и кого в первую очередь затронет замена. Это уточнит представление о критичности активов.
- Проанализируйте последствия, которые могут возникнуть в случае сбоя IT‑систем.
- Установите, есть ли в компании ресурсы для обеспечения непрерывности бизнеса при сбое, разработаны ли альтернативные способы выполнения критических процессов.
- Рассчитайте нормативы восстановления после сбоя — на них можно будет ориентироваться при подборе аналогов иностранных решений:
- MTPD (maximum tolerable period of disruption) — максимально допустимый период сбоя при нарушении бизнес-процесса, время, по прошествии которого воздействие на бизнес становится недопустимым. Как правило, устанавливается по верхней или нижней границе критического ущерба.
- MTDL (maximum tolerable data loss) — максимально допустимая потеря данных. Как правило, устанавливается по верхней или нижней границе критического ущерба.
- RTO (recovery time objective) — целевое время восстановления, период, в течение которого система или процесс может оставаться недоступным в случае аварии или сбоя.
- RPO (recovery point objective) — целевая точка восстановления, максимальный период времени, за который могут быть потеряны данные.
Отталкивайтесь от критичности процесса и величины ущерба, к которому может привести реализация риска.
Вот что потребуется для анализа рисков по методу BIA:
- группа экспертов для оценки и разработки плана непрерывного ведения бизнеса;
- исходные показатели контекста и бизнес‑процессов;
- детальное описание бизнес‑процессов организации, включая все взаимодействия с внешними контрагентами;
- историческая информация, описывающая последствия, вызванные сбоями критических процессов;
- список оунеров процессов.
Обычно для сбора таких вводных проводят анкетирование и привлекают экспертов по управлению цифровыми рисками — они помогают провести оценку рисков быстро и правильно.
После того как вы провели инвентаризацию цифровых активов и оценили степень их критичности по методу BIA, нужно подобрать IT‑продукты на замену иностранным. Вот какими советами можем тут поделиться.
- Чтобы упростить поиск, ориентируйтесь на российский и евразийский реестры ПО. Во втором пока насчитывается несколько десятков решений, зато в первом — уже более 14 тыс. программных продуктов всех классов. Включение в реестр — это гарантия, что решение соответствует требованиям законодательства в части импортозамещения.
- Убедитесь, что продукт соответствует требованиям регуляторов, имеет сертификаты ФСБ, ФСТЭК России.
- Проверяйте аффилированность компании‑вендора. Обращайте внимание на состав:
- собственников;
- членов органов управления;
- лиц, имеющих право распоряжаться общим количеством голосов.
Таким образом вы сокращаете вероятность, что в будущем вам придется снова проходить через весь процесс импортозамещения.
К этому шагу вы подобрали альтернативные IT‑решения, которые подходят для замещения импортных. Прежде чем начинать переезд, важно ответить на следующие вопросы:
- Будет ли продукт работать в существующей инфраструктуре?
- Сможет ли он эффективно решать поставленные задачи?
- Насколько сложным и долгим будет его внедрение?
Для ответа на эти вопросы запускают интеграционные проекты:
- развертывают пилотную зону;
- привлекают специалистов для тестирования;
- составляют программу тестирования продукта (методики функциональных, нагрузочных, интеграционных испытаний);
- проводят тесты.
Результаты дадут представление, как ПО и оборудование встроятся в текущую систему, получится ли соответствовать целевым показателям RTO и RPO. Это тем важнее, чем критичнее продукт для бизнес‑процессов. Однако для любого проекта по импортозамещению не будет лишним подготовить план на случай, если что‑то пойдет не так.
Если вы никогда не сталкивались ни с чем подобным, на запуск могут уйти месяцы. В эти сроки входят не только интеграционный проект, но еще закупка решения, его установка и миграция всей инфраструктуры.
Упростить процесс можно за счет аутсорсинга. Внешние эксперты способны взять на себя такие задачи:
Проектирование миграции. Архитектор IT‑систем изучит технические детали и разработает план перехода. Эта документация позволит избежать расхождений между ожидаемым и реальным результатом внедрения.
Тестирование продукта. В случае аутсорсинга проверку проводят в эмулированной среде, которая воссоздает условия реальной инфраструктуры вашей компании. По результатам эксперты предоставляют отчет — вам останется только изучить его и принять решение.
Внедрение продукта. Поставщики такой услуги освобождают вам ресурсы, забирая работу по установке и настройке продукта на себя. Они знакомы с типовыми трудностями, которые возникают при внедрении продукта, и заинтересованы в том, чтобы его работа устраивала заказчика. Поэтому такие эксперты помогают ускорить интеграцию и получить максимальный эффект от нового решения.
Этап поиска специалистов, способных обслуживать новые решения, завершает наш алгоритм. Однако работа в кадровом направлении фактически будет идти параллельно.
Во‑первых, уже сейчас организациям, подпадающим под действие президентского указа № 250, предписано назначить ответственного за кибербезопасность. Причем к нему предъявляются высокие требования — он должен:
- занимать позицию не ниже заместителя руководителя организации и входить в состав коллегиальных органов (например, совета директоров);
- иметь высшее образование в сфере информационной безопасности либо профессиональную переподготовку по программе длительностью не менее 360 часов, согласованной с ФСТЭК или ФСБ;
- проходить повышение квалификации не реже чем раз в 5 лет.
Во‑вторых, этим организациям требуется создать или назначить структурные подразделения по обеспечению информационной безопасности. Если для этого нужно будет нанять дополнительных людей, поиск может затянуться: в России не хватает сотен тысяч квалифицированных специалистов в этой области
В‑третьих, вам могут понадобиться сотрудники, которые возьмут на себя организацию самого процесса импортозамещения. На них высокий спрос: после ввода санкций количество предложений о работе для таких специалистов выросло в 1,5 раза
- поддерживать в актуальном состоянии концепцию развития IT‑инфраструктуры, где нужно заместить импортные продукты;
- проводить анализ рисков использования иностранного ПО;
- тестировать отечественные аналоги на совместимость с имеющимися системами;
- составлять аналитические заключения для руководителей высшего звена.
Поэтому не стоит откладывать задачи, связанные с подбором персонала. Учитывая срочную потребность в кадрах, дефицит на рынке и тот факт, что компания вряд ли закладывала в бюджет наем специалистов по кибербезопасности и импортозамещению, эти вопросы могут стать головной болью.
Одно из решений — изучить текущий кадровый потенциал. Вполне возможно, что в вашей организации найдутся сотрудники, готовые охватить хотя бы часть работ или пройти обучение. В качестве одного из сценариев предложите повысить квалификацию оунерам процессов в сфере импортозамещения.
Другой вариант — перейти на аутсорсинговую модель безопасности и воспользоваться управляемыми сервисами безопасности (managed security services, MSS). Так вы сможете получить по подписке специалистов любого уровня — от администраторов средств защиты информации до CISO. Кроме того, такая модель экономит ресурсы компании на закупку оборудования и софта: все нужные экспертам инструменты обеспечивает вендор. Это не только позволяет перевести капитальные расходы в операционные, но и снимает часть вопросов по импортозамещению.
Если регуляторы не требуют, чтобы ваша организация срочно перешла на российские продукты, у вас есть время оценить все аргументы за и против импортозамещения IT‑решений.
С одной стороны, миграция на новые продукты отнимет ресурсы, займет много времени и потребует внимания к кадровым вопросам:
- Финансы. Замена оборудования и ПО — это новые расходы, которые вряд ли были заложены в бюджеты компаний.
- Время. Нужно будет встроить новый IT‑актив в комплексную систему, настроить взаимодействие со всеми связанными решениями, переобучить сотрудников. Этот процесс может занимать месяцы, а иногда и год.
- Кадры. Чтобы организовать трансформацию систем компании, вам, скорее всего, понадобятся дополнительные сотрудники, ведь текущие задачи не исчезнут. При этом российский рынок труда в IT — это рынок кандидата, и дефицит растет. Так, в 2022 году Россию покинули около 100 тыс. IT‑специалистов
.
С другой стороны, сегодня много рисков работы с иностранным ПО и оборудованием:
- Заморозка оплаченных лицензий и подписок. Как показал опыт весны 2022 года, о таком решении вендор может сообщить накануне заморозки или не предупредить вообще, не возвращая деньги. При этом может выпасть ключевой элемент из IT‑инфраструктуры, открыться уязвимость из‑за отключения средств защиты и так далее.
- Снижение уровня безопасности из‑за отсутствия обновлений. Некоторые вендоры продолжают обслуживать действующих клиентов и прекратили только заключение новых договоров. Но даже в этом случае рано или поздно ПО перестанет обновляться, а значит, не будут исправлены программные ошибки предыдущих версий. В результате возникнут сбои в работе, а также бреши в безопасности.
- Усложнение закупок и логистики. Серверы, коммутаторы, маршрутизаторы — комплектующие поставляются из‑за рубежа, а обходной путь, который работает сегодня, может оказаться недоступным завтра.
- Необходимость экстренного импортозамещения. Не исключено, что список компаний, к которым предъявляются требования по импортозамещению, будет расширяться. Если не готовиться к этому, все проблемы миграции, которые мы указали выше, придется решать в сжатые сроки.
Пока инфраструктура стабильно работает, мы бы советовали запланировать постепенный переход на отечественные аналоги. Для ориентира можно использовать российский и евразийский реестры ПО.
Однако просчитать последствия обоих сценариев для бизнеса, остаются в инфраструктуре зарубежные решения или замещаются, стоит каждой компании с учетом ее индивидуальных условий.
Вот еще несколько критериев, которые помогут разобрать каждое решение и определиться.
Тип лицензии. Если компания работает с зарубежным вендором по подписочной модели, она может оказаться в ситуации vendor lock-in, или привязки к нему. Уход такого вендора с рынка повлечет очень серьезные последствия для компании. Например, часть инфраструктуры расположена в облаке внешнего провайдера, мигрировать сложно из-за разницы в стандартах или несовместимости процессов. Уйдет поставщик — размещенные в облаке системы могут оказаться недоступны. Такие решения надо заменять срочно.
Способ развертывания. Как правило, сервисная модель с арендованными мощностями обеспечивает наибольшую пользу для бизнеса с наименьшими затратами. Однако, если решение развернуто вне периметра компании, а поставщик нарушает обязательства, контролировать непрерывность процессов гораздо сложнее.
Уровень критичности автоматизированных процессов и оборудования. Под критичными принято понимать процессы и системы, непосредственно связанные с обеспечением бесперебойной работы компании. Если в них что‑то идет не так, с каждым часом последствия сбоя усугубляются — вплоть до полного отключения инфраструктуры и убытков, которые невозможно компенсировать. Для оценки критичности IT‑систем мы рекомендуем использовать BIA, чтобы отталкиваться от величины возможного ущерба.
Дата последнего обновления ПО. Идеальных программ не существует: в любом продукте рано или поздно обнаруживаются уязвимости. Поэтому необходимо проверить, какая версия ПО установлена сейчас, принять решение, стоит ли ее обновлять, и выяснить, обнаружены ли в ней баги, выпущены ли патчи и получится ли их применить.
Дополнительно стоит оценить, доступен ли вам такой способ упростить процессы импортозамещения, как аутсорсинг. Внешние эксперты могут:
- Спроектировать перестройку и улучшение инфраструктуры. Консультанты соберут требования к системе, а на их основе предложат технические и организационные решения, подходящие под бюджет.
- Встроить продукт в текущую инфраструктуру. Если привлечь к этому инженеров внедрения, организация сэкономит время и освободит ресурсы штатных сотрудников для других задач. А еще так можно получить максимальный эффект от нового решения, потому что эксперты знают, как оптимально его настроить и избежать распространенных проблем.
- Предоставить сервис, который выполнит те же задачи, что вы решаете сами с помощью иностранного ПО или оборудования. Так получится быстрее разобраться с вопросом импортозамещения: подключение сервиса отнимает дни и недели, а не месяцы.
Однако важно понимать, что для этого потребуется делиться данными со сторонними экспертами, а часть процессов может оказаться вне вашей зоны контроля. Поэтому необходим высокий уровень доверия к поставщику таких услуг.
- Назначить ответственного за импортозамещение.
- Подобрать команду.
- Выполнить инвентаризацию цифровых активов.
- Провести анализ воздействия на бизнес (BIA) и выяснить, какие продукты требуют немедленного замещения, а какие могут подождать.
- Проанализировать российский и евразийский реестры ПО и сформировать пул продуктов, которые могут подойти для импортозамещения.
- Выяснить, готовы ли сотрудники к работе с российскими решениями.
- Рассмотреть сервисную модель IT и кибербезопасности.
- Разработать и согласовать со всеми заинтересованными лицами техническое решение по переезду на новый продукт.
- Спланировать бюджет на миграцию.
- Оценить, получится ли привлечь внешних экспертов для тестирования и интеграции нового продукта.
- Запустить процесс внедрения.
- Найти и обучить кадры.
Пройти путь импортозамещения можно по‑разному, но сделать это, вероятно, придется всем российским компаниям. Поэтому мы рекомендуем уже сейчас взвесить риски и наметить план перехода на российские решения.
Чтобы импортозамещение прошло максимально безболезненно и не мешало бизнес‑задачам, можно передать его на аутсорсинг. Внешние эксперты помогут подобрать и безопасно интегрировать продукты в IT‑инфраструктуру, сохранив непрерывность деятельности компании.