Новый порядок допуска на платформу госинформсистем: что это значит для ритейл-ИТ
Минцифры инициировало проект постановления, который наделяет президиум правительственной комиссии по цифровому развитию полномочиями определять участников технологической платформы для создания, развития и эксплуатации информационных систем. По данным [D-Russia.ru](https://d-russia.ru/pravkomissiya-budet-opredelyat-uchastnikov-platformy-sozdaniya-razvitiya-i-ekspluatatsii-informsistem-proekt-postanovleniya.html), это означает переход к централизованной модели допуска коммерческих и некоммерческих организаций к разработке и сопровождению ключевых государственных цифровых сервисов.
Что произошло
Суть инициативы заключается в изменении Положения о правительственной комиссии по цифровому развитию. Проект наделяет её президиум правом принимать решения о включении организаций в число участников единой технологической платформы. Ранее механизм допуска мог быть более децентрализованным или регулироваться иными процедурами. Теперь же вводится единый «входной фильтр» на высшем уровне. Пояснительная записка к проекту прямо указывает, что участниками могут стать как коммерческие, так и некоммерческие организации. Это создаёт формализованный контур управления для всех, кто претендует на контракты и технологическое партнёрство в рамках государственных информационных систем (ГИС). Фактически, это означает появление нового административного барьера и, одновременно, реестра доверенных поставщиков для государственных цифровых проектов.
Почему это важно
Для российского ритейла, активно инвестирующего в собственную разработку и интеграцию с государственными системами, это событие имеет несколько прямых последствий. Во-первых, изменяется ландшафт для поставщиков корпоративных решений. Если ваш текущий или потенциальный вендор MDM/EMM, систем электронного документооборота (ЭДО) или фискальных решений работает над госконтрактами, его статус как «участника платформы» станет критически важным. Потеря этого статуса может означать прекращение поддержки, отсутствие обновлений для совместимости с новыми API ГИС или даже полную невозможность интеграции.
Во-вторых, это напрямую затрагивает проекты по импортозамещению и миграции на отечественные ОС, такие как Аврора. Розничные сети, управляющие парком мобильных устройств для курьеров, торговых представителей и кассиров, всё чаще рассматривают отечественные платформы. Доступ вендоров этих платформ к технологической базе госинформсистем будет определять их жизнеспособность и долгосрочную поддержку. Например, интеграция мобильного приложения для курьерской доставки с государственными сервисами логистики или системами контроля оборота маркированных товаров будет зависеть от того, допущен ли разработчик платформы к соответствующим контурам.
В-третьих, возникают риски комплаенса в рамках 152-ФЗ. Централизация управления платформой может повлечь за собой ужесточение требований к обработке персональных данных (ПДн) внутри её периметра. Ритейлер, передающий ПДн своих сотрудников или клиентов через системы, построенные на этой платформе, должен будет убедиться, что вся цепочка — от вендора приложения до оператора платформы — соответствует новым, более строгим правилам. Это особенно актуально для программ лояльности, сбора данных через киоски самообслуживания и управления корпоративной мобильностью, где обрабатываются данные как клиентов, так и персонала.
Наконец, это меняет экономику проектов. Вместо выбора поставщика по рыночным критериям (цена, функциональность) на первый план выходит его административный статус. Для ИТ-директора это означает необходимость пересмотра матрицы рисков поставщиков (SRM) и включение в неё критерия «допуск к платформе ГИС». Отсутствие такого допуска у вендора должно рассматриваться как существенный операционный и стратегический риск.
Что делать
В свете этих изменений ИТ-руководителям в ритейле следует предпринять конкретные шаги для защиты своих инфраструктур и обеспечения непрерывности бизнеса.
1. Проведите инвентаризацию критичных вендоров. Составьте список всех поставщиков, чьи решения обеспечивают интеграцию с ГИС: ОФД, системы маркировки («Честный ЗНАК»), ЭДО, банковские и платёжные шлюзы, провайдеры мобильной подписи. Для каждого вендора запросите официальный комментарий о его планах и текущем статусе по вхождению в число участников платформы. Отсутствие чёткого ответа — сигнал к поиску альтернативы.
2. Аудит интеграционных цепочек. Проанализируйте, какие из ваших бизнес-процессов зависят от API, которые могут быть модифицированы или перемещены под управление новой платформы. Это касается в первую очередь сервисов для курьеров и торговых представителей. Убедитесь, что ваши мобильные приложения используют косвенное обращение к API через слой абстракции (middleware), а не зашиты напрямую. Это позволит быстрее адаптироваться к смене эндпоинтов или протоколов аутентификации.
3. Усилите MDM-политики для устройств, работающих с ГИС. Для парка корпоративных Android-устройств (версии 11 и выше) необходимо внедрить строгие политики через ваш MDM/EMM-сервер:
* Обязательная установка из Managed Google Play: разрешите установку корпоративных приложений только из белого списка. Это исключит риск использования неофициальных версий, несовместимых с новой платформой.
* Контроль версий ОС: настройте политику, блокирующую работу приложений на версиях Android ниже 11, если это технически возможно, для поддержки актуальных протоколов безопасности.
* Сетевые ограничения: через MDM задайте VPN-политику, которая принудительно направляет трафик к ресурсам ГИС через защищённый корпоративный канал, изолируя его от публичного интернета. Используйте DeviceOwner-режим для блокировки изменения настроек VPN пользователем.
* Запрет отката версий (Downgrade): активируйте в MDM запрет на установку более старых версий корпоративных приложений, чтобы избежать уязвимостей и проблем совместимости.
4. Пересмотрите стратегию в отношении отечественных ОС. Если вы планируете миграцию на ОС Аврора или другие российские платформы, оцените дорожные карты их разработчиков по сертификации и вступлению в число участников платформы. Уточните в документации, как реализована поддержка работы с КЭП и взаимодействия с ЕСИА/Госуслугами на этих ОС. Подробную информацию по интеграции с Авророй можно найти в /docs/aurora. Это напрямую повлияет на ваш выбор устройств для новых проектов.
5. Обновите договоры и SLA. Включите в контракты с ключевыми вендорами пункты, обязывающие их уведомлять вас об изменении статуса в отношении платформы ГИС за 6-9 месяцев. Также добавьте обязательства по поддержке совместимости с новыми версиями API платформы в течение определённого срока после их релиза. Это создаст юридические рычаги для управления рисками.
Источник: https://d-russia.ru/pravkomissiya-budet-opredelyat-uchastnikov-platformy-sozdaniya-razvitiya-i-ekspluatatsii-informsistem-proekt-postanovleniya.html