Как ожидается, в результате пользователи и заказчики смогут выбирать российские программы, безопасность которых подтверждена независимой экспертизой. Разработчики доверенного ПО получат дополнительные преимущества при участии в государственных закупках. Основные требования к ПО выглядят следующим образом: отсутствие известных неустраненных уязвимостей, разработка, хранение исходного кода и сборка ПО в контролируемой среде на территории России, совместимость с российскими браузерами, средствами электронной подписи и т.д. Для включения программы в перечень доверенного ПО разработчик сможет добровольно пройти экспертизу в специализированных центрах. Сведения о соответствии требованиям будут отражаться в реестре российского ПО и в перечне ПО для собственных нужд.
Как отметил исполнительный директор Ассоциации разработчиков программных продуктов (АРПП) "Отечественный софт" Ренат Лашин, АРПП участвовала совместно с Минцифры в разработке подобных требований, однако при утверждении постановления они не вошли в документ. "Их цель состоит в повышении технологической зрелости и безопасности отечественного ПО, развитии совместимых российских решений", - говорит Лашин.
Он также добавил, что в АРПП положительно оценивают уточнение требований совместимости с доверенными операционными системами и перенос сроков на год. Это даст разработчикам время на адаптацию и тестирование продуктов при условии своевременного утверждения методик проверки. При этом в ассоциации готовы представить предложения по доработке документа.
О правильности законодательного вектора "РГ" рассказали в ИТ-холдинге "Т1". К сильным сторонам инициативы там относят сдвиг от "бумажного" импортозамещения к реальному. Раньше реестр ПО подтверждал только права на код. Теперь фокус смещается на безопасность цепочек поставок. Не менее важны легализация и обязательность спецификации программного обеспечения. "Требование иметь актуальную информацию о компонентах заставит рынок всерьез заняться учетом открытых библиотек", - отметили в пресс-службе Т1.
Критерии в целом разумные, хотя к некоторым есть вопросы, комментирует Дмитрий Чиндяскин, заместитель технического директора "Софтлайн Решения".
"Например, отсутствие известных уязвимостей. В сложном программном обеспечении они периодически обнаруживаются, и это нормальная ситуация. Вопрос в том, насколько быстро разработчик отреагирует, устранит проблемы и выпустит обновления. На практике это гораздо важнее формального отсутствия уязвимостей на момент проверки", - полагает эксперт.
Вопросы вызывает и требование контролировать глобальную цепочку обновлений. "Требование разрабатывать и хранить код в РФ понятно. Однако вендорам придется копировать к себе и самостоятельно обновлять тысячи чужих библиотек, что колоссально увеличит стоимость поддержки", - отмечает собеседник "РГ" в отрасли.