Российские разработчики ПО не успевают реагировать на уязвимости

Российские разработчики программных продуктов не соблюдают регламенты Федеральной службы по техническому и экспортному контролю в части скорости реагирования на обнаруженные уязвимости, что может грозить отзывом сертификатов. Об этом пишет «Коммерсантъ» со ссылкой на данные представителя ФСТЭК.

В сообщении сказано, что отечественные разработчики софта регулярно нарушают требования ФСТЭК по срокам устранения уязвимостей в своих продуктах. В ведомстве подчеркнули, что это указывает на «недостаточную эффективность поддержки ПО».

«Службы технической поддержки российских вендоров должны реагировать молниеносно на требования заказчиков, но всё чаще и чаще возникает ситуация, когда обратной связи по средствам защиты недостаточно», — рассказал заместитель главы ФСТЭК Виталий Лютиков в рамках прошедшей в прошлом месяце конференции BIS Summit.

Речь шла о соблюдении требований регламента включения информации об уязвимостях программного обеспечения в «Банк данных угроз безопасности информации» ФСТЭК. В соответствии с регламентом вендор в случае поступления информации о потенциальной уязвимости в своём ПО должен в течение 30 или 60 дней (в зависимости от уровня угрозы) принять меры к её устранению.

Глава совета директоров «Базальт СПО» Алексей Смирнов сообщил, что нарушение регламента ФСТЭК может грозить отзывом у ПО сертификата. Это закроет для разработчика возможности поставок своих продуктов госзаказчикам, которые требуют от поставщиков сертифицированный софт. Гендиректор Factory5 Денис Касимов отметил, что российские разработчики софта «отрабатывают инциденты» и вносят правки в ПО вдвое дольше, чем зарубежные. Он считает, что такое положение дел связано с возросшим спросом на отечественные продукты, из-за чего увеличилась нагрузка на специалистов техподдержки всех уровней.

Напомним, весной 2022 года ФСТЭК отозвала сертификацию у более чем 50 иностранных вендоров, включая IBM, Microsoft, Oracle и др. Причиной отзыва сертификатов стало отсутствие техподдержки пользователей со стороны разработчиков, многие из которых остановили бизнес в России после обострения ситуации на Украине.

Участники рынка также отмечают другую причину неторопливости отечественных разработчиков. Глава комитета информационной безопасности ассоциации «Отечественный софт» Роман Карпов указал на то, что значительная часть сертифицированного ФСТЭК российского софта основана на открытом коде. Устранением уязвимостей в таких продуктах, как правило, «занимается не конкретный разработчик, а сообщество». «Из-за этого некоторым компаниям тяжело в срок выполнять устранение уязвимостей. Из-за зависимости компаний от сторонних разработчиков решение задачи может растянуться на несколько месяцев», —- добавил господин Карпов.

Ещё одной проблемой доработки софта на базе открытого кода являются риски, связанные с внедрением в ПО недобросовестными участниками сообщества вредоносного кода. В результате разработчикам приходится «проверять и перепроверять каждое обновление перед передачей пользователю».