В современных условиях любой бизнес, использующий программное обеспечение, должен регулярно проверять, что используемые лицензии соответствуют требованиям надзорных органов (ФСТЭК, Роскомнадзор, Роспотребнадзор, ФСБ и др․)․ Неправильное лицензирование может привести к штрафам, приостановке деятельности и репутационным потерям․ В этой статье мы подробно разберём, какие шаги необходимо предпринять, какие документы собрать и какие инструменты использовать для эффективного контроля․

Почему проверка лицензий важна?

• Юридическая безопасность․ Соответствие лицензий требованиям закона защищает компанию от административных и уголовных санкций․
• Финансовая выгода․ Правильное лицензирование позволяет избежать лишних расходов на штрафы и судебные издержки․
• Репутация․ Компании, соблюдающие нормативы, вызывают больше доверия у партнёров и клиентов․
• Требования заказчиков․ Многие крупные заказчики (госзаказы, крупные корпорации) требуют подтверждения соответствия лицензий нормативным актам․

Основные нормативные акты, регулирующие лицензирование ПО

1. Федеральный закон № 152‑ФЗ «О персональных данных» – требует использования программ, прошедших сертификацию ФСТЭК или Роскомнадзора, если они обрабатывают персональные данные․
2. Федеральный закон № 149‑ФЗ «Об информации, информационных технологиях и защите информации» – определяет требования к использованию лицензий в государственных и муниципальных учреждениях․
3. Требования ФСТЭК России – обязательные к выполнению при работе с государственными информационными системами․
4. Требования Роскомнадзора – регламентируют использование программных средств для обработки и передачи персональных данных․
5. ГОСТ Р 57580‑2017 – «Информационная безопасность․ Требования к защите программного обеспечения»․

Ключевые этапы проверки соответствия лицензий

Инвентаризация программного обеспечения

Первый и самый важный шаг – собрать полный перечень всех установленных программ и их версий․

• Использовать специализированные инструменты (например, Microsoft System Center Configuration Manager (SCCM), PDQ Inventory, ManageEngine AssetExplorer)․
• Сформировать таблицу с колонками: Наименование ПО, Версия, Количество установок, Тип лицензии, Дата приобретения, Поставщик, Серийный номер/Ключ активации․

Сопоставление лицензий с нормативными требованиями

Для каждой программы определяем, какие нормативные акты к ней применимы․

1. Определяем категорию ПО (офисные, CRM, ERP, СУБД, антивирусы, средства шифрования и т․д․)․
2. Проверяем, требуется ли для данной категории обязательная сертификация (например, ФСТЭК для шифровальных модулей)․
3. Сравниваем тип лицензии (OEM, Volume, Subscription) с требованиями к количеству пользователей/устройств․

Проверка наличия и актуальности лицензий

• Контролируем сроки действия подписок и сервисных контрактов․
• Проверяем, не превышено ли количество активных установок относительно количества приобретённых лицензий․
• Отслеживаем наличие документов о сертификации (сертификаты ФСТЭК, отчёты о проверке соответствия)․

Оценка рисков и формирование отчёта

На основе полученных данных формируем рисковый профиль:

• «Без риска» – лицензия полностью соответствует требованиям․
• «Средний риск» – небольшие отклонения (например, истекает срок действия подписки)․
• «Высокий риск» – отсутствие необходимой сертификации или превышение количества лицензий․

Отчёт должен включать:

1. Сводную таблицу соответствия․
2. Перечень нарушений и рекомендации по их устранению․
3. План действий (сроки, ответственные лица)․

Корректирующие действия

В зависимости от уровня риска предпринимаются следующие меры:

• Закупка недостающих лицензий или продление подписок․
• Получение недостающих сертификатов (обращение к поставщику, проведение аудита ФСТЭК)․
• Удаление нелицензированного ПО․
• Обучение персонала правилам использования лицензий․

Инструменты и сервисы для автоматизации проверки

Практические рекомендации

• Регулярность проверок․ Проводите полную проверку минимум раз в квартал, а при изменении состава ПО – сразу․
• Документирование процессов․ Оформляйте внутренние регламенты: кто, когда и как проводит проверку․
• Взаимодействие с поставщиками․ Запрашивайте у поставщиков актуальные сертификаты и лицензии в электронном виде․
• Обучение сотрудников․ Проводите тренинги по правильному использованию лицензий и последствиям их нарушения․
• Хранение доказательств․ Архивируйте копии лицензий, сертификатов и актов проверки в защищённом виде (например, в системе электронного документооборота)․
• Автоматизация․ Интегрируйте проверку лицензий в процесс CI/CD, чтобы новые развертывания автоматически проверялись на соответствие․

Пример проверки лицензии на шифрование данных

Компания «Альфа» использует модуль шифрования CryptoSecure 3․2 в своей CRM‑системе․ Требования ФСТЭК к шифровальным средствам включают наличие сертификата соответствия․

1. Инвентаризация показала, что установлен CryptoSecure 3․2 на 12 серверах․
2. Проверка лицензий выявила, что у продукта есть только OEM‑лицензия без сертификата ФСТЭК․
3. Риск классифицирован как «Высокий» – использование без сертификата запрещено для обработки персональных данных․
4. Корректирующие действия:
   • Связаться с поставщиком и запросить сертификат ФСТЭК․
   • Если сертификат не будет получен – заменить модуль на альтернативный, уже сертифицированный․
   • Обновить внутренний регламент по использованию шифрования;

Часто задаваемые вопросы (FAQ)

Что делать, если лицензия просрочена, но программное обеспечение всё ещё используется?

Как доказать соответствие лицензий в случае проверки со стороны надзорного органа?

Подготовьте пакет документов:

• Копии лицензий (PDF, электронные сертификаты)․
• Акт инвентаризации программного обеспечения․
• Сертификаты соответствия (ФСТЭК, Роскомнадзор)․
• Отчёты о проведённых внутренних аудитах․

Можно ли использовать бесплатные версии программ в коммерческих целях?

Только если лицензия явно разрешает коммерческое использование (например, некоторые версии «Community»)․ В противном случае – это нарушение лицензии․

Проверка соответствия лицензий требованиям надзорных органов – это не разовая акция, а постоянный процесс, встроенный в систему управления ИТ‑активами․ Регулярный аудит, автоматизация сбора данных и чёткая документальная база позволяют минимизировать риски, избежать штрафов и поддерживать репутацию компании на высоком уровне․

Помните: своевременное и корректное лицензирование – один из ключевых факторов устойчивого развития бизнеса в условиях растущего регулирования ИТ‑сферы․