Три «сертификата» для российского ПО: какой нужен вам
В закупке написано «сертифицированное отечественное ПО». На деле за этим стоит одна из трёх разных процедур. У каждой свой смысл, срок и цена. Разберём, чем они отличаются.
1. Реестр отечественного ПО
Это не сертификация, а внесение в перечень. Реестр ведёт Минцифры. Он подтверждает, что продукт российский. Качество и безопасность никто не проверяет.
Что даёт:
- право продавать госзаказчикам, которым запрещено покупать иностранный софт;
- налоговые льготы.
Что нужно:
- российский правообладатель;
- исходный код и средства сборки хранятся в России.
Для продаж в страны ЕАЭС есть отдельный реестр евразийского ПО.
С реестра обычно и стоит начинать: это самый простой вход в госсегмент.
2. Совместимость с отечественными платформами
Это тоже не требование регулятора. Тесты проводит производитель платформы: он проверяет, что ваш продукт работает на его ОС.
Пример: «Ready for Astra» от группы Астра. По итогам вы получаете логотип совместимости и запись в каталоге.
Каталог работает как витрина. По данным «Группы Астра», в 2023 году число решений, совместимых с её экосистемой, превысило 2,5 тысячи. А по оценке Strategy Partners, доля группы на российском рынке операционных систем за тот же год достигла 76% (источник, апрель 2024). Если вы продаёте в госсектор и крупный бизнес, велика вероятность, что у заказчика стоит именно Astra Linux.
Есть и польза для кода. Пока вы не запустили продукт на целевой ОС, вы не знаете, сколько в нём скрытых зависимостей от Windows.
3. Сертификация ФСТЭК
Это настоящая проверка безопасности. Её проводят испытательная лаборатория и орган по сертификации. Заявитель - производитель.
Что проверяют:
- исходный код;
- статический и динамический анализ;
- фаззинг;
- состав компонентов: какие сторонние библиотеки вы используете;
- процесс разработки по ГОСТ Р 56939;
- комплект документации.
Проверяют не только продукт, но и то, как вы его делаете. Нужны контроль изменений, учёт зависимостей, воспроизводимая сборка, тесты и работа с уязвимостями. Если процесса нет, его придётся строить до подачи заявки. Подготовка обычно занимает больше времени, чем сами испытания.
Коротко
| Что подтверждает | Кто проводит | Зачем | |
|---|---|---|---|
| Реестр Минцифры | Происхождение | Минцифры | Продавать госзаказчикам, получить льготы |
| Ready for Astra | Работу на платформе | Производитель платформы | Попасть в каталог и к интеграторам |
| ФСТЭК | Безопасность и процесс | Лаборатория и орган сертификации | Работать с защищёнными системами |
С чего начать
Откройте требования закупки и найдите, что в них написано. Чаще всего хватает реестра. Если заказчик работает на Astra Linux, добавьте совместимость. К ФСТЭК идите только тогда, когда без неё не обойтись.
