Державна служба спеціального зв’язку та захисту інформації України розширила відкритий перелік забороненого до використання програмного забезпечення та комунікаційного обладнання до 2020 позицій. Під час останнього оновлення до списку додали ще 250 продуктів і технічних рішень, пов’язаних із підсанкційними виробниками.
Перелік створений як інструмент захисту державних інформаційних ресурсів та критичної інформаційної інфраструктури. Його формують на основі рішень Ради національної безпеки і оборони, санкцій та аналізу потенційних ризиків для кібербезпеки.
До списку увійшли мережеві та інженерні рішення
Серед нових позицій є програмне забезпечення й обладнання Іжевського радіозаводу, а також продукти компаній «Топ Системи» та «Фірма Ракурс». Йдеться не лише про звичайні програми, а й про системні рішення для маршрутизаторів, модемів, централізованого моніторингу та управління мережами.
До переліку також включені інженерні та виробничі програмні комплекси різних класів — CAD, CAM, CAE, PLM, PDM, CRM, системи управління виробництвом, документообігом, технічним обслуговуванням, даними й логістикою.
Заборона не означає блокування програм для всіх громадян
Важливий нюанс полягає в тому, що перелік має конкретну сферу застосування. Обмеження обов’язкові для інформаційних і комунікаційних систем, де обробляються державні інформаційні ресурси, службова інформація, державна таємниця, а також для об’єктів критичної інформаційної інфраструктури.
Тому сам факт появи продукту в переліку не означає автоматичної заборони користування ним кожною фізичною особою на приватному домашньому комп’ютері. Основна мета — не допустити потенційно небезпечні продукти до захищених державних систем.
Обмеження діють із моменту офіційного оприлюднення
Держспецзв’язку пояснює, що програмне забезпечення або обладнання вважається таким, що підпадає під встановлені законодавством обмеження, з моменту включення інформації до переліку та його офіційного оприлюднення.
Це означає, що державні органи та оператори критичної інфраструктури повинні перевіряти власні системи на наявність таких продуктів і планувати їх заміну або припинення використання відповідно до вимог законодавства.
Список продовжуватиме оновлюватися
Перелік не є разовим документом. Його регулярно переглядають після нових санкційних рішень, аналізу продуктів і появи інформації про потенційні ризики. Тому кількість позицій може й надалі збільшуватися.
Такий механізм дозволяє реагувати швидше, ніж через індивідуальні заборони для кожної державної установи. Після появи продукту в централізованому списку всі суб’єкти, на яких поширюються відповідні вимоги, отримують єдину нормативну основу для дій.
Кібербезпека дедалі більше залежить від ланцюгів постачання
Сучасні ризики виникають не лише через прямі хакерські атаки. Уразливості можуть бути закладені у програмні продукти, мережеве обладнання або системи адміністрування, які мають високий рівень доступу до інфраструктури.
Саме тому Україна поступово переходить від реакції на окремі інциденти до системного контролю за походженням і безпечністю технологій. Розширення переліку до 2020 позицій є частиною цієї політики й водночас сигналом державним установам про необхідність регулярного аудиту власного програмного та апаратного забезпечення.
