Партнёрские сети в сфере информационных технологий

3 февраля 2012 года вступил в силу указ Президента Российской Федерации №803 «Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации». Документ ввёл понятие единой государственной системы обнаружения и предупреждения компьютерных атак на критически важную информационную инфраструктуру. Он дал определение силам и средствам обнаружения, предупреждения атак, а также силам и средствам ликвидации последствий инцидентов.

11 февраля 2013 года вступил в силу приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК) России №17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах». Этот приказ установил четыре класса защищённости информационных систем. Самый низкий класс – четвёртый, самый высокий – первый.

18 февраля 2013 года вступил в силу приказ ФСТЭК России №21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Этот приказ определил технические и организационные меры по защите персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления доступа и распространения персональных данных, а также иных возможных неправомерных действий.

15 января 2013 года вступил в силу Указ Президента РФ №31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации». Этот указ инициировал создание государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), определил основные задачи системы. На ФСБ России были возложены полномочия по созданию и обеспечению функционирования ГосСОПКА на базе Национального координационного центра по компьютерным инцидентам (НКЦКИ).

Создание системы ГосСОПКА на фоне набирающей обороты кибервойны с Западом было прорывным шагом для детектирования атак на критически важную инфраструктуру.

14 марта 2014 года вступил в силу приказ ФСТЭК России №31 «Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами (АСУ ТП) на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды». Приказ указал на необходимость модернизации систем защиты АСУ ТП и приведение их в соответствие с новыми требованиями, а также проведения периодической проверки соответствия в форме обязательной сертификации.

17 мая 2014 года принят и введён в действие распоряжением Банка России от №Р-399 Стандарт Банка России СТО БР ИББС-1.0—2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации / Общие положения». Этот стандарт заменил СТО БР ИББС-1.0—2010 и внёс серьёзный вклад в развитие информационной безопасности в банковской сфере Российской Федерации, поскольку в явном виде регламентировал использование специализированных решений по целому ряду направлений.

1 июня 2014-го года появились рекомендации в области стандартизации Банка России РС БР ИББС-2.5—2014 «Менеджмент инцидентов информационной безопасности» (распоряжение Банка России от 17 мая 2014 года №Р-400), которые прекрасно дополнили ранее опубликованный стандарт СТО БР ИББС-1.0—2014.

На фоне всего этого развивался новый финансовый кризис 2014—2015 годов, нанёсший сильный удар по партнёрским сетям и проектам, в рамках которых планировалось поставлять дорогостоящие решения класса Enterprise. Сложности дистрибьюторов в тот период:

1. Отмена или перевод в «замороженное» состояние большого количества проектов в сфере ИТ, поскольку именно ИТ-бюджеты в период кризиса клиентами урезались в первую очередь.

2. Дебиторская задолженность партнёров и отказы от оплаты со стороны конечных заказчиков, даже по уже успешно прошедшим конкурсам.

3. Увеличение сроков поставок оборудования из-за сложностей с его производством и логистикой.

4. Сильно меняющийся курс валюты, что критично при поставках импортных решений.

Лучше всего эту ситуацию характеризует история §18.5. «Кризисный форс-мажор».

Другой стороной этого кризиса стало то, что на фоне высокого уровня волатильности курса валют дистрибьюторы начали предлагать своим партнёрам использовать новый инструмент для крупных сделок – банковское хеджирование валютных рисков.

В 2014-м году прозвучал тревожный звонок от реализуемой западной политики в отношении Российской Федерации. Именно в этот период против некоторых предприятий России были введены точечные санкции, а некоторые крупные американские ИТ-компании их поддержали. В итоге компаниям под санкциями, уже успевшим официально приобрести некоторые американские ИТ-решения, было отказано в технической поддержке и обновлении программного обеспечения. При этом деньги за предоплаченную вперёд техническую поддержку клиентам так и не вернули, а ряд готовящихся поставок был просто сорван.

Информация о ненадёжности использования западных решений из-за санкций довольно быстро облетела весь российский рынок, поднялась волна обсуждения необходимости в импортозамещении. Однако эта идея столкнулась с двумя важными факторами, которые на тот момент казались непреодолимыми:

• Количество собственных разработок было относительно небольшим, а по некоторым направлениям российских решений не было совсем.

• Качество имеющихся российских решений в основном сильно уступало западным по функционалу и надёжности. И поскольку западные решения продолжали продаваться на российском рынке, приходилось с ними конкурировать.

Большинство российских заказчиков предпочитало комфорт и надёжность, пусть и за более высокую цену. Российские решения на фоне такой конкуренции продавать было сложно. Это можно сравнить с побегами деревьев, которые пытаются прорости без солнечного света под густой кроной больших деревьев. Ещё сказался и сильный временной отрыв в сроках разработки. Например, при сравнении российских SIEM-решений с американскими становилось очевидно: то, что разрабатывалось уже 15—20 лет, наверстать по объёму функционала крайне сложно, и для этого нужны огромные вливания в разработку. На фоне ограниченных покупок российских решений это выглядело совершенно невозможным. Отечественные разработки продолжали улучшаться в пределах скромных возможностей, часто на простом энтузиазме и вере, что когда-нибудь ситуация изменится и российские решения станут более востребованными.

В последующие годы режим западных санкций против российских компаний и целых секторов бизнеса только усилился. Юристы западных вендоров стали ориентироваться на 3 отдельных списка:

• санкции США против России;

• санкции Европейского Союза против России;

• санкции Украины против России.

Именно эти списки и их постоянное обновление привели к тому, что западные вендоры всё чаще стали отказываться работать с заказчиками из России, находя различные причины для ухода с рынка. Сотрудники западных вендорских компаний в частных разговорах признавались, что им угрожали огромными персональными штрафами за нарушение санкций. Страх представителей вендоров нарушить санкции привёл к тому, что все заказы из России и стран СНГ стали проверяться по трём указанным выше спискам. И наличие заказчика в списке было достаточно, чтобы пришёл отказ в поставке.

Однако тщательное изучение сути санкций привело к однозначному пониманию того, что они не запрещают поставки программных и аппаратных средств российским компаниям, только если самое решение не имеет двойного назначения. В «двойном назначении» никто из вендоров признаваться не хотел, а ограничения больше относились к финансовой сфере. В основном это был запрет на кредитование по суммам и на срок более 90 дней. Те вендоры, чьи юристы вчитались в смысл санкций, продолжили работать в России и продавали свои решения.

29 июня 2015 года Президент России Владимир Владимирович Путин подписал разработанный Минкомсвязи федеральный закон №188 о создании единого реестра российского программного обеспечения. Закон вступил в силу с 1 января 2016 года. Первыми в реестр российского софта попали продукты от компаний «Ред Софт» и «1С».

26 июля 2017 года вступил в силу Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Он регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры (КИИ) Российской Федерации, в целях её устойчивого функционирования при проведении компьютерных атак. В законе описывается регламент категорирования, под которым понимается установление соответствия объекта КИИ критериям значимости и показателям их значений, присвоение объекту одной из категорий значимости, проверку сведений о результатах её присвоения.

Закон о КИИ был прорывным, потому что признавал критической любую инфраструктуру, выход которой из строя может нанести значительный вред, глобальные потери или катастрофы. И эту инфраструктуру предписывалось защищать особым образом, предпочтительно с помощью российских решений, а также делать периодические аудиты безопасности и отчитываться надзорным органам о соответствии требованиям. По сути, этот закон дал зелёный свет российскому ПО во все организации, которые признавались КИИ, а также сформировал отдельную сферу в области аудита КИИ на соответствие требованиям.

В августе того же 2017-го года Банком России был опубликован Национальный стандарт РФ для безопасности финансовых (банковских) операций – ГОСТ Р 57580.1—2017 (приказ Росстандарта №822-ст от 8 августа 2017 года, введён в действие с 1 января 2018 года). Документ содержит требования к организации всех основных процессов информационной защиты, включая противодействие вредоносному коду, утечкам информации, а также нарушению целостности информационной инфраструктуры. Отдельно рассмотрены требования к защите информации при осуществлении удалённого доступа с использованием мобильных устройств. Стандарт предлагает комплексный подход к планированию, реализации, контролю и совершенствованию процесса защиты информации в финансовых организациях. Также в документе приведены требования к защите информации на всех этапах жизненного цикла автоматизированных систем и приложений, используемых компаниями и банками.

25 декабря 2017 года вступил в силу приказ ФСТЭК России №239 «Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации». В нём более подробно описано то, как реализовывать меры по обеспечению ИБ для КИИ согласно каждому уровню критичности информационных систем, описанных немного ранее в 187-ФЗ. Согласно предлагаемой ФСТЭК России методологии принцип построения подсистемы защиты информации для КИИ можно свести к трём этапам:

1. Проведение аудита информационных систем и процессов организации.

2. Моделирование угроз и формирование рекомендаций по их нейтрализации, а также формирование перечня мер по обеспечению информационной безопасности.

3. Построение и ввод в эксплуатацию подсистемы защиты информации.

7 мая 2018 года вышел указ Президента Российской Федерации №204 «О национальных целях и стратегических задачах развития Российской Федерации на период до 2024 года», где в явном виде прописано «использование преимущественно отечественного программного обеспечения государственными органами, органами местного самоуправления и организациями». Курс на импортозамещение для госучреждений был обозначен чётко и строго, а для государственного сектора это стало прямым указанием переводить свои ИТ-инфраструктуры на российские решения.

Примерно в это же время дистрибьюторы начали расширять свои продуктовые линейки и добавлять в них российские решения, а на сайтах дистрибьюторов начинали появляться разделы «Импортозамещение» с рекомендациями замены наиболее популярных западных решений на аналогичные российские.

19 июня 2019 года был опубликован приказ ФСБ России №282 «Об утверждении порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведённых в отношении значимых объектов критической информационной инфраструктуры Российской Федерации». Приказ обязал всех субъектов КИИ передавать информацию о любых значимых компьютерных инцидентах в НКЦКИ. На основе этого приказа в дальнейшем целый ряд российских производителей систем информационной безопасности реализовали интеграцию с ГосСОПКА для отправки в её сторону оперативной и детальной информации о наиболее важных инцидентах. В Российской Федерации такой функционал рассматривается как конкурентное преимущество решения.

В этот же период появились понятия «электронной» и «облачной» дистрибьюции. Лидерами в данной области стали такие дистрибьюторы, как Axoft и MONT. Именно они первыми предложили своим партнёрам закупки лицензий практически без участия человека, прямо в режиме онлайн. Доля таких заказов постепенно росла. Справедливости ради необходимо отметить явный минус электронных заказов: отсутствие возможности предложить более дорогую версию товара и кросс-сейла. Но всё же, направление можно назвать прорывным за счёт существенного снижения затрат на оформление заказов. Будущее в области дистрибьюции явно будет строиться на базе ускорения любых бизнес-процессов.

Итоги этапа: он стал периодом «ренессанса» в области дистрибьюции и развития партнёрских сетей, эволюции партнёрских программ и автоматизации бизнес-процессов. Этап также стал началом противостояния с Западом в направлении санкций и противостояния в киберсфере, что потребовало консолидации властей Российской Федерации, активизацию в области законодательства, а также перевод в практическое русло идеи импортозамещения в области ИТ/ИБ. Новая юридическая база дала сильный толчок для всей сферы ИТ, сформировала новые ниши и открыла дорогу для российских производителей в государственном секторе, а также в организациях с критической информационной инфраструктурой. Количество зарегистрированных российских программ в едином реестре на конец 2019-го года составил примерно 6 800. Выявлены попытки регистрации в реестре решений западных вендоров под видом российских – с такими случаями начата открытая борьба.

Этап стал удивительным по насыщенности событий и яркости достижений. Под его занавес, в декабре 2019-го года, в китайском городе Ухань впервые была зафиксирована вспышка заболеваемости коронавирусом SARS-CoV-2. Таким было преддверие следующего этапа…

§3.1.4. Этап №4: 2020-е годы в России

30 января 2020 года Всемирная организация здравоохранения (ВОЗ) объявила вспышку коронавируса чрезвычайной ситуацией в области общественного здравоохранения, имеющей международное значение. А уже 11 марта ВОЗ объявила пандемию, которая официально длилась 3 года 1 месяц и 24 дня.

8 декабря 2020 года был принято Федеральный закон №407-ФЗ «О внесении изменений в Трудовой кодекс Российской Федерации в части регулирования дистанционной (удалённой) работы и временного перевода работника на дистанционную (удалённую) работу по инициативе работодателя в исключительных случаях», по которому предусматривалось выполнение работником трудовой функции дистанционно на постоянной основе или временно. Федеральный закон вступил в силу с 1 января 2021 года.

Для того, чтобы работать в удалённом режиме, сотруднику требуется защищённый канал связи с офисной инфраструктурой, а также доступ к основным корпоративным системам. Оказалось, что в крупных компаниях чаще всего к такому режиму были готовы и основной базовый функционал для «удалёнки» уже был доступен. У таких компаний встал лишь вопрос масштабирования. В средних и небольших компаниях потребовалось оперативно решать вопрос организации дистанционной работы, и это дало толчок для развития продаж целого пласта ИТ-решений, позволяющих удалённым сотрудникам оставаться «на связи», эффективно работать, общаться и делать всё это в защищённом режиме.

Системные интеграторы и дистрибьюторы в период пандемии предлагали собственные подборки решений, которые можно было бы использовать для улучшения комфортности работы дистанционно. В целом, такой подход сыграл позитивную роль как для развития рынка ИТ-решений, так и для готовности компаний к режиму удалённой работы в будущем. К слову, во многих компаниях и после пандемии продолжили работать в удалённом режиме, минимизируя расходы на офис.

31 июля 2020 года Федеральным законом №265-ФЗ были внесены поправки в Налоговый кодекс РФ в части оснований для освобождения от НДС при реализации прав на программы для ЭВМ и базы данных. Поправки в кодекс по «налоговому манёвру в ИТ-отрасли» вступили в силу с 1 января 2021 года, и с этого момента российские решения из реестра отечественного ПО получили преимущество перед иностранными в виде 20% НДС.

24 февраля 2022 года в Российской Федерации была объявлена специальная военная операция (СВО) по защите Донецкой и Луганской Народных Республик. Этот момент уже можно назвать переломным для развития сферы ИТ в Российской Федерации.

После начала СВО многие западные вендоры объявили о поддержке ужесточения санкций и прекратили свою работу в Российской Федерации и Республике Беларусь. С одной стороны, это создало сложности для большого количества заказчиков, кто уже внедрил и использовал в своей ИТ-инфраструктуре западные решения. Ведь они в один момент остались без поддержки и обновлений от вендоров, при этом возврата денег за предоплаченную вперёд техподдержку опять не произошло. С другой стороны, российский рынок наконец освободился от жёсткой конкуренции западных решений. Для российских разработчиков открылись целые ниши, где можно и нужно было прилагать свои усилия.

Параллельно с санкциями, сразу после начала СВО, была начата самая настоящая кибервойна против Российской Федерации. Ударам подвергались все объекты и ресурсы государственных органов, до которых могли дотянуться хакеры и западные спецслужбы. На фоне постоянного потока новостей о взломах и DDoS-атаках на ресурсы критической информационной инфраструктуры всем стало понятно и очевидно, что подведённая ранее юридическая база под обновление ИТ-инфраструктуры и систем информационной безопасности была правильной, обоснованной.

Интересно было наблюдать за поведением заказчиков в тот период. Оно прошло несколько ярко выраженных стадий, под которые пришлось подстраиваться партнёрам и дистрибьюторам: