Три магнитофона, три кинокамеры: сколько у вас на самом деле иностранного ПО

С 2022 года большинство российских компаний прошли первую волну импортозамещения, перешли на отечественные офисные пакеты, почту и мессенджеры и перевели часть серверов на российские ОС. К концу 2026-го у многих проект замедлился, и проблем становится больше. В отчёте для руководства доля замещения выглядит высокой, но администраторы продолжают находить иностранные системы, которых в плане не было. Бывает и так, что новая российская система отказывается работать после отключения старой зарубежной. 

Обычно у таких сбоев общая причина. Список на замену в 2022 году составляли в спешке. Для субъектов критической информационной инфраструктуры (КИИ) вопрос еще и в сроках. Переход на доверенные программно-аппаратные комплексы на значимых объектах должен завершиться до 1 января 2030 года, осталось чуть больше трех лет.

 Всем привет, это команда продукта SimpleOne ITAM (система управления ИТ-активами).Разберем, почему импортозамещение буксует, что проверить при инвентаризации и как пересобрать план замены, сохранив уже сделанную работу.

Почему импортозамещение буксует

Чтобы понять, чего не хватает в первом списке на замену, вспомним, как его собирали.

Весной 2022 года зарубежные вендоры один за другим прекращали продажи и поддержку, а Указ Президента № 166 с 31 марта запретил закупать иностранное ПО для значимых объектов КИИ без согласования с уполномоченным органом. С 1 января 2025 года тот же указ запретил и использовать такое ПО на этих объектах. Список на замену нужен был быстро, поэтому его собирали по учету основных средств в бухгалтерии, договорам на лицензии и памяти администраторов.

Но в каждом из этих источников есть только часть инфраструктуры. Бухгалтерия знает, что и когда покупали, но в ее данных нет версий программ, мест установки и ПО, которое работает внутри купленного оборудования. В договорах есть коммерческие лицензии, но нет бесплатных, открытых и установленных сотрудниками самостоятельно программ. Администраторы помнят свои системы, пока работают в компании, и за четыре года многие из тех, кто составлял первый список, сменили место работы.

Это подтверждают данные исследования ITAM 2026, которое SimpleOne провела вместе с партнерами на выборке из более чем 100 компаний. Учет активов в Excel ведут 20% компаний, в бухгалтерских системах — 25%, специализированные ITAM-системы используют 18%. У большинства компаний первый список на замену опирался на те же три источника, поэтому в первую волну попали операционные системы, офисный пакет, почта и системы электронного документооборота. 

Что проявилось за четыре года

То, что не попало в первый список, обнаруживается постепенно, например на проверке, при сбое или когда очередной вендор отключает сервис. Чаще всего это программы внутри оборудования. У коммутатора, маршрутизатора, системы хранения данных, ИБП или камеры есть встроенное ПО производителя, прошивка. Его покупали вместе с устройством, поэтому в списке ПО на замену его нет. Масштаб легко недооценить. В одном из разборов практики на одном из разборов практики на itsec.ru  инвентаризация одного объекта КИИ выявила больше четырехсот позиций иностранного оборудования Cisco, HP, Check Point и других производителей.

Во вторую группу входят тестовые, резервные и забытые серверы. Тестовый стенд собирали из свободного оборудования и лицензий, резервную площадку обновляют реже основной, а сервер, поднятый под пилотный проект три года назад, продолжает работать, потому что на него успели завязать выгрузку отчетов. В третью группу попадают сервисы, которые сотрудники подключили сами, например зарубежная платформа рассылок, оплаченная корпоративной картой, или тестовая база в личном облаке разработчика. О том, откуда берутся такие ресурсы, мы подробно писали в статье «Shadow IT: инфраструктура, которой нет в реестре» на Хабре.

Четвертая группа включает замены, сделанные наполовину. Бывает, что новая российская система работает поверх иностранного окружения или старую зарубежную систему так и не отключили.

Почему отчет показывает больше замещенного, чем есть на самом деле

Ход импортозамещения обычно отслеживают по доле замещения, то есть по тому, сколько программ, установок или единиц оборудования из общего числа уже переведено на российские решения. ИТ-отдел регулярно показывает эту цифру руководству, и даже для того, что в список попало, она часто получается неверной. Один и тот же продукт приходит в учет под разными названиями из бухгалтерии, из договора, от программы автоматического поиска и из таблицы администратора.

Возьмем компанию на 1000 рабочих мест, где российский офисный пакет установлен на 600 из них, а на 400 остался иностранный. Программа поиска нашла эти 400 установок под тремя названиями: 250 записей «Microsoft Office Professional Plus 2016», 100 записей «MS Office 2016 Pro» и 50 записей «Office 16 Click-to-Run». Отчет, который учитывает только первое название, покажет 250 иностранных установок, и доля замещения получится 600 из 850, около 71%. На самом деле замещено 60%. Бывает и обратная ошибка: если одна установка пришла из двух источников, ее посчитают дважды.

Что проверить при инвентаризации

Раз первый список собирали по неполным источникам, инвентаризацию стоит провести заново и целиком. Начнем с того, что в нее входит. 

В ИТ-инфраструктуру входит все, на чем держится ИТ-работа компании, от офисного пакета на ноутбуке сотрудника до прошивки коммутатора в серверной. В таблице ниже основные категории и то, как их находить. 

Уже замененное тоже проверяем

Для каждой системы, которая в отчете числится замененной, стоит ответить на три вопроса:

1. На чем она работает (операционная система, СУБД, сервер приложений). Запись в реестре относится к самой программе, поэтому российская система поверх иностранной СУБД идет в отчет как замещение, хотя окружение под ней осталось зарубежным.

2. Отключена ли старая система. На время миграции ее могли оставить работать параллельно и забыть. 

3. Есть ли у нового продукта запись в реестре российских программ. Номер записи проверяется на официальном сайте реестра, где на август 2026 года было больше 32 тысяч записей.

Как искать

Позиции собирают в три этапа, и каждый следующий дополняет предыдущий.

1. Соберите документы. Выгрузите учет основных средств, реестр договоров на лицензии и поддержку, закупки за последние пять–семь лет и таблицы администраторов, сохранив у каждой записи ее источник.

2. Запустите автоматический поиск по сети (дискаверинг). Агенты на компьютерах и серверах собирают установленные программы и версии, сетевые сканеры находят устройства. У поиска есть слепые зоны: он пропускает сервисы, которыми пользуются через браузер, ресурсы в личных облачных аккаунтах и устройства в изолированных сегментах сети, а у встроенного ПО обычно видит только устройство и версию прошивки.

3. Опросите руководителей отделов. Всем задают одинаковые вопросы о том, какими системами и сервисами пользуются сотрудники, есть ли у систем тестовые и резервные среды и с какими внешними сервисами они обмениваются данными. 

После поиска результаты сравнивают с документами. Позиции из документов, которые поиск не нашел, могут оказаться кандидатами на списание или указывают на сегмент сети, куда у сканера нет доступа. Позиции, которые поиск нашел, но в документах их нет, чаще всего оказываются теневыми установками или забытыми серверами.

Что записать по каждой позиции

Для импортозамещения в первую очередь нужно поле происхождения. Без него процент замещения приходится оценивать по памяти. Мы используем четыре значения: 

Если компания использует продукты из стран ЕАЭС, для них понадобится пятое значение, потому что у таких программ свой евразийский реестр, и постановление №1912 учитывает его наравне с российским. У значения «статус неизвестен» есть своя польза. Если у 30% позиций происхождение не установлено, процент замещения, посчитанный по остальным 70%, описывает только их, и в отчете эту долю стоит указывать рядом с самим процентом.

Во втором поле отмечают статус замены — «заменено», «в процессе» или «не начато». Для замененных позиций полезно хранить ссылку на систему, которая пришла на смену, и дату отключения старой. Кроме этих двух полей, по каждой позиции понадобятся владелец, который ответит на вопросы о ней, место установки и связи с другими системами, критичность и дата окончания поддержки или лицензии.

Как пересобрать план по итогам инвентаризации

Полный список с происхождением и статусом замены показывает, сколько работы осталось. Дальше план собирают в три шага. 

1.Навести порядок в названиях и пересчитать процент

Разные варианты названия одного продукта сводят к одной позиции каталога с производителем, продуктом и версией. Эта операция называется нормализацией, и после нее поле происхождения заполняют один раз для позиции каталога, а оно относится ко всем ее установкам. В каталоге обычно сотни позиций при десятках тысяч установок, поэтому разметка идет быстро. Пересчитанный процент замещения удобно показывать в разбивке по критичности и с долей позиций, у которых происхождение неизвестно.

2.Расставить очередь замены

Когда у каждой позиции есть происхождение, статус и критичность, очередь строится по четырем критериям.

1. Первыми идут позиции, на которые есть требования закона. Иностранное ПО на значимых объектах КИИ заменяют в первую очередь, потому что запрет использования действует с 2025 года, а с 1 сентября 2025 года поправки в закон о безопасности КИИ (58-ФЗ) обязывают применять на таких объектах ПО из реестра российских программ.

2. Затем учитывают зависимости. Если прикладная платформа работает только на Windows Server, их замену планируют вместе, иначе одна замена остановит другую. Связи между позициями в реестре показывают такие пары до начала миграции.

3. Дальше смотрят на поддержку вендора. Продукт, для которого больше не выходят обновления безопасности, поднимается в очереди, даже если он не относится к КИИ.

4. Последний критерий касается наличия аналога. Если российской замены с нужной функциональностью пока нет, позицию фиксируют в плане с датой пересмотра и мерами защиты на переходный период.

Возьмем для примера две вещи из списка на замену, коммутаторы в серверной и графический редактор. Через коммутаторы связаны между собой все компьютеры и серверы компании, и если они выйдут из строя, остановится вся сеть. Их производитель ушел с рынка, обновлений для встроенного ПО больше не выходит, а сама сеть относится к значимому объекту КИИ, где иностранное ПО использовать запрещено.

Вторая вещь в списке: графический редактор, которым пользуются три дизайнера. Если он перестанет работать, это затронет только их, требования закона на него не распространяются, и российских аналогов на рынке несколько. Редактор заменить быстрее и дешевле, и в отчёте для руководства появится ещё одна замещённая система, так что проект будет выглядеть продвинувшимся. Коммутаторы при этом останутся иностранными, хотя именно из-за них компания рискует и остановкой сети, и нарушением требований закона. Поэтому сначала определяют, отказ какой системы обойдется компании дороже всего, и начинают замену с неё, даже если отчёт от этого будет выглядеть скромнее. 

3. Выбирать аналоги по новому списку

На этом шаге компания возвращается к вопросу, с которого обычно начинают, — к выбору российских решений. Теперь для выбора есть исходные данные. Понятно, сколько установок нужно закрыть, с какими системами новый продукт должен работать и какое окружение ему понадобится. По полному списку видно и то, где один продукт может заменить несколько зарубежных инструментов сразу, например когда заявки, учет техники и база знаний велись в разных иностранных сервисах.

Как собирать данные

Мы разобрали, как провести инвентаризацию и пересобрать по ней план замещения. Вручную такая работа отнимает у ИТ-отдела много времени, потому что нужно выгружать данные из разных систем, сверять их с документами и опрашивать отделы. Через полгода данные снова устаревают, потому что компания закупает технику, меняет системы, сотрудники приходят и уходят. Чтобы не собирать список заново перед каждым отсчетом или проверкой, его нужно обновлять по ходу работы. Эту задачу решают ITAM-системы. Они сводят данные об активах из разных источников в одно место и фиксируют каждое изменение, от закупки и выдачи до перемещения и списания.

Например, в SimpleOne ITAM коннекторы к системам дискаверинга загружают найденное оборудование в карточки активов, а интеграция с 1С и ERP-системами помогает сверить их с бухгалтерским учетом без ручного сведения таблиц. Каталог моделей хранит единую номенклатуру, поэтому записи из разных источников привязываются к одной позиции и отчет по продукту считает все его установки. 

Поля для импортозамещения добавляются Low-code инструменты платформы позволяют без программирования добавить поля для импортозамещения, например происхождение, номер записи в реестре, статус замены, критичность и дату окончания поддержки. По этим полям строится отчет или дашборд с долей замещения по подразделениям и по критичности. Замененные позиции проходят списание по процессу жизненного цикла актива, и история замены сохраняется в карточке. Сама платформа SimpleOne входит в реестр российского ПО.

Резюме

Первый шаг к пересборке плана можно сделать за день. Выгрузите из программы автоматического поиска список установленного ПО и оборудования и сравните его с планом замены. Всё, что есть в сети, но отсутствует в плане, покажет, насколько список 2022 года разошелся с тем, что работает в компании сейчас.

На каком этапе у вас импортозамещение и что оказалось сложнее всего? Делитесь в комментариях.