Покупка сертифицированного ПО

Найти поставщика программного обеспечения в России сейчас не трудно: это мощная индустрия с оборотом в миллиарды рублей, тысячами компаний и десятками, если не сотнями тысяч опытных сотрудников. Но каковы особенности покупки именно сертифицированного ПО? Есть ли особые требования к поставщику (и, между прочим, к покупателю тоже)? Как пользователю сертифицированного ПО выбрать своего поставщика?

Сертифицированное программное обеспечение состоит как бы из двух частей разной природы. Поэтому с практической точки зрения его покупка распадается на две части. Первая часть — это так называемый комплект сертификации ПО, который производит изготовитель. Как правило, это материальный объект — набор носителей данных и бумажных документов, хотя некоторые изготовители (как правило, разработчики) уже внедрили полностью безбумажные, электронные комплекты. Посмотрим, из чего состоят комплекты сертификации программного обеспечения, которые производит компания СИС.

Комплект поставляется в фирменной упаковке, в которую вкладываются все составные части комплекта. Состав комплекта может отличаться в зависимости от марки сертифицированного ПО. Прежде всего, в комплект входит заверенная изготовителем бумажная копия сертификата соответствия на программное средство.

Пожалуй, самое важное в комплекте сертификации — это формуляр продукта. Он индивидуален, в него вписывается уникальный идентификатор, состоящий из регистрационного номера системы сертификации ФСТЭК России (РОСС RU.01), номера сертификата соответствия и заводского (серийного) номера экземпляра сертифицированного ПО.

Также в комплект сертификации продукта входит носитель (оптический диск) с установочным комплектом (дистрибутивом) сертифицированного программного обеспечения. Этот носитель тиражируется либо правообладателем (или теми, кого он уполномочил на это), либо самим изготовителем (в зависимости от того, как они договорились). Но в любом случае носитель маркируется заводским (серийным) номером и, как правило, опечатывается пломбой изготовителя: это дополнительный способ обеспечить идентичность поставляемого дистрибутива эталонному, который проходил сертификационные испытания. Но пломба не заменяет проверку контрольных сумм пользователем!

Остальные позиции относятся к эксплуатации и поддержке сертифицированного продукта. Абонемент на сертификационную поддержку подтверждает расширенные (к тем, что положены по закону) обязательства изготовителя. USB-ключ для доступа к порталу сертифицированных обновлений заказывается при первой поставке пользователю (а также для других филиалов), или если старый ключ потерялся или вышел из строя. В комплект может вкладываться бумажная лицензия на утилиты (служебные программы) для эксплуатации сертифицированной версии: проверки контрольных сумм, доставки сертифицированных обновлений, контроля уязвимостей и прочего. Наконец, на медиа-ките (отдельном оптическом диске) записаны сами эти утилиты, электронные версии эксплуатационной документации, а также программа для работы с USB-ключом.

Большая часть содержимого комплекта —это товар, продажа которого идет по договору поставки и облагается НДС. Платные же лицензии на утилиты поставляются по сублицензионному договору, в котором изготовитель выступает реселлером. Весь комплект изготовитель продает конечным заказчикам — либо напрямую, либо через своих партнеров.

Чтобы пользователи могли работать с привычными им поставщиками, изготовитель подключается в качестве «вендора» в привычный для сферы ИТ двухуровневый канал распределения. То есть поставки идут сначала дистрибьютору, а потом через его дилеров конечным заказчикам. Но также изготовители могут заключать прямые контракты с крупными интеграторами и магазинами ПО, которые работают с конечными пользователями напрямую. То есть получается смешанный, одно- и двухуровневый канал. Это дает преимущества всем сторонам этого процесса, и в конечном счете гибкость и удобство для конечного заказчика. Все стороны в этой цепочке привносят свою ценность. Чтобы вознаграждение для каждого участника цепочки было справедливым, изготовитель использует систему скидок. Важно отметить, что по закону изготовитель не имеет права устанавливать цены для конечных заказчиков – такие цены вырабатываются в результате конкуренции между разными поставщиками.

Вторая часть сертифицированного программного обеспечения — это лицензия, неисключительное право на использование ПО. Это право передает (лицензирует) правообладатель ПО — обычно это его разработчик. Лицензия может продаваться (передаваться) пользователю либо напрямую этим правообладателем, либо через посредников: реселлеров, агентов и пр. Этот процесс ничем не отличается от продажи обычного, несертифицированного ПО, и его правила устанавливает правообладатель в соответствии с законом. Более того, обычно для сертифицированных версий правообладатели используют те же названия и номера, что и для соответствующих им несертифицированных версий. Приобретение прав на интеллектуальную собственность принципиально: этого требует, например, 149-ФЗ. Все участники канала поставок следят, чтобы это требование выполнялось.

Если у изготовителя нет исключительных прав на сертифицированное программное обеспечение, то возможны две схемы покупки лицензии пользователем: либо у изготовителя вместе с комплектом сертификации, либо у другого поставщика. При любой из схем тот, у кого приобретают лицензию (изготовитель или другой поставщик), должен заключить договор с правообладателем.

Сложно сказать, какая из схем будет удобнее для конечного пользователя. Иногда важнее покупка «из одних рук». Так можно быть уверенным, что покупается именно та лицензия и именно тот дистрибутив, который соответствует сертификату. С другой стороны, покупка лицензий через специализированного реселлера может быть и выгоднее, и такие реселлеры, как правило, лучше разбираются в тонкостях лицензирования.

Теперь, после того как разобрались со взаимоотношениями всех участников цепочки поставок, можно сформулировать требования, критерии для выбора поставщика сертифицированного ПО, кроме цены. Сложив, сопоставив их все, можно оценить разницу в цене как плату за удобство и спокойствие (разумеется, кроме тех случаев, когда требуется только минимальная цена). Можно составить вот такой контрольный список:

Но у разработчиков, у которых нет ни лицензии ФСТЭК на разработку, ни возможности получить ее (это зарубежные разработчики), есть свои задачи и интересы, и у них тоже может возникнуть вопрос: а как выбрать изготовителя (который будет и заявителем) для своих продуктов? Хотя рынок достаточно узкий, но конкуренцию никто не отменял, и есть из кого выбрать. Вот простой контрольный список с критериями выбора: