Программы отделят от компьютеров

С 1 января 2004 года в России введут новые правила сертификации программного обеспечения, основанные на международном стандарте Common Criteria (ISO 15408). Об этом сообщили на пресс-конференции представители Гостехкомиссии при президенте РФ. Структурам, занимающимся проверкой софта на безопасность, это сулит дополнительные прибыли. Но в IT-компаниях считают, что по крайней мере в первое время этот бизнес будет малорентабелен: вопреки законодательству многие российские госструктуры не торопятся сертифицировать софт.

Стандарт ISO 15408 The Common Criteria for Information Technology Security Evaluation был разработан в 1999 году организациями США, а также Великобритании, Франции и ряда других европейских стран. Стандарт описывает параметры и функции безопасной компьютерной системы. Уровень безопасности тестируемого ПО определяется путем сравнения ее параметров с описанными в стандарте характеристиками. По планам Гостехкомиссии при президенте РФ новый российский ГОСТ будет отвечать требованиям Common Criteria.

По словам участников вчерашней пресс-конференции, новый ГОСТ будет иметь два принципиальных отличия от действующих в России стандартов. Во-первых, будет сертифицироваться безопасность использования самих программ, а не среды, в которой они работают. Сейчас их использование, например на объектах государственной важности, не может быть признано безопасным, пока проверке не подверглись компьютеры, на которых они установлены, производственные помещения, линии связи и так далее. Во-вторых, новые сертификаты безопасности будут котироваться за рубежом. По мнению менеджера московского представительства Microsoft Владимира Мамыкина, это окажет благотворное влияние на российский софтверный рынок: "Западные компании смогут сертифицировать свои продукты в России, а затем использовать сертификаты в других странах". Услуги российских специалистов стоят значительно дешевле, чем их западных коллег. Иностранные софтверные компании смогут существенно на этом сэкономить.

В российских представительствах иностранных софтверных компаний предпочитают не рассказывать, сколько платят за сертификацию. Представитель одной из таких фирм признался Ъ, что "сертификация сложного программного продукта может стоить на Западе несколько миллионов долларов. В России же стоимость услуг может составить несколько сот тысяч".

Однако не все участники рынка считают, что новый бизнес принесет им большие доходы. "Конечно, новый ГОСТ облегчит процесс сертификации,- говорит руководитель IT-департамента компании КРОК Александр Буйдов.- Но не следует забывать - многие российские госструктуры сознательно на этом экономят. Ведь несертифицированная система может находиться в опытной эксплуатации неопределенно долгое время. Теоретически мы могли бы обратиться в Гостехкомиссию и, получив аттестацию, самостоятельно заняться сертификацией. Но этот бизнес не кажется нам перспективным".

Кроме того, сертификат международного класса вряд ли сильно улучшит продажи за границей российского ПО и наоборот. "Непосредственно решение о сертификации продукта и создание схем проверки по-прежнему будут возлагаться на национальные органы контроля,- говорит менеджер по работе с корпоративными клиентами компании Novell Russia Андрей Жерлицын.- Это означает, что ни о каком автоматическом признании иностранных сертификатов пока не может идти речи".