Как импортозаместить ИБ: варианты для финтеха без команды

Отправной точкой для начала активного процесса импортозамещения в финансовом секторе являются указы Президента Р Ф от 30 марта 2022 г. № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации» и от 1 мая 2022 г. № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации».

В области финансового сектора регулирование процесса по импортозамещению начинается со ст. 57.5−1 Федерального закона от 10 июля 2002 г. № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)». Здесь кибербезопасность и импортозамещение уже нельзя разводить по разным проектам: требования к устойчивости сектора и к защите данных идут параллельно.

Ключевыми датами импортозамещения в области финансового сектора являются:

• 1 января 2025 г. — запрещается использовать иностранное программное обеспечение на принадлежащих значимых объектах КИИ, запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия.
• 1 января 2030 г. — переход субъектов КИИ на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах КИИ.
• 1 сентября 2025 г. — субъекты КИИ обязаны использовать программное обеспечение, включенное в Единый реестр российских программ для ЭВМ и баз данных, а также ПАК и средства защиты информации, соответствующие требованиям Правительства Р Ф.

2025 год уже прошел, но на текущий момент огромное количество организаций, функционирующих в финансовом секторе, не соответствуют требованиям законодательства РФ на 100%. Поэтому импортозамещение в информационной безопасности приходится планировать как отдельный контур работ.

Затраты финансовых организаций на ПО существенно выросли в последние годы на фоне необходимости импортозамещения. Доля нематериальных активов от капитала системно значимых банков увеличилась с 3,4% в 2020 году до 8,7% в 2024 году. ЦБ РФ предоставил послабления по вычету из капитала затрат на КИИ с целью снижения долгосрочных рисков в финсекторе. Мера должна помочь финсектору в выделении средств для дальнейшего импортозамещения без дополнительной нагрузки на капитал.

Импортозамещение ИБ — процесс комплексный и технически сложный. Он требует не только огромных финансовых затрат, но и основательной технической базы и глубокого анализа. Для компаний без собственной команды аутсорсинг ИБ и импортозамещение нередко становятся рабочей связкой: часть задач берут на себя внешние специалисты, а бизнес сохраняет темп перехода.

1. Несовместимость. Использование отечественных средств защиты с иностранным ПО и оборудованием может привести к техническим проблемам и простою системы.
2. Регуляторные требования. Частичная замена только одного компонента всей ИС не позволит в полном объеме выполнить требования законодательства в области импортозамещения.
3. Отсутствие своевременного получения обновлений и техподдержки иностранного ПО и оборудования подрывает независимость и снижает эффективность любой системы защиты информации.
4. Риски уязвимостей. Наличие уязвимостей в базовом ПО и оборудовании не всегда возможно устранить наложенными средствами защиты.

Разработчики средств защиты информации и основного ПО для ИС должны тесно взаимодействовать, чтобы снизить риски простоя банковских ИС. Наличие заключения о совместимости с ПО — важный критерий при выборе решения. Средства защиты не должны оказывать влияние на работу основных компонентов системы. Срок получения подтверждения отсутствия влияния учитывается при планировании импортозамещения ИБ.

Для корректного планирования закупки и внедрения требуется понимание сроков тестирования и получения заключения о совместимости.

Снижение рисков предполагает подбор альтернативных решений средств защиты. Приоритет получает решение, которое предоставляет наиболее убедительные доказательства отсутствия влияния на ИС и укладывается в запланированные сроки. В этот момент полезно заранее оценивать варианты импортозамещения ИБ и риски импортозамещения ИБ, а не ограничиваться одним вендором.

Нарушение сроков предоставления результатов тестирования говорит о проблемах у средства защиты. Дополнительное затраченное время говорит о том, что потребовалось устранять какие-либо проблемы в функционале.

Отсутствие заключения о совместимости нивелируется компетентным специалистом в организации, который также может протестировать решение на специальном стенде и сделать соответствующие выводы. Пробный период и/или демоверсия поможет сделать вывод о целесообразности покупки решения.

Импортозамещение — процесс поэтапный. Важно наличие возможности использования закупленных или планируемых к закупке средств защиты для защиты не только одного сегмента ИС или одной ИС. Кастомное средство защиты исключительно под определенный тип ИС — решение негибкое и экономически неэффективное. Возможность расширения функционала и покрытия ИС за счет дополнительных модулей и лицензий — ценное свойство средства защиты информации.

Важно учитывать сроки законодательства при планировании импортозамещения.

Откладывание перехода на отечественные решения повышает регуляторные и технологические риски. Чем больше спрос, тем больше предложение и выше конкуренция. Здоровая конкуренция повысит качество предлагаемых решений и улучшит функционал.

Одним из успешных кейсов внедрения отечественного решения является Dr. Web Security Suite. Продукты Dr. Web активно внедряются в том числе на оборудовании значимых объектов КИИ.

Многие организации, в том числе государственные и муниципальные, внедряют решения от ИнфоТеКС. Такие кейсы показывают, что отечественные системы защиты данных и отечественные продукты ИБ уже используются в крупных контурах. Это значит, что отечественные системы защиты данных, отечественные решения для финтеха и отечественные решения по информационной безопасности можно рассматривать не только как временную меру.

В процессе планирования требуется учет рисков и возможных сложностей на этапах внедрения.

1. Финансовые ограничения. Тенденция импортозамещения набирает обороты. В ближайшее время изменение курса законодательства не планируется. Бюджет планируется на несколько лет вперед с учетом дополнительных рисков.
2. Кадровый дефицит. Большое количество специалистов с 2022 г. уехало за пределы России. Потребности бизнеса растут быстрее рынка труда и возможностей образования. Организациям необходимо уделять внимание обучению сотрудников, ответственных за обеспечение ИБ, и администраторов.
3. Высокая цена высокопроизводительного оборудования. Цена высокопроизводительного сервера исчисляется миллионами рублей. При выборе оборудования применяются принципы адекватности затрат, производительности и рисков. В качестве альтернативы может рассматриваться аренда в ЦОД.
4. Рост кибератак. Количество обнаруженных кибератак и киберугроз на финансовый сектор в первом полугодии 2025 года увеличилось на 13% по сравнению с тем же периодом прошлого года. Импортозамещение можно рассматривать как одну из мер по противостоянию кибератакам. Российские решения для защиты данных дают гарантию своевременного получения критических обновлений и независимость от иностранных государств.
5. Зависимость от поставщиков компонентов. Даже при использовании отечественного оборудования часто приходится полагаться на импортные комплектующие, что создает риски в случае изменения геополитической ситуации.
6. Несовместимость. Результаты тестирования на стенде в идеальных условиях и тестирования в реальной ИС будут всегда разными. План внедрения должен учитывать временные риски и возможные проблемы совместимости.

Выбор подрядчиков и вендоров требует повышенного внимания, как и заключение договоров. Тестирование в реальных условиях может выявить проблемы в архитектуре и привести к перестройке основной системы.

На российском рынке представлены различные категории средств защиты информации. Основные категории средств защиты информации:

1. средства обеспечения сетевой безопасности: межсетевое экранирование, системы обнаружения и предотвращения вторжений, криптографическая защита каналов связи;
2. средства контроля и анализа защищенности;
3. средства защиты от несанкционированного доступа;
4. средства антивирусной защиты;
5. средства мониторинга и анализа безопасности;
6. средства обеспечения восстановления;
7. средства криптографической защиты информации;
8. средства контроля действия пользователей и предотвращения утечек данных.

Для понимания необходимости применения указанных категорий средств защиты информации требуется анализ слабых мест в ИС. Поможет процесс моделирования угроз и формирования модели угроз безопасности. Модель угроз поможет определить, какие меры необходимо применять для защиты и какие средства защиты целесообразно применять.

При выборе конкретных решений по обеспечению безопасности можно руководствоваться критериями:

1. широкий функционал;
2. стоимость;
3. наличие или отсутствие сертификатов ФСТЭК и ФСБ;
4. совместимость с ИС;
5. удобство эксплуатации и возможность централизованного управления;
6. репутация вендора;
7. условия техподдержки;
8. масштабируемость.

Подход к выбору лучше строить не по одному критерию, а по совокупности факторов. Если нужны российские аналоги ИБ решений, важно смотреть не только на цену, но и на совместимость, масштабируемость и качество сопровождения. Для крупных и средних банков российские решения по ИБ должны выдерживать и требования регулятора, и нагрузку реальных банковских ИС.

Импортозамещение ИБ — процесс долгий, поэтапный и сложный. Проектирование системы защиты информации всегда заключительный этап при строительстве объектов. Огромное количество рисков подлежит оценке в денежном и временном эквиваленте перед началом работ. Поэтому импортозамещение ИБ 2026 разумно планировать заранее: через пилоты, тестирование, закупки и поэтапный переход на российские средства информационной безопасности.