Планирование пошло не по плану: ERP-системы причислили к КИИ
Правительство России признало ERP-системы, аналогичные продуктам зарубежных SAP и Oracle, объектами критической информационной инфраструктуры (КИИ). Это решение формализует принятые ранее отраслевые перечни и обязывает предприятия проводить категорирование ERP, усиливать их защиту по требованиям ФСТЭК.
Включение в перечень КИИ
Распоряжением правительства №360-р ERP-системы были добавлены в единый перечень из 397 типовых отраслевых объектов КИИ. Они прямо включены в перечень объектов КИИ для химической, металлургической, горнодобывающей, ракетно-космической и оборонной промышленности.
Последствия для бизнеса
Включение в перечень стимулирует к переходу на отечественные аналоги вместо иностранных SAP или Oracle из-за возможных штрафов, производственных простоев и роста IT-затрат. Ранее было предложено создание национального аналога SAP, но она не нашла поддержки у бизнеса.
Импортозамещение ERP-систем
Импортозамещение ERP-систем, в том числе в субъектах КИИ, сейчас курирует Национальный центр компетенций по информационным системам управления (НЦК ИСУ). Он предлагает поэтапный подход, чтобы минимизировать риски:
- провести категорирование объектов с обязательным аудитом текущих платформ (включая SAP и Oracle)
- начать миграцию на отечественные аналоги с сохранением ключевых бизнес-процессов
Оценка экспертов
Эксперты отметили, что явных требований к самим системам распоряжение правительства не добавляет, а существующие приказы ФСТЭК и других ведомств описывают лишь меры обеспечения защиты от различных угроз. Поэтому следует ожидать, что поддержка иностранных ERP-решений, которая всё ещё осуществляется без участия западных вендоров, сохранится.
Затраты компаний
Как ожидается, из-за перевода в объекты КИИ затраты компаний вырастут из-за внедрения дополнительных средств защиты, сегментации сети, резервирования и пересмотра архитектуры, но основная сумма пойдёт не на лицензии, а на интеграцию, аудит и сопровождение.
В заключение, признание ERP-систем объектами КИИ означает, что регулятор видит риски защищённости самих этих решений. Бизнесу предстоит адаптироваться к новым требованиям и возможно пересмотреть свою стратегию в области информационных систем.
EN 
RU