Рынок доверенного ПО в России: амбициозные планы по росту до 25 миллиардов рублей

Суть — попытка за четыре года разогнать рынок «доверенного» ПО и железа с 3 до 25 миллиардов рублей. Цифры красивые, методы — как обычно, через стратегию и бумажки вместо прямого финансирования разработчиков. Разбираем, что это значит для тех, кто пишет код, а не презентации.

Что в сухом остатке

Документ фиксирует принцип Secure by design. Вместо того чтобы навешивать антивирус поверх кривой самописной админки, защитные механизмы должны закладываться в архитектуру с самого начала. Звучит разумно — примерно так же, как логирование должно быть в проекте с первого коммита, а не прикручиваться за месяц до выхода на прод.

Целевые показатели к 2030 году:

• объём рынка с 3 до 25 млрд рублей;
• количество производителей с 5 до 50 компаний;
• развитие отечественной электронной компонентной базы под кураторством Минпромторга.

Основатель «Интернет-Розыска» Игорь Бедеров объясняет логику просто: в зарубежных ОС и процессорах гарантий безопасности нет, цена инцидента на объектах КИИ высокая, а архитектурная изоляция компонентов не даёт скомпрометировать всю систему через один узел. Спорить сложно — ровно те же аргументы мы слышим на постмортемах каждый раз, когда упавший микросервис тянет за собой полкластера.

Почему пахнет очередным костылём

Аналитики, на которых ссылается RUБЕЖ, прямо указывают на два риска. Во-первых, успешных кейсов глубокого импортозамещения сложного софта пока немного — пальцев одной руки хватит. Во-вторых, в дорожной карте нет прямого субсидирования разработчиков. То есть деньги планируют осваивать, а кто именно будет писать этот код и на чьих серверах его гонять — вопрос открытый.

Характерный паттерн: сначала формулируем KPI в миллиардах, потом удивляемся, что инженеров на рынке не хватает. Secure by design — это не лозунг и не строчка в паспорте проекта, это инженерная культура. Без неё даже самая защищённая отечественная ЭКБ превратится в набор сертифицированных дыр с красивыми печатями и нулевой практической ценностью.

Что делать нам

Пока дорожная карта существует только на бумаге, практический план для команды остаётся прежним:

• включать модель угроз в дизайн-ревью, а не после первого инцидента;
• фиксировать в ADR, где проходят границы доверия между сервисами;
• держать бэкапы и план отката так, будто завтра отключат любой внешний репозиторий пакетов;
• не верить презентациям «доверенных платформ» без публичных результатов аудита и воспроизводимых бенчмарков;
• выделять отдельный бюджет на безопасность в каждом спринте, а не списывать его в техдолг.

А если через четыре года кто-то из чиновников снова выйдет с цифрой 25 миллиардов — проверим, сколько из этих денег дошло до инженеров, а не до пиар-отделов и презентаций на форумах. Резервная копия всего стека — единственное, что реально защищает команду от любых дорожных карт.