Импортозамещение системного софта. Ключевые игроки российского рынка 2025. Обзор ICT-Online.ru

Цель и актуальность обзора

Развитие санкционно-независимого системного софта – ключевое условие технологического суверенитета страны. Без этой категории ПО, являющегося фундаментом ИТ-инфраструктуры, не работают должным образом прикладные программы, нет гарантии их безопасности и отказоустойчивости.

Законодательство обязывает организации, включая госсектор и субъекты КИИ, использовать отечественный софт. Федеральный закон №187-ФЗ требует применения ПО из реестра российского ПО. Указ Президента №166 запрещает использование иностранного ПО на значимых объектах КИИ с 1 января 2025 года. Федеральный закон №318-ФЗ усиливает приоритет отечественного ПО в государственных и корпоративных закупках с 1 января 2026 года.

Актуальность обзора определяется тем, что отечественный рынок перешел к активному импортозамещению всех категорий системного ПО. И в 2026-2027 годах спрос останется высоким: заказчики продолжат внедрение отечественных решений и будут выбирать наиболее зрелые и надежные продукты.

Цель обзора – определить ключевых игроков российского рынка системного ПО, рассмотреть важные аспекты их деятельности и расширить представление о них у всех заинтересованных сторон.

В обзор включены российские ИТ-компании, создающие технологическую основу для внедрения импортонезависимых решений в госсекторе и коммерческих организациях. Представлены их флагманские продукты, входящие в реестр отечественного ПО. Определена роль вендоров в импортозамещении и импортоопережении системного ПО.

Методология обзора

В рамках обзора системное ПО определяется как совокупность нескольких категорий программных средств, предназначенных для управления компонентами вычислительного устройства, обеспечения работы систем и взаимодействия между аппаратным обеспечением, пользователем и приложениями.

Соответственно, к системному ПО относятся следующие категории: операционные системы (ОС), системы управления базами данных (СУБД), драйверы, протоколы, вспомогательные универсальные платформы управления ресурсами поверх ОС, ПО для обеспечения безопасности, популярные библиотеки программ, интерпретаторы, компиляторы, среды разработки, инструменты тестирования ПО, средства контроля версий и кода ПО, ПО для запуска универсальных контейнеров.

Карту системного ПО в контексте ИТ-инфраструктуры в упрощенном виде можно представить так:

Карта системного ПО в контексте ИТ-инфраструктуры предприятия
Источник: ICT-Online.ru

Отбор компаний, подпадающих под определение «ключевой игрок российского рынка системного ПО», основан на анализе аналитиками ICT-Online.ru ряда источников и экспертного опроса. В частности, были проведены:

• изучение различных отраслевых реестров и каталогов (например, единого реестра отечественного ПО Минцифры, каталога «Российское ПО для импортозамещения» АРПП «Отечественный софт»);
• изучение рейтингов отечественного ПО по различным категориям (ОС, платформ виртуализации и т. д.), выполненных крупными ассоциациями (например, ЦСР), аналитическими агентствами («Квадрант технологий») и профильными СМИ;
• опрос экспертов, специализирующихся на системном ПО. 

При подготовке обзора принимались во внимание следующие факторы:

• история, развитие и репутация вендора, 
• комплексный подход компании к разработке, 
• наличие взаимосвязанных продуктов в направлении системного софта (экосистемность), 
• масштаб реализованных проектов,
• безопасность продуктов,
• доля рынка в своем сегменте. 

В итоге был определен шорт-лист из 7 компаний, которые, по мнению аналитиков ICT-Online.ru, могут претендовать на роль эталонов в своих продуктовых направлениях (здесь и далее порядок перечисления основан на приведенной выше карте системного ПО: от нижнего слоя (ОС) к верхнему):

• «Группа Астра»,
• «Базальт СПО»,
• РЕД СОФТ,
• Axiom JDK,
• «Базис»,
• «Флант»,
• Postgres Professional.

В соответствии с целями обзор включает разделы:

1. Общие сведения о компаниях и продуктах
2. Вклад в процесс импортозамещения
3. Крупнейшие проекты компаний в области импортозамещения
4. Системный софт в составе ПАК
5. Безопасность и РБПО
6. Инновации

Часть 1. Общие сведения о компаниях и продуктах

Сначала рассмотрим основные сведения о деятельности игроков и перечень продуктов в категории системного ПО. Информация предоставлена вендорами. 

«Группа Астра»

Основные сведения о продуктах «Группы Астра»
Источник: ICT-Online.ru

Разработка ОС Astra Linux началась в 2008 году, на текущий момент инвестиции в разработку составляют примерно 400-500 чел/лет. Платформа Tantor разрабатывается с 2016 года, Termidesk – c 2018 (15400 чел/лет),  GitFlic и ALD Pro – с 2020, СУБД Tantor Postgres – c 2021. 

В 2024 году расходы «Группы Астра» на НИОКР и разработку составили около 13% от выручки. Общий объем инвестиций вырос более, чем в два раза: с 1,4 млрд руб. в 2023 году до 2,9 млрд руб. в 2024 году. Расходы на R&D и разработку продуктов составили 2,2 млрд руб. в 2024 году против 1,1 млрд руб. в 2023 году (рост в 2,1 раза). За последние три года компания существенно нарастила инвестиции в системное и прикладное ПО, реализуя портфельный подход к управлению RnD и концентрируясь на обновлении технологической базы, развитии внутренних команд и интеграции новых решений в экосистему.  Дополнительный импульс развитию придали M&A-сделки: за последние четыре года «Группа Астра» приобрела более 12 компаний в смежных технологических сегментах.

Штат «Группы Астра», по данным на первую половину 2025 года, составил почти 3000 человек. 70% из них – ИТ-специалисты.

Вадим Яценко, генеральный директор «Тантор Лабс»:

«Мы находимся у истоков формирования нового, зрелого рынка системного ПО в России. Идет процесс укрупнения сильных и отсеивания слабых как игроков, так и продуктов. Заказчик чувствует, когда вендор стремится работать на перспективу, выстраивать долгосрочные партнерские отношения. В конечном итоге рынку приносит пользу тот, кто сможет создавать такие отношения. Кроме того, на Россию пристально смотрят другие страны, изучают наш опыт развития в условиях санкций. На российские технологии смогут опереться и другие страны. Наша компания стоит в авангарде этих преобразований».

РЕД СОФТ 

Основные сведения о продуктах компании РЕД СОФТ
Источник: ICT-Online.ru

В зависимости от продукта период разработки варьируется от нескольких лет (РЕД ВРМ) до 20 лет (РЕД База Данных). Эта работа ведется согласно продуктовой стратегии РЕД СОФТ, в основу которой заложены дорожная карта и ресурсная база, необходимые для реализации. Компания демонстрирует высокие и стабильные показатели роста: в 2024 году ее выручка превысила 3 млрд рублей.

В разработке системных продуктов задействовано около 400 человек. Доля разработчиков от общего штата компании составляет около 40%. 

Рустам Рустамов, заместитель генерального директора РЕД СОФТ, член правления АРПП «Отечественный софт»:

«РЕД СОФТ присутствует на рынке системного программного обеспечения практически 20 лет. У нас широкая линейка собственных разработок, включая операционную систему РЕД ОС и СУБД РЕД База Данных. Мы являемся активными участниками профессиональной среды, сотрудничаем с ведущими организациями отрасли и ассоциациями. Наша цель – совместно с партнерами продвигать российское программное обеспечение, способствовать внедрению отечественных решений для достижения технологической независимости России».

«Базальт СПО»

Основные сведения о продуктах компании «Базальт СПО»
Источник: ICT-Online.ru

Компания начала разработку ОС семейства «Альт» в 2001 году. Сегодня две трети сотрудников компании заняты R&D, разработкой и улучшением продуктов. В разработке задействованы более 200 человек (без учета технических специалистов, не включенных в разработку непосредственно).

Несколько раз в год выходят новые версии продуктов. Разработчики также участвуют в международных проектах свободного ПО, написанный ими код включают в эти проекты.

Выручка компании за 2024 год – 1,84 млрд. руб.

Алексей Смирнов, председатель совета директоров «Базальт СПО», советник министра цифрового развития по вопросам операционных систем и офисных приложений, руководитель ЦКР «Операционные системы»:

«В области системного программного обеспечения в России сложился развитый и высококонкурентный рынок, что позволяет полноценно заменять зарубежные решения на отечественные».

Axiom JDK (АО «АКСИОМ»)

Основные сведения о продуктах компании Axiom JDK
Источник: ICT-Online.ru

Инженеры Axiom JDK развивают Java практически с момента появления этой технологии, которой в 2025 году исполнилось 30 лет. За это время в России сформировалась одна из крупнейших в мире экспертиз по Java и огромное сообщество разработчиков: несколько сотен тысяч. Небольшая команда российских инженеров начала по контракту работать над Java в МЦСТ в 1997 году. С 2004 года они продолжили разработки в Sun Microsystems, затем в Центре разработки Oracle в Санкт-Петербурге, где отвечали за качество «золотого релиза» Java 8. Теперь они создают экосистему российских Java-технологий Axiom JDK и заботятся о безопасности платформы. 80% штата компании – инженеры. Платформа Axiom JDK достигла 11% рынка всего за полтора года – быстрее, чем зарубежные аналоги за пять лет.

На R&D идет 80% оборота компании. Она постоянно инвестирует в прогрессивные технологии и является лицензиатом ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации. 15 человеко-лет были вложены в разработку сервера Java-приложений Libercat Certified и Java-платформы Axiom JDK Certified, сертифицированных ФСТЭК, в результате чего было верифицировано более 4 Гб программного кода. 

Роман Карпов, директор по стратегии и развитию технологий Axiom JDK, глава ИБ-комитета АРПП «Отечественный софт», руководитель технического комитета АНО «Открытый код», советник министра цифрового развития РФ по системному ПО, председатель ЦКР по управлению ИТ-инфраструктурой:

«Сегодня в России меняется культура работы с ПО. Если сначала замещались операционные системы, приложения и видимые компоненты, то теперь внимание смещается глубже – на технологии исполнения: JVM, JDK, библиотеки, зависимости, цепочки поставок и механизм обновлений. Этот «невидимый» связующий слой ранее оставался без должного внимания, хотя именно он определяет стабильность, безопасность и управляемость корпоративных систем. Мы рады, что рынок начал воспринимать его как стратегически важную часть архитектуры, давая зрелый ответ на требования цифровой независимости. Экосистема прогрессивных технологий Axiom JDK развивается специально для того, чтобы фундамент, на котором работают критически важные приложения, был таким же надежным и контролируемым, как и их видимая часть».

«Базис»

Основные сведения о продуктах компании «Базис»
Источник: ICT-Online.ru

Разработка первых продуктов «Базис» началась в 2014 году. За 11 лет компания смогла реализовать более 90% ключевой функциональности продуктов своего основного конкурента – VMware.

В компании работают более 400 человек, из которых 86% – это разработчики, инженеры, архитекторы и другие технические специалисты.

Давид Мартиросов, генеральный директор «Базис»:

«Сегмент системного ПО поддерживает тренды, свойственные нашему рынка в целом: это импортозамещение, внедрение методов безопасной разработки ПО и использование ИИ для решения рутинных задач. Отечественные решения становятся все более функциональными, защищенными и постепенно вытесняют зарубежные, а новые технологии внедряются аккуратно, чтобы не создавать риски для существующих бизнес-процессов. Кроме того, в нашем сегменте мы видим интерес к программно-определяемому ПО и к гиперконвергентной инфраструктуре в целом. Интерес к SDN и SDS появился не вчера, это мировой тренд, однако его практическая реализация требует экспертизы и большого количества ресурсов. Мы знаем это на личном опыте, поскольку в этом году представили новое, знаковое для рынка решение для управления программно-определяемыми сетями Basis SDN».

«Флант» (ТМ Deckhouse)

Основные сведения о продуктах компании «Флант»
Источник: ICT-Online.ru

Компания «Флант» существует на рынке уже более 17 лет, продукты разрабатывает с 2017 года. Сегодня не менее 90% оборота компании вкладывается в R&D, разработку и улучшение продуктов. Продуктовый портфель компании состоит только из системного ПО.

В разработке и развитии продуктов занято 158 человек, что составляет более трети от общего количества сотрудников компании.

Константин Аксёнов, директор департамента разработки Deckhouse компании «Флант»:

«Deckhouse Kubernetes Platform второй год подряд становится лидером обзора российских Kubernetes-платформ. Рынку нужны современные решения, надежные, безопасные и соответствующие требованиям регуляторов. Выбирая сейчас решения для инфраструктуры, заказчики хотят быть уверенными, что смогут использовать их в ближайшие 5-10 лет, технология останется актуальной и не придется перестраивать инфраструктуру. Важно также гарантировать, что системное ПО будет совместимо с другими вендорскими продуктами в области не только системного, но и прикладного ПО, а также «железа». Проблемы интеграции и совместимости должны решаться не на стороне заказчика, а на стороне вендоров. Это одно из важных направлений развития рынка. Продукты экосистемы Deckhouse отвечают всем заданным критериям и построены на самых актуальных технологических стандартах».

Postgres Professional

Основные сведения о продуктах компании Postgres Professional
Источник: ICT-Online.ru

Компания ведет разработку продуктов семейства Postgres Professional более 10 лет. Сегодня ее штат насчитывает свыше 560 человек, 70% из них занято в разработке.

Более 50% расходов компании идут на разработку и улучшение продуктов. За последние 3 года в разработку системного ПО Postgres Professional инвестировала более 5 млрд рублей.

Иван Панченко, генеральный директор Postgres Professional, член правления АРПП «Отечественный софт»:

«Рынок системного ПО наконец перешел от стадии декларируемого импортозамещения к реальному. Мы видим, что в последнее время проекты миграции укрупняются, на российские СУБД переводят все более нагруженные системы высокой критичности. Соответственно, заказчиками предъявляются все более высокие требования к системному ПО, обеспечивающему этот переход. Накопленная Postgres Professional многолетняя экспертиза позволяет нам этим требованиям в полной мере соответствовать. Мы можем погружаться в ядро Postgres и браться за такие задачи, за которые никто в сообществе взяться не решается. Благодаря этому мы достигаем существенного прогресса в производительности, а также в упрощении эксплуатации наших решений».

Дополнительные сведения о разработках компаний представлены в таблицах.

Периодичность обновлений продуктов
Источник: ICT-Online.ru

Участие в российских ИТ-ассоциациях, экспертных сообществах,
влияющих на рынок разработки системного ПО и смежных областей
Источник: ICT-Online.ru
 

Часть 2. Вклад лидеров рынка в процесс импортозамещения

Непосредственно разработка ПО российской компанией не является единственным критерием полноценного импортозамещения. Важно, чтобы вендор был способен самостоятельно контролировать код своих продуктов, не зависеть от импортных компонентов, обеспечить совместимость продуктов с максимальным количеством смежных решений, а также показать эффективность продуктов в реальных внедрениях. 

В таблице и ответах респондентов приводятся подтверждающие факты. 

Насколько компания контролирует код своих продуктов.
Используются только собственные разработки, или также open source компоненты
Источник: ICT-Online.ru

Как продукты вашей компании поддерживают работу с российскими ОС, СУБД, Java-платформой, процессорами?

«Группа Астра»: ОС Astra Linux поддерживают работу со сторонними ОС в части виртуализации. В составе ОС Astra Linux есть защищенная СУБД, обеспечена совместимость с другими СУБД и средствами работы с данными, Java-платформами, в том числе Axiom JDK. В целом, 3800+ программных и аппаратных решений сертифицированы по программе Ready for Astra. Списки по ссылкам: ПО, оборудование. 

РЕД СОФТ: подтвержденные совместимости: ОС – Astra Linux, «Альт», МСВСфера, РОСА «Кобальт» и др.; СУБД – Jatoba, Postgres Pro, Tarantool, Tantor, Platform V Pangolin SE и др.; процессоры от «Байкал Электроникс», Java-платформа – Axiom JDK. Список по ссылке.

«Базальт СПО»: ОС «Альт» включают также СУБД, совместимы со всеми отечественными базами данных и другим прикладным ПО, Java-платформами, в том числе Axiom JDK. Список по ссылке.

Axiom JDK: Совместимость со всеми отечественными ведущими продуктами на Java: это системное ПО (ОС, СУБД), прикладное (СЭД, ТОИР, ДБО, АБС, процессинг и тд.), инфраструктурное (ВКС, виртуализация, системы ИБ и т. д.). Более 200 работающих совместимостей, в том числе – широкий спектр ОС (Windows, MacOS, Linux, Astra Linux, РЕД ОС, «Альт») и архитектур (более 20 системных платформ: X86_64, SPARC, PPC, S390, AArch64, включая российские), а также RISC-V. 

«Базис»: Продукты совместимы с ОС Astra Linux Special Edition, «Альт», РЕД ОС, ОСнова, «Аврора», KasperskyOS; с СУБД Postgres Pro Standard и Postgres Pro Enterprise; с платформой Java Axiom JDK.

«Флант»: Продукты Deckhouse поддерживают работу с российскими ОС, СУБД, Java-платформой, процессорами, что подтверждено сертификатами совместимости. Список по ссылке. 

Postgres Professional: продукты поддерживают больше 400 видов различного отечественного ПО, в том числе порядка 20 российских ОС. Список по ссылке.
 

Часть 3. Крупнейшие проекты в области импортозамещения системного ПО

«Группа Астра», внедрение Astra Linux SE либо ALSE+Server:

• ВТБ, 30 тыс раб мест;
• РЖД, 22 000 лицензий;
• ПСБ, все рабочие места и серверы;
• «Газпром нефть», все рабочие места;
• Ростех, все рабочие места и серверы;
• Госкорпорация «Росатом», 173 000 АРМ на 300+ предприятиях;
• Республика Татарстан, 150 000 АРМ.

«Группа Астра», другие проекты:

• СУБД Tantor Postgres в АО «Губернские аптеки» (Красноярский край), 2000 рабочих мест, полное импортозамещение MS SQL Server;
• переход Сбербанка с Citrix на Termidesk, 150 000+ сотрудников;
• внедрение офисного VDI и 3D-VDI Termidesk в ОЭЗ «Алабуга», 3000+ ВРМ, из них ~1000 для 3D-графики;
• разработка ПАК VDI на базе Termidesk для «Росэнергоатома», 5000+ пользователей.

РЕД СОФТ:

• комплексный проект в Группе «Газпром», более 200 000 рабочих мест и 20 000 серверов на РЕД ОС, свыше 1500 хостов под управлением РЕД Виртуализации, 400 контроллеров домена РЕД АДМ;
• комплексный проект во ФГУП «Государственная корпорация по организации воздушного движения в Российской Федерации», более 12 000 рабочих мест и более 200 серверов на РЕД ОС, свыше 60 хостов под управлением РЕД Виртуализации, свыше 180 контроллеров домена РЕД АДМ;
• ПАО «Ростелеком», свыше 16 000 серверов переведено на РЕД ОС Сервер.

«Базальт СПО», внедрение ОС «Альт»

• «Почта России», более 130 тыс. рабочих мест;
• «Росимущество», более 9 тыс. лицензий;
• Группа «Россети», более 100 тысяч лицензий;
• Аппарат Государственной думы Федерального собрания;
• Генеральная прокуратура РФ.

Axiom JDK, проекты по Axiom JDK, Libercat, Axiom Runtime Container, Axiom Repo

• «Госуслуги» обслуживают 112 млн россиян на сертифицированной ФСТЭК платформе Java;
• платежная система «Мир», СБП и более 50 других систем НСПК ежедневно поддерживают миллионы операций в секунду c SLA 99,999%;
• высоконагруженные банковские системы: Банк России, Альфа-Банк, ПСБ, РСХБ, Т-Банк, цифровой рубль;
• Санкт-Петербургская Международная Товарно-сырьевая Биржа, бесперебойная торговля и прозрачность операций для тысяч участников в режиме 24/7;
• ЕДИНЫЙ ЦУПИС: 19 млн клиентов с более 2,5 млн транзакций в сутки с SLA 99,99% в регулируемой индустрии развлечений;
• Yandex Cloud, доверенная среда исполнения всех системных сервисов;
• «Лаборатория Касперского», сертифицированная платформа функционирования ИБ-продуктов;
• Фирма «1С», стандартная среда для Java-компонентов в продуктах и сервисах;
• высоконагруженные системы в нефтегазе: «Газпром нефть», «Транснефть», «Газпром добыча Астрахань».

«Базис»:

• «Газпромбанк», развернуты Basis Dynamix и Basis Workplace, 30 тысяч виртуальных рабочих мест;
• ВТБ, платформа Basis Workplace заменила Citrix;
• Т2, платформа Basis Dynamix заменила VMware vSphere Standard и другие зарубежные разработки, первоначально на 700 физических серверов, затем увеличение до 4 тысяч по всей стране.

«Флант»:

• «Газпром нефть», миграция в Deckhouse Kubernetes Platform;
• ГТЛК, развертывание ИТ-инфраструктуры на базе Deckhouse Kubernetes Platform и размещение на ней BoardMaps 3.0;
• «Альфа-Лизинг», развертывание двух кластеров Kubernetes под управлением Deckhouse Kubernetes Platform, в production-окружении DKP работает 561 приложение и сервис;
• ОТП Банк, подход «платформа как сервис» (PaaS) с помощью Deckhouse Kubernetes Platform на базе внутреннего облака для быстрого получения кластера и сохранения ресурсов команд разработки, более 50 кластеров;
• Ассоциация ВАСТ, Deckhouse Kubernetes Platform для работы изолированной промышленной edge-системы;
• ЕДИНЫЙ ЦУПИС, перевод на Deckhouse Kubernetes Platform инфраструктуры, обрабатывающей 2,5 млн транзакций в сутки для 19 млн пользователей по всей России;
• Лемана ПРО, объединение кластеров в разных дата-центрах в единый мультикластер, более 100 production-кластеров с 4000+ узлов;
• «Ленточка», «переезд» в Kubernetes, где кластеры находятся под управлением платформы Deckhouse Kubernetes Platform.

Postgres Professional:

• миграция ГИС ГМП Федерального казначейства с Oracle на Postgres Pro Shardman, крупнейший проект миграции в федеральном ведомстве: переведены критически большие объемы данных свыше 200 ТБ, обработка платежей в бюджет со скоростью до 4800 транзакций в секунду;
• миграция АБС «Газпромбанка» с СУБД Oracle на Postgres Pro Enterprise;
• «Авито», миграция баз данных 1C с Microsoft SQL Server на Postgres Pro Enterprise для высоконагруженных систем, обеспечивает работу платформы с более 220 млн объявлений и 62 млн пользователей ежемесячно;
• Госкорпорация «Росатом», импортонезависимая система управления финансами «Расчетный центр Корпорации» на сертифицированной СУБД Postgres Pro Enterprise Certified для безопасного проведения платежей более 250 предприятий атомной отрасли;
• миграция ведомств Иркутской области c MS SQL Server на СУБД Postgres Pro Enterprise: около 40 органов власти и служб, более 600 подведомственных организаций, 24 базы данных более 26 Тб, обслуживает более 7,5 тысяч сотрудников.

Часть 4. Системный софт в составе ПАК

Эффективным способом обеспечить заказчикам быстрый переход на стек совместимых российских решений становятся программно-аппаратные комплексы (ПАК). Продукты разработчиков, участвующих в обзоре, широко используются для создания российских ПАК.

«Группа Астра»: примеры – ПАК AICL (Astra Infrastructure Cloud), ПАК «Алькор». Создана линейка российских машин баз данных Tantor XData: они внесены в реестр Минпромторга, работают на основе программного комплекса Tantor XData из реестра Минцифры. Линейка включает модель на базе российского процессора Baikal-S. 

РЕД СОФТ: продукты используются в уже созданных программно-аппаратных комплексах. ПАК с валидацией продуктов РЕД СОФТ и РЕД ОС включены в реестр ПАК Минцифры России, среди них ПАК «Средство обеспечения безопасной дистанционной работы Aladdin LiveOffice», ПАК «Управляемое офисное рабочее место BasicRay B102/ViewRay 2716IQH», ПАК СОИ «НОРД» для авиационной отрасли другие ПАКи для всех отраслей экономики.

«Базальт СПО»: ОС «Альт» являются основой ряда российских ПАК: инженерного ПАК на архитектуре LoongArch (разработчик инженерного ПО «Аскон», производитель серверного оборудования и СХД «Норси-транс»), ПАК для банковской отрасли (оборудование ICL Техно, офисный пакет «Р7-Офис»), ПАК «Патриот» (прикладные программы «Р7-Офис» и «Лаборатории МБК», отечественный почтовый сервер Tegu Enterprise). 

Axiom JDK: Axiom JDK и «Базис» заключили соглашение о стратегическом сотрудничестве для развития отечественных программных и программно-аппаратных комплексов, соответствующих требованиям ФСТЭК, и создания защищенной среды исполнения Java-приложений в виртуализированных средах. Также продукты Axiom JDK входят в ПАК Машина виртуализации Скала^р МВ.ДИ для обеспечения безопасной работы Basis Virtual Security.

«Базис»: работает над различными ПАК вместе с другими российскими компаниями. Например, строит защищенный ПАК администратора ИБ совместно с Fplus, «Группой Астра» и «Лабораторией Касперского». Вместе со «Скала^р» создает устройства для организации динамической инфраструктуры ЦОД и виртуальных рабочих мест. Продукты совместимы с аппаратными и программно-аппаратными решениями Aquarius, YADRO, OpenYard, Скала^р, Fplus, БСТ, Гравитон, Протей, Купол, СИЛА.

«Флант»: Deckhouse Kubernetes Platform входит в ПАК Скала^р для обучения и инференса больших моделей (ИИ), в ПАК Скала^р МДИ.К для быстрого развертывания контейнерной инфраструктуры.

Postgres Professional: Postgres Pro Enterprise входит в состав отечественных ПАК Скала-р МБД.П и Postgres Pro Machine.

Часть 5. Безопасность и разработка безопасного ПО (РБПО)

Разработка системного софта для критически важных сред (КИИ, ГИС, АСУ ТП и некоторых других) предполагает сертификацию и аттестацию продуктов по требованиям ФСТЭК, а также соблюдение принципов безопасной разработки ПО (РБПО), закрепленных в национальном стандарте ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования». Основной целью РБПО является  выявление и снижение количества недостатков, в том числе уязвимостей, в разрабатываемом ПО, снижение ущерба от невыявленных уязвимостей,  оперативное устранение выявляемых уязвимостей.

В таблицах представлены сведения о соответствии продуктов и компаний требованиям ФСТЭК и принципам РБПО.

Сертификация продуктов по требованиям ФСТЭК
Источник: ICT-Online.ru

Внедрение в компаниях принципов БРПО. Соответствие ГОСТ Р 56939-2024
Источник: ICT-Online.ru

Для обеспечения безопасности программных продуктов разработчик должен оперативно устранять обнаруженные уязвимости в коде. Ниже представлены ответы респондентов. 

Получает ли компания обратную связь по найденным уязвимостям и насколько быстро готова устранять их?

«Группа Астра»: ОС Astra Linux: ФСТЭК России требует в отношении (потенциальной) уязвимости критического или высокого уровня разработать меры по устранению в срок не более 30 рабочих дней с момента выявления. Если уязвимость среднего или низкого уровня опасности – не более 60 дней. Выстроен процесс и есть отдельное подразделение по анализу уязвимостей.

«Тантор Лабс» проводит внутренние проверки продуктов и отслеживает общедоступные уязвимости. Устранение в срок, не более 30 рабочих дней с даты обнаружения.

ALD Pro исполняет требования регулятора по устранению уязвимостей, публикация продукта на Bizone Bug Bounty запланирована на конец 2025 года, есть тестовое размещение.

РЕД СОФТ: Информация об уязвимостях поступает от пользователей в личном кабинете технической поддержки, по электронной почте и из форм обратной связи с сайтов продуктов. Компания взаимодействует с БДУ ФСТЭК России и независимыми исследователями, которые передают информацию, в том числе, об уязвимостях «нулевого дня». 

Все критические уязвимости устраняются максимум в течение нескольких суток. Скорость зависит от критичности уязвимости, полноты информации, сложности компонента, в котором проблема обнаружена, наличия решения в сообществе разработчиков.

«Базальт СПО»: Получает, причем задолго до их опубликования. Отслеживает CVE и использует БДУ ФСТЭК России. Исправления выходят практически в день объявления или чуть ранее. 

Axiom JDK: Релизы безопасности выходят синхронно с Oracle Java и Tomcat/TomEE, выпускаются экстренные патчи. Ежегодно внедряется около 4000 фиксов, более 200 патчей безопасности, закрывается порядка 30 уязвимостей. Например, по критической уязвимости Log4Shell в библиотеке Log4j выданы рекомендации по патчингу, включая «горячее» обновление через механизмы Java.

Гарантийные обновления включают проверку всех исходных кодов, формирование готового бинарного файла, регулярные обновления безопасности, отработку инцидентов в течение 24 ч при нештатной работе/проблемах производительности. В премиальном сервисе выделяется инженер, SLA на выпуск обновлений, отработка запросов сокращается до 3 часов.

Дополнительно доверенный репозиторий Axiom Repo, который содержит более 4000 проверенных Java-библиотек и постоянно пополняется, повышает уровень безопасности за счет контроля цепочки поставок ПО и минимизации внешних зависимостей от зарубежных компонентов, которые могут содержать уязвимости и лицензионные риски.

«Базис»: Имеет соглашение с ИСП РАН о совместном поиске ошибок и уязвимостей.

«Флант»: Проактивно следит за уязвимостями и оперативно устраняет обнаруженные. По требованиям ФСТЭК в течение 48 часов разрабатываются компенсирующие меры для снижения возможности эксплуатации уязвимости, и в течение 60 дней – меры по защите информации, которые в могут включать обновление ПО.

Postgres Professional: Получает как от российских заказчиков, так и от международного open source сообщества PostgreSQL. Уязвимости устраняются оперативно после их обнаружения.

Часть 6. Инновации

Ведущие российские разработчики готовы предлагать инновации, чтобы развивать в стране следующий уровень цифрового суверенитета – импортоопережение. Они создают прогрессивные технологии, отвечающие потребностям российских заказчиков, и расширяют возможности продуктов по сравнению с зарубежными аналогами. 

«Группа Астра»: ОС Astra Linux: в части обеспечения ИБ – мандатное распределение доступа, мандатный контроль целостности, замкнутая программная среда, контроль подключаемых устройств, режим «Киоск»; в части интерфейса – собственная графическая оболочка Fly.

В GitFlic по сравнению с аналогами: замена Nexus Artifactory, возможность плагинизации и управления бизнес логикой, полноценный RBAC для построения РБПО, интеграции с российскими средствами безопасности.

В Termidesk собственная разработка STAL (Сервер Терминалов Astra Linux) обеспечивает работу с терминальным доступом на ОС Linux с учетом механизмов безопасности ОС Astra Linux.

ALD Pro внес ряд существенных доработок FreeIPA: например, впервые в мире реализована возможность установления доверительных отношений между доменами FreeIPA. 

РЕД СОФТ: Непрерывно расширяются возможности РЕД ОС за счет развития средств контейнеризации. В состав сертифицированных средств контейнеризации, помимо Docker, входит Kubernetes с рантаймом containerd. Обновленный установочный диск РЕД ОС включает образы контейнеров кластера Kubernetes для развертывания в закрытом контуре. Новые версии Docker-образов публикуются в реестре еженедельно, получая все необходимые обновления безопасности.

«Базальт СПО»: Инновационными можно считать «Альт Домен» с поддержкой групповых политик (включен в перечень системно значимых проектов), мобильную ОС ALT Mobile.

Axiom JDK: Легковесный Java-контейнер Axiom Runtime Container создан на базе контейнерной ОС Axiom Linux и оптимизированной версии Axiom JDK Lite для облачной и микросервисной архитектуры. Он меняет традиционное представление о тяжеловесности Java для этих сред. Минимальный размер контейнера позволяет экономить вычислительные ресурсы, инженерное время и повышать безопасность за счет уменьшения поверхности атаки.

Среда исполнения Axiom JDK Express объединяет современные возможности JVM 21 с версиями JDK 8 и 11, позволяя ускорить выполнение Java-приложений до 40%. Это помогает «подтянуть» производительность систем на старых версиях до уровня актуальных релизов без изменений кода, затрат на модернизацию оборудования, избегая полной миграции и длительных тестов совместимости. 

«Базис»: Решение для организации программно-определяемых сетей Basis SDN переводит управление инфраструктурой с уровня «железа» на уровень ПО, снижая зависимость от зарубежных поставщиков сетевого оборудования. Это первое полностью самостоятельное российское решение в этой категории. 

«Флант»: Все разработки Deckhouse направлены на расширение возможностей продуктов. Например, отдельные компоненты для централизованных возможностей управления и наблюдаемости распределенной инфраструктуры, собственная систему мониторинга, которая потребляет до 10 раз меньше памяти, чем обычный Prometheus, и работает до 3 раз эффективней, чем VictoriaMetrics.

Postgres Professional: Наиболее широкий на рынке набор улучшений для быстрой и удобной работы с 1С, что позволяет использовать 1С с количеством пользователей до 50 тысяч. В Postgres Pro Enterprise реализованы механизмы, до 10 раз ускоряющие процедуру «закрытие месяца». Внесены улучшения, ускоряющие работу с 1С в сценариях фоновая заморозка страниц, параллельная обработка временных таблиц, параллельный автовакуум, каталог временных таблиц в памяти и ряд других. Существует множество расширений, которые позволяют добавлять необходимый конкретной компании функционал, чтобы добиться гибкости и удобства управления СУБД.

Уникальная технология масштабирования – шардирование – уже применяется при реализации миграции баз данных сверхбольших объемов (до нескольких петабайт).

Резюме

В обзоре приведены лидирующие поставщики системного ПО, которые целенаправленно формируют технологический суверенитет страны. Они опираются экосистемный подход, обеспечение совместимости программных продуктов, развитие технологического партнерства, промышленные принципы безопасной разработки, экспертизу команд, создание прогрессивных продуктов и расширение референсных кейсов. 

Это лишь верхний срез рынка системного софта: в каждом ИТ-направлении суверенитет создают сотни российских разработчиков. Опыт представленных компаний может стать примером того, как выстраивать бизнес в условиях импортозамещения.